CELEX: 62016CJ0013
Návrh na začatie prejudiciálneho konania
Smernica 95/46/ES
Článok 7 písm. f)
Osobné údaje
Podmienky zákonnosti spracovania osobných údajov
Pojem ‚nevyhnutné na účely oprávnených záujmov sledovaných treťou stranou‘
Žiadosť o oznámenie osobných údajov osoby zodpovednej za dopravnú nehodu s cieľom uplatňovať právo pred súdom
Povinnosť spracovateľa vyhovieť takej žiadosti
Neexistencia

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 7 písm. f) smernice Európskeho parlamentu a Rady 95/46/[ES] z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (
Ú. v. ES L 281, 1995, s. 31
; Mim. vyd. 13/015, s. 355).
Tento návrh bol podaný v rámci sporu medzi Valsts policijas Rīgas reģiona pārvaldes Kārtības policijas pārvalde (Úrad poriadkovej polície regiónu Riga pre správne delikty na úseku cestnej premávky, Lotyšsko) (ďalej len „polícia“) a Rīgas pašvaldības SIA „Rīgas satiksme“ (ďalej len „Rīgas satiksme“), mestská trolejbusová spoločnosť mesta Riga, týkajúci sa žiadosti o oznámenie identifikačných údajov vinníka dopravnej nehody.
Právny rámec
Právo Únie
Článok 1 smernice 95/46 s názvom „Predmet smernice“ stanovuje:
„1.   V súlade s touto smernicou členské štáty chránia základné práva a slobody fyzických osôb, a najmä ich právo na súkromie v súvislosti so spracovaním osobných údajov.
2.   Členské štáty neobmedzujú, ani nebránia voľnému toku osobných údajov medzi členskými štátmi z dôvodov spojených s ochranou poskytnutou podľa odseku 1.“
Článok 2 tejto smernice stanovuje:
„Na účely tejto smernice:
a)
‚osobné údaje‘ znamenajú akúkoľvek informáciu, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby (‚údajového subjektu‘ [‚dotknutej osoby‘ –
neoficiálny preklad
]); identifikovateľná osoba je osoba, ktorú možno identifikovať, priamo alebo nepriamo, najmä pomocou overenia identifikačného čísla alebo jedného alebo viacerých faktorov špecifických pre jeho fyzickú, fyziologickú, duševnú, hospodársku, kultúrnu alebo sociálnu identitu;
b)
‚spracovanie osobných údajov‘ (‚spracovanie‘) znamená akúkoľvek operáciu alebo komplex operácií, ktorá sa vykonáva na osobných údajoch, či už automatickými prostriedkami, alebo nie, ako je zber, zaznamenávanie, organizácia, uskladnenie, úprava alebo nahradenie, vyhľadávanie, nahliadnutie, používanie, odhalenie prenosom, šírenie alebo sprístupnenie iným spôsobom, upravenie alebo kombinácia, blokovanie, vymazanie alebo zničenie;
…
d)
‚kontrolór‘ znamená fyzickú alebo právnickú osobu, verejný orgán, agentúru alebo akýkoľvek iný orgán, ktorý sám, alebo v spojení s inými, určí účely a prostriedky spracovania osobných údajov; tam, kde sú účely a prostriedky spracovania stanovené vnútroštátnymi zákonmi a nariadeniami [zákonmi a inými právnymi predpismi –
neoficiálny preklad
], alebo zákonmi a nariadeniami [legislatívnymi aktmi a inými právnymi predpismi ‑
neoficiálny preklad
] spoločenstva, ten, kto spracovanie riadi, alebo konkrétne kritéria pre jeho menovanie, [osobitné kritériá na jeho určenie –
neoficiálny preklad
] môžu byť navrhnuté na základe vnútroštátneho práva alebo práva spoločenstva;
…“
Článok 5 smernice 95/46 stanovuje:
„Členské štáty stanovia, v rámci ustanovení tejto kapitoly, presnejšie podmienky zákonnosti spracovania osobných údajov.“
V kapitole II v oddiele II smernice 95/46 nazvanom „Kritériá na uzákonenie spracovania údajov“ článok 7 tejto smernice stanovuje:
„Členské štáty zabezpečia, aby bolo možné osobné údaje spracovať, iba ak:
a)
osoba pracujúca s údajmi [dotknutá osoba –
neoficiálny preklad
] poskytla svoj súhlas jednoznačne,
alebo
b)
spracovanie je nevyhnutné pre výkon zmluvy, ktorej osoba pracujúca s údajmi [dotknutá osoba –
neoficiálny preklad
] je zainteresovanou stranou, alebo aby sa vykonali opatrenia na požiadanie osoby pracujúcej s údajmi [dotknutej osoby –
neoficiálny preklad
] pred uzatvorením zmluvy,
alebo
c)
spracovanie je nevyhnutné na vyhovenie právnemu záväzku, ktorého subjektom je kontrolór [na splnenie zákonnej povinnosti, ktorou je kontrolór viazaný –
neoficiálny preklad
],
alebo
d)
spracovanie je nevyhnutné, aby sa ochránili životné záujmy osoby pracujúcej s údajmi [dotknutej osoby –
neoficiálny preklad
],
alebo
e)
spracovanie je nevyhnutné na splnenie úlohy vykonávanej vo verejnom záujme alebo v uplatňovaní oficiálneho poverenia zvereného [alebo pri výkone verejnej moci zverenej –
neoficiálny preklad
] kontrolórovi, alebo tretej strane, ktorej sa údaje odhalia,
alebo
f)
spracovanie je nevyhnutné pre účely legitímnych záujmov, ktoré plní kontrolór, alebo tretia strana alebo strany, ktorým sú údaje odhalené, s výnimkou, ak takéto záujmy sú prevýšené záujmami týkajúcimi sa základných práv a slobôd osoby pracujúcej s údajmi [dotknutej osoby –
neoficiálny preklad
], ktoré potrebujú ochranu podľa článku 1 ods. 1.“
Článok 8 ods. 2 písm. e) smernice 95/46 stanovuje, že zákaz spracovania určitých osobných údajov, ako sú údaje prezrádzajúce rasový pôvod alebo politické názory, sa neuplatňuje, ak sa spracovanie týka údajov, ktoré evidentne zverejní osoba pracujúca s údajmi, alebo je nevyhnutné pre ustanovenie, výkon alebo obranu právnych nárokov.
Lotyšské právo
§ 6 Fizisko personu datu aizsardzības likums (zákon o ochrane osobných údajov) z 23. marca 2000 (
Latvijas Vēstnesis
, 2000, n
o
123/124) stanovuje:
„Každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.“
§ 7 tohto zákona, ktorý preberá článok 7 smernice 95/46, stanovuje, že pokiaľ zákon nestanovuje inak, spracovanie osobných údajov sa povolí, len ak je splnená najmenej jedna z týchto požiadaviek:
„1)
dotknutá osoba poskytla svoj súhlas;
2)
spracovanie je nevyhnutné pre výkon zmluvy, ktorej je dotknutá osoba zmluvnou stranou, alebo aby sa vykonali opatrenia na požiadanie dotknutej osoby pred uzatvorením zmluvy;
3)
spracovanie je nevyhnutné na splnenie zákonnej povinnosti, ktorou je kontrolór viazaný;
4)
spracovanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby vrátane jej života a zdravia;
5)
spracovanie je nevyhnutné na splnenie úlohy vykonávanej vo verejnom záujme alebo pri výkone verejnej moci zverenej kontrolórovi alebo tretej strane, ktorej sa údaje sprístupnia;
6)
spracovanie je nevyhnutné na účely legitímnych záujmov, ktoré sleduje kontrolór alebo tretia strana či strany, ktorým sú údaje sprístupnené, s výnimkou prípadu, keď sú takéto záujmy prevýšené záujmami týkajúcimi sa základných práv a slobôd dotknutej osoby.“
§ 12 tohto zákona stanovuje, že osobné údaje, ktoré sa týkajú trestných činov, odsúdení za trestné činy a správne delikty, ako aj súdnych rozhodnutí alebo súdnych spisov môžu spracovávať len osoby stanovené zákonom a v prípadoch, ktoré zákon stanovuje.
Podľa § 261 Latvijas Administratīvo pārkāpumu kodekss (lotyšský zákonník správnych deliktov) osobu, ktorej bola deliktom spôsobená škoda, možno uznať za poškodeného v rámci konania o správnom delikte, a to orgánom alebo úradníkom, ktorý je príslušný na vedenie konania. Toto ustanovenie stanovuje práva poškodených strán vrátane práva nahliadať do spisu a uplatňovať svoje procesné práva na účely získania odškodnenia.
Spor vo veci samej a prejudiciálne otázky
V decembri 2012 došlo v Rige k dopravnej nehode. Taxikár zastavil svoje vozidlo na okraji cesty. Keď okolo taxíka prechádzal trolejbus patriaci spoločnosti Rīgas satiksme, cestujúci nachádzajúci sa na zadnom sedadle uvedeného taxíka otvoril dvere, ktoré narazili do trolejbusu a poškodili ho. Začalo sa konanie o správnom delikte a bola spísaná zápisnica o správnom delikte.
Keďže pôvodne bol za osobu zodpovednú za dopravnú nehodu považovaný vodič taxíka, Rīgas satiksme požiadala o náhradu škody poisťovňu, ktorá poskytovala poistenie zodpovednosti za škodu spôsobenú vlastníkom alebo oprávneným prevádzkovateľom predmetného taxíka. Táto poisťovňa však informovala Rīgas satiksme, že jej nevyplatí žiadne odškodnenie z dôvodu, že k dopravnej nehode došlo z dôvodu konania pasažiera tohto taxíka a nie vodiča. Spresnila, že Rīgas satiksme mohla uplatňovať svoje nároky proti tomuto pasažierovi v rámci občianskeho súdneho konania.
Rīgas satiksme sa teda obrátila na políciu so žiadosťou, aby jej poskytla informácie o osobe, ktorá bola sankcionovaná za nehodu v správnom konaní, zaslala kópiu výpovedí o okolnostiach nehody poskytnutých vodičom taxíka a cestujúcim, ako aj oznámila meno, priezvisko, identifikačné číslo a bydlisko cestujúceho v taxíku. Spoločnosť Rīgas satiksme polícii uviedla, že požadované informácie sa použijú len na podanie žaloby v občianskom súdnom konaní.
Polícia vo svojej odpovedi vyhovela žiadosti spoločnosti Rīgas satiksme len čiastočne, keďže jej oznámila meno a priezvisko cestujúceho v taxíku, ale odmietla jej oznámiť identifikačné číslo a bydlisko tejto osoby. Nezaslala tiež kópie výpovedí osôb, ktoré boli účastníkmi nehody.
Rozhodnutie polície vychádza zo skutočnosti, že informácie, ktoré sa ich týkajú, môžu získať len účastníci konania o správnom delikte. Rīgas satiksme ale nebola účastníkom predmetného konania. Podľa lotyšského zákonníka správnych deliktov orgán alebo úradník príslušný na vedenie konania prizná na žiadosť dotknutej osoby tejto osobe v konaní o správnom delikte postavenie poškodeného. V prejednávanej veci Rīgas satiksme nevyužila toto právo.
Rīgas satiksme napadla rozhodnutie polície žalobou na Administratīvā rajona tiesa (Okresný správny súd, Lotyšsko) v rozsahu, v akom jej polícia odmietla oznámiť identifikačné číslo a bydlisko cestujúceho, ktorý bol účastníkom nehody. Rozhodnutím zo 16. mája 2014 tento súd vyhovel žalobe, ktorú podala Rīgas satiksme a uložil polícii oznámiť informácie týkajúce sa identifikačného čísla a adresy bydliska tohto cestujúceho.
Polícia podala odvolanie na vnútroštátny súd, ktorý predložil návrh na začatie prejudiciálneho konania. Tento súd si vyžiadal stanovisko od Datu valsts inspekcija (agentúra na ochranu údajov, Lotyšsko), ktorá vo svojej odpovedi z 13. októbra 2015 uviedla, že v tomto konkrétnom prípade poskytnutie údajov nemôže byť založené na § 7 bode 6 zákona o ochrane osobných údajov, keďže lotyšský zákonník správnych deliktov stanovuje, komu môže polícia poskytnúť informácie týkajúce sa veci. V dôsledku toho, podľa vnútroštátneho orgánu na ochranu osobných údajov, osobné údaje vyplývajúce z konania o správnom delikte teda možno poskytnúť len v súlade s bodmi 3 a 5 tohto článku v prípadoch stanovených týmto zákonom. Okrem toho § 7 uvedeného zákona neukladá kontrolórovi, v tomto prípade polícii, povinnosť spracovať údaje, ale mu len dovoľuje spracovať ich.
Vnútroštátny orgán na ochranu údajov uviedol, že Rīgas satiksme mala dve možnosti ako získať tieto informácie. Mohla sa obrátiť na register obyvateľov s odôvodnenou žiadosťou, alebo podať návrh na základe článkov 98 až 100 občianskeho súdneho poriadku s cieľom získať dôkazy a požadujúc, aby súd vyžiadal od polície osobné údaje, ktoré Rīgas satiksme potrebuje na podanie žaloby proti dotknutej osobe.
Vnútroštátny súd má pochybnosti o efektívnosti spôsobov na získanie osobných údajov, ktoré uvádza vnútroštátny orgán na ochranu údajov. V tejto súvislosti na jednej strane spresňuje, že ak sa na register obyvateľov podá žiadosť len s uvedením mena cestujúceho v taxíku, môže sa stať, že tento cestujúci nebude môcť byť individualizovaný bez jeho identifikačného čísla, pretože rovnaké meno a priezvisko môže patriť viacerým osobám. Na druhej strane vnútroštátny súd zastáva názor, že vzhľadom na vnútroštátne ustanovenia týkajúce sa získania dôkazov, s cieľom podať občianskoprávnu žalobu, musí žalobca poznať aspoň adresu miesta bydliska žalovaného.
V tejto súvislosti sa vnútroštátny súd domnieva, že existujú pochybnosti o výklade pojmu „nevyhnutnosť“ uvedeného v článku 7 písm. f) tejto smernice.
Za týchto podmienok Augstākās tiesas Administratīvo lietu departaments (Správny senát Najvyššieho súdu, Lotyšsko) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.
Má sa slovné spojenie ‚spracovanie je nevyhnutné pre účely legitímnych záujmov, ktoré plní… tretia strana alebo strany, ktorým sú údaje odhalené‘, uvedené v článku 7 písm. f) smernice 95/46 vykladať v tom zmysle, že policajný zbor musí oznámiť spoločnosti Rīgas satiksme osobné údaje vyžiadané touto spoločnosťou, ktoré sú nevyhnutné na podanie žaloby v občianskom súdnom konaní?
2.
Má na odpoveď na túto otázku vplyv skutočnosť, že – ako sa uvádza v listinách založených v spise – cestujúci v taxíku, ktorého údaje chce Rīgas satiksme získať, bol v čase nehody maloletý?“
O prejudiciálnych otázkach
Svojimi otázkami, ktoré treba skúmať spoločne, sa vnútroštátny súd pýta, či sa článok 7 písm. f) smernice 95/46 má vykladať v tom zmysle, že ukladá povinnosť oznámiť osobné údaje tretej osobe s cieľom umožniť jej podať na občianskoprávny súd žalobu o náhradu škody spôsobenej osobou, ktorej sa týka táto ochrana údajov, a či skutočnosť, že táto osoba je maloletá, môže mať vplyv na výklad tohto ustanovenia.
V konaní vo veci samej je nesporné, že identifikačné číslo a adresa cestujúceho v taxíku, oznámenie ktorých žiada Rīgas satiksme, predstavujú informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby, a preto „osobné údaje“ v zmysle článku 2 písm. a) smernice 95/46. Je tiež nesporné, že polícia, ktorej bola táto žiadosť adresovaná, je zodpovedná za spracovanie týchto údajov a najmä ich prípadné oznámenie v zmysle tohto článku 2 písm. d) predmetnej smernice.
Podľa článku 5 smernice 95/46 členské štáty stanovia, v rámci ustanovení tejto smernice, presnejšie podmienky zákonnosti spracovania osobných údajov. Článok 7 uvedenej smernice, ktorý stanovuje zásady týkajúce sa uzákonenia takého spracovania, v tejto súvislosti stanovuje, že „členské štáty zabezpečia, aby bolo [toto spracovanie] možné… iba ak“ je splnená jedna z hypotéz taxatívne vymenovaných týmto ustanovením. Podľa tohto článku 7 písm. f) takéto spracovanie možno vykonať, ak je nevyhnutné na splnenie legitímnych záujmov, ktoré sleduje osoba zodpovedná za spracovanie alebo tretie osoby, ktorým sú údaje sprístupnené, za podmienky, že neprevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré potrebujú ochranu podľa článku 1 ods. 1 smernice 95/46.
Zo systematiky smernice 95/46 a zo znenia jej článku 7 tak vyplýva, že článok 7 písm. f) smernice 95/46 sám osebe nestanovuje povinnosť, ale vyjadruje možnosť vykonať spracovanie údajov, ako je oznámenie tretej osobe údajov potrebných na splnenie legitímnych záujmov, ktoré táto osoba sleduje. Ako to zdôraznil generálny advokát v bodoch 43 až 46 svojich návrhov, taký výklad možno tiež vyvodiť z iných právnych nástrojov Únie, ktoré sa týkajú osobných údajov (pozri v tomto zmysle, pokiaľ ide o spracovanie osobných údajov v odvetví elektronických komunikácií, rozsudok z 29. januára 2008, Promusicae,
C‑275/06
,
EU:C:2008:54
, body
a
).
Treba však poznamenať, že článok 7 písm. f) smernice 95/46 nebráni takému oznámeniu za predpokladu, že toto oznámenie sa vykoná na základe vnútroštátneho práva, rešpektujúc podmienky stanovené týmto ustanovením.
V tejto súvislosti článok 7 písm. f) smernice 95/46 stanovuje na to, aby spracovanie osobných údajov bolo zákonné, tri kumulatívne podmienky, a to po prvé sledovanie legitímneho záujmu osobou zodpovednou za spracovanie alebo tretími osobami, ktorým sú údaje oznámené, po druhé nevyhnutnosť spracovania osobných údajov na realizáciu sledovaného legitímneho záujmu a po tretie podmienku, že neprevažujú základné práva a slobody osoby, ktorej sa ochrana údajov týka.
Pokiaľ ide o podmienku týkajúcu sa sledovania legitímneho záujmu, ako to poznamenal generálny advokát v bodoch 65, 79 a 80 svojich návrhov, je nepochybné, že záujem tretej osoby získať osobné údaje týkajúce sa osoby, ktorá poškodila jej majetok, na účely podania žaloby o náhradu škody proti uvedenej osobe, predstavuje legitímny záujem (pozri v tomto zmysle rozsudok z 29. januára 2008, Promusicae,
C‑275/06
,
EU:C:2008:54
, bod
). Túto analýzu potvrdzuje článok 8 ods. 2 písm. e) smernice 95/46, ktorý stanovuje, že zákaz spracovania určitých osobných údajov, ako sú údaje prezrádzajúce rasový pôvod alebo politické názory, sa neuplatňuje, ak je spracovanie nevyhnutné pre ustanovenie, výkon alebo obranu právnych nárokov.
Pokiaľ ide o podmienku týkajúcu sa nevyhnutnosti spracovania údajov, treba pripomenúť, že výnimky a obmedzenia zo zásady ochrany osobných údajov sa musia uplatňovať len v rozsahu, v akom je to striktne nevyhnutné (rozsudky z 9. novembra 2010, Volker und Markus Schecke a Eifert,
C‑92/09 a C‑93/09
,
EU:C:2010:662
, bod
; zo 7. novembra 2013, IPI,
C‑473/12
,
EU:C:2013:715
, bod
, ako aj z 11. decembra 2014, Ryneš,
C‑212/13
,
EU:C:2014:2428
, bod
). V tejto súvislosti treba konštatovať, že podľa údajov, ktoré poskytol vnútroštátny súd, oznámenie samotného mena a priezviska osoby, ktorá spôsobila škodu, neumožňuje túto osobu dostatočne presne identifikovať, tak aby bolo možné ju žalovať. Zdá sa teda nevyhnutné získať na tento účel tiež adresu a/alebo identifikačné číslo tejto osoby.
Pokiaľ ide o podmienku zváženia protichodných práv a záujmov, toto v zásade závisí od konkrétnych okolností jednotlivého prípadu (pozri v tomto zmysle rozsudky z 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito,
C‑468/10 a C‑469/10
,
EU:C:2011:777
, bod
, a z 19. októbra 2016, Breyer,
C‑582/14
,
EU:C:2016:779
, bod
).
V tejto súvislosti Súdny dvor rozhodol, že je možné zohľadniť, že závažnosť porušenia základných práv osoby dotknutej týmto spracovaním sa môže odlišovať v závislosti od toho, či k predmetným údajom možno mať prístup vo verejne prístupných zdrojoch (pozri v tomto zmysle rozsudok z 24. novembra 2011, Asociación Nacional de Establecimientos Financieros de Crédito,
C‑468/10 a C‑469/10
,
EU:C:2011:777
, bod
).
Pokiaľ ide o druhú časť prejudiciálnej otázky, ako je preformulovaná v bode 23 tohto rozsudku, treba poznamenať, že vek dotknutej osoby môže predstavovať jeden z prvkov, ktoré treba zohľadniť v rámci tohto zváženia. Treba však konštatovať, že ako poznamenal generálny advokát v bodoch 82 až 84 svojich návrhov a s výhradou overení, ktoré v tejto súvislosti má vykonať vnútroštátny súd, za okolností, ako sú okolnosti konania vo veci samej, sa nezdá byť odôvodnené odmietnuť poškodenej strane oznámenie osobných údajov potrebných na podanie žaloby o náhradu škody proti osobe, ktorá spôsobila škodu, alebo prípadne osobám, ktoré vykonávajú rodičovskú právomoc, z dôvodu, že táto osoba, ktorá škodu spôsobila, bola maloletá.
Z vyššie uvedených úvah vyplýva, že článok 7 písm. f) smernice 95/46 sa má vykladať v tom zmysle, že neukladá povinnosť oznámiť osobné údaje tretej osobe s cieľom umožniť jej podať na občianskoprávny súd žalobu o náhradu škody spôsobenej osobou, ktorej sa týka táto ochrana údajov. Článok 7 písm. f) tejto smernice však nebráni takému oznámeniu na základe vnútroštátneho práva.
O trovách
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (druhá komora) rozhodol takto:

Článok 7 písm. f) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov sa má vykladať v tom zmysle, že neukladá povinnosť oznámiť osobné údaje tretej osobe s cieľom umožniť jej podať na občianskoprávny súd žalobu o náhradu škody spôsobenej osobou, ktorej sa týka táto ochrana údajov. Článok 7 písm. f) tejto smernice však nebráni takému oznámeniu na základe vnútroštátneho práva.

Podpisy
(
*1
)	Jazyk konania: lotyština.