POJAM OSOBNOG PODATKA U TUMAČENJU SUDA EUROPSKE UNIJE

281 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. UDK 342.738:004.056 342.738:061.1 EU Rad stigao: 17. travnja 2026. Rad prihvaćen: 12. svibnja 2026. Izvorni znanstveni rad Dr.sc. Maja PROSO * redovita profesorica Sveučilište u Splitu Pravni fakultet maja.proso@pravst.hr POJAM OSOBNOG PODATKA U TUMAČENJU SUDA EUROPSKE UNIJE Sažetak: U radu se istražuje evolucija pojma osobnih podataka u kontekstu pseudoni - mizacije kroz analizu recentne sudske prakse i regulatornih smjernica. Središnji dio rada fokusiran je na presudu Suda Europske Unije u predmetu EDPS protiv SRB, kojom se po - tvrđuje kontinuitet relativnog poimanja pojma osobnog podatka u kontekstu provođenja postupka pseudonimizacije osobnih podataka. Hoće li se određeni podatak smatrati osob - nim ovisi, tako, o tome tko podatak obrađuje i raspolaže li i kojim dodatnim informacija - ma. Prema takvom shvaćanju, pseudonimizirani podaci za primatelja postaju anonimni ako on nema razumno vjerojatan način da pristupi informacijama potrebitim za ponovnu identifikaciju ispitanika. Nadalje, rad identificira značajno doktrinarno razmimoilaženje između fleksibilnijeg, relativnog tumačenja Suda EU i objektivnog pristupa sadržanog u Smjernicama EDPB-a 01/2025. Zaključuje se kako postojeća neusklađenost stvara prav - nu nesigurnost, što subjekte obrade podataka može potaknuti na primjenu defenzivnih i konzervativnih strategija zaštite. Unatoč navedenim izazovima, u radu se afirmira teza da je uvođenje kontekstualnog kriterija nužno za očuvanje operativnosti postojećeg prav - nog okvira zaštite pojedinaca u vezi s obradom osobnih podataka u uvjetima intenzivne digitalne transformacije. Stoga je recentna praksa Suda EU u pogledu definiranja pojma osobnog podatka od važnosti za hrvatsku sudsku praksu i djelovanje nadležnih nacional - nih tijela, jer jača pravnu sigurnost unutar domaćeg institucionalnog okvira. Ključne riječi: osobni podatak, predmet EDPS protiv SRB, pseudonimizacija, Sud Eu - ropske Unije, Uredba (EU) 2016/679. 1. UVOD Do 2018. zaštitu osobnih podataka u EU regulirala je Direktiva 95/46/EZ 1 , koja je, iako detaljna, dovela do neusklađenosti nacionalnih zakona. Zbog toga, ali i zbog sveprisutne digitalizacije došlo je do reforme zakonodavstva i usvajanja Uredbe (EU) * Dr.sc. Maja Proso, redovita profesorica Pravnog fakulteta Sveučilišta u Splitu. ORCID ID broj:0009- 0004-6055-1493. Ovaj rad financiran je sredstvima Europske unije (NextGenerationEU) u okviru Nacionalnog plana oporavka i otpornosti Republike Hrvatske 2021.–2026. (NPOO), putem insti - tucionalnog projekta Sveučilišta u Splitu „Utjecaji europskog i međunarodnog prava na nacionalni pravni poredak - izazovi prilagodbe za demokratsku državu - EMPO-HR”, IP-UNIST-51, odobrenog od strane Ministarstva znanosti, obrazovanja i mladih Republike Hrvatske. Izjava o odricanju od od - govornosti: Financirano sredstvima Europske unije – NextGenerationEU. Izneseni stavovi i mišljenja isključivo su stavovi i mišljenja autora te ne odražavaju nužno stavove Europske unije ili Europske komisije. Europska unija ni Europska komisija ne mogu se smatrati odgovornima za njih. 282 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. 2016/679. 2 Za razliku od Direktive, Uredba je izravno primjenjiva i obvezujuća u svim državama članicama, što rezultira potencijalnim globalnim učinkom odredbi, poseb - no za pitanja internetskog poslovanja gdje je predmet obrade osobnih podataka dr - žavljana EU-a. 3 Smatra se kako je određivanje pojma osobnog podatka jedan je od glavnih uzroka prijepora u ovom pravnom području jer je pitanje dosega tog pojma od središnjeg praktičnog značaja za gotovo svaku osobu koja obrađuje podatke. 4 Neki autori čak drže kako definicija osobnih podataka kao informacija o pojedincu implici - ra nevjerojatno širok obuhvat osobnih informacija i vodi do beskonačnog niza situacija na koje se može primijeniti zaštita podataka 5 jer je prisutna velika neodređenost u načinu na koji se taj pojam koristi. 6 Tako se pojam osobnog podatka kolokvijalno ali i u kontekstu prava na privatnost i u akademskim istraživanjima označava kao osjetljive ili intimne informacije, informacije koje omogućavaju osobnu identifikaciju, odnosno informacije o osobi čiji se identitet može utvrditi. 7 Osobni podatak definiran je odredbom članka 4. stavka 1. Uredbe kao informacija koja se odnosi na pojedinca čiji je identitet već utvrđen ili se može utvrditi. To znači da se radi o podacima koji omogućuju izravnu ili neizravnu identifikaciju osobe. Primjeri takvih identifikatora uključuju ime, identifikacijski broj, podatke o lokaciji, mrežni identifikator, ali i bilo koji faktor specifičan za fizički, fiziološki, genetski, mentalni, eko - nomski, kulturni ili društveni identitet pojedinca. 8 Sredinom 70-ih, Odbor ministara Vijeća Europe donio je nekoliko rezolucija o zaštiti osobnih podataka, pozivajući se na članak 8. KLJP. 9 Konvencija o zaštiti osoba glede automatske obrade osobnih podataka (dalje: Konvencija br. 108) 10 do danas ostaje jedini pravno obvezujući međunarodni in - strument u području zaštite podataka. 11 Konvencija br. 108 primjenjuje se na svu obra - du podataka u privatnom i javnom sektoru, uključujući obradu u pravosuđu i obradu 1 Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku takvih podataka, SL 1995 L 281(dalje: Direktiva 95/46/EZ). 2 Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka, te o stavljanju izvan snage Direktive 95/46/EZ, SL L 119, od 4.5.2016. (Opća uredba o zaštiti podataka) (dalje: Uredba). 3 Gumzej, Nina, Uredba o zaštiti osobnih podataka, Projekt “Novi hrvatski pravni sustav” Pravnog fa - kulteta Sveučilišta u Zagrebu, 2017., str. 2. 4 Edwards, Lilian, Data Protection I: Enter the GDPR u: Edwards, Lilian (ed.) Law, Policy and the Inter - net, Hart Publishing, 2018., str. 84. 5 Obelitz Søe, Sille, Frank Jørgensen, Rikke, Mai, Jens-Erik, What is the ‘personal’ in ‘personal informa - tion?, Ethics and Information Technology, Volume 23, 2021., str. 632. 6 Nissenbaum, Helen, Privacy in context. Technology, policy, and the integrity of social life, Stanford Law Books,Stanford University Press, 2010., str. 4. 7 Ibid . 8 Čizmić, Jozo, Boban, Marija, Učinak nove EU Uredbe 2016/679 (GDPR) na zaštitu osobnih podataka u Republici Hrvatskoj, Zbornik Pravnog fakulteta Sveučilišta u Rijeci, vol. 39, br. 1, 2018., str. 382. 9 Vijeće Europe, Odbor ministara (1973.), Rezolucija (73) 22 o zaštiti privatnosti pojedinaca u odnosu na elektroničke banke podataka u privatnom sektoru, 26. rujna 1973., Vijeće Europe, Odbor ministara (1974.), Rezolucija (74) 29 o zaštiti privatnosti pojedinaca u odnosu na elektroničke banke podataka u javnom sektoru, 20. 9. 1974. 10 Vijeće Europe, Konvencija o zaštiti osoba glede automatske obrade osobnih podataka, CETS br. 108, 1981. 11 Priručnik o europskom zakonodavstvu o zaštiti podataka, Luxembourg: Ured za publikacije Europske unije, 2020., str. 26. 283 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. koju provode tijela odgovorna za izvršavanje zakonodavstva. Uredba definira obradu osobnih podataka kao svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautoma - tiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje. 12 Tako se u praksi Suda Europske Unije (dalje: Sud) kao primjeri obrade osobnih podataka pojavljuju, primjerice, uzi - manje otisaka prstiju i pohrana na medij za pohranu podataka 13 , aktivnosti davatelja usluge internetskog pretraživanja u svezi s osobnim podatcima kao što je pretraživanje osobnih podataka na internetu, indeksiranje, privremena pohrana i prikaz čineći te podatke dostupnima trećima. 14 Sud je, također, potvrdio kako obradom podataka sma - tra zadržavanje podataka o lokaciji koji se odnose na korisnike elektroničkih komuni - kacijskih usluga uz podatke koji su potrebni za identifikaciju tih korisnika. 15 Postupak pseudonimizacije je kao novost u procesu obrade podataka, u odnosu na raniju Direk - tivu 95/46/EZ, uvela Uredba. 16 Pseudonimizacija, sukladno odredbi članka 4. točke 5. Uredbe, način je obrade osobnih podataka putem koje se osobni podaci više ne mogu pripisati određenom ispitaniku bez uporabe dodatnih informacija, pod uvjetom da se takve dodatne informacije drže odvojeno te da podliježu tehničkim i organizacijskim mjerama kako bi se osiguralo da se osobni podaci ne mogu pripisati pojedincu čiji je identitet utvrđen ili se može utvrditi. Prema Recitalu 26 Uredbe, osobne podatke koji su pseudonimizirani, a koji bi se mogli pripisati nekom pojedincu uporabom dodatnih informacija smatra se informacijama o pojedincu čiji se identitet može utvrditi, dakle, osobnim podatkom. Pseudonimizacija se smatra mjerom koja pomaže i u osiguravanju obrade podataka i u postizanju tehničke zaštite podataka. 17 Za razliku od pseudonimi - zacije, postupak anonimizacije nepovratan je proces obrade podataka kojim se identi - tet pojedinca trajno uklanja, pa se načela zaštite podataka iz Uredbe ne primjenjuju na takve informacije koje se ne odnose na pojedinca čiji je identitet utvrđen ili se može utvrditi ili na osobne podatke koji su učinjeni anonimnima na način da se identitet ispitanika ne može ili više ne može utvrditi. Drugim riječima, anonimizirani podaci ne smatraju se, u smislu pojašnjenja iz Recitala 26 Uredbe, osobnim podatcima. Dosadaš - nja sudska praksa tumačila je pojam osobnog podatka sukladno definiciji i uvodnim pojašnjenima pojma osobnog podatka iz Direktive 95/46/EZ, a koja su se, u dosadaš - njoj sudskoj praksi, smatrala aktualnima i u kontekstu primjene Uredbe. 18 U radu se, 12 Članak 4. točka 2. Uredbe. 13 Presuda od 17. listopada 2013., C291 / 12 Michael Schwarz protiv Stadt Bochum, ECLI:EU:C:2013:670 14 Presuda od 13. svibnja. 2014, C - 131/12, Google Spain SL, Google Inc. protiv Agencia Española de Protección de Datos (AEPD), Mario Costeja González, , ECLI:EU:C:2014:317 15 Presuda od 8. travnja 2014, C 293/12, Digital Rights Ireland Ltd protiv Minister for Communication, Marine and Natural resources, ECLI:EU:C:2014:238 Više vidi u: Dragičević, Dražen, Gumzej, Nina, Privatnost i zaštita osobnih podataka u digitalnom okruženju u: Dragičević, Dražen (ur.) Pravna in - formatika i pravo informacijskih tehnologija, Zagreb, Narodne novine, 2015. str. 120. 16 Finck, Michele, Pallas, Frank, They who must not beidentified—distinguishing personal fro - mnon-personal data under the GDPR, International Data Privacy Law, Vol. 10, No. 1., 2020., str. 21. 17 Članak 25. stavak 1 i članak 32. stavak 1, točka Uredbe. 18 Dragićević, Gumzej, op.cit. u bilj.15 ., str. 121. 284 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. tako, nakon uvodnih napomena analizira evolucija pojma osobnog podatka u dosa - dašnjoj sudskoj praksi. Središnji dio rada fokusiran je na presudu Suda iz 2025., kojom se potvrđuje kontinuitet relativnog poimanja pojma osobnog podatka i to u kontekstu provođenja postupka pseudonimizacije osobnih podataka. U sljedećem dijelu rada, identificira se značajno doktrinarno razmimoilaženje između fleksibilnijeg, relativnog tumačenja Suda EU i objektivnog pristupa sadržanog u Smjernicama EDPB-a 01/2025. Zaključni dio rada, potom, sažima najvažnije rezultate provedenog istraživanja. 2. EVOLUCIJA TUMAČENJA POJMA OSOBNOG PODATKA U PRAKSI EUROPSKOG SUDA U svojoj sudskoj praksi Sud često navodi da je područje primjene Direktive 95/46/EZ vrlo široko te da su osobni podaci obuhvaćeni Direktivom 95/46/EZ raznoliki. 19 Ono što je početno karakteriziralo sudsku praksu o pojmu osobnih podataka je nedostatak sudske procjene o tome koji elementi čine pojam osobnih podataka i kakvo značenje i težinu svaki od tih elemenata ima u kontekstu određivanja osobne prirode nekog podatka. 20 Međutim, kako je obrada podataka u suvremenom društvu postajala sve složenija, i Sud se počeo suočavati s potrebom detaljnije i dublje dogmatske anali - ze značenja pojedinih koncepcija koje se, najčešće, vežu uz pojam osobnog podatka. Tako je praksa Suda identificirala četiri ključna elementa koji karakteriziraju pojam osobnog podatka, 21 i to izraze „bilo koje informacije“, „odnose na“, „fizičke osobe“ i „identificirane ili prepoznatljive osobe“ koji su, prema sudskom shvaćanju, a sukladno uvodnim izjavama Direktive 95/46/EZ, presudni za određenje radi li se, u konkretnom slučaju, o osobnom podatku ili ne. Sud je svakom elementu definicije osobnog podatka pridao specifičnu pravnu težinu i značenje. Time je uspostavljen sustav testiranja poje - dinačnih kriterija koji osigurava pravnu predvidljivost, što ćemo u nastavku prikazati kroz analizu ključnih presuda koje su oblikovale ove koncepte. Budući da Uredba, kao i Direktiva 95/46/EZ definiraju pojam podataka, bilo da su osobni ili ne, ponekad i korištenjem pojmova informacija i podatci u istom kon - tekstu, 22 Sud je utvr đivao puno značenje izraza „bilo koja informacija“, a u svezi poj - ma osobnog podatka. Izraz“ bilo koja informacija“, sukladno mišljenju Suda, postavlja prilično široke granice pojma osobni podatak, budući uključuje podatke neovisno o njihovoj formi. Tako je Sud u presudi u predmetu Nowak 23 utvrdio kako upotreba izra - 19 Tako se navodi i u presudi u predmetu Lindqvist, prvom u kojem se pojavilo pitanje pojma osobnog podatka. Presuda od 6 studenog 2003. C-101/01 Bodil Lindqvist, ECLI:EU:C:2003:596, točka 88. 20 Purtova, Nadezhda, The law of everything. Broad concept of personal data and future of EU data prote - ction law, Law, Innovation and Technology, 10(1), 2020., str. 61. DOI: 10.1080/17579961.2018.1452176 21 Graef, Inge, Gellert, Raphaël, Husovec, Martin, Towards a Holistic Regulatory Approach for the European Data Economy: Why the Illusive Notion of Non-Personal Data is Counterproductive to Data Innovation“, TILEC Discussion Paper, 2018-029, str. 5, https://ssrn.com/abstract=3256189 (27.02.2026) 22 Gedefa Urgessa, Worku, The Feasibility of Applying EU Data Protection Law to Biological Materials: Challenging ‘Data’ as Exclusively Informational, Journal of Intellectual Property, Information Techno - logy and Electronic Commerce Law, Vol. 7 No. 2., 2016., str. 97. 23 Presuda od 20. prosinca 2017., Peter Nowak protiv Data Protection Commissioner, C-434/16, ECLI:EU:C:2017:994 285 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. za „bilo koja informacija“ sukladno definicije pojma osobni podatak iz članka 2. točke (a) Direktive 95/46/EZ, odražava cilj zakonodavca EU-a da tom pojmu dodijeli širok opseg, koji nije ograničen na informacije koje su osjetljive ili privatne, već potencijalno obuhvaća sve vrste informacija, i to ne samo objektivne već i subjektivne, u obliku mi - šljenja i procjena, ali pod uvjetom da se odnose na konkretnog ispitanika. 24 Ti podaci, prema mišljenju suda, odražavaju znanje, intelektualni proces i, u slučaju rukopisa, fi - zičke karakteristike kandidata. 25 Navodeći da pravno rasuđivanje ne predstavlja osobni podatak, Sud je povukao granicu između informacija o osobi (koje bi mogle spadati u opseg prava na zaštitu podataka) i pravnih procjena ili tumačenja (koja to nisu). Stav Suda izražen u presudi u predmetu Nowak je, tako, proširio koncepciju osobnog po - datka utvrđujući značenje izraza „bilo koje informacije“ na način kako bi se u njega uključilo subjektivne (profesionalne) procjene, poput komentara ispitivača, na temelju toga što odražavaju i utječu na dotičnog pojedinca. 26 Izraz „odnose na“ kao slijedeći element pojma osobnog podatka Sud je procjenjivao u predmetu YS, 27 a u vezi s pri - stupom zapisniku o privremenoj boravišnoj dozvoli kao pravu na azil u Nizozemskoj. Sud je izrazio mišljenje da čak i u slučaju da sam dokument sadrži osobne podatke, to ne podrazumijeva da takve informacije moraju biti povezane s fizičkom osobom jer dokument ne predstavlja osobni podatak u smislu Direktive 95//EZ. 28 Nešto kasni - je, Sud je u spomenutom predmetu Nowak, izmijenio svoj stav, ustvrdivši kako je u izrazu pojma osobnog podatka udovoljeno u slučaju kada je informacija, zbog svog sadržaja, svrhe ili učinka, povezana s određenom osobom. 29 Dakle, vidimo kako je Sud u predmetu Nowak primijenio šire tumačenje izraza „u odnosu na“ kao elementa poj - ma osobnog podatka, što olakšava prepoznavanje bilo koje informacije kao osobnog podatka i, obrnuto, otežava njezino prepoznavanje kao neosobnog podatka. 30 Sud je, u predmetu Nowak izraz „informacije koje s odnose na“ tumačio na način da predmetni podaci s konkretnom osobom moraju biti povezani sadržajem, namjerom prikupljanja ili pak posljedicama koje obrada podataka ima na tu osobu. Što se tiče izraza „fizička osoba“ kao konstitutivnog elementa pojma osobnog podatka, Sud je u predmetu Wor - ten 31 potvrdio kako je pravna zaštita osobnih podataka ograničena na fizičku osobu kao pravnog subjekta, a ne na pravne osobe ili preminule pojedince. Sud je, naime, smatrao kako informacije koje se odnose na vlasništvo mogu predstavljati osobne po - datke ako omogućuju identifikaciju fizičke osobe. 32 Pojam „identificiranost ili prepo - znatljivost“, sadržan u četvrtom izrazu koji je ključan za definiciju pojma osobnog po - 24 Peter Nowak v Data Protection Commissioner, točka 34. 25 Peter Nowak v Data Protection Commissioner, točka 37. 26 Enqvist, Lena, Motzfeldt, Hanne-Marie, From Logic to Reasons in the GDPR? The Post SCHUFA and Dun & Bradstreet Research Questions, European Review of Digital Administration & Law – Erdal, Volume 6, Issue 2, 2025., str. 20. 27 Presuda od 17 srpnja 2014, YS protiv Minister voor Immigratie, Integratie en Asiel, C-141/12, EC - LI:EU:C:2014:2081, točka 18. 28 Točke 38 – 39. 29 Peter Nowak protiv Data Protection Commissioner, točka 35. 30 Rossi dal Pozzo, Francesco Zoboli, Laura, To protect or (not) to protect:definitional complexities con - cerning personal (and non-personal) data within the EU , Eurojus, Fascicolo n. 1, 2021., str. 326. 31 Presuda od 30 May 2013, Worten protiv Authority for Employment Conditions, C-342/12, ECLI:EU:C:2013:355 32 Worten protiv Authority for Employment Conditions, točka 35. 286 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. datka, Sud interpretira na način da se osobom koja se može identificirati smatra svatko koga je moguće izdvojiti iz skupine, izravno ili neizravno, koristeći sva sredstva koja su realno dostupna voditelju obrade ili trećim stranama. Tako Sud u predmetu Breyer 33 smatra kako dinamičke IP adrese, koje se dodjeljuju prilikom svakog spajanja na in - ternet i zamjenjuju u slučaju naknadnih spajanja, ne čine informaciju koja se odnosi na identificiranu fizičku osobu, budući da takva adresa izravno ne otkriva identitet fizičke osobe koja je vlasnik računala s kojeg se pristupilo internetskoj stranici, niti identi - tet druge osobe koja bi to računalo mogla koristiti. Međutim, u predmetu je, nadalje, bilo potrebno provjeriti može li se osoba neizravno identificirati upotrebom sredstava za koja je razumno vjerojatno da bi ih koristio voditelj obrade ili druga osoba. 34 Sud je bio mišljenja kako se dinamičke IP adrese, koje pružatelj internetskih usluga (ISP) dodjeljuje korisniku na ograničeno vrijeme, razlikuju od statičkih IP adresa, koje su nepromjenjive i omogućuju kontinuiranu identifikaciju uređaja spojenog na mrežu. 35 U konačnici, utvr đeno je kako dinamička IP adresa za operatora internetske stranice predstavlja osobni podatak čak i ako on sam ne posjeduje podatke potrebne za identi - fikaciju korisnika, pod uvjetom da postoje pravni putovi da do njih dođe. 36 Analiza sudske prakse daje uvid u način sudskog zaključivanja koje, smatramo, re - zultira širokim tumačenjem pojma osobnih podataka, 37 koji je relativan jer se njihova priroda procjenjuje u kontekstu specifičnih okolnosti svakog pojedinog slučaja. Drugim riječima, podatak koji je u jednoj situaciji potpuno neutralan može postati osoban ako se dovede u vezu s drugim dostupnim sredstvima identifikacije, čime se granica primje - ne prava na zaštitu podataka pomiče ovisno o tehničkim mogućnostima i učinku na pojedinca. U prilog takvom zaključku ide i sudsko prosuđivanje u nekoliko recentnijih sudskih odluka koje zajedno predstavljaju potvrdu i razradu Breyerova modificiranog relativnog pristupa. 38 Tako je Sud u predmetu Scania 39 procijenjivao može li se identifika - cijski broj vozila smatrati osobnim podatkom u smislu članka 4. točke 1. Uredbe (kojim je taj pojam definiran kao „svi podaci koji se odnose na pojedinca čiji je identitet utvr - đen ili se može utvrditi”). 40 Sud je, stoga, utvrđivao može li se identifikacijski broj vozila smatrati osobnim podatkom i to u situacijama kada postoji mogućnost povezivanja tog broja s određenom osobom. 41 Izraz „identificirana osoba ili ona koja se može utvrditi“ iz članka 4. točke 1. Uredbe, a koja, kako je već bilo riječi, čini jedan od osnovnih elemenata pojma osobnog podatka, kako je definirana Uredbom, se primjenjuje, prema mišljenju Suda, ako su, zbog svojeg sadržaja, svrhe i učinka, predmetne informacije povezane s određenom osobom (stavak 45). Nadalje, Sud je bio mišljenja kako prilikom procjene 33 Presuda od 19. listopada 2016., Patrick Breyer protiv Bundesrepublik Deutschland, C-582/14, ECLI:EU:C:2016:779 34 Patrick Breyer protiv Bundesrepublik Deutschland, točka 38. 35 Patrick Breyer protiv Bundesrepublik Deutschland, točka 36. 36 Patrick Breyer protiv Bundesrepublik Deutschland, točka 49. 37 Tako i Purtova, op.cit. u bilj. 20., str. 61. 38 Cobbe, Jennifer, A relative mess: Identifying data subjects in multi-party processing, 2025., https:// ssrn.com/abstract=5731364 str. 7. ( 27.02.2026.) 39 Presuda od 9. studenog 2023., Gesamtverband Autoteile-Handel e.V. protiv Scania CV AB, C-319/22, ECLI:EU:C:2023:837 40 Gesamtverband Autoteile-Handel e.V. protiv Scania, točka 44. 41 Gesamtverband Autoteile-Handel e.V. protiv Scania, točka 45. 287 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. može li se utvrditi identitet pojedinca, treba uzeti u obzir sva sredstva koja voditelj obra - de podataka u smislu članka 4. točke 7. Uredbe ili bilo koja druga osoba mogu razumno upotrijebiti u svrhu izravnog ili neizravnog utvrđivanja identiteta pojedinca, a da pritom nije nužno da se sve informacije potrebne za utvrđivanje identiteta dotične osobe nala - ze u posjedu samo jednog subjekta 42 , što je logika koju je Sud upotrijebio i u predmetu Breyer 43 i na koju se pozvao i u ovom predmetu. 44 Prema zaključku Suda, budući da se preko identifikacijskog broja osobnog vozila može utvrditi identitet vlasnika ili ovlašte - nog korisnika vozila, taj se broj pravno tretira kao osobni podatak zaštićen Uredbom. 45 U presudi u predmetu IAB Europe 46 Sud je utvrđivao može li se TC String koji pred - stavlja digitalni zapis korisničkih postavki privatnosti, smatrati osobnim podatkom. Pro - suđujući okolnosti konkretnog slučaja, Sud je smatrao kako se odredba članka 4., točke 1. Uredbe treba tumačiti u smislu da niz sastavljen od kombinacije slova i znakova, poput TC String niza koji sadrži postavke korisnika interneta ili aplikacije u vezi s privolom tog korisnika za obradu osobnih podataka koji se na njega odnose od strane pružatelja web stranica ili aplikacija, kao i od strane posrednika takvih podataka i od strane ogla - šivačkih platformi, predstavlja osobni podatak u smislu te odredbe. Bitno je, pri tome, uzeti u obzir mjeru u kojoj, kada se ti podaci mogu na razuman način povezati s identi - fikatorom (kao što je, između ostalog, IP adresa uređaja korisnika), omogućiti identifi - kaciju ispitanika. U takvim okolnostima, činjenica da, bez vanjskog doprinosa, sektorska organizacija koja posjeduje taj niz ne može ni pristupiti podacima koje obrađuju njezini članovi prema pravilima koja je ta organizacija utvrdila niti kombinirati taj niz s drugim čimbenicima ne isključuje da taj niz predstavlja osobni podatak u smislu te odredbe. 47 Primjećujemo kako je i u ovoj presudi Sud upotrijebio pravnu argumentaciju vrlo sličnu onoj u predmetu Breyer, u kojoj je Sud potvrdio da pružatelji web usluga mogu, putem zakonskih kanala, dobiti dodatne podatke od operatera kako bi otkrili identitet korisnika putem njihovih IP adresa. I u ovoj je presudi Sud zaključio kako su predmetni podaci za IAB Europe osobni podaci, budući da ih ta organizacija može ponovno identificirati uz ulaganje razumnih napora. 48 Primjenjujući argumentaciju Suda upotrebljenu u predme - tima Breyer, Scania i IAB Europe, uočavamo kako Sud ističe dvije okolnosti koje smatra odlučujućima za utvrđenje nekog podatka osobnim. To je okolnost da je primatelj ras - polagao podacima pomoću kojih je moguće identificirati pojedinca, dok je pružatelj te podatke koristio kako bi analizirao status konkretnih fizičkih osoba. 49 U predmetu OC 42 Ibid. 43 Patrick Breyer protiv Bundesrepublik Deutschland, točke 42-43. 44 Rossello, Stephanie, „C-319/22 Gesamtverband Autoteile-Handel eV v. Scania: how to so - lve the “indirect personal data” riddle?“ , European Law Blog, 2024., str. 3 https://ssrn.com/ abstract=4727471(28.02.2026.) 45 Gesamtverband Autoteile-Handel e.V. protiv Scania, točka 48. 46 Presuda od 7.ožujka 2024., IAB Europe protiv Gegevensbeschermingsautoriteit, C-604/22 ECLI:EU:C:2024:214 47 IAB Europe protiv Gegevensbeschermingsautoriteit, točke 45-46. 48 Lodie, Alexandre, Case C-479/22P C-604/22 and the limitation of the relative approach of the defi - nition of ‘personal data’ by the ECJ“, European Law Blog ,2024., https://www.europeanlawblog.eu/ pub/2ctl1pii/release/1?readingCollection=285ae693 (1.03.2026.) 49 Stalla-Bourdillon, Sophie, Identifiability, as a Data Risk: Is a Uniform Approach to Anonymisati - on About to Emerge in the EU?, European Journal of Risk regulation, ,Volume 16, 2025., str.1463, doi:10.1017/err.2025.16 288 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. protiv Europske komisije 50 Sud je odlučivao o tome može li se sadržaj novinskog priop - ćenja smatrati osobnim podacima. Predmet se odnosio na identifikaciju tužiteljice (OC) od strane novinara i ostvarivanjem prava na uvid u osobne podatke koji su prikupljeni u sklopu procesa koji se vodio pred Europskom komisijom. Identifikacija se dogodila na temelju priopćenja za javnost koje, iako nije navodilo ime istraživačice, sadržavalo je, između ostalog, podatke o spolu, nacionalnost, i znanstvenoj profesiji kao i informacije o počinjenim protupravnim radnjama. 51 Sud je zaključio da je identifikacija bila moguća putem dodatnih informacija dostupnih na internetu, budući se dodatne informacije po - trebne za identifikaciju mogu dobiti internetskim pretraživanjem. Lakoća identifikacije procijenjena je u odnosu na očekivanu motivaciju da se ista provede. 52 Presuda u pred - metu OC protiv Europske komisije značajna je, smatramo, i iz razloga što je njom Sud potvrdio kako procjena radi li se o osobnom podatku ne ovisi o broju osoba kojima su podatci dostupni, a pri utvrđivanju predstavljaju li informacije osobne podatke, u odre - đenim situacijama relevantan je kontekst, što potvrđuje relativni pristup pojmovnom određenju osobnog podatka. Drugim riječima, hoće li se neki podatak smatrati osobnim ili ne, ovisi o tome tko taj podatak drži i ima li sredstva pomoću kojih se konkretna osoba može a identificirati. U nastavku rada analizirati ćemo presudu Suda u predmetu iz 2025. te ćemo nastojati utvrditi je li Sud učinio zaokret u odnosu na prethodno anali - ziranu praksu ili je, pak, potvrdio relativni pristup poimanju pojma osobnog podatka u kontekstu obrade podataka pseudonimizacijom. 3. POJAM OSOBNOG PODATKA U KONTEKSTU PSEUDONIMIZACIJE -SUDSKO TUMAČENJE U PREDMETU EDPS protiv SRB U kontekstu zaštite osobnih podataka prilikom njihove obrade postupak pseudonimi - zacije postaje središnji kriterij pomoću kojega se određuje može li se podatak, koji je za jednu stranu osobne prirode, transformirati u anoniman podatak za drugu stranu koja ne posjeduje sredstva za ponovnu identifikaciju subjekta čiji se podaci obrađuju. Stoga ćemo u ovom dijelu rada analizirati recentnu presudu Suda u predmetu EDPS protiv SRB 53 kojom je Sud potvrdio fleksibilnije, relativno tumačenje postupka pseudo - nimizacije, utvrđujući kako pseudonimizirani podaci nisu uvijek i za svakoga osobni podaci, ovisno o kontekstualnoj procjeni u konkretnom slučaju. Analizirat ćemo, na - dalje, i razlike u stajalištima Suda i onih iznesenih u Smjernicama 01/2025 o pseudoni - mizaciji, nastojeći utvrditi usklađenost pravnih shvaćanja Suda s praktičnim uputama Europskog odbora za zaštitu podataka. 50 Presuda od 7 ožujka 202.4, Case OC protiv Commission C-479/22, EU:C:2024:215 51 Binz Vallevik, Vibeke, Kjersti C. Befring, Anne, Elvatun, Severin, Nygård, Jan Franz, Processing of synthetic data in AI development for healthcare and the definition of personal data in EU law, Com - puter Science, Computers and Society, Cornell University, str. 24. https://arxiv.org/abs/2508.08353 (1.03.2026.) 52 OC protiv Commission, točke 58-63. 53 Presuda od 4. rujna 2025., EDPS protiv SRB, C-413/23 P, ECLI:EU:C:2025:645 289 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. 3.1. Sudska reinterpretacija pojma osobnog podatka u kontekstu pseudonimizacije u predmetu EDPS protiv SRB Kroz presudu u predmetu EDPS protiv SRB Sud je 2025. pružio bitna pojašnjenja glede pravne prirode osobnog podatka kroz prizmu prijenosa pseudonimiziranih po - dataka trećim stranama kao i obveza voditelja obrade u svezi pseudonimizacije. Sud se u ovom predmetu fokusirao na pitanje mogu li se pseudonimizirani podaci smatrati osobnim podatkom? U sporu je Jedinstveni odbor za sanaciju-SRB (Single Resolution Bord) tvrdio kako pseudonimizirani podaci koje dijeli s trećim stranama nisu osobni podaci za primatelje budući uz podatke nisu bili ustupljeni i popratni brojčani kodovi potrebiti za identifikaciju. Europski nadzornik za zaštitu podataka-EDPS (European Data Protection Supervisor) osporio je takav stav, smatrajući kako navedeni pristup ne osigurava zaštitu prava ispitanika u svezi njihovih osobnih podataka. U presudi izra - žen stav Suda predstavlja potvrdu relativnog pristupa pojmovnom određenju osobnog podataka 54 , izravno se nadovezujući na ranije utvrđenu doktrinu izraženu u predme - tima Nowak i Breyer, koje smo analizirali u prethodnoj točki ovog rada. Sud se, tako u točki 57. presude izričito poziva na predmet Nowak kako bi potvrdio, u toj presudi zauzet stav, da pojam osobnog podatka obuhvaća i subjektivne informacije, poput mi - šljenja, ali pod uvjetom da se ona tiču određene osobe s obzirom na svoj sadržaj, svrhu ili učinak. Nadalje, Sud potvrđuje i svoj raniji stav glede osobnih mišljenja i stavova kao izraz nečijih misli koja su po svojoj prirodi nužno i neraskidivo povezani s osobom koja ih je iznijela, što ih po samoj definiciji čini osobnim podacima. 55 U presudi je, dalje, pojašnjeno da takvi podaci zadržavaju svojstvo osobnih podataka čak i kada su pseudonimizirani, jer u ovom konkretnom predmetu voditelj obrade posjeduje sred - stvo potrebito za identifikaciju pojedinca, čime se obveza informiranja ispitanika o pri - mateljima mora procjenjivati iz perspektive voditelja obrade u trenutku prikupljanja. 56 Iako se sukladno č lanku 4. stavku 5. Uredbe pseudonimizacija prema Sudu smatra postupkom obrade osobnih podataka koji zahtijeva dodatne informacije za identifika - ciju ispitanika 57 , Sud je ovom presudom napustio ranije prevladavajuće mišljenje o ap - solutnom statusu takvih podataka. Naime, dok se u ranijoj sudskoj praksi smatralo da postojanje dodatnih informacija pomoću kojih bi se pojedinca moglo ponovno iden - tificirati čini pseudonimizirane podatke osobnima za bilo koga u lancu obrade takvih podataka 58 , Sud u presudi u predmetu EDPS protiv SRB, u stavcima 79. i 80. presude izričito navodi nužnost primjene subjektivnog kriterija usmjerenog na primatelja po - dataka. Iz navedenih stavaka proizlazi da u slučaju ako primatelj ne posjeduje dodatne 54 Mannekens, Julie, Case Note: Case C-413/23 P, EDPS v. SRB: Reassessing the Role of Pseudonymiza - tion in Data Sharing? Global Privacy Law Review, Volume 7, Issue 1, 2026., str. 1. 55 EDPS protiv SRB, točka 58. 56 EDPS protiv SRB, točka 86. 57 EDPS protiv SRB, točka 66; “Iz toga slijedi da se osobni podaci koji su bili podvrgnuti pseudonimiza - ciji i koji bi se mogli pripisati fizičkoj osobi upotrebom dodatnih informacija moraju smatrati infor - macijama o fizičkoj osobi koja se može identificirati.” 58 U točki 46. presude Breyer Sud, naime, navodi kako;“ da bi se podatak mogao klasificirati kao osob - ni podatak ... nije potrebno da sve informacije koje omogućuju identifikaciju dotične osobe budu u rukama samo jedne osobe.. Međutim, potrebno je da mogućnost kombiniranja podataka s dodatnim informacijama kojima raspolaže treća strana predstavlja sredstvo za koje je razumno izgledno da će se upotrijebiti za identifikaciju dotične osobe.“ 290 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. informacije niti ima na raspolaganju razumna pravna sredstva za njihov dohvat (što je dodatno pojašnjeno u stavku 85. presude), takvi podaci za tog specifičnog primatelja nisu osobni podatci (pseudonimizirani) već se imaju smatrati anonimiziranim podat - cima. Ovakvim razgraničenjem Sud de facto potvrđuje kako status osobnog podataka nije apsolutno svojstvo, već relativno, budući ovisi o mogućnosti identifikacije od strane konkretnog voditelja ili izvršitelja obrade. Ipak, Sud ističe važan izuzetak 59 , na - vodeći da pseudonimizacija može, ovisno o okolnostima konkretnog slučaja, spriječiti osobe koje nisu voditelj obrade u identifikaciji ispitanika do te mjere da se podaci u njihovim rukama više ne mogu smatrati osobnima. Stoga je pri prijenosu podataka nužno procijeniti, u svakom konkretnom slučaju, ima li primatelj pravnu mogućnost pristupa drugim izvorima za identifikaciju pojedinca. Sud u točkama 103. i 104. pred - metne presude precizira potrebite kriterije za utvrđivanje statusa osobnih podataka pri njihovu prijenosu, budući da pseudonimizacija nije apsolutna kategorija, odnosno da ona ne pretvara osobne podatke u anonimne univerzalno, za svakoga tko s njima dođe u doticaj. Prema stajalištu Suda, podaci se u rukama primatelja ne bi trebali smatrati osobnima ako bi proces ponovne identifikacije zahtijevao nerazmjeran napor u smislu vremena, troškova i ljudskih resursa. Dodatno, Sud naglašava da teret dokazivanja ta - kvih okolnosti leži na nadzornom tijelu, koje je dužno konkretno ispitati i dokazati da primatelj doista raspolaže razumnim sredstvima za utvrđivanje identiteta ispitanika, čime se onemogućuje automatska presumpcija o naravi podataka utemeljena isključi - vo na njihovu statusu kod pošiljatelja. Sud, tako, u ovoj presudi pokazuje sklonost uva - žavanju specifičnih okolnosti na strani primatelja, priznajući da postojanje praktičnih prepreka za identifikaciju može transformirati osobni podatak u anoniman, ovisno o tome tko tim podacima raspolaže 60 . Presuda u predmetu EDPS v SRB od iznimne je važnosti jer jasno potvrđuje u ranijoj sudskoj praksi razvijenu relativnu koncepciju pojma osobnog podatka kao i relativnu interpretaciju postupka pseudonimizacije za koju se zahtjeva primjena standarda razumne vjerojatnosti korištenja sredstava koji su potrebniza ponovnu identifikaciju određenog subjekta. 3.2. Osobni podatak u kontekstu pseudonimizacije prema Smjernicama 01/2025 Europskog odbora za zaštitu podataka Smjernice 01/2025 o pseudonimizaciji, koje je Europski odbor za zaštitu podataka (da - lje: EDPB) usvojio u siječnju 2025, 61 daju okvir za tumačenje pojma osobnih podataka u kontekstu njihove obrade pseudonimizacijom. 62 Iako formalna definicija pseudo - nimizacije iz č lanka 4. stavka 5. Uredbe ostaje tekstualno nepromijenjena, Smjernice EDPB-a iz siječnja 2025. i presuda Suda u predmetu EDPS protiv SRB ne definiraju njezin doseg i pravne učinke na identičan način, što predstavlja zanimljivo doktrinar - 59 EDPS protiv SRB, točke 72. i 76. 60 EDPS protiv SRB, točka 79.“ .. kako bi se utvrdilo jesu li preneseni podaci osobni, mora se zauze - ti perspektiva primatelja podataka. Ako primatelj nema dodatne informacije koje bi mu omogućile identifikaciju ispitanika, a nema ni pravna sredstva koja bi mu razumno omogućila pristup takvim informacijama, tada se ti podaci za tog primatelja ne smatraju osobnim podacima…“ 61 European Data Protection Board, Guidelines 01/2025 on Pseudonymisation https://www.edpb.europa. eu/our-work-tools/documents/public-consultations/2025/guidelines-012025-pseudonymisation_en 62 Smjernice EDPB-a su neobvezujući pravni akti koje EDPB donosi na temelju članka 70. Uredbe kako bi osigurao dosljednu primjenu zaštite podataka diljem EU-a. 291 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. no razmimoilaženje. Dok prema Smjernicama EDPB-a, sukladno objektivnom pristu - pu pojmu pseudonimiziranih osobnih podataka, se takvi podaci smatraju osobnima ukoliko bilo tko u lancu obrade osobnih podataka ima objektivnu mogućnost njihove identifikacije, presuda Suda u predmetu EDPS protiv SRB potvrđuje relativni pristup određenju osobnog podataka. Prema sudskom tumačenju, koje ima veću pravnu snagu od Smjernica, podaci se ne smatraju automatski osobnima za primatelja ukoliko taj primatelj nema pravna ili praktična sredstva koja mu razumno omogućuju identifika - ciju ispitanika. Time je Sud suzio polje primjene odredbi Uredbe u svezi pseudonimi - zacije, čime je de facto korigirano stajalište EDPB-a izneseno u Smjernicama. Praktični značaj ove razlike u tumačenju je velik. Tako prema tumačenju EDPB-a, svako dijelje - nje pseudonimiziranih podataka podliježe pravilima Uredbe, dok prema tumačenju Suda organizacije mogu slobodnije razmjenjivati skupove podataka u istraživačke ili statističke svrhe, pod uvjetom da primatelj nema nikakav način da otkrije identitet osoba čiji se podatci obrađuju. Praktični značaj ove razlike u tumačenju je velik a može se očitovati u defenzivnom standardu postupanja voditelja obrade podataka koji će se, radi izbjegavanja rizika od sankcija u slučaju suprotnog postupanja, priklanjati konzer - vativnoj kvalifikaciji podataka prema Smjernicama EDPB-a. 4. ZAKLJUČNE NAPOMENE Zaštita osobnih podataka je ključna za izgradnju informacijske sigurnosti, ne samo u digitalnom svijetu, već i u svim ostalim segmentima svakodnevnog života, 63 dok povezanost raznih podataka i jednostavnost objavljivanja informacija na društve - nim mrežama i medijima čine korisnike ranjivima na zlouporabu tehnologije. 64 Čim posjetimo neku web stranicu ili portal, naša privatnost postaje dostupna velikom broju ljudi na internetu i izložena je potencijalnim napadima . 65 Zaštita osobnih po - dataka ne zagovara zabranu korištenja osobnih informacija već odgovorno postupa - nje s njima. Također, pojedinci bi trebali jasno razumjeti kada i zašto njihova prava u vezi s podacima mogu biti ograničena, a smatra se kako bi snažan nadzor pravila obrade osobnih podataka od strane nadležnih javnih tijela trebao osiguravati ostva - renje pravednosti i usklađenosti u postupanju s osobnim podatcima. 66 U radu prove - deno istraživanje i usporedba ranije i recentne sudske prakse po pitanju pojma osob - nih podataka u kontekstu pseudonimizacije pokazalo nam je kako presuda u pred - metu EDPS protiv SRB potvrđuje relativni pristup u definiranju osobnih podataka utvrđenu dosadašnjom sudskom praksom, ne čineći pritom veliki zaokret. Međutim, Sud je u ovoj presudi pojasnio relativnost postupka pseudonimizacije što je razvid - 63 Gonzales Fuster, Gloria, The emergence of personal data protection as a fundamental right of the EU, Springer International Publishing, Switzerland, 2014., str. 185. 64 Custers, Bart, Sears, Alan, et.al. Introduction, u: Bart Custers, Bart, Sears, Alan, et.al. (eds.) EU Per - sonal Data Protection in Policy and Practice. Information Technology and Law Series, vol 29. T.M.C. Asser Press, Springer, 2019., str. 1-16 https://doi.org/10.1007/978-94-6265-282-8_1(1.03.2026.) 65 Dragičević Prtenjača, Marta, Zagorec, Marina, Ponešto o privatnosti, pravu na privatnost i njezinoj zaštiti u Hrvatskoj kroz kazneno djelo nedozvoljene uporabe osobnih podataka, Godišnjak Akademije pravnih znanosti Hrvatske, vol. XIV, 1, 2023., str. 57. 66 Protrka, Nikola, Godanj, Kristina, Relationship between the interests of the individuals and the right of erasure of personal data, Policijska sigurnost, Zagreb, godina 30, broj 4, 2021., str. 548-549. 292 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. no iz sudskog stava kako je pri prijenosu podataka nužno, u svakom konkretnom slučaju, procijeniti, ima li primatelj pravnu mogućnost pristupa drugim izvorima za identifikaciju pojedinca. Sud je, tako, naslanjajući se na svoju raniju praksu, potvrdio da pseudonimizacija, u načelu, može rezultirati time da se podaci više ne smatraju osobnim podacima za primatelja, pod uvjetom da primatelj ne raspolaže sredstvi - ma za koja je razumno vjerojatno da će se koristiti u svrhu ponovne identifikacije. Odlučujući test i dalje se temelji na tome može li se ispitanika ponovno identificira - ti putem sredstava za koja je razumno vjerojatno da će se koristiti. Buduće sudsko tumačenje, smjernice nacionalnih nadzornih tijela za zaštitu podataka, pa i samog EDPB-a, trebale bi daljnje pojasniti način na koji će se standard razumne vjerojat - nosti primjenjivati u praksi. Analizirali smo i razmimoilaženje u tumačenju dosega i pravnih učinaka pseudonimizacije u Smjernicama EDPB-a iz 2025. i Suda u pred - metu EDPS protiv SRB, zaključivši kako se praktični značaj ovog nesuglasja očituje u povećanom regulatornom riziku i pravnoj nesigurnosti, što subjekte navodi na usva - janje defenzivnih, konzervativnih strategija zaštite podataka kako bi izbjegli sankcije dok se ne postigne konačna jurisprudencijska usklađenost. Zaključno, podržavamo stajalište kako uvođenje kontekstualnog kriterija u pravila obrade osobnih podataka, premda unosi određeni element pravne neizvjesnosti, bitno unapređuje operativnost pravnog okvira presudnog za njegovu relevantnost u uvjetima intenzivnih digitalnih transformacija. 67 Recentna praksa Suda EU u pogledu definiranja pojma osobnog podatka od velike je važnosti za hrvatsku sudsku praksu i djelovanje nadležnih naci - onalnih tijela zaštite osobnih podataka jer omogućuje koherentnu primjenu Uredbe stvarajući time pravnu sigurnost unutar domaćeg institucionalnog okvira. LITERATURA Knjige i članci 1. Binz Vallevik, Vibeke, et al. Processing of synthetic data in AI development for healthcare and the definition of personal data in EU law, Computer Science, Computers and Society, Cornell University, https://arxiv.org/abs/2508.08353 (1.03.2026.) 2. Chiara, Pier Giorgio, Case Note -The Court of Justice Upholds a Relative Appro - ach to EU Data Protection Law, European dana protection Law Review, 11(4), 2026, str. 566-572. 3. Custers, Bart, Alan Sears, Alan et.al. Introduction, u: Bart Custers, Alan Sears et.al. (eds.) EU Personal Data Protection in Policy and Practice, Information Technology and Law Series, vol. 29. T.M.C. (Asser Press, Hague, Springer, 2019. 4. Dragičević Dražen, Gumzej, Nina, Privatnost i zaštita osobnih podataka u digi - talnom okruženju, Pravna informatika i pravo informacijskih tehnologija, Na - rodne novine, Zagreb, 2015. 5. Dragičević Prtenjača, Marta, Zagorec, Martina, Ponešto o privatnosti, pravu na privatnost i njezinoj zaštiti u Hrvatskoj kroz kazneno djelo nedozvoljene upo - 67 Chiara, Pier Giorgio, Case Note -The Court of Justice Upholds a Relative Approach to EU Data Pro - tection Law, European dana protection Law Review, 11(4), 2026., str. 572. 293 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. rabe osobnih podataka, Godišnjak Akademije pravnih znanosti Hrvatske, vol. XIV, 1, 2023, str. 57-85. 6. Edwards, Lilian, Data Protection I: Enter the GDPR u: Lilian Edwards (ed), Law, Policy and the Internet, Hart Publishing, Oxford, 2018. 7. Enqvist, Lena, Motzfeldt, Hanne-Marie, From Logic to Reasons in the GDPR? The Post SCHUFA and Dun & Bradstreet Research Questions, European Re - view of Digital Administration & Law – Erdal 6 (2), 2025, str. 9-21. 8. Finck, Michele, Pallas, Frank, They who must not beidentified—distinguishing personal fromnon-personal data under the GDPR, International Data Privacy Law, Vol. 10, No. 1, 2020, str. 11-36. 9. Gedefa Urgessa, Worku, The Feasibility of Applying EU Data Protection Law to Biological Materials: Challenging ‘Data’ as Exclusively Informational, Journal of Intellectual Property, Information Technology and Electronic Commerce Law, 7(2), 2016, str. 96-109. 10. Gonzales Fuster, Gloria, The emergence of personal data protection as a funda - mental right of the EU, Springer International Publishing, Switzerland, 2014. 11. Graef, Inge, Gellert, Raphaël, Husovec, Martin, Towards a Holistic Regulatory Approach for the European Data Economy: Why the Illusive Notion of Non-Per - sonal Data is Counterproductive to Data Innovation, TILEC Discussion Paper 2018-029, https://ssrn.com/abstract=3256189 (27.02.2026.) 12. Lodie, Alexandre, Case C-479/22P, Case C-604/22 and the limitation of the re - lative approach of the definition of ‘personal data’ by the ECJ, European Law Blog, https://www.europeanlawblog.eu/pub/2ctl1pii/release/1?readingCollecti - on=285ae693 (1.03.2026.) 13. Obelitz Søe, Sille, Rikke Frank Jørgensen, Rikke, ,Mai, Jens-Erik, What is the ‘personal’ in ‘personal information?, Ethics and Information Technology, Volu - me 23, 2021, str. 625–633. 14. Mannekens, Julie, Case Note: Case C-413/23 P, EDPS v. SRB: Reassessing the Role of Pseudonymization in Data Sharing? Global Privacy Law Review,Vol.7, Issue 1, 2026, str. 1 – 7. 15. Nissenbaum, Helen, Privacy in context. Technology, policy, and the integrity of social life, Stanford University Press, 2010. 16. Obelitz Søe, Sille, Rikke Frank Jørgensen, Rikke, ,Mai, Jens-Erik, What is the ‘personal’ in ‘personal information?, Ethics and Information Technology, Volu - me 23, 2021, str. 625–633. 17. Protrka, Nikola, Godanj, Kristina, Relationship between the interests of the in - dividuals and the right of erasure of personal data, Policijska sigurnost, Zagreb, broj 4, 2021, str. 545-554. 18. Purtova, Nadezhda, The law of everything. Broad concept of personal data and future of EU data protection law, Law, Innovation and Technology, 10(1) 2018, DOI:10.1080/17579961.2018.1452176 19. Rossello, Stephanie, C-319/22 Gesamtverband Autoteile-Handel eV v. Scania: how to solve the “indirect personal data” riddle? 2024, European Law Blog, SSRN: https://ssrn.com/abstract=4727471(27.02.2026.) 294 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. 20. Rossi dal Pozzo, Francesco, Zoboli, Laura, To protect or (not) to protect:defini - tional complexities concerning personal (and non-personal) data within the EU, Eurojus, Fascicolo 1, 2012, str. 315-330. 21. Stalla-Bourdillon, Sophie, Identifiability, as a Data Risk: Is a Uniform Approach to Anonymisation About to Emerge in the EU?, European Journal of Risk regu - lation, Volume 16, 2025, str. 1456–1474. doi:10.1017/err.2025.16 22. Stalla-Bourdillon, Sophie, Déjà vu in data protection law: the risks of rewriting what counts as personal data, Privacy and Data Protection, 26 (2), 2025, str. 9-13. Propisi 1. Direktiva 95/46/EZ Europskog parlamenta i Vijeća od 24. listopada 1995. o za - štiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom protoku ta - kvih podataka, SL 1995 L 281 2. Uredba (EU) 2016/679 Europskog parlamenta i Vijeća od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka, te o stavljanju izvan snage Direktive 95/46/EZ, SL L 119, od 4.5.2016. (Opća uredba o zaštiti podataka) 3. Vijeće Europe, Odbor ministara (1973.), Rezolucija (73) 22 o zaštiti privatnosti pojedinaca u odnosu na elektroničke banke podataka u privatnom sektoru, 26. rujna 1973., Vijeće Europe, Odbor ministara (1974.), Rezolucija (74) 29 o zaštiti privatnosti pojedinaca u odnosu na elektroničke banke podataka u javnom sek - toru, 20. 9. 1974. 4. Vijeće Europe, Konvencija o zaštiti osoba glede automatske obrade osobnih po - dataka, CETS br. 108, 1981. Sudska praksa 1. Presuda od 17. listopada 2013., C 291/12 Michael Schwarz protiv Stadt Bochum, ECLI:EU:C:2013:670 2. Presuda od 13. svibnja. 2014, C - 131/12, Google Spain SL, Google Inc. protiv Agencia Española de Protección de Datos (AEPD), Mario Costeja González, , ECLI:EU:C:2014:317 3. Presuda od 8. travnja 2014, C 293/12, Digital Rights Ireland Ltd protiv Minister for Communication, Marine and Natural resources, ECLI:EU:C:2014:238 4. Presuda od 6 studenog 2003. C-101/01 Bodil Lindqvist, ECLI:EU:C:2003:596 5. Presuda od 20. prosinca 2017., Peter Nowak protiv Data Protection Commissi - oner, C-434/16, ECLI:EU:C:2017:994 6. Presuda od 17 srpnja 2014, YS protiv Minister voor Immigratie, Integratie en Asiel, C-141/12, ECLI:EU:C:2014:2081 7. Presuda od 30 May 2013, Worten protiv Authority for Employment Conditions, C-342/12, ECLI:EU:C:2013:355 8. Presuda od 19. listopada 2016., Patrick Breyer protiv Bundesrepublik Deuts - chland, C-582/14, ECLI:EU:C:2016:779 295 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. 9. Presuda od 9. studenog 2023., Gesamtverband Autoteile-Handel e.V. protiv Sca - nia CV AB, C-319/22, ECLI:EU:C:2023:837 10. Presuda od 7 ožujka 202.4, OC protiv Commission C-479/22, ECLI:EU:C:2024:215 11. Presuda od 4. rujna 2025., EDPS protiv SRB, C-413/23 P, ECLI:EU:C:2025:645 Mrežni izvori 1. European Data Protection Board, Guidelines 01/2025 on Pseudonymisation https://www.edpb.europa.eu/our-work-tools/documents/public-consultati - ons/2025/guidelines-012025-pseudonymisation_en (1.03.2026.) 296 Maja PROSO: „Pojam osobnog podatka u tumačenju suda Europske unije“ Zbornik radova Aktualnosti građanskog i trgovačkog zakonodavstva i pravne prakse, br. 23, Mostar 2026., str. 281. - 296. Maja PROSO , PhD., Full professor Faculty of Law, University of Split maja.proso@pravst.hr THE CONCEPT OF PERSONAL DATA IN THE INTERPRETATION OF THE COURT OF JUSTICE OF THE EUROPEAN UNION Abstract: This paper explores the evolution of the concept of personal data within the context of pseudonymization, analyzing recent case law and regulatory guidelines. The central focus is on the judgment of the Court of Justice of the European Union (CJEU) in the case EDPS v. SRB, which reaffirms the continuity of the relative approach to personal data in the context of pseudonymization procedures. Whether specific data is considered personal thus depends on the entity processing it and the availability of additional infor - mation at their disposal. According to this interpretation, pseudonymized data becomes anonymous for the recipient if they lack a reasonably likely means to access the information required for re-identification of the data subject. Furthermore, the paper identifies a signi - ficant doctrinal divergence between the more flexible, relative interpretation of the CJEU and the objective approach contained in the EDPB Guidelines 01/2025. It is concluded that the existing inconsistency creates legal uncertainty, which may prompt data controllers to adopt defensive and conservative protection strategies. Despite these challenges, the paper affirms the thesis that introducing a contextual criterion is essential for maintaining the operability of the current legal framework for individual protection regarding personal data processing in the face of intensive digital transformation. Therefore, the recent case law of the CJEU regarding the definition of personal data is of importance for Croatian judicial practice and the activities of competent national authorities, as it strengthens legal certain - ty within the domestic institutional framework. Key words: Case EDPS v SRB, Court of Justice of the European Union, personal data, pseudonymisation, Regulation (EU) 2016/679.