CELEX: 62021CJ0306
Řízení o předběžné otázce
Ochrana osobních údajů
Nařízení (EU) 2016/679
Oblast působnosti
Článek 2 odst. 2 písm. a)
Pojem ‚činnost, která nespadá do oblasti působnosti práva Unie‘
Vnitrostátní a evropské volby
Článek 6 odst. 1 písm. e)
Zákonnost zpracování
Článek 58
Akt přijatý dozorovými úřady, který omezuje nebo případně zakazuje pořizování videozáznamu při sčítání hlasů ve volebních místnostech

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 2 odst. 2 písm. a) a čl. 6 odst. 1 písm. e) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
Úř. věst. 2016, L 119, s. 1
, dále jen „GDPR“).
Tato žádost byla předložena v rámci sporu mezi Komisijou za zaštita na ličnite danni (Komise na ochranu osobních údajů, Bulharsko) (dále jen „KZLD“) a Centralnou izbiratelnou komisijou (Ústřední volební komise, Bulharsko) (dále jen „CIK“) na straně jedné a Koalicijou „Demokratična Bulgarija – Obedinenie“ (dále jen „Koalicia“), koalicí bulharských politických stran na straně druhé ohledně pokynů ke zpracování a ochraně osobních údajů během volebního procesu (dále jen „sporné pokyny“) přijatých KZLD a CIK.
Právní rámec
Unijní právo
Body 4, 16 a 129 odůvodnění GDPR zní následovně:
„(4)
Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost.
[…]
(16)
Toto nařízení se nevztahuje na otázky ochrany základních práv a svobod nebo volného pohybu osobních údajů v souvislosti s činnostmi, které nespadají do působnosti práva Unie, jako jsou činnosti týkající se národní bezpečnosti. Toto nařízení se rovněž nevztahuje na zpracování osobních údajů členskými státy při výkonu činností v rámci společné zahraniční a bezpečnostní politiky [Evropské unie].
[…]
(129)
Aby se zajistilo jednotné monitorování a prosazování tohoto nařízení v celé Unii, měly by mít dozorové úřady v každém členském státě tytéž úkoly a účinné pravomoci, včetně pravomocí provádět šetření, ukládat nápravná opatření a sankce, vydávat povolení a poskytovat poradenství […]. Mezi tyto pravomoci by měla rovněž patřit pravomoc vydávat dočasné nebo trvalé omezení zpracování, včetně jeho zákazu. […] Každé opatření by zejména mělo být vhodné, nezbytné a přiměřené, aby byl s přihlédnutím k okolnostem každého jednotlivého případu zajištěn soulad s tímto nařízením […]“
Článek 2 tohoto nařízení, nadepsaný „Věcná působnost“, stanoví:
„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:
a)
při výkonu činností, které nespadají do oblasti působnosti práva Unie;
b)
členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU;
[…]“
Článek 3 uvedeného nařízení vymezuje místní působnost nařízení. Podle jeho odstavce 1 se GDPR „vztahuje na zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni“.
Článek 4 GDPR stanoví:
„Pro účely tohoto nařízení se rozumí:
[…]
2)
‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]“
Článek 5 tohoto nařízení, nadepsaný „Zásady zpracování osobních údajů“, stanoví:
„1.   Osobní údaje musí být:
[…]
c)
přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[…]“
Článek 6 uvedeného nařízení, nadepsaný „Zákonnost zpracování“, v odstavcích 1 a 3 stanoví:
„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
[…]
e)
zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
[…]
2.   Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.
3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a)
právem Unie nebo
b)
právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.“
Článek 58 téhož nařízení, nadepsaný „Pravomoci“, v odstavcích 2 až 4 stanoví:
„2.   Každý dozorový úřad má všechny tyto nápravné pravomoci:
[…]
f)
uložit dočasné nebo trvalé omezení zpracování, včetně jeho zákazu;
[…]
3.   Každý dozorový úřad má všechny tyto povolovací a poradní pravomoci:
[…]
b)
z vlastního podnětu nebo na požádání vydávat stanoviska určená vnitrostátnímu parlamentu, vládě členského státu nebo v souladu s právem členského státu dalším institucím a subjektům, jakož i veřejnosti, ohledně veškerých otázek souvisejících s ochranou osobních údajů;
[…]
4.   Výkon pravomocí svěřených tímto článkem dozorovému úřadu podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, stanoveným v právu Unie a členského státu v souladu s [Listinou základních práv].“
Článek 85 GDPR, nadepsaný „Zpracování a svoboda projevu a informací“, stanoví:
„1.   Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.
2.   Pro zpracování pro novinářské účely nebo pro účely akademického, uměleckého či literárního projevu členské státy stanoví odchylky a výjimky z kapitoly II (zásady), kapitoly III (práva subjektu údajů), kapitoly IV (správce a zpracovatel), kapitoly V (předávání osobních údajů do třetí země nebo mezinárodní organizaci), kapitoly VI (nezávislé dozorové úřady), kapitoly VII (spolupráce a jednotnost) a kapitoly IX (zvláštní situace, při nichž dochází ke zpracování osobních údajů), pokud je to nutné k uvedení práva na ochranu osobních údajů do souladu se svobodou projevu a informací.
3.   Každý členský stát ohlásí Komisi právní ustanovení, která přijme podle odstavce 2, a bez prodlení jakékoliv následné novely nebo změny týkající se těchto ustanovení.“
Bulharské právo
Článek 272 Izboren kodeks (volební zákoník), ve znění použitelném na spor v původním řízení, stanoví:
„Při otevírání volebních uren s hlasovacími lístky a při zjišťování výsledků hlasování mohou být ve volebních místnostech přítomni kandidáti, podporovatelé a zástupci stran, koalic a akčních výborů […], pozorovatelé […], jeden registrovaný tazatel za každou registrovanou sociologickou agenturu a zástupci hromadných sdělovacích prostředků, přičemž při sčítání hlasů jim musí být poskytnut přímý výhled.“
Spor v původním řízení a předběžné otázky
Sporné pokyny byly přijaty rozhodnutím KZLD ze dne 28. ledna 2021 a rozhodnutím CIK ze dne 8. února 2021.
Co se týče zpracování osobních údajů prostřednictvím videozáznamu (záznam nebo přímý přenos) v rámci volebního procesu, sporné pokyny upřesňují, že cílem takového zpracování je zajistit transparentnost, objektivitu, legitimitu volebního procesu, rovné zacházení s účastníky tohoto procesu, jakož i svobodu projevu a právo na informace.
Pokud jde o způsoby zpracování osobních údajů prostřednictvím videozáznamu v průběhu volebního procesu, sporné pokyny stanoví, že média zpracovávají osobní údaje prostřednictvím videozáznamu jen při zahájení volebního dne, jeho ukončení, oznámení výsledků hlasování, jakož i losování volebních pořadových čísel.
Kromě toho tyto pokyny upřesňují, že žádný jiný účastník volebního procesu nemůže zpracovávat osobní údaje prostřednictvím videozáznamu z důvodu neslučitelnosti jejich úlohy v rámci volebního procesu.
Návrhem ze dne 10. února 2021 napadla Koalicia soulad těchto pokynů s právem před Administrativen sad Sofia (Správní soud v Sofii, Bulharsko) v rozsahu, v němž se vztahují na zpracování osobních údajů prostřednictvím videozáznamu.
Rozsudkem ze dne 15. března 2021 tento soud zrušil:
–
bod 2 oddílu I, nadepsaného „Obecná ustanovení“, sporných pokynů v rozsahu, v němž se týká správců, zpracovatelů a osob zpracovávajících osobní údaje v rámci volebního procesu v souladu s pokyny správce a stanoví, že „jejich práva a povinnosti v souvislosti se zpracováním osobních údajů jsou omezeny v rozsahu, v němž jsou jejich práva a povinnosti v rámci volebního procesu stanoveny taxativně a omezeně“, že „případy, kdy tyto osoby zpracovávají osobní údaje, jsou výslovně definovány ve volebním řádu (právo přímo sledovat zjišťování výsledku hlasování, právo na kopii zápisu z jednání okrskové volební komise, atd.)“ a že „tyto osoby nemohou v případě zpracování osobních údajů překračovat práva a povinnosti stanovené volebním řádem“, a
–
bod 9 oddílu II, nadepsaného „Pokyny správcům osobních údajů“, v rozsahu, v němž tento bod stanoví, že „žádný jiný účastník volebního procesu nemůže zpracovávat osobní údaje prostřednictvím videozáznamu nebo videopřenosu z důvodu neslučitelnosti jejich úlohy v rámci volebního procesu s účelem zpracování osobních údajů prostřednictvím videozáznamu v rámci volebního procesu“ a že „funkce a role těchto účastníků volebního procesu jsou výslovně a taxativně stanoveny volebním řádem“.
Podle Administrativen sad Sofia (správní soud v Sofii) se GDPR podle jeho čl. 2 odst. 2 písm. a) nepoužije při výkonu takové činnosti, která nespadá do oblasti působnosti unijního práva, jako je činnost, která je předmětem věci v původním řízení, a sice pořádání vnitrostátních parlamentních voleb nebo voleb do orgánů nižších územních celků členského státu. Proto sporné pokyny v rozsahu, v němž jsou prováděcími opatřeními GDPR, postrádají právní základ.
Dne 29. března 2021 podaly KZLD a CIK proti tomuto rozsudku kasační opravný prostředek k Varchoven administrativen sad (Nejvyšší správní soud, Bulharsko), který je předkládajícím soudem.
Návrhem ze dne 2. dubna 2021 požádala KZLD, podporovaná CIK, o předložení předběžné otázky Soudnímu dvoru ohledně použitelnosti unijního práva na věc v původním řízení.
Koalicia před předkládajícím soudem tvrdí, že uvedený rozsudek musí být potvrzen a že není namístě předkládat Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.
Předkládající soud uvádí, že sporné pokyny představují správní akt, který má opakovaně právní účinky během voleb. Zdůrazňuje, že sporné pokyny se vztahují na všechny vnitrostátní, místní a evropské volby pořádané na území Bulharské republiky.
Tento soud se zejména táže na použitelnost GDPR v souvislosti s pořádáním voleb v členském státě a v případě jeho použitelnosti v této souvislosti na dopad ustanovení GDPR na možnost orgánů příslušných k ochraně osobních údajů omezit nebo případně zakázat zpracování takových údajů v rámci volebního procesu.
Za těchto podmínek se Varchoven administrativen sad (Nejvyšší správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být čl. 2 odst. 2 písm. a) [GDPR] vykládán v tom smyslu, že brání použití uvedeného nařízení na zdánlivě čistě vnitrostátní skutkový stav, jakým jsou volby do národního shromáždění, jsou-li předmětem ochrany osobní údaje osob, občanů Evropské unie, a postupy zpracování údajů se neomezují na shromažďování údajů při výkonu dotčené činnosti?
2)
V případě kladné odpovědi na první otázku: zprošťuje ukončení voleb do národního shromáždění, které zdánlivě nespadají do oblasti působnosti unijního práva, správce, zpracovatele a osoby uchovávající osobní údaje povinností uložených nařízením jako jediným prostředkem ochrany osobních údajů občanů Unie na úrovni Unie? Závisí použitelnost nařízení pouze na činnosti, pro kterou jsou osobní údaje generovány resp. shromažďovány, což vede rovněž k závěru, že jejich pozdější použitelnost je vyloučena?
3)
V případě záporné odpovědi na první otázku: brání čl. 6 odst. 1 písm. e) [GDPR] a zásada proporcionality zakotvená v jeho bodech 4 a 129 odůvodnění vnitrostátní právní úpravě provádějící nařízení, jako je právní úprava dotčená v projednávané věci, která od počátku vylučuje a omezuje možnost, aby při zjišťování výsledků voleb byly ve volebních místnostech pořizovány jakékoliv videozáznamy, nepřipouští žádné rozlišování a úpravy jednotlivých součástí procesu zaznamenávání a vylučuje možnost dosáhnout cílů nařízení, tedy ochrany osobních údajů, jinými prostředky?
4)
Alternativně a v kontextu oblasti působnosti unijního práva – při provádění obecních voleb a voleb do Evropského parlamentu: brání čl. 6 odst. 1 písm. e) [GDPR] a zásada proporcionality zakotvená v jeho bodech 4 a 129 odůvodnění vnitrostátní právní úpravě provádějící nařízení, jako je právní úprava dotčená v projednávané věci, která od počátku vylučuje a omezuje možnost, aby při zjišťování výsledků voleb byly ve volebních místnostech pořizovány jakékoliv videozáznamy, neprovádí ani nepřipouští rozlišování a úpravy jednotlivých součástí procesu zaznamenávání a vylučuje možnost dosáhnout cílů nařízení, tedy ochrany osobních údajů, jinými prostředky?
5)
Brání čl. 6 odst. 1 písm. e) [GDPR] kvalifikaci činností spočívajících v posouzení řádného průběhu voleb a zjištění jejich výsledku jako úkolu prováděného ve veřejném zájmu, který odůvodňuje určitý zásah do osobních údajů osob přítomných ve volebních místnostech, podléhající požadavku proporcionality, jestliže tyto osoby plní úřední, veřejný, zákonem upravený úkol?
6)
V případě kladné odpovědi na předcházející otázku: Brání ochrana osobních údajů zavedení vnitrostátního právního zákazu shromažďování a zpracování osobních údajů, který omezuje možnost provádět doprovodné činnosti pořizování videozáznamů materiálů, objektů nebo předmětů, které neobsahují žádné osobní údaje, jestliže při zaznamenávání potenciálně existuje možnost, že při pořizování videozáznamu budou shromažďovány rovněž osobní údaje osob přítomných ve volební místnosti, které v dotčeném okamžiku vykonávají činnost ve veřejném zájmu?“
K přípustnosti žádosti o rozhodnutí o předběžné otázce
Dne 14. září 2021 zaslal Soudní dvůr předkládajícímu soudu žádost o informace, aby upřesnil případný dopad změny článku 272 volebního zákoníku, k níž došlo po podání žádosti o rozhodnutí o předběžné otázce, na relevantnost položených otázek pro vyřešení sporu v původním řízení.
V odpovědi ze dne 29. října 2021 předkládající soud uvedl, že podle vnitrostátního procesního práva musí posoudit legalitu sporných pokynů nikoli s ohledem na datum, ke kterému došlo k uvedené legislativní změně, ale s ohledem na datum, ke kterému byly sporné pokyny přijaty. Relevance žádosti o rozhodnutí o předběžné otázce tedy není zpochybněna touto legislativní změnou, ke které došlo po přijetí sporných pokynů.
V tomto ohledu je třeba připomenout, že podle ustálené judikatury Soudního dvora se na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance. Soudní dvůr může odmítnout rozhodnout o předběžné otázce podané vnitrostátním soudem na základě článku 267 SFEU pouze tehdy, pokud nejsou dodrženy požadavky na obsah žádosti o rozhodnutí o předběžné otázce, které jsou uvedeny v článku 94 jednacího řádu Soudního dvora, nebo pokud je zjevné, že výklad nebo posouzení platnosti pravidla Unie, o které vnitrostátní soud žádá, nemají žádný vztah k realitě nebo předmětu sporu v původním řízení nebo jestliže se jedná o hypotetický problém (rozsudek ze dne 25. března 2021, Obala i lučice,
C‑307/19
,
EU:C:2021:236
, bod
a citovaná judikatura).
V projednávaném případě z vysvětlení poskytnutých předkládajícím soudem jednoznačně vyplývá, že má za to, že odpověď na položené otázky je nezbytná pro účely rozhodnutí sporu, který mu byl předložen.
Z toho vyplývá, že žádost o rozhodnutí o předběžné otázce je přípustná.
K předběžným otázkám
K první a druhé otázce
Podstatou první a druhé otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda čl. 2 odst. 2 písm. a) GDPR musí být vykládán v tom smyslu, že zpracování osobních údajů v souvislosti s pořádáním voleb v členském státě je z oblasti působnosti tohoto nařízení vyloučeno.
Zaprvé je třeba uvést, že se podle čl. 2 odst. 1 GDPR toto nařízení vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny. Podle čl. 4 bodu 2 tohoto nařízení definice „zpracování“ zahrnuje mimo jiné jakoukoliv operaci s osobními údaji nebo soubory osobních údajů, která je prováděna pomocí či bez pomoci automatizovaných postupů, jako je zejména shromáždění, zaznamenání, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění.
Z toho vyplývá, že videozáznam fyzických osob představuje zpracování osobních údajů, které v zásadě spadá do věcné působnosti GDPR (v tomto smyslu viz rozsudek ze dne 11. prosince 2014, Ryneš,
C‑212/13
,
EU:C:2014:2428
, bod
).
Zadruhé je třeba zdůraznit, že výjimky z věcné působnosti uvedeného nařízení jsou taxativně stanoveny v jeho čl. 2 odst. 2 a 3.
V projednávané věci se předkládající soud táže, zda se na zpracování osobních údajů prostřednictvím videozáznamu při pořádání jak evropských, tak vnitrostátních voleb, vztahuje výjimka stanovená v čl. 2 odst. 2 písm. a) GDPR, podle níž se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“.
Je třeba poukázat na to, že tato výjimka z použitelnosti nařízení GDPR musí být, podobně jako ostatní výjimky stanovené v jeho čl. 2 odst. 2, vykládána restriktivně [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
a citovaná judikatura].
Jak rozhodl Soudní dvůr, je třeba čl. 2 odst. 2 písm. a) GDPR vykládat ve spojení s jeho čl. 2 odst. 2 písm. b) a bodem 16 odůvodnění, v němž je uvedeno, že se zmíněné nařízení nevztahuje na zpracování osobních údajů v souvislosti s „činnostmi, které nespadají do působnosti práva Unie, jako jsou činnosti týkající se národní bezpečnosti“ a „činnosti v rámci společné zahraniční a bezpečnostní politiky Unie“ [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
].
Z toho vyplývá, že čl. 2 odst. 2 písm. a) a b) GDPR částečně navazuje na čl. 3 odst. 2 první odrážku směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (
Úř. věst. 1995, L 281, s. 31
; Zvl. vyd. 13/15, s. 355). Z toho plyne, že čl. 2 odst. 2 písm. a) a b) GDPR nelze vykládat tak, že má širší působnost než výjimka vyplývající z čl. 3 odst. 2 první odrážky směrnice 95/46, který již z oblasti působnosti této směrnice vylučoval mimo jiné i zpracování osobních údajů v rámci „činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o [EU, ve znění před přijetím Lisabonské smlouvy], a v každém případě […] zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu […]“ [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
].
Z působnosti uvedené směrnice bylo přitom vyloučeno pouze zpracování osobních údajů prováděné v rámci činnosti států nebo státních orgánů, která byla ve zmíněném čl. 3 odst. 2 výslovně uvedena, nebo v rámci činnosti, kterou bylo možno zařadit do téže kategorie [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
a citovaná judikatura].
Jediným cílem čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení je tedy vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, takže pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se tato výjimka na takovou činnost automaticky vztahovala [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
a citovaná judikatura].
Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body),
C‑439/19
,
EU:C:2021:504
, bod
].
Činnosti související s uspořádáním voleb v členském státě však takový cíl nesledují, a do kategorie činností uvedených v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, je tudíž nelze zařadit.
S ohledem na výše uvedené úvahy je třeba na první a druhou otázku odpovědět tak, že čl. 2 odst. 2 písm. a) GDPR musí být vykládán v tom smyslu, že z oblasti působnosti tohoto nařízení není vyloučeno zpracování osobních údajů v souvislosti s pořádáním voleb v členském státě.
Ke třetí až šesté otázce
Úvodem je třeba připomenout, že podle ustálené judikatury platí, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU přísluší Soudnímu dvoru poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. V zájmu toho Soudnímu dvoru přísluší případně přeformulovat otázky, které jsou mu položeny [v tomto smyslu viz rozsudek ze dne 7. července 2022, Pensionsversicherungsanstalt (Doby péče o dítě získané v zahraničí),
C‑576/20
,
EU:C:2022:525
, bod
a citovaná judikatura].
K těmto účelům může Soudní dvůr ze všech poznatků předložených předkládajícím soudem, zejména z odůvodnění předkládacího rozhodnutí, vytěžit ty prvky unijního práva, které je s přihlédnutím k předmětu sporu v původním řízení třeba vyložit (v tomto smyslu viz rozsudek ze dne 2. června 2022, HK/Danmark a HK/Privat,
C‑587/20
,
EU:C:2022:419
, bod
, jakož i citovaná judikatura).
V projednávaném případě z předkládacího rozhodnutí vyplývá, že se spor v původním řízení týká hlavně toho, zda orgány příslušné k ochraně osobních údajů mohou omezit nebo zakázat zpracování takových údajů, pokud jde o možnost natáčení volebního procesu, a zejména sčítání hlasů.
Je tedy třeba mít za to, že podstatou třetí až šesté otázky, které je třeba přezkoumat společně, je, zda čl. 6 odst. 1 písm. e) a článek 58 GDPR musí být vykládány v tom smyslu, že brání tomu, aby příslušné orgány členského státu přijaly obecně závazný správní akt, který stanoví omezení nebo případně zákaz pořizování videozáznamu sčítání hlasů ve volebních místnostech během voleb v tomto členském státě.
Zaprvé je třeba uvést, že článek 6 GDPR stanoví podmínky pro zákonnost zpracování osobních údajů.
Pokud jde konkrétně o čl. 6 odst. 1 písm. e) GDPR, kterého se žádost o rozhodnutí o předběžné otázce konkrétně týká, z tohoto ustanovení vyplývá, že zpracování osobních údajů je oprávněné, pokud je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.
Článek 6 odst. 1 písm. e) GDPR je přitom třeba číst ve spojení s čl. 6 odst. 3 tohoto nařízení, který upřesňuje, že základ pro zpracování podle tohoto písmene e) musí být stanoven právem Unie nebo právem členského státu, které se na správce vztahuje.
Ustanovení čl. 6 odst. 1 písm. e) GDPR a čl. 6 odst. 3 tohoto nařízení tedy členským státům umožňují přijmout pravidla, na jejichž základě mohou správci zpracovávat osobní údaje v rámci plnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci.
Zdá se, že v projednávané věci má předkládající soud v rámci páté otázky za to, že někteří z účastníků přítomných ve volebních místnostech by při sčítání hlasů mohli plnit úkol prováděný ve veřejném zájmu ve smyslu čl. 6 odst. 1 písm. e) GDPR.
V tomto ohledu je třeba zdůraznit, že zákonné zpracování osobních údajů takovými účastníky na základě čl. 6 odst. 1 písm. e) GDPR předpokládá nejen, že mohou být považováni za osoby vykonávající úkoly ve veřejném zájmu, ale rovněž že zpracování osobních údajů za účelem výkonu takového úkolu spočívá na právním základě uvedeném v čl. 6 odst. 3 tohoto nařízení.
Jak správně uvedla Komise ve svém písemném vyjádření, sporné pokyny přijaté příslušnými bulharskými dozorovými úřady patrně nepředstavují takový právní základ. Naopak zjevně představují opatření směřující k ochraně osobních údajů osob ve volebních místnostech tím, že omezují, pokud jde o zástupce hromadných sdělovacích prostředků, a zakazují, pokud jde o ostatní účastníky ve volebních místnostech, zpracování takových údajů prostřednictvím videozáznamu ve specifické fázi volebního procesu, a sice při sčítání hlasů.
Zadruhé je třeba připomenout, že pravomoci dozorových úřadů jsou stanoveny v článku 58 GDPR.
Z článku 58 odst. 2 písm. f) GDPR vykládaného ve světle bodu 129 odůvodnění tohoto nařízení vyplývá, že dozorové úřady mají zejména pravomoc uložit dočasné nebo trvalé omezení zpracování osobních údajů, včetně jeho zákazu, a že tato pravomoc musí být vykonávána při dodržení zásady proporcionality. Stejně tak podle čl. 58 odst. 3 písm. b) GDPR má každý dozorový úřad pravomoc z vlastního podnětu nebo na požádání vydávat stanoviska určená v souladu s právem dotyčného členského státu jiným institucím a subjektům, než jsou vnitrostátní parlament nebo vláda tohoto členského státu, jakož i veřejnosti, ohledně veškerých otázek souvisejících s ochranou osobních údajů. Konečně podle čl. 58 odst. 4 tohoto nařízení podléhá výkon těchto pravomocí vhodným zárukám, včetně účinné soudní ochrany.
Popis bulharského práva a sporných pokynů, jak vyplývá ze spisu, který má Soudní dvůr k dispozici, přitom neumožňuje prokázat, s výhradou ověření, která musí provést předkládající soud, že příslušné bulharské orgány překročily pravomoci, kterými disponují na základě čl. 58 odst. 2 písm. f) a odst. 3 písm. b) GDPR, a zejména to, že sporné pokyny nedodržují zásadu proporcionality.
V tomto ohledu předkládající soud uvádí, že sporné pokyny omezují, pokud jde o zástupce hromadných sdělovacích prostředků, a zakazují, pokud jde o ostatní účastníky nacházející se ve volebních místnostech, zpracování osobních údajů prostřednictvím videozáznamu ve specifické fázi volebního procesu, a sice během otevírání volebních uren a zjišťování výsledků voleb. Naproti tomu se nezdá, že by tyto pokyny omezovaly možnost účastníků přítomných ve volebních místnostech při sčítání hlasů sledovat otevírání volebních uren a zjišťování výsledků voleb, což umožňuje zaručit transparentnost, objektivitu a legitimitu volebního procesu, rovné zacházení s účastníky procesu, jakož i svobodu projevu a právo na informace v souladu s cílem uvedených pokynů.
Je tedy třeba mít za to, že sporné pokyny jsou v souladu se zásadou minimalizace údajů uvedenou v čl. 5 odst. 1 písm. c) GDPR určeny k minimalizaci zásahů do práva na ochranu osobních údajů způsobené pořizováním videozáznamu volebního procesu.
A konečně zatřetí je třeba pro úplnost připomenout, že členské státy mohou za účelem nalezení rovnováhy mezi právem na ochranu osobních údajů a svobodou projevu a informací stanovit výjimky a odchylky od některých ustanovení GDPR.
Podle čl. 85 odst. 1 GDPR členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování osobních údajů pro novinářské účely. Podle čl. 85 odst. 2 uvedeného nařízení stanoví členské státy odchylky a výjimky z určitých kapitol GDPR, včetně kapitoly II, v níž je obsažen článek 6 tohoto nařízení. Tyto odchylky nebo výjimky musí být omezeny na to, co je nezbytné za účelem nalezení rovnováhy mezi právem na ochranu osobních údajů a svobodou projevu a informací.
S ohledem na výše uvedené úvahy je třeba na třetí až šestou otázku odpovědět tak, že čl. 6 odst. 1 písm. e) a článek 58 GDPR musí být vykládány v tom smyslu, že tato ustanovení nebrání tomu, aby příslušné orgány členského státu přijaly obecně závazný správní akt, který stanoví omezení nebo případně zákaz pořizování videozáznamu sčítání hlasů ve volebních místnostech během voleb v tomto členském státě.
K nákladům řízení
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (osmý senát) rozhodl takto:

1)
Článek 2 odst. 2 písm. a) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
z oblasti působnosti tohoto nařízení není vyloučeno zpracování osobních údajů v souvislosti s pořádáním voleb v členském státě.

2)
Článek 6 odst. 1 písm. e) a článek 58 nařízení 2016/679
musejí být vykládány v tom smyslu, že
tato ustanovení nebrání tomu, aby příslušné orgány členského státu přijaly obecně závazný správní akt, který stanoví omezení nebo případně zákaz pořizování videozáznamu sčítání hlasů ve volebních místnostech během voleb v tomto členském státě.

Podpisy
(
*1
) – Jednací jazyk: bulharština.