62023CC0169
STANOVISKO GENERÁLNÍ ADVOKÁTKY
LAILY MEDINA
přednesené dne 6. června 2024 (
1
)
Věc C‑169/23 [Másdi] (
i
)
Nemzeti Adatvédelmi és Információszabadság Hatóság
proti
UC
[žádost o rozhodnutí o předběžné otázce, kterou podal Kúria (Nejvyšší soud, Maďarsko)]
„Žádost o rozhodnutí o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Zpracování údajů za účelem vydání certifikátu covid-19 – Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů – Článek 14 odst. 1 – Výjimky z povinnosti poskytovat informace – Získávání nebo zpřístupnění výslovně stanovené unijním právem nebo právem členského státu – Vhodná opatření na ochranu oprávněných zájmů subjektu údajů – Článek 14 odst. 5 písm. c) – Právo podat stížnost u dozorového úřadu – Článek 77“
I. Úvod
1.
Jednou z nejdůležitějších povinností správce údajů je povinnost poskytovat informace subjektu údajů. Výstižně to vyjádřil generální advokát P. Cruz Villalón ve svém stanovisku ve věci Bara, když uvedl, že požadavek informování subjektu údajů „zaručuje transparentnost veškerého zpracování“ (
2
). Povinnost informovat odpovídá klíčovému právu subjektu údajů na informace o zpracování jeho údajů. V odborné literatuře (
3
) se uvádí, že právo na informace je „příkladem“ zásady transparentnosti a „představuje styčný bod“ pro všechna ostatní práva. Rozsáhlé požadavky na informace totiž umožňují subjektu údajů vykonávat další důležitá práva uznaná nařízením (EU) 2016/679 (
4
).
2.
Projednávaná věc vyvstala v souvislosti s vydáváním certifikátů covid-19. Vyzývá Soudní dvůr, aby poprvé vyložil důležitou výjimku z povinnosti správce údajů poskytovat informace stanovenou v čl. 14 odst. 5 písm. c) GDPR. Tato relevantní výjimka bude podrobena analýze vztahující se k pravomocem dozorového úřadu v souvislosti se stížností podanou subjektem údajů.
II. Právní rámec
A.
Právo Evropské unie
3.
Článek 14 GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, v odstavcích 1, 2 a 5 stanoví:
„1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:
a)
totožnost a kontaktní údaje správce a případně jeho zástupce;
b)
případně kontaktní údaje případného pověřence pro ochranu osobních údajů;
c)
účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
d)
kategorie dotčených osobních údajů;
e)
případné příjemce nebo kategorie příjemců osobních údajů;
f)
případný záměr správce předat osobní údaje příjemci ve třetí zemi nebo mezinárodní organizaci a existence či neexistence rozhodnutí [Evropské] Komise o odpovídající ochraně […].
2.   Kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů:
a)
doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;
b)
oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
c)
existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz anebo omezení zpracování a práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;
d)
pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním;
e)
existence práva podat stížnost u dozorového úřadu;
f)
zdroj, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů;
g)
skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
[…]
5.   Odstavce 1 až 4 se nepoužijí, pokud a do té míry, v níž:
[…]
c)
je získávání nebo zpřístupnění výslovně stanoveno právem Unie nebo členského státu, které se na správce vztahuje a v němž jsou stanovena vhodná opatření na ochranu oprávněných zájmů subjektu údajů;
[…]“
4.
Článek 32 GDPR, nadepsaný „Zabezpečení zpracování“, v odstavci 1 stanoví:
„S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku […]
[…]“
5.
Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, v odstavci 1 stanoví:
„Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.“
B.
Maďarské právo
6.
Ustanovení § 2 odst. 1 písm. a) až g) a koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet (nařízení vlády č. 60/2021 ze dne 12. února o osvědčení o imunitě proti koronaviru; dále jen „nařízení č. 60/2021“), ve znění použitelném na spor v původním řízení, stanoví:
„Osvědčení o imunitě obsahuje:
a)
jméno subjektu údajů;
b)
číslo pasu subjektu údajů, pokud jej má;
c)
číslo a identifikátor dokladu trvalého průkazu totožnosti subjektu údajů, pokud jej má;
d)
sériové číslo osvědčení o imunitě;
e)
pokud je předložen doklad o očkování, datum očkování;
f)
pokud je předložen doklad o prodělání onemocnění, datum platnosti tohoto dokladu;
g)
opticky čitelný kód pro uchovávání údajů vytvořený z údajů uvedených v písmenech a) až f);
[…]“
7.
Podle § 2 odst. 6 a 7 nařízení č. 60/2021 platí, že osvědčení o imunitě vydává Budapest Főváros Kormányhivatala (správní úřad hlavního města Budapešti, Maďarsko; dále jen „budapešťský úřad“) oprávněné fyzické osobě buď z moci úřední, nebo na žádost.
8.
Ustanovení § 3 odst. 3 nařízení č. 60/2021 stanoví:
„V případech uvedených v § 2 odst. 6 písm. c) a d) shromažďuje [budapešťský úřad] automatickým přenosem informací – v případě potřeby prostřednictvím příslušných služeb összerendelési nyilvántartás [registr elektronické správy identifikačních údajů, Maďarsko] – tyto informace
a)
od provozovatele EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (oblast elektronických zdravotních služeb)]: číslo sociálního pojištění subjektu údajů, údaje uvedené v § 2 odst. 1 písm. e) a g) a údaje uvedené v odstavci 1;
b)
od orgánu odpovědného za registraci osobních údajů a adres: jméno, identifikační údaje z cestovního pasu a trvalého průkazu totožnosti a adresu subjektu údajů.“
III. Spor v původním řízení a předběžné otázky
9.
UC, fyzická osoba, obdržel od budapešťského úřadu osvědčení o imunitě potvrzující jeho očkování proti covidu-19.
10.
Dne 30. dubna 2021 podal UC na základě čl. 77 odst. 1 GDPR stížnost u Nemzeti Adatvédelmi és Információszabadság Hatóság (Národní úřad pro ochranu údajů a svobodu informací, Maďarsko; dále jen „maďarský dozorový úřad“). UC požadoval, aby tento úřad nařídil budapešťskému úřadu, aby uvedl své operace zpracování do souladu s ustanoveními GDPR. Ve stížnosti UC mimo jiné tvrdil, že budapešťský úřad nevypracoval ani nezveřejnil oznámení o ochraně soukromí týkající se zpracování údajů souvisejících s vydáváním osvědčení o imunitě a že nebyly poskytnuty dostatečné informace o účelu a právním základu zpracování a o tom, jaká mají subjekty údajů práva a jak je mohou uplatnit.
11.
V řízení zahájeném po podání stížnosti budapešťský úřad uvedl, že vykonává své funkce týkající se vydávání osvědčení o imunitě podle § 2 nařízení č. 60/2021, přičemž právním základem zpracování je čl. 6 odst. 1 písm. e) GDPR a v případě zpracování zvláštních kategorií osobních údajů čl. 9 odst. 2 písm. i) GDPR.
12.
Dále budapešťský úřad uvedl, že v souladu s § 3 odst. 2 a 3 nařízení č. 60/2021 shromáždil údaje, které mají být zpracovány, prostřednictvím automatického přenosu informací od provozovatele oblasti elektronických zdravotních služeb a od orgánu odpovědného za registraci osobních údajů a adres. Uvedl, že podle čl. 14 odst. 5 písm. c) nařízení GDPR není povinen poskytovat informace o zpracování. Přesto vypracoval oznámení o ochraně soukromí týkající se příslušného zpracování a zveřejnil jej na svých internetových stránkách.
13.
Rozhodnutím ze dne 15. listopadu 2021 maďarský dozorový úřad stížnost zamítl s odůvodněním, že budapešťský úřad neměl povinnost poskytovat informace, neboť na dané zpracování se vztahuje výjimka stanovená v čl. 14 odst. 5 písm. c) GDPR. Tento dozorový úřad měl konkrétně za to, že právním základem pro zpracování bylo nařízení č. 60/2021 a budapešťský úřad nezískal údaje od samotných subjektů údajů. Dále uvedl, že § 3 odst. 1 nařízení č. 60/2021 výslovně ukládá budapešťskému úřadu shromažďovat údaje. Skutečnost, že budapešťský úřad zveřejnil informace o zpracování údajů na svých internetových stránkách, i když k tomu nebyl ze zákona povinen, byla považována za osvědčenou praxi.
14.
Maďarský dozorový úřad z moci úřední posoudil otázku vhodných opatření na ochranu oprávněných zájmů subjektu údajů uvedených v čl. 14 odst. 5 písm. c) GDPR, přičemž měl za to, že za taková opatření je třeba považovat § 2 a 3 a § 5 až 7 nařízení č. 60/2021.
15.
UC napadl rozhodnutí maďarského dozorového úřadu u Fővárosi Törvényszék (městský soud v Budapešti, Maďarsko). Tento soud žalobě vyhověl, rozhodnutí maďarského dozorového úřadu zrušil a nařídil mu zahájit nové řízení.
16.
V odůvodnění rozsudku Fővárosi Törvényszék (městský soud v Budapešti) uvedl, že výjimka stanovená v čl. 14 odst. 5 písm. c) GDPR se neuplatní, neboť některé údaje v souvislosti s osvědčeními o imunitě nebyly získány od jiného subjektu, ale byly vytvářeny uvedeným správcem. Jedná se mimo jiné o sériové číslo osvědčení o imunitě, dobu platnosti osvědčení, QR kód vložený do osvědčení, čárový kód a další alfanumerické kódy vytvořené během postupu správce.
17.
Proti tomuto pravomocnému rozsudku Fővárosi Törvényszék (městský soud v Budapešti) podal maďarský dozorový úřad mimořádný opravný prostředek ke Kúria (Nejvyšší soud, Maďarsko).
18.
Pokud jde o uplatnění výjimky stanovené v čl. 14 odst. 5 písm. c) GDPR, předkládající soud má za to, že se může vztahovat na všechny typy zpracování, které se netýkají údajů získaných od subjektu údajů ve smyslu článku 13 GDPR, včetně údajů vytvořených správcem.
19.
Při tomto výkladu čl. 14 odst. 5 písm. c) GDPR má předkládající soud pochybnosti ohledně rozsahu nápravných pravomocí vnitrostátních dozorových úřadů v souvislosti se stížností podanou podle čl. 77 odst. 1 GDPR. Konkrétně má předkládající soud pochybnosti o tom, zda má dozorový úřad v rámci takové stížnosti pravomoc zkoumat otázku vhodných opatření stanovených ve vnitrostátním právu na ochranu oprávněných zájmů subjektu údajů uvedených v čl. 14 odst. 5 písm. c) GDPR.
20.
Pokud by bylo shledáno, že dozorový úřad tuto pravomoc má, předkládající soud si klade otázku, jaký je přesný význam pojmu „vhodná opatření na ochranu oprávněných zájmů subjektu údajů“. V tomto ohledu uvádí, že lze konstatovat, že pojem „vhodná opatření“ na jedné straně zahrnuje provedení prvků uvedených v čl. 14 odst. 1 písm. a) až f) GDPR do vnitrostátního práva. Na druhé straně by tato opatření mohla zahrnovat právo požádat o posouzení zabezpečení zpracování upraveného v článku 32 GDPR. Takové chápání pojmu „vhodná opatření“ by však představovalo riziko zatěžování právních předpisů technickými ustanoveními, což by bylo v rozporu s požadavkem na srozumitelnost a jasnost normativních aktů. Rovněž by mohlo být dostatečnou zárukou to, že opatření týkající se zabezpečení údajů jsou dodržována, i když nebyla konkrétně provedena.
21.
V tomto kontextu se Kúria (Nejvyšší soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být čl. 14 odst. 5 písm. c) ve spojení s čl. 14 odst. 1 a bodem 62 odůvodnění [GDPR] vykládán v tom smyslu, že výjimka stanovená v čl. 14 odst. 5 písm. c) se nevztahuje na údaje vytvořené vlastním postupem správce, ale pouze na údaje, které správce výslovně získal od jiné osoby?
2)
V případě, že se čl. 14 odst. 5 písm. c) GDPR vztahuje i na údaje vytvořené vlastním postupem správce, musí být právo podat stížnost u dozorového úřadu, zakotvené v čl. 77 odst. 1 GDPR, vykládáno v tom smyslu, že fyzická osoba, která tvrdí, že došlo k porušení povinnosti poskytnout informace, může při uplatnění svého práva podat stížnost požádat o přezkoumání, zda právo členského státu v souladu s čl. 14 odst. 5 písm. c) GDPR stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů?
3)
V případě kladné odpovědi na druhou otázku lze čl. 14 odst. 5 písm. c) GDPR vykládat v tom smyslu, že „vhodná opatření“ uvedená v tomto ustanovení znamenají, že vnitrostátní zákonodárce musí (prostřednictvím právních předpisů) provést opatření týkající se zabezpečení údajů stanovená v článku 32 GDPR?“
22.
Písemná vyjádření předložili UC, maďarský dozorový úřad, maďarská vláda a Komise. Soudní dvůr zaslal účastníkům řízení a zúčastněným stranám otázky k písemnému zodpovězení podle článku 23 statutu Soudního dvora Evropské unie, na které odpověděli UC, česká vláda, maďarská vláda a Komise.
IV. Posouzení
A.
Předběžné poznámky k informační povinnosti a výjimce podle čl. 14 odst. 5 písm. c) GDPR
23.
Poskytování informací subjektům údajů je ústředním prvkem zásady transparentnosti stanovené v čl. 5 odst. 1 písm. a) GDPR. Transparentnost „[umožňuje] subjekt[ům] údajů […] správce a zpracovatele údajů volat k odpovědnosti“, neboť posiluje jejich možnost mít kontrolu nad svými údaji (
5
). Jak je uvedeno v rozsudku ve věci Bara a další, „tento požadavek informování subjektů dotčených zpracováním jejich osobních údajů je o to důležitější, že je nezbytným předpokladem pro to, aby tyto subjekty mohly vykonat své právo na přístup ke zpracovávaným údajům a právo na jejich opravu“ (
6
). Klíčovými ustanoveními v tomto ohledu jsou články 12, 13 a 14 GDPR.
24.
Podle čl. 12 odst. 1 GDPR platí, že správce musí přijmout vhodná opatření, aby informace uvedené v článcích 13 a 14 poskytl „stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků“. Tyto informace jsou obvykle sdělovány v zásadách ochrany soukromí, oznámení o ochraně soukromí nebo prohlášení o ochraně soukromí (
7
).
25.
Obsah a rozsah povinnosti informovat jsou stanoveny v článcích 13 a 14 GDPR. Článek 13 upravuje informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů (přímé shromažďování), zatímco článek 14 upravuje informace poskytované v případě, že osobní údaje od subjektu údajů získány nebyly (nepřímé shromažďování) (
8
). Informace poskytované podle těchto dvou ustanovení se do značné míry překrývají (
9
).
26.
Pokud jde o nepřímé shromažďování údajů, čl. 14 odst. 1 GDPR zahrnuje do „katalogu standardních informací“ (
10
) informace o totožnosti správce údajů, účelech zpracování, příjemcích údajů a případném předání údajů příjemci ve třetí zemi. Mezi dalšími informacemi nezbytnými pro zajištění spravedlivého a transparentního zpracování jsou v čl. 14 odst. 2 GDPR výslovně uvedeny doba, po kterou jsou osobní údaje uloženy, oprávněné zájmy správce (
11
) nebo existence práva požadovat od správce přístup k osobním údajům a jejich opravu nebo výmaz.
27.
Povinnost správce údajů poskytovat informace v případě nepřímého shromažďování podle článku 14 GDPR podléhá čtyřem výjimkám uvedeným v odstavci 5 tohoto článku. Pro věc v původním řízení je relevantní výjimka stanovená v čl. 14 odst. 5 písm. c), který obsahuje „ustanovení o výjimce“ (
12
). Správce je osvobozen od povinnosti poskytovat informace, pokud a do té míry, v níž „je získávání nebo zpřístupnění výslovně stanoveno právem Unie nebo členského státu, které se na správce vztahuje“, a toto právo stanoví „vhodná opatření na ochranu oprávněných zájmů subjektu údajů“.
28.
V anglické jazykové verzi čl. 14 odst. 5 písm. c) GDPR stejně jako v dalších jazykových verzích (
13
) není výslovně uveden předmět úkonu „získávání nebo zpřístupnění“. V řadě jiných jazykových verzí je výslovně uvedeno získávání nebo zpřístupnění „údajů“ (
14
). Zřejmě pouze ve francouzské jazykové verzi je uvedeno získávání nebo zpřístupnění „informací“ (
15
).
29.
Avšak vzhledem k tomu, že všem jazykovým verzím unijního aktu je třeba přiznávat v zásadě stejnou hodnotu, v případě rozdílů mezi těmito verzemi musí být dotčené ustanovení vykládáno podle účelu a celkové systematiky právní úpravy, jejíž je součástí (
16
).
30.
Z obecné systematiky právní úpravy, jejíž součástí je čl. 14 odst. 5 písm. c) GDPR, v tomto ohledu vyplývá, že získávání nebo zpřístupnění se týká osobních údajů (na rozdíl od informací). Již z názvu článku 14 vyplývá, že informace jsou „poskytovány“, zatímco úkon získávání se týká „osobních údajů“. Tento výklad je podpořen bodem 61 odůvodnění, v němž jsou zmíněny „osobní údaje“ získávané z jiného zdroje, a bod 62 odůvodnění, v němž je zmíněno zaznamenání či zpřístupnění „osobních údajů“. Navíc s ohledem na široký dosah pojmu „zpracování“ podle čl. 4 odst. 2 GDPR, kterým se rozumí jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji (
17
), musí být „získávání nebo zpřístupnění“ kvalifikováno jako operace zpracování prováděná s osobními údaji
.
31.
Pokud jde o účel právní úpravy, jejíž součástí je čl. 14 odst. 5 písm. c), základním předpokladem příslušné výjimky podle všeho je, že unijní právo nebo právo členského státu nahrazuje nebo zastupuje povinnost poskytovat informace o získávání nebo zpřístupnění údajů, která zpravidla bývá uložena správci (
18
). Subjekty údajů budou o získávání nebo zpřístupnění údajů dostatečně informovány již na základě relevantní právní normy (
19
). Taková norma, která se vztahuje na správce údajů, se musí výslovně týkat získávání nebo zpřístupnění údajů, přičemž dané získávání nebo zpřístupnění by pro správce údajů mělo být povinné (
20
).
32.
Z výše uvedeného tedy jasně vyplývá, že předmět výjimky týkající se získávání nebo zpřístupnění se týká osobních údajů.
33.
S ohledem na tyto poznámky se budu v rámci analýzy předběžných otázek dále zabývat výjimkou stanovenou v čl. 14 odst. 5 písm. c) GDPR.
B.
K první předběžné otázce
34.
Podstatou první předběžné otázky předkládajícího soudu je, zda čl. 14 odst. 5 písm. c) GDPR musí být vykládán v tom smyslu, že výjimka z povinnosti správce údajů poskytovat subjektu údajů informace se vztahuje pouze na údaje, které správce výslovně získal od jiné osoby, s vyloučením údajů vytvořených vlastním postupem správce.
35.
Tato otázka vyplývá ze skutečnosti, že ve věci v původním řízení nebyly některé údaje obsažené v certifikátech covid-19 získány jinou organizací, ale byly vytvořeny budapešťským úřadem (
21
).
36.
Je tedy třeba určit, zda pojem „získávání“ uvedený v čl. 14 odst. 5 písm. c) GDPR vylučuje údaje vytvořené správcem.
37.
Za účelem odpovědi na tuto otázku je třeba úvodem připomenout, že výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen znění tohoto ustanovení, ale i kontext, do něhož je zasazeno, jakož i cíle a účel, které sleduje akt, jehož je součástí (
22
).
38.
Pokud jde o znění čl. 14 odst. 5 písm. c) GDPR, toto ustanovení nestanoví omezení ve vztahu ke konkrétnímu typu zpracování nebo přesnému způsobu, jakým správce získává údaje. Údaje mohou být získávány technickým postupem, jako je vytváření údajů správcem.
39.
Široké chápání pojmu „získávání“ potvrzuje bod 62 odůvodnění GDPR. V tomto bodě odůvodnění je použit pojem „zaznamenání“ údajů, což je operace, která, jak uvedl předkládající soud, odkazuje na širší skupinu operací zpracování, které může správce údajů provádět. Článek 14 odst. 5 písm. c) proto nelze vykládat tak, že se vztahuje pouze na údaje získané od jiného subjektu, a nikoli na údaje vytvořené správcem.
40.
Tento výklad čl. 14 odst. 5 písm. c) GDPR potvrzuje i kontext, v němž se toto ustanovení vyskytuje, a cíle a účel, které sleduje.
41.
V tomto ohledu je třeba zdůraznit, že výjimky stanovené v čl. 14 odst. 5 souvisejí s odstavci 1 až 4 téhož článku. Věcná působnost článku 14 (jehož součástí je příslušná výjimka) je v porovnání s článkem 13 vymezena negativně. Zatímco článek 13 upravuje informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů, článek 14 upravuje poskytování informací v případě, že osobní údaje od subjektu údajů získány nebyly. Z dichotomie mezi přímým a nepřímým shromažďováním údajů vyplývá, že do věcné působnosti článku 14 spadají všechny případy, kdy údaje nejsou získány od subjektu údajů. Je bezpředmětné, zda jsou údaje vytvořeny správcem, pokud nejsou získány od subjektu údajů. Širokou věcnou působnost článku 14 potvrzuje rovněž bod 61 odůvodnění, v němž je odkazováno na údaje „získáv[ané] z jiného zdroje“, tedy ze zdroje, který není subjektem údajů.
42.
Jak navíc uvedly Komise a maďarský dozorový úřad, pravidla stanovená v článcích 13 a 14 GDPR tvoří v podstatě komplexní systém, který upravuje poskytování informací subjektu údajů ve všech možných situacích. Pokud by měl být pojem „získávání“ uvedený v čl. 14 odst. 5 písm. c) GDPR vykládán tak, že vylučuje údaje vytvořené správcem, mělo by toto ustanovení užší působnost než článek 14, jehož je součástí.
43.
Pokud jde o konkrétní účel příslušné výjimky, jak je uvedeno v předběžných poznámkách v tomto stanovisku, osvobození správce od povinnosti poskytovat informace vychází z předpokladu, že tuto povinnost, která zpravidla bývá uložena správci, nahrazuje právo (
23
). Výjimka stanovená v čl. 14 odst. 5 písm. c) poskytuje členským státům prostor pro uvážení ohledně stanovení odlišné cesty k informování subjektu údajů a zajištění spravedlivého a transparentního zpracování v porovnání s informacemi poskytovanými správcem na individuálním základě. Tato odlišná právní cesta však musí stále vést ke stejnému výsledku. Právo, které zastupuje povinnost informovat uloženou správcům, musí subjektu údajů umožňovat mít kontrolu nad svými údaji a uplatňovat svá práva podle GDPR (
24
).
44.
Výklad čl. 14 odst. 5 písm. c) v tom smyslu, že z jeho působnosti je vyloučeno vytváření údajů správcem, by omezil prostor pro uvážení ponechaný členským státům na základě důvodu, který patrně není relevantní pro ochranu oprávněných zájmů subjektu údajů.
45.
Kromě toho, odlišný výklad – kterým by byla zavedena výjimku z výjimky stanovené v čl. 14 odst. 5 písm. c), pokud jsou údaje vytvořeny správcem údajů – by představoval riziko vzniku další složité situace pro subjekt údajů. Subjekt údajů musí být schopen zjistit, z jakého zdroje získá informace o zpracování svých údajů, pokud tyto údaje nejsou získány od samotného subjektu údajů. Relevantní právní norma musí zajistit, aby zpracování bylo pro subjekt údajů ve všech takových situacích předvídatelné (
25
).
46.
Z výše uvedeného vyplývá, že čl. 14 odst. 5 písm. c) GDPR musí být vykládán v tom smyslu, že výjimka z povinnosti správce údajů poskytnout subjektu údajů informace se vztahuje na veškeré údaje, které správce nezískal od subjektu údajů. V tomto ohledu není relevantní, zda údaje byly výslovně získány od jiného subjektu, nebo zda byly vytvořeny vlastním postupem správce.
C.
Ke druhé předběžné otázce
47.
Podstatou druhé předběžné otázky předkládajícího soudu je, zda čl. 77 odst. 1 GDPR musí být vykládán v tom smyslu, že v rámci řízení o stížnosti má dozorový úřad pravomoc přezkoumat, zda právo členského státu, které se na správce vztahuje, stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů pro účely uplatnění výjimky stanovené v čl. 14 odst. 5 písm. c) tohoto nařízení.
48.
V tomto ohledu je třeba připomenout, že zaprvé podle čl. 77 odst. 1 GDPR platí, že každý subjekt údajů má právo podat stížnost u některého dozorového úřadu, pokud se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení (
26
).
49.
Zadruhé podle čl. 55 odst. 1 uvedeného nařízení je každý dozorový úřad na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením (
27
). Navíc v souladu s čl. 57 odst. 1 písm. a) GDPR jsou vnitrostátní dozorové úřady odpovědné za monitorování a vymáhání uplatňování GDPR.
50.
Ustanovení citovaná v obou výše uvedených bodech nevyjímají z pravomoci vnitrostátních dozorových úřadů podmínky pro uplatňování výjimky stanovené v čl. 14 odst. 5 písm. c) GDPR.
51.
Jak tedy v podstatě uvedly maďarská vláda a Komise, dozorové úřady jsou v souvislosti se stížností podanou podle čl. 77 odst. 1 GDPR nadány pravomocí ověřit, zda jsou splněny veškeré podmínky stanovené v čl. 14 odst. 5 písm. c). Jak vyplývá z první věty čl. 14 odst. 5, veškeré výjimky, které toto ustanovení stanoví, se použijí, „pokud a do té míry, v níž“ jsou splněny podmínky v něm uvedené.
52.
V tomto ohledu musí mít dozorové úřady pravomoc konkrétně zkoumat, zaprvé, zda se dané právo přímo týká správce údajů a zda je získávání nebo zpřístupnění pro správce povinné (
28
). Zadruhé dozorové úřady musí být schopny přezkoumat, zda zákon, z něhož správce vychází, stanoví „vhodná opatření na ochranu oprávněných zájmů subjektu údajů“ a zda je správce schopen doložit, že způsob, jakým získává nebo zpřístupňuje osobní údaje, je v souladu s těmito opatřeními (
29
).
53.
Maďarský dozorový úřad tvrdí, že přezkum otázky, zda vnitrostátní právo stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů, by překračoval rámec jeho úkolů a pravomocí podle článků 57 a 58 GDPR. Tento orgán má za to, že uvedená ustanovení nesvěřují dozorovým úřadům nápravné pravomoci a není možné takové pravomoci uplatnit vůči správci, který pouze dodržoval vnitrostátní právo.
54.
V tomto ohledu je třeba zdůraznit, že posouzení otázky ze strany vnitrostátního dozorového úřadu, zda jsou splněny všechny podmínky pro uplatnění výjimky stanovené v čl. 14 odst. 5 písm. c), nezahrnuje, jak správně uvedla Komise, přezkum platnosti vnitrostátního práva. Dozorový úřad posuzuje pouze otázku, zda je správce údajů oprávněn uplatnit výjimku vůči konkrétnímu subjektu údajů v konkrétní situaci.
55.
Vnitrostátní dozorový úřad je proto povinen přezkoumat žádost subjektu údajů, dle níž by správce údajů neměl být osvobozen od povinnosti poskytovat informace z toho důvodu, že relevantní právní norma nestanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů.
56.
Pokud vnitrostátní dozorový úřad dospěje k závěru, že žádost je neopodstatněná, musí mít osoba, která žádost podala a která tento závěr zpochybňuje, jak vyplývá z článku 78 GDPR, přístup k soudní ochraně, která jí umožní napadnout takové rozhodnutí u vnitrostátních soudů.
57.
Pokud bude mít vnitrostátní dozorový úřad za to, že stížnost je opodstatněná a podmínky pro uplatnění výjimky nejsou splněny, má pravomoc, jak v zásadě tvrdí maďarská vláda a Komise, nařídit správci, aby požadavku subjektu údajů vyhověl. V takové situaci musí správce poskytnout informace podle čl. 14 odst. 1 až 4.
58.
Česká vláda v odpovědi na písemné otázky Soudního dvora tvrdila, že přezkum vhodnosti opatření na ochranu oprávněných zájmů subjektu údajů není možný, pokud vnitrostátní právo cíleně a ve vztahu ke konkrétní situaci stanoví výjimku z povinnosti poskytovat informace. S odvoláním na rozsudek ve věci Schrems (
30
) tato vláda v podstatě uvedla, že přezkum slučitelnosti jednoho pramene práva s jiným pramenem práva přísluší výhradně soudům, a nikoli správnímu orgánu.
59.
V tomto ohledu je třeba připomenout, že jedna z hlavních otázek nastolených ve věci Schrems se týkala pravomocí vnitrostátních orgánů dozoru posoudit žádost osoby týkající se ochrany jejích práv a svobod s ohledem na rozhodnutí Komise obsahující závěr, že třetí země zajišťuje odpovídající úroveň ochrany (
31
). Soudní dvůr v podstatě rozhodl, že vnitrostátní orgány dozoru nejsou oprávněny k tomu, aby při posuzování takové žádosti samy konstatovaly neplatnost takovéhoto rozhodnutí (
32
). Má-li vnitrostátní orgán dozoru za to, že výtky uplatněné osobou, která žádost podala, jsou opodstatněné, musí mít tento orgán možnost obrátit se na soud (
33
).
60.
Rozsudek ve věci Schrems však podle všeho není přímo relevantní, pokud jde o otázku pravomocí dozorových úřadů ve vztahu k přezkumu výjimky stanovené v čl. 14 odst. 5 písm. c) GDPR. Na úvod je třeba zdůraznit, že dozorový úřad v rámci tohoto přezkumu nezasahuje do právní povinnosti získat nebo zpřístupnit osobní údaje uložené správci údajů. Jinými slovy, dozorový úřad nenařizuje správci, aby se zdržel uplatňování legálního požadavku získat nebo zpřístupnit osobní údaje, kterým je správce údajů i nadále vázán. Jak v podstatě tvrdí Komise a maďarská vláda, pravomoc vnitrostátního dozorového úřadu v takové situaci spočívá v tom, že nařídí správci, aby v případě, že nejsou splněny podmínky pro uplatnění příslušné výjimky, poskytl nezbytné informace v oznámení o ochraně soukromí (
34
). Takový příkaz, jak bylo uvedeno výše, nezasahuje do platnosti právní normy, která se na správce vztahuje.
61.
Pravomocí dozorového úřadu nařídit správci, aby poskytl informace, není dotčena pravomoc tohoto úřadu obrátit se na soud, kterou za tímto účelem stanoví vnitrostátní právní předpisy podle čl. 58 odst. 5 GDPR, pokud má za to, že dotčená právní norma je neplatná.
62.
Konečně, jak uvedly všechny zúčastněné strany, na systémovější úrovni má dozorový úřad pravomoc doporučit zákonodárci nebo výkonné moci změnu příslušné právní normy, o níž má za to, že nestanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů. V této souvislosti je třeba připomenout, že dozorové úřady jsou podle čl. 57 odst. 1 písm. c) GDPR odpovědné za poskytování poradenství vnitrostátnímu parlamentu a vládě a dalším institucím a orgánům. Mají rovněž poradní pravomoci stanovené v čl. 58 odst. 3 písm. b) GDPR.
63.
Z výše uvedeného vyplývá, že čl. 77 odst. 1 GDPR musí být vykládán v tom smyslu, že v rámci řízení o stížnosti má dozorový úřad pravomoc přezkoumat, zda jsou splněny všechny podmínky stanovené v čl. 14 odst. 5 písm. c) tohoto nařízení. Konkrétně má pravomoc posoudit otázku, zda právo členského státu, které se vztahuje na správce, stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů.
D.
Ke třetí předběžné otázce
64.
Podstatou třetí předběžné otázky předkládajícího soudu je, zda čl. 14 odst. 5 písm. c) GDPR musí být vykládán v tom smyslu, že „vhodná opatření“ uvedená v tomto ustanovení znamenají, že vnitrostátní zákonodárce musí provést opatření týkající se zabezpečení údajů stanovená v článku 32 tohoto nařízení.
65.
V tomto ohledu je třeba připomenout, že na jedné straně použitelnost výjimky z povinnosti poskytovat informace podle čl. 14 odst. 5 písm. c) GDPR závisí na stanovení „vhodných opatření“ na ochranu oprávněných zájmů subjektu údajů. Na druhé straně z článku 32 GDPR vyplývá, že správce a zpracovatel musí provést „vhodná technická a organizační opatření“, aby zajistili zabezpečení zpracování.
66.
Jak však tvrdí Komise, články 14 a 32 mají odlišnou působnost. Rozsah „vhodných opatření“ je třeba posuzovat v kontextu článku 14 GDPR. Není tedy možné určit jednu z podmínek uplatnění výjimky stanovené v čl. 14 odst. 5 písm. c) provedením pojmu „vhodná technická a organizační opatření“ použitého v jiném ustanovení. Kromě toho se v souvislosti s článkem 32 GDPR jeví jako irelevantní, zda informace poskytuje správce nebo zda je jejich získávání či zpřístupnění upraveno právním předpisem. Předmět přezkumu prováděného dozorovým úřadem proto musí být vymezen oblastí působnosti článku 14.
67.
V článku 14 odst. 5 písm. c) GDPR však není stanoven přesný obsah pojmu „vhodná opatření“. Tento pojem je dostatečně široký, aby mohl zahrnovat jakékoli opatření, které zákonodárce považuje za nezbytné a vhodné. Jak v podstatě uvedla Komise, pojem „vhodná opatření“ je třeba vykládat ve světle zásady transparentnosti stanovené v čl. 5 odst. 1 písm. a) GDPR. V tomto ohledu je důležité vzít v úvahu, že, jak je uvedeno v předběžných poznámkách v tomto stanovisku (
35
), relevantní právní norma je „náhražkou“ informační povinnosti, kterou má zpravidla správce. Stanovení vhodných opatření například v závislosti na kategorii získaných údajů a kontextu, v němž zpracování probíhá, přísluší zákonodárci.
68.
Česká vláda v odpovědi na otázku položenou Soudním dvorem uvedla, že rozsah vhodných opatření je širší než výčet informací uvedený v čl. 14 odst. 1, 2 a 4 GDPR.
69.
Souhlasím s tím, že vhodnost opatření nelze posuzovat pouze na základě „mechanického“ porovnání s informačními povinnostmi správce harmonizovanými GDPR. Bylo by patrně nesmyslné stanovit „ustanovení o výjimce“ podle čl. 14 odst. 5 písm. c) (
36
) a zároveň uložit zcela shodné povinnosti, aniž by zákonodárci byl ponechán jakýkoli prostor pro uvážení. Relevantní právní norma však musí zajistit standard spravedlivého a transparentního zpracování, který je rovnocenný standardu zajištěnému čl. 14 odst. 1 až 4 (
37
). Aby byl subjekt údajů schopen posoudit veškerá rizika spojená se získáváním údajů a jejich zpracováním, musí být (
38
) po prostém přečtení relevantního právního ustanovení jasné, kdo, z jakého důvodu a jakým způsobem údaje zpracovává (
39
). Jak jsem uvedla výše (
40
), odlišná právní cesta musí vést ke stejnému výsledku, který spočívá v tom, že subjekt údajů získá možnost mít kontrolu nad svými údaji a uplatňovat svá práva podle GDPR.
70.
Konkrétní právní důvod zpracování má rovněž vliv na určení „vhodných opatření“ pro konkrétní okolnosti zpracování. V tomto ohledu je třeba připomenout, že z čl. 6 odst. 1 písm. c) a e) GDPR vyplývá, že zpracování je zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje, a pokud je zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu. Pokud jde o takové zpracování, mohou členské státy podle čl. 6 odst. 2 zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel GDPR ohledně zpracování tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování (
41
). Kromě toho podle čl. 9 odst. 2 písm. i) GDPR platí, že pokud je zpracování nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví, musí právo členského státu (nebo unijní právo) stanovit odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů.
71.
Ve věci v původním řízení bylo získávání údajů uloženo nařízením č. 60/2021, které bylo, jak vyplývá ze spisu, přijato na základě čl. 6 odst. 1 písm. c) a e) a čl. 9 odst. 2 písm. i) GDPR. Maďarská vláda tvrdí, že nařízení č. 60/2021 – kromě obecných záruk, které se uplatní na základě právního rámce přijatého k zajištění zákonnosti zpracování – stanoví další záruky. Tato vláda v tomto ohledu uvedla, že jedna z těchto záruk spočívá v tom, že subdodavatelé určení tímto nařízením jsou vlastněni státem a musí dodržovat právní rámec týkající se bezpečnosti údajů platný pro státní orgány a místní správu. Je na předkládajícím soudu, aby ve světle výše uvedených úvah přezkoumal tato tvrzení a posoudil, zda vnitrostátní právo poskytuje vhodná opatření.
72.
S ohledem na výše uvedené se domnívám, že čl. 14 odst. 5 písm. c) GDPR musí být vykládán v tom smyslu, že „vhodná opatření“ uvedená v tomto ustanovení neznamenají, že vnitrostátní zákonodárce musí provést opatření týkající se bezpečnosti údajů stanovená v článku 32 tohoto nařízení.
V. Závěry
73.
Vzhledem ke všem výše uvedeným úvahám navrhuji Soudnímu dvoru, aby na předběžné otázky Kúria (Nejvyšší soud, Maďarsko) odpověděl následovně:
„1)
Článek 14 odst. 5 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že výjimka z povinnosti správce údajů poskytnout subjektu údajů informace se vztahuje na veškeré údaje, které správce nezískal od subjektu údajů. V tomto ohledu není relevantní, zda údaje byly výslovně získány od jiného subjektu, nebo zda byly vytvořeny vlastním postupem správce.
2)
Článek 77 odst. 1 nařízení 2016/679
musí být vykládán v tom smyslu, že v rámci řízení o stížnosti má dozorový úřad pravomoc přezkoumat, zda jsou splněny všechny podmínky stanovené v čl. 14 odst. 5 písm. c) tohoto nařízení. Konkrétněji má pravomoc posoudit otázku, zda právo členského státu, které se vztahuje na správce, stanoví vhodná opatření na ochranu oprávněných zájmů subjektu údajů.
3)
Článek 14 odst. 5 písm. c) nařízení 2016/679
musí být vykládán v tom smyslu, že ‚vhodná opatření‘ uvedená v tomto ustanovení neznamenají, že vnitrostátní zákonodárce musí provést opatření týkající se bezpečnosti údajů stanovená v článku 32 tohoto nařízení.“
(
1
) – Původní jazyk: angličtina.
(
i
) – Název projednávané věci je fiktivní. Neodpovídá skutečnému jménu žádného z účastníků řízení.
(
2
) – Stanovisko generálního advokáta P. Cruz Villalóna ve věci Bara a další (C‑201/14, EU:C:2015:461, bod 74) (kurzivou zvýraznila autorka stanoviska).
(
3
) – Vrabec, U., H., „Data Subject Rights under the GDPR“, Oxford University Press, Oxford, 2021, s. 64.
(
4
) – Nařízení Evropského parlamentu a Rady (EU) ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; dále jen „GDPR“).
(
5
) – Viz Pracovní skupina pro ochranu údajů zřízená podle článku 29, Pokyny k transparentnosti podle nařízení 2016/679, přijaty dne 29. listopadu 2017, 17/EN WP260 rev. 01 (dále jen „pokyny k transparentnosti“), bod 4. Tuto pracovní skupinu poté nahradil Evropský sbor pro ochranu osobních údajů (EDPB). Pokyny k transparentnosti však zůstávají v platnosti. Viz rovněž EDPB, Pokyny 03/2020 ke zpracování údajů o zdravotním stavu pro účely vědeckého výzkumu v souvislosti s rozšířením onemocnění COVID-19, přijato dne 21. dubna 2020, bod 5.1.2.4.
(
6
) – Rozsudek ze dne 1. října 2015, Bara a další (C‑201/14, EU:C:2015:638, bod 33), s odkazem na stanovisko generálního advokáta P. Cruz Villalóna v této věci.
(
7
) – Pokyny k transparentnosti, bod 24. Viz rovněž Vrabec, U., H., Data Subject Rights under the GDPR, op. cit. výše v poznámce pod čarou 3, s. 84.
(
8
) – Viz Zanfir-Fortuna, G., „Article 14. Information to be provided where personal data have not been obtained from the data subject“ in Kuner, C., Bygrave, L. A. a Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, s. 435-448, na s. 436.
(
9
) – Tamtéž, s. 444.
(
10
) – Viz rovněž Vrabec, U., H., Data Subject Rights under the GDPR, op. cit. výše v poznámce pod čarou 3, s. 68.
(
11
) – Pokud je zpracování založeno na čl. 6 odst. 1 písm. f) GDPR.
(
12
) – Jakožto ustanovení, které obsahuje ustanovení o výjimce, dává členským státům možnost stanovit další přísnější nebo odchylná vnitrostátní pravidla a ponechává jim prostor pro uvážení ohledně způsobu, jakým může být příslušné ustanovení uplatňováno (v tomto smyslu viz rozsudek ze dne 30. března 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, bod 51). Viz Knyrim, R., „IV. Ausnahme von der Informationspflicht“ in Ehmann, E. a Selmayr, M., Datenschutz Grundverordnung, DS – GVO, Beck, Mnichov, 2. vydání, 2018, článek 14, body 42-48, v bodě 47.
(
13
) – Konkrétně se jedná o tyto jazykové verze: bulharskou, dánskou, německou, řeckou, španělskou, italskou, lotyšskou, polskou, slovenskou a švédskou.
(
14
) – To platí zejména pro tyto jazykové verze: estonskou („isikuandmed“), litevskou („duomenų“), maďarskou („adat“), nizozemskou („gegevens“), portugalskou („dados“), rumunskou („datelor“) a finskou („tietojen“).
(
15
) – Ve francouzsky psané odborné literatuře se uvádí, že ve francouzské jazykové verzi mělo být uvedeno „údaje“ namísto „informace“, jak tomu bylo v případě ustanovení předcházejícího čl. 14 odst. 5 písm. c) GDPR, konkrétně v čl. 11 odst. 2 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) (viz de Terwangne, C. a Rosier, K., „Section 1. – Droit d’être informée de l’existence de traitements la concernant“ in Le règlement général sur la protection des données (RGPD/GDPR), Larcier, Brusel, 1. vydání, 2018, s. 409-432, poznámka pod čarou 132).
(
16
) – V tomto smyslu viz rozsudek ze dne 21. března 2024, Cobult (C‑76/23, EU:C:2024:253, bod 25 a citovaná judikatura).
(
17
) – V tomto smyslu viz rozsudek ze dne 5. října 2023, Ministerstvo zdravotnictví (Mobilní aplikace covid-19) (C‑659/22, EU:C:2023:745, bod 27).
(
18
) – Ebner, K., „6. Ausschluss der Informationspflicht“, Weniger ist Mehr? Die Informationspflichten der DS-GVO – Eine kritische Analyse, Nomos, Baden-Baden, 2022, s. 272-298, na s. 280. Tento autor rovněž podotýká (na s. 281), že osvobození správce od povinnosti poskytovat informace v situaci stanovené v čl. 14 odst. 5 písm. c) je prostředkem, jak se vyhnout riziku informační „únavy“ nebo informačního „přetížení“; Dix, A., „DSGVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- g) Regelung durch das Recht der Mitgliedstaaten oder der Union (Abs. 5 lit. c)“ in Simitis, S., Hornung, G., a Spiecker, I., Datenschutzrecht DS-GVO mit BDSG Großkommentar, Beck, Mnichov, 2019, body 27-28, v bodě 27 je zmíněna relevantní právní norma jako „dostatečná náhrada“ („hinreichendes Surrogat“) za požadované informace poskytované správcem.
(
19
) – Dix, A., op. cit. výše v poznámce pod čarou 18.
(
20
) – Pokyny k transparentnosti, bod 66. Správci údajů musí být rovněž schopni doložit, jak se na ně daný zákon vztahuje a jak jim ukládá získávání nebo zpřístupnění dotčených osobních údajů.
(
21
) – Viz bod 16 tohoto stanoviska.
(
22
) – Rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatura).
(
23
) – Viz bod 31 výše.
(
24
) – Viz bod 23 výše.
(
25
) – Dix, A., in Simitis, S., Hornung, G. a Spiecker, I., op. cit. v poznámce pod čarou 18, a Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. v poznámce pod čarou 18, s. 281.
(
26
) – Rozsudek ze dne 16. ledna 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, bod 61).
(
27
) – Tamtéž.
(
28
) – Viz pokyny k transparentnosti, bod 66.
(
29
) – Tamtéž.
(
30
) – Rozsudek ze dne 6. října 2015, Schrems (C‑362/14, EU:C:2015:650, bod 65).
(
31
) – Přijaté podle čl. 25 odst. 6 směrnice 95/46.
(
32
) – V tomto smyslu viz rozsudek ze dne 6. října 2015, Schrems (C‑362/14, EU:C:2015:650, bod 62).
(
33
) – Tamtéž, bod 65.
(
34
) – Tím není dotčeno jakékoliv omezení práva na informace, které může být uloženo Unií nebo právem členského státu podle podmínek stanovených v článku 23 GDPR.
(
35
) – Bod 31 tohoto stanoviska.
(
36
) – Viz bod 27 tohoto stanoviska.
(
37
) – V tomto smyslu viz Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. v poznámce pod čarou 18, s. 281, který odkazuje na srovnatelnou úroveň ochrany („vergleichbares Schutzniveau“); Mester, B.-A., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- 3. Ausdrückliche Regelung (Abs. 5 lit. c)“, in Taeger, J. a Gabel, D., DSGVO – BDSG – TTDSG, Beck, Mnichov, 2022, bod 26; Paal, B. a Hennemann, M., „DS-GVO Art. 14 Informationspflicht, wenn die personenbezogenen Daten nicht bei der betroffenen Person erhoben wurden- III. Sonstige Regelung (lit. c)“, in Paal, B. a Pauly, D., Datenschutz-Grundverordnung Bundesdatenschutzgesetz: DS-GVO BDSG, Beck, Mnichov, 2021, bod 42.
(
38
) – Mester, B.-A., in Taeger, J. a Gabel, D., op. cit. v poznámce pod čarou 37.
(
39
) – Ebner, K., „6. Ausschluss der Informationspflicht“, op. cit. v poznámce pod čarou 18, s. 281.
(
40
) – Bod 43 tohoto stanoviska.
(
41
) – Tato konkrétní ustanovení mohou obsahovat prvky uvedené v čl. 6 odst. 3 GDPR, mimo jiné: obecné podmínky, kterými se řídí zákonnost zpracování; typ osobních údajů, které mají být zpracovány; subjekty, kterým lze osobní údaje poskytnout, a účel tohoto poskytování; účelové omezení; doby uložení a jednotlivé operace zpracování a postupy zpracování, jakož i další opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX GDPR.