62023CJ0247
ROZSUDEK SOUDNÍHO DVORA (prvního senátu)
13. března 2025 (
*1
)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. d) – Zásada přesnosti – Článek 16 – Právo na opravu – Článek 23 – Omezení – Údaje o genderové identitě – Nepřesné údaje od jejich zápisu do veřejného rejstříku – Důkazní prostředky – Správní praxe, podle níž je požadován důkaz o chirurgickém zákroku spočívajícím ve změně pohlaví“
Ve věci C‑247/23 [Deldits] (
i
),
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Fővárosi Törvényszék (Soud hlavního města Budapešti, Maďarsko) ze dne 29. března 2023, došlým Soudnímu dvoru dne 18. dubna 2023, v řízení
VP
proti
Országos Idegenrendézeti Főigazgatóság,
SOUDNÍ DVŮR (první senát),
ve složení: K. Lenaerts, předseda Soudního dvora vykonávající funkci předsedy prvního senátu, T. von Danwitz (zpravodaj), místopředseda Soudního dvora, M. L. Arastey Sahún, předsedkyně pátého senátu, A. Kumin a I. Ziemele, soudci,
generální advokát: A. M. Collins,
za soudní kancelář: I. Illéssy, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 3. června 2024,
s ohledem na vyjádření, která předložili:
–
za VP, G. Győző, ügyvéd, E. Polgári a T. L. Sepsi, ügyvéd,
–
za maďarskou vládu: M. Z. Fehér a R. Kissné Berta, jako zmocněnci,
–
za estonskou vládu: N. Grünberg, jako zmocněnkyně,
–
za španělskou vládu: S. Núñez Silva a A. Pérez-Zurita Gutiérrez, jako zmocněnci,
–
za francouzskou vládu: R. Bénard, B. Dourthe a B. Fodda, jako zmocněnci,
–
za nizozemskou vládu: M. K. Bulterman, A. Hanje a J. M. Hoogveld, jako zmocněnci,
–
za portugalskou vládu: P. Barros da Costa, A. Pimenta, J. Ramos a Â. Seiça Neves, jako zmocněnci,
–
za Evropskou komisi: A. Bouchagiar, H. Kranenborg a Zs. Teleki, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 12. září 2024,
vydává tento
Rozsudek
1
Žádost o rozhodnutí o předběžné otázce se týká výkladu článku 16 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) (dále jen „GDPR“).
2
Tato žádost byla předložena v rámci sporu mezi VP, fyzickou osobou, a Országos Idegenrendészeti Főigazgatóság (Národní generální ředitelství cizinecké policie, Maďarsko, dále jen „azylový orgán“) ve věci opravy údajů o genderové identitě osoby VP ve veřejném rejstříku vedeném tímto orgánem.
Právní rámec
Unijní právo
3
V bodech 1, 10, 59 a 73 odůvodnění GDPR je uvedeno:
„(1)
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen ‚Listina‘) a čl. 16 odst. 1 [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
[…]
(10)
S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci [Evropské u]nie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. Pokud jde o zpracování osobních údajů z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, měly by mít členské státy možnost zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat uplatňování pravidel tohoto nařízení. […]
[…]
(59)
Je třeba stanovit postupy, které by usnadnily výkon práv subjektů údajů podle tohoto nařízení, včetně mechanismů pro podávání žádostí a případně bezplatného obdržení přístupu k osobním údajům a opravy nebo výmazu osobních údajů a pro uplatnění práva vznést námitku. […]
[…]
(73)
Právo Unie nebo členského státu může uložit omezení určitých zásad a práva na […] na opravu nebo na výmaz osobních údajů, […] pokud je to v demokratické společnosti nutné a přiměřené pro zachování veřejné bezpečnosti, mimo jiné […] pro předcházení trestným činům nebo jejich vyšetřování či stíhání nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení […], pro jiné významné cíle obecného veřejného zájmu Unie nebo členského státu, zejména jedná-li se o […] vedení veřejných rejstříků z důvodů obecného veřejného zájmu, […] nebo s ohledem na ochranu subjektu údajů či práv a svobod ostatních, včetně sociální ochrany, veřejného zdraví a humanitárních účelů. Tato omezení by měla být v souladu s požadavky stanovenými v Listině a v [Evropské úmluvě o ochraně lidských práv a základních svobod, podepsané v Římě dne 4. listopadu 1950 (dále jen ‚EÚLP‘)].“
4
V článku 1 GDPR, nadepsaném „Předmět a cíle“, je v odstavci 2 stanoveno:
„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“
5
V článku 2 GDPR, nadepsaném „Věcná působnost“, je v odstavci 1 stanoveno:
„Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.“
6
V článku 4 GDPR, nadepsaném „Definice“, je stanoveno:
„Pro účely tohoto nařízení se rozumí:
1)
‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby;
2)
‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[…]“
7
V článku 5 GDPR, nadepsaném „Zásady zpracování osobních údajů“, je v odstavci 1 stanoveno:
„Osobní údaje musí být:
[…]
d)
přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny (‚přesnost‘);
[…]“
8
V článku 6 GDPR, nadepsaném „Zákonnost zpracování“, je stanoveno:
„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
[…]
c)
zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
[…]
e)
zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
[…]
2.   Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.
3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a)
právem Unie nebo
b)
právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.
[…]“
9
V článku 16 GDPR, nadepsaném „Právo na opravu“, je stanoveno:
„Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.“
10
V článku 23 GDPR, nadepsaném „Omezení“, je v odstavci 1 stanoveno:
„Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
a)
národní bezpečnost;
b)
obranu;
c)
veřejnou bezpečnost;
d)
prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení;
e)
jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu, zejména důležitý hospodářský nebo finanční zájem Unie nebo členského státu, včetně měnových, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;
[…]
h)
monitorovací, inspekční nebo regulační funkci spojenou, i pouze příležitostně, s výkonem veřejné moci v případech uvedených v písmenech a) až e) a g);
[…]“
Maďarské právo
11
V ustanovení § 81 menedékjogról szóló 2007. évi LXXX. törvény (zákon č. LXXX z roku 2007 o právu na azyl) ze dne 29. června 2007 (Magyar Közlöny 2007/83, dále jen „zákon o právu na azyl“) je stanoveno:
„Příslušný azylový orgán zpracovává osobní údaje uprchlíků, osob požívajících doplňkové ochrany, osob, které byly přijaty v rámci programů přesídlování, osob požívajících dočasné ochrany, jakož i osob žádajících o mezinárodní ochranu a osob, na které se vztahuje dublinské řízení (dále společně jen ‚osoby, na které se vztahuje tento zákon‘), údaje o jejich pobytu a o pomoci a podpoře, na kterou mají nárok, jakož i následné změny těchto údajů, za účelem:
a)
ověření, zda mají postavení uprchlíka, osoby požívající doplňkové ochrany, osoby požívající dočasné ochrany nebo osoby, která byla přijata v rámci programů přesídlování, a zajištění, aby byli oprávněni požívat práv vyplývajících z tohoto postavení;
b)
ověření, zda mají nárok na pomoc a podporu ve smyslu tohoto zákona a dalších právních předpisů;
c)
jejich osobní identifikace;
d)
zabránění zdvojování postupů a
e)
zjištění, zda byla žádost podána vícekrát.“
12
V ustanovení § 82 zákona o právu na azyl je stanoveno:
„Pro účely této kapitoly se za identifikační údaje fyzických osob považují následující údaje osob, na které se vztahuje tento zákon:
[…]
f) pohlaví;“
13
V ustanovení § 83 odst. 1 tohoto zákona je stanoveno:
„Azylový rejstřík obsahuje následující údaje o osobách, na které se vztahuje tento zákon:
a)
identifikační údaje fyzických osob;
[…]“
14
V ustanovení § 83 odst. 5 uvedeného zákona je stanoveno:
„Příslušný azylový orgán je povinen z moci úřední provést výmaz zápisů, které jsou v rozporu s právními předpisy, opravu nesprávných zápisů a doplnit vynechané zápisy v úředním rejstříku, který vede.“
Spor v původním řízení a předběžné otázky
15
VP je osobou íránské státní příslušnosti, které bylo v Maďarsku v roce 2014 přiznáno postavení uprchlíka. Na podporu žádosti o přiznání tohoto postavení se osoba VP dovolávala své transsexuality a předložila lékařská potvrzení vystavená odborníky z oboru psychiatrie a gynekologie. V těchto potvrzeních je uvedeno, že ač se osoba VP narodila jako žena, má mužskou genderovou identitu. Po přiznání postavení uprchlíka na tomto základě však byla osoba VP zaregistrována jako žena v azylovém rejstříku, který je v souladu s ustanoveními zákona o azylu veden azylovým orgánem a jsou v něm obsaženy identifikační údaje, včetně pohlaví, fyzických osob, kterým bylo toto postavení přiznáno.
16
V průběhu roku 2022 podala osoba VP na základě článku 16 GDPR u azylového orgánu žádost o opravu údajů o svém pohlaví, v níž se domáhala opravy údajů o svém pohlaví na mužské a změny svého křestního jména v azylovém registru. Osoba VP k této žádosti přiložila uvedená lékařská potvrzení. Rozhodnutím ze dne 11. října 2022 azylový orgán uvedenou žádost zamítl s odůvodněním, že osoba VP neprokázala, že podstoupila chirurgický zákrok spočívající ve změně pohlaví, a předložená potvrzení prokazují pouze její transsexuální identitu.
17
Osoba VP podala proti tomuto rozhodnutí žalobu na neplatnost k Fővárosi Törvényszék (Soud hlavního města Budapešti, Maďarsko), který je předkládajícím soudem. Na podporu své žaloby osoba VP tvrdí, že transsexuální identita z podstaty věci znamená změnu genderové identity a předložená lékařská potvrzení tuto změnu potvrzují. Z judikatury Evropského soudu pro lidská práva vyplývá, že pro účely uznání změny genderové identity nelze vyžadovat chirurgický zákrok spočívající ve změně pohlaví. Takový požadavek by byl rovněž v rozporu zejména s články 3 a 7 Listiny. VP kromě toho tvrdí, že některé členské státy, včetně Belgického království, Dánského království, Irska, Řecké republiky, Republiky Malta, Portugalské republiky a Švédského království, uznávají změny genderové identity na základě prohlášení dotčených osob. Osoba VP upřesňuje, že lékařská potvrzení předložená na podporu její žaloby u ní poukazují na mužský vzhled a pro účely diagnózy výslovně uvádějí kód F64.0 mezinárodní klasifikace nemocí vypracované Světovou zdravotnickou organizací (WHO) používaný pro transsexualismus.
18
Azylový orgán navrhuje, aby byla žaloba zamítnuta.
19
Podle předkládajícího soudu sice zákon o právu na azyl obsahuje obecné ustanovení o opravě nesprávných zápisů, nicméně nestanoví se v něm postup ani podmínky pro uznání změny genderové identity nebo křestního jména v souvislosti s takovou změnou. V tomto ohledu Alkotmánybíróság (Ústavní soud, Maďarsko) v nálezu č. 6/2018 ze dne 27. června 2018 konstatoval, že nepřijetí postupu, jenž by umožnil osobám bez maďarské státní příslušnosti, které oprávněně pobývají v Maďarsku, změnit údaj týkající se jejich pohlaví a křestního jména, ze strany maďarského zákonodárce, zatímco maďarským státním příslušníkům byla tato možnost poskytnuta, je protiústavní. Mimoto Evropský soud pro lidská práva v rozsudku ze dne 16. července 2020, Rana v. Maďarsko (CE:ECHR:2020:0716JUD004088817), rozhodl, že Maďarsko porušilo EÚLP, neboť nestanovilo postup pro právní uznání změny genderové identity pro uprchlíky. Navzdory těmto rozsudkům uvedený stav právního vakua přetrvává dodnes.
20
Uvedenou situaci podle předkládajícího soudu zhoršuje okolnost, že od roku 2020 přestala existovat možnost uznat změnu genderové identity i pro maďarské státní příslušníky. Právě z důvodu této nemožnosti právního uznání genderové identity podle vnitrostátního práva podala osoba VP žalobu na základě článku 16 GDPR. V takovém kontextu si předkládající soud klade otázku, zda tento článek ukládá azylovému orgánu povinnost opravit údaje týkající se pohlaví v azylovém rejstříku, a pokud ano, jaké důkazy musí dotčená osoba předložit na podporu své žádosti.
21
Za těchto podmínek se Fővárosi Törvényszék (soud hlavního města Budapešti) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být článek 16 GDPR vykládán v tom smyslu, že orgán odpovědný za vedení rejstříků podle vnitrostátního práva je povinen v souvislosti s výkonem práv subjektu údajů opravit osobní údaje týkající se pohlaví této osoby, které tento orgán zapsal, pokud se tyto údaje od doby zápisu do rejstříku změnily a z tohoto důvodu nejsou v souladu se zásadou přesnosti stanovenou v čl. 5 odst. 1 písm. d) GDPR?
2)
V případě kladné odpovědi na první předběžnou otázku, musí být článek 16 GDPR vykládán v tom smyslu, že vyžaduje, aby osoba, která žádá o opravu údajů týkajících se jejího pohlaví, předložila důkazy na podporu své žádosti o opravu?
3)
V případě kladné odpovědi na druhou předběžnou otázku, musí být článek 16 GDPR vykládán v tom smyslu, že žádající osoba je povinna prokázat, že podstoupila chirurgický zákrok spočívající ve změně pohlaví?“
K předběžným otázkám
K první otázce
22
Podstatou první otázky předkládajícího soudu je, zda musí být článek 16 GDPR vykládán v tom smyslu, že vnitrostátnímu orgánu pověřenému vedením veřejného rejstříku ukládá povinnost opravit osobní údaje týkající se genderové identity fyzické osoby, pokud tyto údaje nejsou přesné ve smyslu čl. 5 odst. 1 písm. d) tohoto nařízení.
23
Úvodem je třeba připomenout, že podle článku 16 GDPR má subjekt údajů právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se týkají subjektu údajů. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.
24
Toto ustanovení je konkrétním vyjádřením základního práva, jež je zakotveno v čl. 8 odst. 2 druhé větě Listiny, podle kterého má každý právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu.
25
Mimoto článek 16 GDPR musí být vykládán zaprvé ve světle čl. 5 odst. 1 písm. d) GDPR, který zakotvuje zásadu přesnosti, podle níž musí být zpracovávané údaje přesné a v případě potřeby aktualizované, přičemž je upřesněno, že musí být přijata veškerá rozumná opatření, aby byly údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, bezodkladně vymazány nebo opraveny. Zadruhé musí být toto ustanovení vykládáno rovněž ve světle bodu 59 odůvodnění GDPR, z něhož vyplývá, že mají být stanoveny postupy, které usnadní výkon práv subjektů údajů podle tohoto nařízení, včetně mechanismů pro podávání žádosti a mimo jiné opravy osobních údajů.
26
V tomto ohledu je třeba upřesnit, že podle judikatury Soudního dvora se musí přesnost a úplnost osobních údajů posuzovat s ohledem na účely, pro který byly tyto údaje shromažďovány (obdobně viz rozsudek ze dne 20. prosince 2017, Nowak, C‑434/16, EU:C:2017:994, bod 53).
27
Pro účely výkladu článku 16 GDPR je třeba nakonec ještě připomenout, že cíl sledovaný GDPR spočívá, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, zejména v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 21 a citovaná judikatura).
28
V souladu s tímto cílem musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů uvedenými v článku 5 GDPR, včetně zásady přesnosti, jež je připomenuta v bodě 25 tohoto rozsudku, ale musí taktéž splňovat podmínky zákonnosti zpracování vyjmenované v článku 6 uvedeného nařízení (v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 22 a citovaná judikatura).
29
Za těchto podmínek představuje udržování aktuálnosti zpracovávaných údajů zásadní aspekt ochrany subjektu údajů s ohledem na zpracování těchto údajů.
30
V projednávané věci je nesporné, že jednak informace o genderové identitě osoby VP lze kvalifikovat jako „osobní údaje“, neboť se týkají identifikované nebo identifikovatelné fyzické osoby ve smyslu čl. 4 bodu 1 GDPR, a jednak byly tyto údaje „zpracovávány“ ve smyslu čl. 4 bodu 2 tohoto nařízení, jelikož byly shromážděny a zapsány azylovým orgánem ve veřejném rejstříku, a sice v azylovém rejstříku. Takové zpracování, které se týká údajů, které jsou nebo mají být obsaženy v evidenci, tudíž spadá do oblasti věcné působnosti uvedeného nařízení podle jeho čl. 2 odst. 1 (obdobně viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 30).
31
Zatímco podle všeho v rámci sporu v původním řízení nebylo zpochybňováno, že azylový orgán dodržel podmínky zákonnosti dotčeného zpracování ve smyslu článku 6 GDPR, osoba VP, jež žádá o opravu osobních údajů o své genderové identitě podle článku 16 uvedeného nařízení, zpochybňuje skutečnost, že azylový orgán dodržel zásadu správnosti uvedenou v čl. 5 odst. 1 písm. d) tohoto nařízení.
32
Ve světle judikatury připomenuté v bodě 26 tohoto rozsudku přísluší předkládajícímu soudu, aby ověřil správnost údajů dotčených ve věci v původním řízení s ohledem na účely, pro který byly shromážděny, a ve světle čl. 81 písm. c) zákona o právu na azyl zejména posoudil, zda účelem shromáždění těchto údajů bylo identifikovat dotčenou osobu. Pokud by tomu tak bylo, uvedené údaje by se podle všeho týkaly hluboce prožívaného a niterného pocitu vlastního genderu této osoby, a nikoli pohlaví přiřazeného při narození. V takovém kontextu na rozdíl od toho, co tvrdí maďarská vláda, by příslušelo správci, v projednávané věci azylovému orgánu, aby zohlednil genderovou identitu uvedené osoby v okamžiku zápisu uvedené identity do azylového rejstříku, a nikoli pohlaví přiřazené při narození.
33
Jak tedy v podstatě uvedl generální advokát v bodech 31 a 40 svého stanoviska a s ohledem na spis, který má Soudní dvůr k dispozici, podle kterého Maďarsko v rámci řízení o přiznání postavení uprchlíka připustilo, že osoba VP je transgender osobou, jsou osobní údaje o její genderové identitě, které jsou uvedeny v azylovém rejstříku, podle všeho nesprávné od okamžiku jejich zápisu.
34
V tomto ohledu se na rozdíl od toho, co tvrdí maďarská vláda, členský stát nemůže dovolávat zvláštních ustanovení vnitrostátního práva přijatých na základě čl. 6 odst. 2 a 3 GDPR, aby bránil v uplatnění práva na opravu, jež je zakotveno v čl. 8 odst. 2 Listiny a konkrétně vyjádřeno v článku 16 GDPR.
35
Z bodu 10 třetí věty odůvodnění GDPR totiž vyplývá, že tato zvláštní ustanovení mají pouze dále konkretizovat uplatňování pravidel obsažených v GDPR, a nikoli se od nich odchylovat.
36
Právo na opravu, jež je stanoveno v článku 16 GDPR, lze dále omezit pouze podmínkami, jež jsou stanoveny v článku 23 uvedeného nařízení, vykládanými ve spojení s bodem 73 jeho odůvodnění. Členský stát může prostřednictvím vnitrostátních legislativních opatření mimo jiné stanovit omezení tohoto práva u osobních údajů, jež jsou obsaženy ve veřejných rejstřících vedených z důvodů obecného veřejného zájmu. V projednávané věci však, jak v podstatě uvedl generální advokát v bodě 44 svého stanoviska, ze spisu, který má Soudní dvůr k dispozici, nevyplývá, že by maďarský zákonodárce při dodržení podmínek uvedených v článku 23 GDPR omezil rozsah uvedeného práva na opravu, ani že by azylový orgán odůvodnil odmítnutí provést požadovanou opravu uplatněním takového zákonného omezení. S výhradou ověření, které bude muset provést předkládající soud, se totiž podle všeho toto odmítnutí neopírá o legislativní opatření, jež by bylo přijato na základě článku 23 GDPR, ale o úvahu, že osoba VP nepředložila důkaz o své genderové identitě.
37
Členský stát se každopádně nemůže dovolávat skutečnosti, že v jeho vnitrostátním právu neexistuje postup pro právní uznání transgenderové identity, aby bránil v uplatnění práva na opravu. V tomto ohledu je třeba připomenout, že ač unijní právo nezasahuje do pravomoci členských států v oblasti osobního stavu osob a právního uznávání jejich genderové identity, musí tyto státy při výkonu této pravomoci dodržovat unijní právo. Vnitrostátní právní úprava, která brání tomu, aby transgender osoba, pokud nebyla uznána její genderová identita, mohla splnit podmínku nezbytnou pro požívání takového práva chráněného unijním právem, jako je v projednávané věci právo zakotvené v čl. 8 odst. 2 Listiny a konkretizované v článku 16 GDPR, musí být v zásadě považována za neslučitelnou s unijním právem (obdobně viz rozsudek ze dne 4. října 2024, Mirin, C‑4/23, EU:C:2024:845, body 53 a 60, jakož i citovaná judikatura).
38
S ohledem na všechny výše uvedené úvahy je třeba na první otázku odpovědět tak, že článek 16 GDPR musí být vykládán v tom smyslu, že vnitrostátnímu orgánu pověřenému vedením veřejného rejstříku ukládá povinnost opravit osobní údaje týkající se genderové identity fyzické osoby, pokud tyto údaje nejsou přesné ve smyslu čl. 5 odst. 1 písm. d) tohoto nařízení.
Ke druhé a třetí otázce
39
Podstatou druhé a třetí otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda článek 16 GDPR musí být vykládán v tom smyslu, že členský stát může podmínit výkon práva na opravu osobních údajů týkajících se genderové identity fyzické osoby, které jsou obsaženy ve veřejném rejstříku, správní praxí spočívající v povinnosti předložit důkazy zejména o chirurgickém zákroku spočívajícím ve změně pohlaví.
40
Jak uvedl generální advokát v bodě 47 svého stanoviska, článek 16 GDPR neupřesňuje, jaké důkazy může správce údajů požadovat za účelem prokázání nepřesnosti osobních údajů, o jejichž opravu žádá fyzická osoba.
41
V tomto kontextu platí, že ač subjekt údajů, který žádá o opravu těchto údajů, může být povinen předložit relevantní a dostatečné důkazy, které od něj lze s ohledem na okolnosti projednávaného případu rozumně vyžadovat k prokázání nesprávnosti uvedených údajů [obdobně viz rozsudek ze dne 8. prosince 2022, Google (Odstranění odkazu na údajně nepravdivý obsah), C‑460/20, EU:C:2022:962, body 68 a 72], je třeba upřesnit, jak bylo připomenuto v bodě 36 tohoto rozsudku, že členský stát může omezit výkon práva na opravu pouze tehdy, dodrží-li článek 23 GDPR.
42
V článku 23 odst. 1 GDPR je přitom stanoveno, že právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34 tohoto nařízení, jakož i v jeho článku 5 v rozsahu, v němž ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22 uvedeného nařízení, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit určité cíle vyjmenované v tomto nařízení, jako jsou zejména důležité cíle obecného veřejného zájmu Unie nebo členského státu. Jak bylo uvedeno v bodě 36 tohoto rozsudku, právo na opravu může být omezeno v kontextu vedení veřejných rejstříků u údajů uchovávaných z důvodů obecného veřejného zájmu, zejména za účelem zajištění spolehlivosti a soudržnosti těchto rejstříků.
43
V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že dotčený členský stát zavedl správní praxi, podle níž je výkon práva transgender osoby na opravu údajů o její genderové identitě, které jsou uvedeny ve veřejném rejstříku, podmíněn předložením důkazů o chirurgickém zákroku spočívajícím ve změně pohlaví. Taková správní praxe vede k omezení práva na opravu, které musí být v souladu s podmínkami uvedenými v článku 23 GDPR, jak bylo připomenuto ve dvou předchozích bodech tohoto rozsudku.
44
Zaprvé je třeba uvést, že tato správní praxe nesplňuje požadavek, podle kterého právo členského státu může omezit rozsah práva stanoveného v článku 16 GDPR pouze prostřednictvím legislativních opatření. S výhradou ověření předkládajícím soudem totiž maďarské právo podle všeho neobsahuje žádné legislativní opatření týkající se důkazních požadavků stanovených pro případ opravy údajů o genderové identitě osob, jež jsou zapsány v azylovém rejstříku.
45
Zadruhé taková správní praxe zasahuje do podstaty základních práv zaručených Listinou, a zejména do podstaty práva na nedotknutelnost lidské osobnosti zakotveného v článku 3 Listiny a práva na respektování soukromého života uvedeného v článku 7 Listiny.
46
V tomto ohledu je třeba připomenout, že v souladu s čl. 52 odst. 3 Listiny mají práva zaručená Listinou stejný smysl a rozsah jako práva zaručená EÚLP, která představuje minimální úroveň ochrany (v tomto smyslu viz rozsudek ze dne 4. října 2024, Mirin, C‑4/23, EU:C:2024:845, bod 63 a citovaná judikatura).
47
Z ustálené judikatury Evropského soudu pro lidská práva přitom vyplývá, že článek 8 EÚLP, který odpovídá článku 7 Listiny, chrání genderovou identitu osoby jako konstitutivní prvek a jeden z nejintimnějších aspektů jejího soukromého života. Toto ustanovení zahrnuje právo každého na zjištění podrobností o jeho identitě jako lidské bytosti, což pojímá právo transgender osob na duševní pohodu a fyzickou a morální integritu a na respektování a uznání jejich genderové identity. Tento článek 8 ukládá za tímto účelem státům vedle negativních povinností, jejichž cílem je chránit transgender osoby před svévolnými zásahy orgánů veřejné moci, také pozitivní povinnosti, které zahrnují zavedení účinných a dostupných řízení zaručujících účinné dodržování jejich práva na genderovou identitu. S ohledem na zvláštní význam tohoto práva mají mimoto státy v této oblasti pouze omezený prostor pro uvážení (v tomto smyslu viz rozsudek ze dne 4. října 2024, Mirin, C‑4/23, EU:C:2024:845, body 64 a 65, jakož i citovaná judikatura).
48
V této souvislosti Evropský soud pro lidská práva zejména konstatoval, že uznání genderové identity transgender osoby nemůže být podmíněno provedením chirurgického zákroku, který si tato osoba nepřeje (v tomto smyslu viz rozsudek ESLP ze dne 19. ledna 2021, X a Y v. Rumunsko, CE:ECHR:2021:0119JUD000214516, body 165 a 167, jakož i citovaná judikatura).
49
Zatřetí taková správní praxe, jako je praxe dotčená ve věci v původním řízení, není každopádně nezbytná ani přiměřená k zajištění spolehlivosti a soudržnosti takového veřejného rejstříku, jako je azylový rejstřík, neboť lékařské potvrzení, včetně předchozího psychodiagnostického vyšetření, může v tomto ohledu představovat relevantní a dostatečný důkaz (v tomto smyslu viz rozsudek ESLP ze dne 6. dubna 2017, A. P., Garçon a Nicot v. Francie, CE:ECHR:2017:0406JUD007988512, body 139 a 142).
50
S ohledem na výše uvedené úvahy je třeba na druhou a třetí otázku odpovědět tak, že článek 16 GDPR musí být vykládán v tom smyslu, že pro účely výkonu práva na opravu osobních údajů týkajících se genderové identity fyzické osoby, které jsou obsaženy ve veřejném rejstříku, může být tato osoba povinna poskytnout relevantní a dostatečné důkazy, které lze po uvedené osobě rozumně požadovat k prokázání nesprávnosti těchto údajů. Členský stát však nikdy nesmí prostřednictvím správní praxe výkon tohoto práva podmínit předložením důkazů o chirurgickém zákroku spočívajícím ve změně pohlaví.
K nákladům řízení
51
Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:
1)
Článek 16 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
vnitrostátnímu orgánu pověřenému vedením veřejného rejstříku ukládá povinnost opravit osobní údaje týkající se genderové identity fyzické osoby, pokud tyto údaje nejsou přesné ve smyslu čl. 5 odst. 1 písm. d) tohoto nařízení.
2)
Článek 16 nařízení 2016/679
musí být vykládán v tom smyslu, že
pro účely výkonu práva na opravu osobních údajů týkajících se genderové identity fyzické osoby, které jsou obsaženy ve veřejném rejstříku, může být tato osoba povinna poskytnout relevantní a dostatečné důkazy, které lze po uvedené osobě rozumně požadovat k prokázání nesprávnosti těchto údajů. Členský stát však nikdy nesmí prostřednictvím správní praxe výkon tohoto práva podmínit předložením důkazů o chirurgickém zákroku spočívajícím ve změně pohlaví.
Podpisy
(
*1
) – Jednací jazyk: maďarština.
(
i
) – Název projednávané věci je fiktivní. Neodpovídá skutečnému jménu žádné ze zúčastněných stran.