62023CC0416
STANOVISKO GENERÁLNÍHO ADVOKÁTA
JEANA RICHARDA DE LA TOUR
přednesené dne 5. září 2024 (
1
)
Věc C‑416/23
Österreichische Datenschutzbehörde
za účasti:
F R,
Bundesministerin für Justiz
[žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgerichtshof (Správní soudní dvůr, Rakousko)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 57 odst. 4 – Úkoly dozorového úřadu – Žádost – Pojem – Nepřiměřené žádosti – Pojem – Článek 77 odst. 1 – Právo podat stížnost – Uložení přiměřeného poplatku na základě administrativních nákladů nebo odmítnutí dozorového úřadu žádosti vyhovět – Kritéria, kterými se řídí volba dozorového úřadu“
I. Úvod
1.
Článek 57 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
2
) (dále jen „GDPR“) nabízí dozorovým úřadům v případech, kdy čelí zjevně nedůvodným nebo nepřiměřeným žádostem, zejména protože se opakují, možnost uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout těmto žádostem vyhovět.
2.
Odůvodnění tohoto procesního nástroje vychází z myšlenky, že zatímco subjekty údajů musí mít možnost snadno se u dozorových úřadů domáhat dodržování svých práv, která jim vyplývají z GDPR, dozorové úřady by měly mít možnost vyhradit si zvláštní zacházení pro nepřiměřené žádosti, aby bylo zaručeno jejich řádné fungování a zachována jejich schopnost zcela plnit své povinnosti.
3.
Je však ještě nutné definovat, co v tomto ohledu představuje nepřiměřenost. To je hlavní otázka, která je předmětem této žádosti o rozhodnutí o předběžné otázce.
4.
Tato žádost byla podána v rámci sporu mezi Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „DSB“) a F R, který se týká odmítnutí tohoto úřadu, na základě čl. 57 odst. 4 GDPR, vyhovět stížnosti podané F R podle čl. 77 odst. 1 uvedeného nařízení.
II. Skutkové okolnosti sporu v původním řízení a předběžné otázky
5.
Dne 17. února 2020 podal F R u DSB stížnost podle čl. 77 odst. 1 GDPR z důvodu porušení svého práva na přístup podle článku 15 uvedeného nařízení s odůvodněním, že správce neodpověděl na jeho žádost o přístup do jednoho měsíce.
6.
Na základě čl. 57 odst. 4 uvedeného nařízení DSB rozhodnutím ze dne 22. dubna 2020 odmítl této stížnosti vyhovět a označil ji za „nepřiměřenou“. V této souvislosti zejména uvedl, že mu subjekt údajů zaslal v průběhu přibližně 20 měsíců 77 stížností, v nichž namítal, že různí správci nereagovali do jednoho měsíce na jeho žádosti o přístup nebo výmaz (
3
). Kromě toho F R pravidelně telefonicky kontaktoval tento úřad, aby uvedl další skutečnosti a konzultoval s ním případné podání dalších stížností.
7.
F R proti tomuto rozhodnutí podal žalobu k Bundesverwaltungsgericht (Spolkový správní soud, Rakousko). Rozsudkem ze dne 22. prosince 2022 tento soud této žalobě vyhověl a rozhodnutí zrušil. V podstatě rozhodl, že nepřiměřenost ve smyslu čl. 57 odst. 4 GDPR předpokládá nejen časté opakování žádostí, ale také to, že jsou zjevně šikanózní nebo zneužívající. Podle tohoto soudu však z odůvodnění DSB, proč odmítl vyhovět stížnosti F R, nevyplývá existence zneužívajícího přístupu F R. Kromě toho tento úřad nemohl libovolně volit mezi uložením přiměřeného poplatku za „nepřiměřenou“ žádost a odmítnutím vyřízení takové žádosti. Tuto volbu měl uvedený úřad odůvodnit, což se v projednávané věci nestalo.
8.
Verwaltungsgerichtshof (Správní soudní dvůr, Rakousko), k němuž DSB podal proti tomuto rozsudku opravný prostředek Revision a který je předkládajícím soudem v projednávané věci, se nejprve táže, zda lze pojem „stížnost“ uvedený v čl. 77 odst. 1 GDPR ztotožnit s pojmem „žádost“ ve smyslu čl. 57 odst. 4 tohoto nařízení.
9.
V tomto ohledu tento soud uvádí, že záporná odpověď na tuto otázku by znamenala, že dozorový úřad by na základě tohoto ustanovení nemohl odmítnout vyhovět stížnostem nebo uložit přiměřený poplatek za jejich vyřízení bez ohledu na to, zda jsou nedůvodné nebo nepřiměřené. Podle tohoto soudu však nejsilnější argumenty hovoří pro zahrnutí stížností uvedených v čl. 77 odst. 1 směrnice GDPR do působnosti čl. 57 odst. 4 tohoto nařízení.
10.
Zadruhé má předkládající soud pochybnosti o tom, jaký význam je třeba přikládat pojmu „nepřiměřené žádosti“ ve smyslu posledně uvedeného ustanovení. Tento soud zejména uvádí, že i když je opakovaná povaha žádostí uváděna jako příklad nepřiměřených žádostí, je třeba vzít v úvahu skutečnost, že možnost dozorového úřadu odmítnout stížnosti vyhovět vede k významnému narušení ochrany, na kterou mají subjekty údajů podle GDPR nárok. To by bylo v rozporu s cílem nařízení zajistit vysokou úroveň ochrany osobních údajů. Jako výjimka z povinnosti dozorových úřadů zabývat se stížnostmi, které jim byly předloženy, by měla být možnost odmítnout stížnosti vyhovět vykládána úzce.
11.
Předkládající soud má proto pochybnosti o tom, zda pouhá skutečnost, že subjekt údajů využije možností, které mu GDPR nabízí, a podá velmi vysoký počet stížností v porovnání s jinými osobami, zejména pokud se tyto stížnosti týkají různých správců, může postačovat ke kvalifikaci žádostí jako „nepřiměřených“, pokud neexistují jiné okolnosti prokazující existenci zneužívajícího úmyslu.
12.
Stejně tak podle předkládajícího soudu samotná skutečnost, že vyřizování některých stížností představuje pro dozorový úřad nadprůměrnou pracovní a časovou zátěž, nemůže odůvodnit ukládání poplatku nebo odmítnutí jim vyhovět podle čl. 57 odst. 4 GDPR.
13.
Zatřetí si tento soud klade otázku, zda si dozorový úřad může v případě zjevně nedůvodných nebo nepřiměřených žádostí svobodně zvolit mezi uložením přiměřeného poplatku na základě svých administrativních nákladů nebo odmítnutím těmto žádostem vyhovět.
14.
Za těchto podmínek se Verwaltungsgerichtshof (Správní soudní dvůr) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být pojem ‚požadavky‘ nebo ‚žádost‘ uvedený v čl. 57 odst. 4 GDPR vykládán v tom smyslu, že je jím třeba rozumět i ‚stížnosti‘ podle čl. 77 odst. 1 GDPR?
2)
Je-li odpověď na první otázku kladná, musí být čl. 57 odst. 4 GDPR vykládán v tom smyslu, že k tomu, aby se jednalo o ‚nepřiměřené žádosti‘, postačuje již pouhá skutečnost, že subjekt údajů během určitého časového období na dozorový úřad vznesl určitý počet žádostí (stížností podle čl. 77 odst. 1 GDPR), a to bez ohledu na to, zda jde o různé skutkové situace nebo zda se dané žádosti (stížnosti) týkají různých správců, nebo je kromě opakovanosti žádostí (stížností) zapotřebí i zneužívajícího úmyslu subjektu údajů?
3)
Musí být čl. 57 odst. 4 GDPR vykládán v tom smyslu, že si dozorový úřad, v případě ‚zjevně nedůvodné‘ nebo ‚nepřiměřené‘ žádosti (stížnosti), může svobodně zvolit, zda uloží přiměřený poplatek na základě svých administrativních nákladů nebo zda jí a priori odmítne vyhovět? Je-li odpověď záporná, jaké okolnosti a jaká kritéria musí dozorový úřad zohlednit, a zejména je dozorový úřad povinen přednostně uložit přiměřený poplatek jakožto mírnější opatření, a teprve v případě nemožnosti jeho vymožení je za účelem zamezení zjevně nedůvodným nebo nepřiměřeným žádostem (stížnostem) oprávněn odmítnout jejich vyřízení?“
15.
Písemná vyjádření předložili F R, DSB, Bundesministerin für Justiz (spolková ministryně spravedlnosti, Rakousko), rakouská a česká vláda a Evropská komise.
III. Analýza
A.
K první předběžné otázce
16.
Podstatou první otázky předkládajícího soudu je, zda pojem „požadavky“ nebo „žádost“ uvedený v čl. 57 odst. 4 GDPR zahrnuje „stížnosti“ uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 tohoto nařízení (
4
).
17.
DSB totiž tím, že v souladu s čl. 57 odst. 4 GDPR odmítl vyhovět stížnosti podané F R z důvodu údajného porušení jeho práva na přístup podle článku 15 GDPR, přijal rozhodnutí založené na předpokladu, že stížnosti subjektů údajů podané podle čl. 77 odst. 1 uvedeného nařízení je třeba považovat za „žádosti“ ve smyslu čl. 57 odst. 4 tohoto nařízení.
18.
Předkládající soud má za to, že je třeba u Soudního dvora ověřit, zda je tento předpoklad správný, neboť v opačném případě by dozorový úřad nemohl odmítnout vyhovět stížnostem nebo uložit přiměřený poplatek na jejich vyřízení podle čl. 57 odst. 4 směrnice GDPR.
19.
Především je třeba připomenout, že podle ustálené judikatury musí být znění ustanovení unijního práva, které výslovně neodkazuje na právo členských států za účelem vymezení svého smyslu a dosahu, zpravidla vykládáno autonomním a jednotným způsobem v celé Unii (
5
). Dále, pro výklad ustanovení unijního práva třeba zohlednit nejen jeho znění v souladu s jeho obvyklým smyslem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (
6
).
20.
Doslovný, kontextuální a teleologický výklad čl. 57 odst. 4 GDPR mě vede k názoru, že pojem „žádosti“ uvedený v tomto ustanovení zahrnuje „stížnosti“ uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 uvedeného nařízení.
21.
Zaprvé, pokud jde o znění čl. 57 odst. 4 GDPR, toto ustanovení uvádí, že „[j]estliže jsou požadavky zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může dozorový úřad uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá dozorový úřad.“
22.
Článek 77 odst. 1 GDPR stanoví, že „[a]niž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení“.
23.
Žádné ustanovení GDPR nedefinuje pojem „žádosti“ ve smyslu čl. 57 odst. 4 nařízení. Pokud použiji obvyklý význam tohoto pojmu v běžném jazyce, je obzvláště široký. Potenciálně zahrnuje jakoukoli výzvu učiněnou osobou nebo subjektem. Slovník Larousse definuje „žádost“ jako „činnost, kterou se dává najevo, že si osoba přeje něco získat; skutečnost, že se žádá; písemnost, která to vyjadřuje“ a jako jedno ze synonym uvádí „stížnost“. Stížnosti podané podle čl. 77 odst. 1 GDPR jsou proto podle mého názoru kategorií „žádosti“ ve smyslu čl. 57 odst. 4 GDPR.
24.
Tuto textovou analýzu potvrzuje i kontext, do kterého je toto ustanovení zasazeno. V této souvislosti uvádím, že článek 57 GDPR popisuje úkoly dozorových úřadů a podmínky jejich výkonu. Mezi tyto úkoly patří:
–
článek 57 odst. 1 písm. a) nařízení stanoví, že každý z těchto úřadů „monitoruje a vymáhá uplatňování tohoto nařízení“;
–
článek 57 odst. 1 písm. e) GDPR stanoví, že každý z těchto úřadů „na požádání poskytuje všem subjektům údajů informace ohledně výkonu jejich práv podle tohoto nařízení a, je-li to vhodné, spolupracuje za tímto účelem s dozorovými úřady v jiných členských státech (
7
);
–
článek 57 odst. 1 písm. f) tohoto nařízení stanoví, že každý dozorový úřad se „zabývá […] stížnostmi, které mu podá subjekt údajů nebo subjekt, organizace či sdružení v souladu s článkem 80, a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem“ (
8
).
25.
Podle čl. 57 odst. 2 GDPR „[k]aždý dozorový úřad usnadňuje podávání stížností uvedených v odst. 1 písm. f) takovými opatřeními, jako je poskytnutí formuláře pro podávání stížností, který lze vyplnit i v elektronické formě, aniž jsou vyloučeny jiné komunikační prostředky“ (
9
).
26.
Kromě toho čl. 57 odst. 3 nařízení stanoví zásadu, že „[p]rovádění úkolů každého dozorového úřadu je pro subjekty údajů a pro případné pověřence pro ochranu osobních údajů bezplatné“.
27.
Tím, že stanoví možnost dozorových úřadů požadovat v případě zjevně nedůvodných nebo nepřiměřených žádostí zaplacení přiměřených poplatků na základě administrativních nákladů nebo odmítnout žádosti vyhovět, stanoví čl. 57 odst. 4 uvedeného nařízení výjimku ze zásady bezplatnosti stanovené v čl. 57 odst. 3 téhož nařízení a z povinnosti těchto úřadů vyhovět podaným žádostem.
28.
Na rozdíl od toho, co tvrdí F R, nelze podle mého názoru z porovnání těchto různých ustanovení vyvodit, že by se čl. 57 odst. 4 GDPR, když používá pojem „žádosti“, měl použít pouze na žádosti uvedené v čl. 57 odst. 1 písm. e) tohoto nařízení. Jinými slovy se nedomnívám, že ze skutečnosti, že je v tomto ustanovení použit pojem „žádosti“, lze vyvodit, že by oblast působnosti čl. 57 odst. 4 uvedeného nařízení měla být omezena na úkoly dozorového úřadu, které jsou v něm stanoveny. Navíc skutečnost, že čl. 57 odst. 2 nařízení odkazuje na „stížnosti“, neznamená, že se jedná o jediné ustanovení, které upravuje podmínky pro podávání stížností k dozorovým úřadům.
29.
Zdůrazňuji, že čl. 57 odst. 3 GDPR, který stanoví zásadu, že dozorové úřady vykonávají své úkoly bezplatně, se vztahuje na všechny jejich úkoly, včetně vyřizování stížností podle čl. 57 odst. 1 písm. f) tohoto nařízení. Logicky a zrcadlově se čl. 57 odst. 4 nařízení v rozsahu, v němž stanoví výjimku z této zásady bezplatnosti, aniž by ji omezoval na některé konkrétní úkoly těchto úřadů, musí vztahovat i na vyřizování těchto stížností.
30.
To platí tím spíše, že vyřizování stížností, které je stanoveno v čl. 57 odst. 1 písm. f) GDPR, je hlavním úkolem dozorových úřadů (
10
). Zásada bezplatnosti a povinnost usnadnit podávání stížností stanovená v čl. 57 odst. 2 a 3 nařízení mají umožnit každému subjektu údajů, aby se u dozorového úřadu domáhal dodržování svých práv, která mu vyplývají z uvedeného nařízení.
31.
S ohledem na to by výklad, podle něhož se pojem „žádosti“ uvedený v čl. 57 odst. 4 GDPR vztahuje pouze na žádosti spadající do působnosti čl. 57 odst. 1 písm. e) tohoto nařízení, a nikoli na stížnosti uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 tohoto nařízení, zbavil první z těchto ustanovení značné části jeho užitečného účinku.
32.
Kromě toho mám za to, že stížnosti uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 GDPR lze případně kvalifikovat jako „zjevně nedůvodné“ spíše než žádosti podané podle čl. 57 odst. 1 písm. e) uvedeného nařízení, kterými subjekty údajů žádají dozorové úřady o informace ohledně výkonu práv podle tohoto nařízení.
33.
Dodávám, že výklad, podle něhož se čl. 57 odst. 4 GDPR vztahuje i na vyřizování stížností podaných podle čl. 77 odst. 1 tohoto nařízení, zastává Evropský sbor pro ochranu osobních údajů (EDPB), který v souvislosti s přípustností stížností odkazuje na první z těchto ustanovení (
11
).
34.
Ačkoli je pravda, že čl. 57 odst. 4 nařízení musí být v rozsahu, v němž stanoví výjimku ze zásady bezplatnosti a z povinnosti dozorových úřadů vyhovět žádostem, které jim byly předloženy, vykládán restriktivně (
12
), nemůže to však podle mého názoru vést k vyloučení použití tohoto ustanovení na stížnosti podané podle tohoto nařízení.
35.
Zatřetí výklad, který navrhuji, aby Soudní dvůr přijal, podle mého názoru umožňuje dosáhnout cílů sledovaných GDPR. V tomto ohledu je třeba uvést, že cílem tohoto nařízení je, jak uvádí body 10 a 11 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie a posílit a podrobně vymezit práva subjektů údajů (
13
).
36.
Je pravda, jak uvádí předkládající soud, že výklad, podle něhož jsou stížnosti zahrnuty do působnosti čl. 57 odst. 4 GDPR, se může na první pohled zdát v rozporu s těmito cíli a povinnostmi dozorových úřadů.
37.
Jak jsem totiž uvedl dříve, podle čl. 57 odst. 1 písm. f) nařízení GDPR má každý dozorový úřad povinnost zabývat se na svém území stížnostmi, které mu má podle čl. 77 odst. 1 tohoto nařízení právo podat každý subjekt údajů, jenž se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení, a také povinnost ve vhodné míře prošetřit předmět takové stížnosti. Dozorový úřad se musí takovou stížností zabývat s veškerou náležitou péčí (
14
).
38.
Řízení o stížnosti je tedy koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů (
15
).
39.
Zahrnutí stížností do oblasti působnosti čl. 57 odst. 4 směrnice GDPR tedy znamená, že dozorové úřady mají možnost omezit svou povinnost zabývat se takovými stížnostmi a uplatňovat na jejich vyřizování zásadu bezplatnosti.
40.
Pokud však dozorový úřad čelí zjevně nedůvodným nebo nepřiměřeným žádostem, možnost uložit přiměřený poplatek nebo odmítnout vyhovět žádosti je podle mého názoru takové povahy, že zajišťuje vysokou úroveň ochrany osobních údajů.
41.
Sledování tohoto cíle totiž vyžaduje, aby bylo zaručeno řádné fungování dozorových úřadů tím, že se zajistí, aby tomuto cíli nebránilo podávání zjevně nedůvodných nebo nepřiměřených stížností ve smyslu čl. 57 odst. 4 GDPR. Toto ustanovení dává dozorovým úřadům možnost specifického vyřizování těchto stížností, čímž se sníží zátěž, kterou pro ně tyto stížnosti mohou představovat. Tyto orgány proto mohou rozhodnout, že zjevně nedůvodné nebo nepřiměřené stížnosti nebudou podrobeny běžnému zpracování, které by odčerpáním zdrojů, bez legitimního odůvodnění, jež mají uvedené orgány k dispozici, mohlo mít negativní dopad na délku a kvalitu zpracování žádostí, které souběžně podávají jiné subjekty údajů, a tedy na úroveň ochrany, která jim musí být zaručena.
42.
Vzhledem k významu práva podávat stížnosti s ohledem na cíl zajistit vysokou úroveň ochrany osobních údajů a vzhledem k zásadnímu postavení, které má vyřizování těchto stížností v rámci úkolů svěřených dozorovým úřadům, je důležité zamezit zjevně nedůvodnému nebo nepřiměřenému využívání tohoto práva, které by mohlo mít za následek, při absenci možnosti využití procesních nástrojů stanovených v čl. 57 odst. 4 GDPR, znemožnění dozorovým úřadům plnit jejich úkoly. Z toho vyplývá, že výklad vylučující stížnosti z oblasti působnosti tohoto ustanovení by mohl ohrozit řádné fungování dozorových úřadů a protoi cíl zaručit vysokou úroveň ochrany práv, která subjektům údajů vyplývají z tohoto nařízení.
43.
Rovněž uvádím, že uplatňování tohoto ustanovení je doprovázeno procesními zárukami, které umožňují přísný dohled nad jeho uplatňováním ze strany dozorových úřadů. Důkazní břemeno, že žádosti jsou zjevně nedůvodné nebo nepřiměřené, nese dozorový úřad. Kromě toho existuje proti rozhodnutí tohoto úřadu požadovat úhradu přiměřených nákladů nebo odmítnout vyhovět žádosti právo na účinnou soudní ochranu podle čl. 78 odst. 1 GDPR. Stejně tak v případě, že se dozorový úřad stížností nezabývá, aniž o tom rozhodne, má subjekt údajů právo na účinnou soudní ochranu v souladu s čl. 78 odst. 2 nařízení.
44.
Kromě toho má každý subjekt údajů podle čl. 79 odst. 1 GDPR právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením.
45.
Jak Soudní dvůr rozhodl v rozsudku ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (
16
), čl. 77 odst. 1, čl. 78 odst. 1 a čl. 79 odst. 1 GDPR musí být ve světle článku 47 Listiny základních práv Evropské unie vykládány v tom smyslu, že umožňují současné a nezávislé využití procesních prostředků zakotvených v uvedených čl. 77 odst. 1 a čl. 78 odst. 1 a dále v čl. 79 odst. 1 (
17
).
46.
S ohledem na tyto úvahy navrhuji, aby Soudní dvůr odpověděl na první předběžnou otázku tak, že pojem „žádosti“ uvedený v čl. 57 odst. 4 GDPR zahrnuje „stížnosti“ uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 tohoto nařízení.
B.
K druhé předběžné otázce
47.
Podstatou druhé předběžné otázky předkládajícího soudu je, zda lze žádosti kvalifikovat jako „nepřiměřené“ ve smyslu čl. 57 odst. 4 GDPR pouze na základě jejich počtu za určité období, anebo zda musí být rovněž prokázán zneužívající úmysl osoby, která takové žádosti dozorovému úřadu podává.
48.
Pro účely zodpovězení této otázky začnu zkoumáním znění tohoto ustanovení, z něhož vyvozuji následná zjištění.
49.
Zaprvé, jelikož pojem „nepřiměřené žádosti“ není v GDPR definován, je třeba se odvolat na obvyklý význam tohoto pojmu v běžném jazyce. Přídavné jméno „nepřiměřený“ označuje něco, co přesahuje běžnou nebo rozumnou míru (slovník Larousse), nebo co přesahuje míru žádoucí nebo přípustnou (slovník Le Robert). Dělat něco nepřiměřeně znamená dělat věci bez míry.
50.
Zadruhé je třeba uvést, že znění čl. 57 odst. 4 GDPR nicméně není bez vodítka, neboť odkazem na „požadavky […] nepřiměřené, zejména protože se opakují“ toto ustanovení naznačuje, že tato opakovaná povaha umožňuje charakterizovat existenci nepřiměřených žádostí.
51.
Zatřetí a v souvislosti s tím, co bylo právě řečeno, jelikož příslovce „zejména“ naznačuje, že opakovaná povaha žádostí je pouze jedním z příkladů nepřiměřených žádostí, znamená to, že nepřiměřené žádosti zahrnují i jiné případy než počet žádostí.
52.
S ohledem na výše uvedené si nemyslím, že je nutné vyčerpávajícím způsobem popsat všechny případy, kdy by žádosti mohly být kvalifikovány jako „nepřiměřené“. Spíše se zaměřím na analýzu konkrétní otázky předložené Soudnímu dvoru předkládajícím soudem, která se týká vyjasnění rozsahu, který je třeba dát odkazu na opakující se povahu žádosti jako příkladu nepřiměřených žádostí. Jde tedy o určení, zda velký počet stížností sám o sobě postačuje k tomu, aby byly žádosti kvalifikovány jako „nepřiměřené“ z důvodu jejich opakující se povahy.
53.
Z důkazů předložených Soudnímu dvoru je zřejmé, že DSB skutečně na základě počtu stížností podaných F R v daném období odmítl, s odůvodněním, že tento počet je příliš vysoký, vyhovět stížnosti a označil ji za „nepřiměřenou“. Stručně řečeno, úřad měl za to, že bylo dosaženo přijatelného kvantitativního prahu stížností, takže bylo vhodné odmítnout vyhovět stížnostem, které mu předložil F R. Úřad své rozhodnutí odůvodnil také obavou, že F R bude i v budoucnu podávat velké množství stížností. V žádném případě však nezpochybnil oprávněnost stížností, které mu F R do té doby předložil.
54.
Stejně jako F R, spolková ministryně spravedlnosti, rakouská vláda a Komise se domnívám, že počet žádostí podaných subjektem údajů dozorovému úřadu, jakkoli významný, nemůže sám o sobě a na rozdíl od toho, co by se dalo na první pohled vyvodit ze znění čl. 57 odst. 4 GDPR, představovat dostatečné kritérium pro závěr, že se jedná o „nepřiměřené žádosti“ ve smyslu tohoto ustanovení. Tento názor opírám o posouzení kontextu tohoto ustanovení a cílů, které toto nařízení sleduje.
55.
Pokud jde o kontext čl. 57 odst. 4 GDPR, upozorňuji, že článek 12 tohoto nařízení stanoví obecné povinnosti správců, pokud jde o transparentnost informace, sdělení a postupy pro výkon práv subjektu údajů.
56.
Článek 15 GDPR, který je součástí kapitoly III oddílu 2, jenž se týká informací a přístupu k osobním údajům, doplňuje rámec transparentnosti tohoto nařízení tím, že subjektům údajů přiznává právo na přístup k jejich osobním údajům a právo na informace o zpracování těchto údajů.
57.
Konkrétně čl. 15 odst. 1 nařízení stanoví, že subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k informacím mimo jiné o účelech zpracování a o příjemci nebo kategorii příjemců, kterým osobní údaje byly nebo budou zpřístupněny.
58.
Toto právo na přístup musí subjektu údajů umožnit, aby se ujistil, že osobní údaje, které se ho týkají, jsou správné a jsou zpracovávány zákonným způsobem (
18
).
59.
Jak Soudní dvůr upřesnil, právo na přístup, stanovené v článku 15 GDPR, je nezbytné k tomu, aby subjekt údajů mohl případně vykonat právo na opravu, právo na výmaz („právo být zapomenut“) a právo na omezení zpracování, která mu přiznávají články 16 až 18 GDPR, právo na námitku proti zpracování svých osobních údajů stanovené v článku 21 GDPR, jakož i právo na soudní ochranu pro případ utrpěné škody, zakotvené v článcích 79 a 82 GDPR (
19
).
60.
Článek 15 GDPR je tudíž jedním z ustanovení, jejichž cílem je zajistit toto právo na přístup, jakož i transparentnost způsobu zpracování osobních údajů ve vztahu k subjektu údajů, tj. transparentnost, bez které by tento subjekt údajů nebyl schopen posoudit zákonnost zpracování svých údajů, a umožňuje subjektu údajů vykonávat práva stanovená zejména v článcích 16 až 18, 21, 79 a 82 tohoto nařízení (
20
).
61.
V tomto světle již Soudní dvůr uvedl, že zásada, že první kopie údajů je bezplatná, jakož i skutečnost, že není třeba uvádět zvláštní důvod odůvodňující žádost o přístup, nutně přispívají k tomu, aby subjekt údajů mohl snadněji vykonávat práva, která mu přiznává GDPR (
21
).
62.
Vzhledem k významu, který toto nařízení přikládá právu na přístup k zpracovávaným osobním údajům, jak je zaručeno v čl. 15 odst. 1 nařízení, nelze pro dosažení cílů sledovaných tímto nařízením výkon tohoto práva podmínit příliš přísnými podmínkami.
63.
Podle mého názoru musí totéž platit ve vztahu k právu subjektů údajů podávat stížnosti podle čl. 77 odst. 1 GDPR.
64.
V souladu s čl. 12 odst. 3 tohoto nařízení totiž správce poskytne subjektu údajů informace o opatřeních přijatých na žádost podle článků 15 až 22 uvedeného nařízení, a to bez zbytečného odkladu a v každém případě do jednoho měsíce od obdržení žádosti. Pokud správce tuto povinnost nesplní, musí mít osoba, která podala správci žádost, možnost podat stížnost u dozorového úřadu, aby tento úřad mohl případně nařídit správci v souladu s ustanovením čl. 58 odst. 2 písm. c) nařízení, aby vyhověl žádostem subjektu údajů za účelem výkonu jeho práv podle GDPR.
65.
Pokud subjekt údajů zaslal žádost o přístup nebo výmaz několika správcům, jak je tomu podle všeho v projednávané věci, musí být možné, aby počet stížností podaných dozorovému úřadu byl potenciálně totožný s počtem odmítnutí, která tito správci vůči subjektu údajů učinili. Jiné rozhodnutí, spočívající ve stanovení hranice, při jejímž překročení by dozorový úřad mohl tyto stížnosti pouze na základě jejich počtu kvalifikovat jako „nepřiměřené“, by narušilo práva zaručená GDPR, která jsem uvedl výše.
66.
Kromě toho uvádím, jak je uvedeno v bodě 63 GDPR, že toto nařízení výslovně přiznává subjektům údajů právo na přístup ke shromážděným osobním údajům, které se jich týkají, a možnost toto právo snadno a v přiměřených odstupech uplatňovat. To podle mého názoru znamená, že tyto osoby mohou toto právo uplatnit několikrát u téhož správce, aniž by opakovaná povaha žádosti byla sama o sobě považována za „nepřiměřenou“. V případě, že je toto právo porušeno správcem (správci), kterému je stížnost podána vícekrát, měly by mít tyto osoby podle mého názoru možnost podat dozorovému úřadu vícero stížností proti správci (správcům) podle čl. 77 odst. 1 GDPR.
67.
Dále podotýkám, že ustanovení podobné čl. 57 odst. 4 nařízení je obsaženo v čl. 12 odst. 5 tohoto nařízení, který obdobně dává správci možnost v případě zjevně nedůvodných nebo nepřiměřených žádostí buď uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s učiněním požadovaných úkonů, nebo odmítnout žádosti vyhovět (
22
).
68.
V rozsudku ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (
23
), Soudní dvůr uvedl, že čl. 12 odst. 5 GDPR stanoví zásadu, podle níž výkon práva subjektu údajů na přístup k jeho údajům, které jsou předmětem zpracování, a k informacím, které jsou s nimi spojeny, není pro subjekt údajů spojen s žádnými poplatky. Kromě toho toto ustanovení uvádí dva důvody, z nichž může správce buď vyúčtovat přiměřený poplatek zohledňující administrativní náklady, nebo odmítnout žádosti vyhovět. Podle Soudního dvora se tyto důvody týkají případů zneužití práva (
24
). Na základě tohoto zjištění Soudní dvůr uvedl, že podle předkládajícího soudu žádost subjektu údajů nebyla zneužívající povahy (
25
).
69.
Vzhledem k tomu, že čl. 12 odst. 5 a čl. 57 odst. 4 GDPR jsou koncipovány podobně a vycházejí ze stejné logiky, která spočívá v tom, že se má zabránit tomu, aby správce, případně dozorový úřad, byli zatíženi nepřiměřenou zátěží, která by bránila jejich řádnému fungování, domnívám se, že tato dvě ustanovení je třeba vykládat stejně.
70.
Z toho vyvozuji, že k využití možnosti, kterou nabízí čl. 57 odst. 4 nařízení, musí dozorový úřad s ohledem na všechny relevantní okolnosti každého jednotlivého případu prokázat existenci zneužívajícího přístupu ze strany subjektu údajů (
26
), přičemž počet jím podaných stížností sám o sobě nepostačuje.
71.
Z tohoto hlediska jak čl. 12 odst. 5 GDPR, tak čl. 57 odst. 4 uvedeného nařízení odrážejí ustálenou judikaturu Soudního dvora, podle které v unijním právu existuje obecná zásada, podle níž se právní subjekty nemohou podvodně nebo zneužívajícím způsobem dovolávat unijních právních norem (
27
). V souvislosti s posledně uvedeným ustanovením lze shledat zneužívající přístup, pokud osoba podává stížnosti, aniž by to bylo objektivně nezbytné k ochraně práv, která jí vyplývají z uvedeného nařízení.
72.
Článek 57 odst. 4 GDPR tak představuje vyjádření zásady proporcionality: ačkoli jsou dozorové úřady v zásadě povinny prošetřit každou stížnost s veškerou náležitou péčí, nesmí jim být uložena taková zátěž, která by přesahovala míru nezbytnou k ochraně práv, která subjektům údajů vyplývají z tohoto nařízení. Toto ustanovení tedy umožňuje těmto úřadům sladit zájmy žadatele se zájmy řádné správy.
73.
Dodávám, jak jsem již uvedl, že čl. 57 odst. 4 GDPR musí být vykládán restriktivně, což znamená, že jeho uplatňování musí být omezeno na to, co je nezbytně nutné, aby nedošlo k narušení řádného fungování dozorových úřadů, což je cílem tohoto ustanovení. Zdá se mi, že takový restriktivní výklad vylučuje možnost, že by pouhé zohlednění počtu stížností, ať už je jakkoli vysoký, bylo dostatečným důvodem k tomu, aby dozorový úřad uplatnil uvedené ustanovení.
74.
V souladu s čl. 8 odst. 3 Listiny základních práv podléhá dodržování pravidel ochrany osobních údajů kontrole nezávislého orgánu. V této souvislosti čl. 52 odst. 4 GDPR vyžaduje, aby členské státy zajistily, aby byl každý dozorový úřad vybaven lidskými, technickými a finančními zdroji, prostorami a infrastrukturou, které bude potřebovat pro účinné plnění svých úkolů a výkon svých pravomocí. Z toho vyplývá, že tyto zdroje musí být přizpůsobeny tomu, jak subjekty údajů využívají svého práva podávat stížnosti u dozorových úřadů. Bylo by paradoxní, kdyby unijní normotvůrce současně se snahou, jak je zřejmé z čl. 57 odst. 2 nařízení, usnadnit podávání takových stížností, což znamená jejich podporu, umožnil těmto úřadům odmítnout vyhovět těmto stížnostem, pokud se domnívají, že jich je příliš mnoho.
75.
K prokázání existence nepřiměřených žádostí z důvodu jejich opakující se povahy tedy nestačí, aby dozorový úřad obdržel od subjektu údajů počet stížností, který je výrazně vyšší než průměrný počet stížností podaných každým subjektem údajů, což pro tento úřad znamená nadprůměrnou zátěž při jejich vyřizování. Je totiž povinností členských států poskytnout dozorovým úřadům vhodné prostředky pro vyřizování všech stížností, které jim byly předloženy, případně tyto prostředky navýšit s cílem přizpůsobit je tomu, jak subjekty údajů využívají svého práva podávat stížnosti podle čl. 77 odst. 1 GDPR. Dozorový úřad proto nemůže na podporu svého odmítnutí stížnosti vyhovět podle čl. 57 odst. 4 nařízení argumentovat tím, že subjekt údajů, který podává velké množství stížností, spotřebovává velké množství zdrojů úřadu na úkor vyřizování jiných stížností podaných jinými osobami.
76.
Kromě toho hrají stížnosti podle čl. 77 odst. 1 GDPR důležitou roli při získávání informací, které mohou mít dozorové úřady o porušování práv chráněných tímto nařízením (
28
). Jsou proto zásadní pro řádné plnění jejich úkolu zajistit správné uplatňování výše uvedeného nařízení. Tyto stížnosti proto významně přispívají k zajištění jednotné a vysoké úrovně ochrany subjektů údajů v Unii a k posílení a vyjasnění jejich práv.
77.
Umožnit dozorovým úřadům, aby určily, že stížnosti jsou nepřiměřené jen proto, že jich je velké množství, by proto podle mého názoru ohrozilo dosažení tohoto cíle. Jak jsem již uvedl výše, velký počet stížností může být přímým důsledkem toho, že několik správců nereaguje nebo odmítá vyhovět žádosti o přístup podané subjektem údajů za účelem ochrany jeho práv. Kromě toho je obtížné stanovit kvantitativní hranici, při jejímž překročení by stížnosti mohly být vzhledem ke svému počtu kvalifikovány jako „nepřiměřené“. V tomto ohledu by izolované zohlednění počtu stížností mohlo vést ke svévolnému porušení právní ochrany, která subjektu údajů vyplývá z GDPR. Proto by podle mého názoru mělo být konstatování existence nepřiměřených žádostí podmíněno tím, že je prokázán zneužívající úmysl osoby, která takové stížnosti podává.
78.
Z výše uvedeného vyplývá, že s ohledem na to, že pravidlem je, že dozorové úřady vyřizují stížnosti, které jim byly předloženy, s veškerou náležitou péčí, měly by mít tyto úřady podle mého názoru možnost využít čl. 57 odst. 4 GDPR pouze ve výjimečných případech, a to platí tím spíše, že zohlednění pracovního zatížení, které si vyžádá výkon práva podat stížnost podle čl. 77 odst. 1 nařízení, a zájmu subjektu údajů není v zásadě relevantní pro změnu rozsahu uvedeného práva (
29
). Výjimky z povinnosti dozorových úřadů vyřizovat stížnosti by tedy měly být vykládány restriktivním způsobem, přičemž veřejný zájem na vyřízení stížností musí být poměřen se zájmem na odmítnutí jejich vyřízení (
30
).
79.
Na základě konkrétních okolností každého případu je proto na dozorovém úřadu, který obdrží velký počet stížností, aby prokázal, že tento počet není odůvodněn snahou subjektu údajů získat ochranu práv, která mu vyplývají z GDPR, ale jiným účelem, který s touto ochranou nesouvisí. Tak je tomu zejména v případě, kdy tyto okolnosti ukazují, že vysoký počet stížností má za cíl bránit řádnému fungování tohoto úřadu odčerpáváním jeho zdrojů bez jakéhokoli legitimního důvodu.
80.
V tomto ohledu mohou být množící se stížnosti známkou nepřiměřených žádostí ze strany subjektu údajů, pokud se zdá, že tyto stížnosti nejsou objektivně odůvodněny úvahami týkajícími se ochrany práv, která subjektu údajů vyplývají z GDPR. Může tomu tak být například tehdy, pokud jsou stížnosti podávány proti stejnému správci, všechny mají stejný obsah, týkají se stejných povinností uložených nařízením a jsou podávány v příliš krátkých intervalech, aniž by došlo ke změně skutkových okolností, které by to odůvodňovaly, což svědčí o záměru subjektu údajů bránit řádnému fungování dozorového úřadu, spíše než usilovat o ochranu práv, která mu nařízení přiznává. Jiný případ nepřiměřených žádostí z důvodu jejich opakující se povahy by se mohl týkat situace, kdy osoba podává dozorovému úřadu tak velký počet stížností, které směřují proti velkému množství správců, s nimiž není nutně nijak spojena, že toto nepřiměřené využívání jejího práva podávat stížnosti svědčí, ve spojení s dalšími prvky, jako je obsah těchto stížností, o jejím záměru ochromit fungování tohoto úřadu tím, že jej zahltí žádostmi.
81.
Na základě těchto vodítek přísluší vnitrostátnímu soudu ověřit, zda byl DSB oprávněn konstatovat existenci „nepřiměřených žádostí“ ve smyslu čl. 57 odst. 4 GDPR.
82.
V této souvislosti připomínám, že stížnosti podané F R, jichž je 77, následují po žádostech o přístup nebo výmaz, které tato osoba podala k různým správcům a z nichž většina zůstala po uplynutí jednoho měsíce bez odpovědi. Kromě toho je F R v pravidelném telefonickém kontaktu s DSB, aby zjistil, zda by určité skutečnosti mohly být důvodem k podání stížnosti.
83.
Podle DSB dotyčná osoba tím, že neustále podává nové stížnosti, jejichž celkový počet je podle jeho názoru značný, využívá omezené personální zdroje úřadu ve svůj prospěch po dobu přibližně jednoho a půl roku, a to v nepřiměřené míře ve srovnání s žadateli, kteří podávají méně stížností. Rostoucí počet stížností a telefonických rozhovorů mezi F R a DSB navíc naznačuje, že tento úřad bude v budoucnu masivně využíván. Předložených 77 stížností proto muselo být kvalifikováno jako „nepřiměřené žádosti ve smyslu čl. 57 odst. 4 GDPR.
84.
Pochybuji, že tato úvaha je dostatečná k odůvodnění takové kvalifikace, neboť neukazuje na existenci zneužívajícího přístupu ze strany F R, tj. přístupu, jehož cílem není dosáhnout ochrany práv, která mu vyplývají z GDPR, ale jiného účelu spočívajícího v narušení řádného fungování dozorového úřadu. Stejně tak se mi nezdají relevantní prognózy úřadu ohledně velkého počtu stížností, které by F R mohl v budoucnu podat, a jeho prohlášení, že má omezené personální zdroje.
85.
Z výše uvedeného vyplývá, že čl. 57 odst. 4 GDPR musí být podle mého názoru vykládán v tom smyslu, že žádosti nelze kvalifikovat jako „nepřiměřené“ ve smyslu tohoto ustanovení pouze z důvodu jejich počtu za určité období, neboť dozorovému úřadu rovněž přísluší, aby prokázal zneužívající úmysl osoby, která tyto žádosti podává.
C.
K třetí předběžné otázce
86.
Podstatou třetí předběžné otázky předkládajícího soudu je, zda má být čl. 57 odst. 4 směrnice o ochraně osobních údajů vykládán v tom smyslu, že dozorový úřad se může v případě, že čelí nepřiměřeným žádostem, svobodně rozhodnout, zda uloží přiměřený poplatek na základě svých administrativních nákladů, anebo zda odmítne těmto žádostem vyhovět. V případě záporné odpovědi se tento soud táže na kritéria, která má dozorový úřad zohlednit, a zejména na to, zda je úřad povinen přednostně uložit tento poplatek před odmítnutím vyhovět takové žádosti.
87.
Posouzení znění tohoto ustanovení mě vede k závěru, že možnosti uložení přiměřeného poplatku na základě administrativních nákladů na straně jedné a odmítnutí vyhovět nepřiměřeným žádostem na straně druhé jsou uvedeny za sebou a jsou odděleny koordinační spojkou „nebo“, aniž by bylo možné ze zvolené formulace vyvodit pořadí priority mezi jednou a druhou z těchto možností (
31
).
88.
Tím, že toto znění staví obě možnosti, které má dozorový úřad k dispozici, na stejnou úroveň, podle všeho podporuje výklad, že jakmile dozorový úřad zjistí, že žádosti, které mu byly předloženy, jsou nepřiměřené, může si vybrat mezi uložením přiměřeného poplatku a odmítnutím vyhovět těmto žádostem.
89.
S ohledem na kontext čl. 57 odst. 4 GDPR a cíle sledované tímto nařízením však dozorový úřad nemůže tuto volbu provádět libovolně a neodůvodněně. Vzhledem k významu práva podávat stížnosti s ohledem na cíl zajistit vysokou úroveň ochrany osobních údajů, k zásadnímu postavení, které má vyřizování těchto stížností mezi úkoly svěřenými dozorovým úřadům, a k povinnosti těchto úřadů vyřizovat tyto stížnosti s veškerou náležitou péčí, je totiž povinností těchto úřadů zohlednit všechny relevantní okolnosti a zajistit, aby zvolená možnost byla vhodná a přiměřená. Tyto faktory musí být zahrnuty do odůvodnění rozhodnutí dozorového úřadu, k němuž byla stížnost podána.
90.
V tomto ohledu může dozorový úřad považovat za vhodné, v závislosti na příslušných okolnostech a s cílem ukončit zneužívání, které může být na újmu jeho řádnému fungování, uložit přiměřený poplatek na základě svých administrativních nákladů na dodatečnou pracovní zátěž způsobenou nepřiměřeným počtem stížností. Odrazující účinek této možnosti by totiž mohl vést k tomu, že by ji úřad upřednostnil před možností rovnou odmítnout těmto stížnostem vyhovět.
91.
Dodávám, že zásada proporcionality, jakož i cíl zajistit vysokou úroveň ochrany osobních údajů by měly rovněž podněcovat dozorové úřady k tomu, aby zvážily uložení přiměřeného poplatku na základě svých administrativních nákladů před tím, než odmítnou stížnostem vyhovět, neboť se jedná o opatření, které méně negativně ovlivňuje práva, jež subjektům údajů vyplývají z GDPR.
92.
Nedomnívám se však, že čl. 57 odst. 4 GDPR lze vykládat tak, že dozorový úřad musí ve všech případech upřednostnit možnost uložení přiměřeného poplatku.
93.
V důsledku toho mám za to, že čl. 57 odst. 4 GDPR musí být vykládán v tom smyslu, že pokud dozorový úřad čelí nepřiměřeným žádostem, může si prostřednictvím odůvodněného rozhodnutí vybrat mezi uložením přiměřeného poplatku na základě svých administrativních nákladů nebo odmítnutím žádosti vyhovět, přičemž zohlední všechny relevantní okolnosti a zajistí, aby zvolená možnost byla vhodná a přiměřená, aniž by mezi těmito dvěma možnostmi existoval vztah priority.
IV. Závěry
94.
S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Verwaltungsgerichtshof (Správní soudní dvůr, Rakousko) takto:
„Článek 57 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že:
–
pojem ‚žádosti‘ uvedený v tomto ustanovení zahrnuje ‚stížnosti‘ uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 tohoto nařízení;
–
žádosti nelze kvalifikovat jako ‚nepřiměřené‘ ve smyslu čl. 57 odst. 4 uvedeného nařízení pouze z důvodu jejich počtu za určité období, neboť dozorovému úřadu rovněž přísluší, aby prokázal zneužívající úmysl osoby, která tyto žádosti podává;
–
pokud dozorový úřad čelí nepřiměřeným žádostem, může si prostřednictvím odůvodněného rozhodnutí vybrat mezi uložením přiměřeného poplatku na základě svých administrativních nákladů nebo odmítnutím žádosti vyhovět, přičemž zohlední všechny relevantní okolnosti a zajistí, aby zvolená možnost byla vhodná a přiměřená, aniž by mezi těmito dvěma možnostmi existoval vztah priority.“
(
1
) – Původní jazyk: francouzština.
(
2
) – Úř. věst. 2016, L 119, s. 1.
(
3
) – Podle informací obsažených v předkládacím rozhodnutí se 4 stížnosti týkají roku 2018, 53 stížností se vztahuje k roku 2019 a 20 stížností bylo podáno v prvním čtvrtletí roku 2020. F R uplatnil právo na výmaz ve 46 případech a právo na přístup ve 29 případech.
(
4
) – Vzhledem k tomu, že čl. 57 odst. 1 písm. f) směrnice GDPR představuje do určité míry odraz čl. 77 odst. 1 tohoto nařízení, zdá se mi vhodné doplnit jej k ustanovením, jejichž výkladu se vnitrostátní soud domáhá.
(
5
) – Viz zejména rozsudek ze dne 4. května 2023, Österreichische Post (Nehmotná újma související se zpracováním osobních údajů), (C‑300/21, EU:C:2023:370, bod 29 a citovaná judikatura).
(
6
) – Viz zejména rozsudky ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 19 a citovaná judikatura); ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatura), a ze dne 30. dubna 2024, Trade Express-L a DEVNIA TSIMENT (C‑395/22 a C‑428/22, EU:C:2024:374, bod 65 a citovaná judikatura).
(
7
) – Kurzivou zvýraznil autor stanoviska.
(
8
) – Kurzivou zvýraznil autor stanoviska.
(
9
) – Kurzivou zvýraznil autor stanoviska.
(
10
) – Rakouská vláda uvádí, že vyřizování stížností představuje z kvantitativního hlediska největší část pracovní zátěže dozorových úřadů.
(
11
) – Viz Internal EDPB Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, přijatý dne 15. prosince 2020, bod 15.
(
12
) – Viz, ke striktnímu výkladu výjimek stanovených ustanoveními GDPR, zejména rozsudek ze dne 16. ledna 2024, Österreichische Datenschutzbehörde (C‑33/22, EU:C:2024:46, bod 37 a citovaná judikatura).
(
13
) – Viz rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (C‑307/22, EU:C:2023:811, bod 47).
(
14
) – Viz zejména rozsudky ze dne 6. října 2015, Schrems (C‑362/14, EU:C:2015:650, bod 63), a ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatura).
(
15
) – Viz zejména rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 58 a citovaná judikatura).
(
16
) – C‑132/21, EU:C:2023:2.
(
17
) – Viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, bod 57).
(
18
) – Viz zejména rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (C‑307/22, EU:C:2023:811, bod 73 a citovaná judikatura).
(
19
) – Viz zejména rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 58 a citovaná judikatura).
(
20
) – Viz zejména rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 59 a citovaná judikatura).
(
21
) – Viz rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (C‑307/22, EU:C:2023:811, bod 50).
(
22
) – K článku 12 odst. 5 GDPR, viz EDPB, Pokyny 01/2022 k právům subjektů údajů – právo na přístup, přijaté dne 28. března 2023, body 175 až 195.
(
23
) – C‑307/22, EU:C:2023:811.
(
24
) – Viz rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (C‑307/22, EU:C:2023:811, bod 31).
(
25
) – Viz rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace) (C‑307/22, EU:C:2023:811, bod 32).
(
26
) – K pojmu „zneužití práva“ viz stanovisko generálního advokáta M. Szpunara ve věci McCarthy a další (C‑202/13, EU:C:2014:345, body 108 až 114) a ke zneužití práv přiznaných právními předpisy o ochraně osobních údajů viz stanovisko generální advokátky J. Kokott ve věci Nowak (C‑434/16, EU:C:2017:582, body 42 až 50).
(
27
) – Viz zejména rozsudek ze dne 21. prosince 2023, BMW Bank a další (C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, bod 281 a citovaná judikatura).
(
28
) – Viz Hijmans, H., „Article 57. Tasks“, v Kuner, C., Bygrave, L. A., Docksey, C., a Drechsler, L., The EU General Data Protection Regulation (GDPR): A Commentary, Oxford University Press USA, New York, 2020, s. 927 až 938, zejména s. 935.
(
29
) – Viz obdobně, pokud jde o přístup k dokumentům, rozsudek ze dne 26. října 2011, Dufour v. ECB (T‑436/09, EU:T:2011:634, bod 122).
(
30
) – Viz obdobně, pokud jde o přístup veřejnosti k informacím o životním prostředí, rozsudek ze dne 20. ledna 2021, Land Baden-Württemberg (Interní komunikace) (C‑619/19, EU:C:2021:35, bod 33 a citovaná judikatura).
(
31
) – Viz obdobně rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů) (C‑154/21, EU:C:2023:3, bod 31).