Predbežné znenie
NÁVRHY GENERÁLNEHO ADVOKÁTA
RIMVYDAS NORKUS
prednesené 16. apríla 2026(1)
Vec C‑205/25
Joachim Lindenberg
proti
Bayerisches Landesamt für Datenschutzaufsicht
[návrh na začatie prejudiciálneho konania, ktorý podal Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko)]
„ Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 15 – Žiadosť dotknutej osoby o prístup k jej osobným údajom – Článok 77 – Údaje obsiahnuté v spise dozorného orgánu konajúceho v rámci konania o sťažnosti – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Článok 23 – Obmedzenia práva na prístup – Vnútroštátna právna úprava vylučujúca akýkoľvek prístup k spisu “
I.      Úvod
1.        Predmetom tohto návrhu na začatie prejudiciálneho konania, ktorý podal Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko) podľa článku 267 ZFEÚ, je výklad článku 4 bodov 7 a 21 a článkov 15, 23 a 77 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)(2) (ďalej len „GDPR“).
2.        Tento návrh na začatie prejudiciálneho konania bol podaný v rámci sporu, ktorý vedie pán Joachim Lindenberg, novinár špecializujúci sa na ochranu údajov, proti Bayerisches Landesamt für Datenschutzaufsicht (Bavorský dozorný orgán na ochranu údajov, Nemecko) (ďalej len „Landesamt“), týkajúceho sa odmietnutia tohto orgánu poskytnúť mu na základe článku 15 GDPR úplný prístup k jeho spisu v rámci konania začatého v nadväznosti na sťažnosť, ktorú podal proti tretej osobe. Landesamt odôvodnil toto odmietnutie bavorským ustanovením, ktoré vylučuje prístup verejnosti k spisom dozorných orgánov. V nadväznosti na žalobu, ktorú podal pán Lindenberg, tento orgán napokon poskytol elektronický prístup k spisu bez toho, aby uznal, že došlo k nesprávnemu právnemu posúdeniu, zatiaľ čo žalobca naďalej žiada o určenie protiprávnosti pôvodného zamietnutia. Keďže sa predkladajúci vnútroštátny súd domnieval, že riešenie sporu si vyžaduje výklad relevantných ustanovení GDPR, ako aj preskúmanie súladu bavorskej právnej úpravy s právom Únie, rozhodol prerušiť konanie a položiť Súdnemu dvoru dve prejudiciálne otázky.
3.        Súdny dvor má rozhodnúť o otázke, či dozorný orgán pre ochranu údajov možno v rámci konania o sťažnosti začatého podľa článku 77 GDPR považovať za „prevádzkovateľa“ v zmysle článku 4 bodu 7 GDPR a v akom rozsahu je povinný splniť povinnosti prístupu stanovené v článku 15 GDPR. Má najmä preskúmať, či právo Únie bráni vnútroštátnej právnej úprave, ktorá dotknutým osobám vylučuje akékoľvek právo na prístup k spisu. Toto posúdenie sa musí vykonať s prihliadnutím na článok 23 GDPR, ktorý z určitých dôvodov všeobecného záujmu umožňuje obmedziť povinnosti prístupu stanovené v tomto nariadení, ako aj na článok 8 ods. 2 Charty základných práv Európskej únie (ďalej len „Charta“), ktorý zaručuje každému právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú. V tejto súvislosti bude musieť Súdny dvor zvážiť na jednej strane požiadavku transparentnosti správneho postupu a na druhej strane potrebu zabezpečiť účinnosť vyšetrovaní v oblasti ochrany údajov.
II.    Právny rámec
A.      Právo Únie
4.        V prejednávanej veci sú relevantné články 8 a 52 Charty, článok 16 ZFEÚ, ako aj článok 4 body 1, 2, 7 a 9 a články 5, 15, 23, 51, 57, 58 a 77 GDPR.
B.      Nemecká právna úprava
5.        Podľa § 18 Bayerisches Datenschutzgesetz (bavorský zákon o ochrane údajov, ďalej len „BayDSG“) je Landesamt dozorným orgánom pre neverejné subjekty.
6.        Ustanovenie § 20 BayDSG stanovuje:
„1.      Každá osoba sa môže obrátiť na dozorné orgány s tvrdením, že jej práva boli porušené pri spracúvaní jej osobných údajov. Predloženie veci dozorným orgánom nesmie spôsobiť dotknutej osobe ujmu.
2.      Neexistuje právo na prístup k spisom a záznamom dozorných orgánov alebo na nahliadnutie do nich.“
7.        V dôvodovej správe k zákonu týkajúcej sa § 20 ods. 2 BayDSG sa uvádza, že sa uplatňuje toto ustanovenie a vylučuje sa akékoľvek právo na prístup podľa článku 15 GDPR, ak sa takéto právo uplatňuje voči Landesamt, pokiaľ ide o jeho spisy a záznamy.
III. Skutkové okolnosti sporu vo veci samej, konanie vo veci samej a prejudiciálne otázky
8.        Pán Lindenberg je novinár a je autor blogu venovaného najmä ochrane údajov. Od roku 2021 začal niekoľko konaní o sťažnostiach na Landesamt.
9.        Pán Lindenberg podal 13. mája 2022 sťažnosť v oblasti ochrany údajov na Landesamt, ktorý začal konanie o preskúmaní voči tretej osobe. E‑mailom z 11. októbra 2022 Landesamt informoval pána Lindenberga, že zistil porušenia ochrany údajov, ktorých sa dopustila osoba, ktorej sa sťažnosť týka. Dodal, že po uplynutí lehoty stanovenej na nápravu týchto porušení bude osobe, ktorej sa sťažnosť týka, uložená pokuta, ak spácha nové porušenia. E‑mailom z toho istého dňa pán Lindenberg požiadal o poskytnutie dodatočných podrobností týkajúcich sa opatrení prijatých Landesamt. Keďže tento úrad tejto žiadosti nevyhovel, pán Lindenberg e‑mailom z 11. októbra 2022 požiadal na základe článku 15 ods. 1 a 3 GDPR o úplné informácie.
10.      Landesamt e‑mailom a rozhodnutím z 20. októbra 2022 žiadosť o prístup k údajom podľa článku 15 ods. 1 a ods. 3 GDPR zamietol. Toto zamietnutie odôvodnil tým, že výslovné ustanovenie § 20 ods. 2 BayDSG vylučuje právo na prístup k spisom a záznamom dozorných orgánov a na nahliadnutie do nich.
11.      Pán Lindenberg podal proti tomuto rozhodnutiu žalobu na Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania, v ktorej žiadal, aby uložil Landesamt povinnosť poskytnúť mu kópiu všetkých údajov zo spisu týkajúceho sa konania o sťažnosti, ktoré sa začalo 13. mája 2022.
12.      Landesamt poskytol 23. februára 2024 elektronický prístup k spisu týkajúcemu sa konania o preskúmaní začatého na základe sťažnosti pána Lindenberga bez toho, aby však v tejto súvislosti uznal akúkoľvek zákonnú povinnosť.
13.      Pán Lindenberg teraz len navrhuje, aby bolo rozhodnutie vydané 20. októbra 2022 zo strany Landesamt, ktorým bola zamietnutá jeho žiadosť o prístup, vyhlásené za nezákonné.
14.      Predkladajúci vnútroštátny súd uvádza, že ak sťažovateľ, akým je pán Lindenberg, začne na dozornom orgáne pre ochranu údajov, akým je Landesamt, konanie o sťažnosti podľa článku 77 GDPR, tento orgán vo vzťahu k nemu koná ako dozorný orgán v zmysle článku 4 bodu 21 GDPR. Niektorí, vrátane Landesamt, sa domnievajú, že to vylučuje skutočnosť, aby dozorný orgán pre ochranu údajov bol vo vzťahu k sťažovateľovi „prevádzkovateľom“ v zmysle článku 15 v spojení s článkom 4 bodom 7 GDPR, a preto od začiatku bráni právu sťažovateľa na prístup k údajom voči dozornému orgánu pre ochranu údajov, pokiaľ ide o osobné údaje vyplývajúce z konania o sťažnosti.
15.      Predkladajúci vnútroštátny súd naopak vychádza zo zásady, že dozorný orgán na ochranu údajov môže byť súčasne dozorným orgánom v zmysle článku 4 bodu 21 GDPR a prevádzkovateľom, ako aj osobou, ktorej sa sťažnosť týka v zmysle článku 15 v spojení s článkom 4 bodom 7 GDPR.
16.      Predkladajúci vnútroštátny súd sa domnieva, že ak je to tak, vzniká otázka, či úplné vylúčenie práva na prístup k spisom a záznamom dozorného orgánu, tak ako stanovuje § 20 ods. 2 BayDSG, spĺňa podmienky, ktorým podlieha výkon možnosti stanoviť obmedzenia priznanej v článku 23 ods. 1 GDPR.
17.      Za týchto podmienok Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1.      Má sa článok 15 [GDPR] v spojení s článkom 4 bodom 7 [GDPR] vykladať v tom zmysle, že dozorný orgán podľa článku 4 bodu 21 tohto nariadenia, ktorý koná v rámci konania o sťažnosti začatého dotknutou osobou podľa článku 77 uvedeného nariadenia, je zároveň ‚prevádzkovateľom‘ v zmysle článku 15 v spojení s článkom 4 bodom 7 toho istého nariadenia, a preto je povinný poskytnúť dotknutej osobe prístup k údajom na základe článku 15 [GDPR]?
2.      V prípade, že odpoveď na prvú otázku je kladná: Má sa právo Únie, najmä článok 23 [GDPR], vykladať v tom zmysle, že mu odporuje vnútroštátne ustanovenie – ako je § 20 ods. 2 [BayDSG], o ktorý ide vo veci samej –, podľa ktorého paušálne neexistuje právo na prístup k údajom alebo nahliadnutie do spisov a záznamov dozorných orgánov podľa článku 4 bodu 21 [GDPR]“
IV.    Konanie na Súdnom dvore
18.      Návrh na začatie prejudiciálneho konania z 19. februára 2025 bol do kancelárie Súdneho dvora doručený 17. marca 2025.
19.      Landesamt, bulharská a lotyšská vláda, ako aj Európska komisia predložili písomné pripomienky v lehote stanovenej v článku 23 Štatútu Súdneho dvora Európskej únie.
20.      Na pojednávaní 22. januára 2026 predniesli svoje pripomienky zástupcovia pána Lindenberga, Landesamt, bulharskej vlády, ako aj Komisie.
V.      Právna analýza
A.      Úvodné poznámky
21.      Prejednávaná vec nastoľuje zásadnú otázku týkajúcu sa právneho postavenia dozorných orgánov z hľadiska práv priznaných GDPR, a najmä práva na prístup zaručeného jeho článkom 15. Ide o určenie, či
pri vyšetrovaní sťažnosti podanej podľa článku 77 GDPR možno dozorný orgán považovať za „prevádzkovateľa“ pre údaje spracúvané v tomto rámci v zmysle článku 4 bodu 7 tohto nariadenia. Táto kvalifikácia je rozhodujúca, keďže podmieňuje uplatniteľnosť povinností prístupu, na ktoré sa možno odvolávať voči prevádzkovateľovi, a všeobecnejšie sa pýta na rovnováhu medzi ochranou práv jednotlivcov a charakteristickými znakmi výkonu dozorných úloh, ktoré sú založené na rozhodovacej nezávislosti, dôvernosti vyšetrovania a účinnosti vyšetrovacích právomocí.
22.      Ak by Súdny dvor rozhodol, že dozorný orgán môže byť v zásade povinný dodržiavať článok 15 GDPR, vyvolalo by to druhú otázku normatívnej povahy týkajúcu sa zlučiteľnosti všeobecného a absolútneho vylúčenia práva na prístup k správnym spisom s právnym rámcom Únie. Takúto vnútroštátnu právnu úpravu treba preskúmať z hľadiska požiadaviek stanovených v článku 23 GDPR, ktorý striktne vymedzuje obmedzenia práv, ktoré zaručuje, pričom ich podmieňuje splnením kumulatívnych podmienok z hľadiska právneho základu, nevyhnutnosti, proporcionality a ochrany cieľov všeobecného záujmu uznaných Úniou. Táto analýza si vyžaduje aj začlenenie záruk vyplývajúcich z primárneho práva, najmä tých, ktoré sa týkajú dodržiavania základných práv a účinnosti opravných prostriedkov.
23.      Právna analýza teda bude pozostávať z dvoch po sebe nasledujúcich fáz. Na jednej strane bude potrebné určiť, či a v akom rozsahu možno dozorný orgán považovať za „prevádzkovateľa“ v rámci konania o sťažnosti, aby bol viazaný povinnosťami prístupu zakotvenými v GDPR(3). Na druhej strane a len v prípade kladnej odpovede bude potrebné posúdiť otázku, či všeobecné, nediferencované a preventívne vylúčenie z práva na prístup k spisom dozorných orgánov je zlučiteľné s harmonizovaným režimom GDPR vzhľadom na požiadavky administratívnej transparentnosti, ochrany údajov, inštitucionálnej nezávislosti a účinnosti mechanizmov dohľadu, ktoré musia byť vyvážené bez toho, aby bola akákoľvek z týchto požiadaviek zbavená svojej podstaty.(4)
B.      O prvej otázke
1.      O kvalifikácii dozorného orgánu ako „prevádzkovateľa“ podľa článku 4 bodu 7 GDPR
24.      Pokiaľ ide o prípadnú kvalifikáciu dozorného orgánu ako „prevádzkovateľa“, ktorá je predmetom prvej prejudiciálnej otázky, treba na úvod pripomenúť právnu definíciu tohto pojmu, ako je uvedená v článku 4 bode 7 GDPR. Podľa tohto ustanovenia sa za „prevádzkovateľa“ považuje „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo v spojení s inými určí účely a prostriedky spracúvania osobných údajov“. V tejto súvislosti treba pripomenúť, že uvedený pojem je podľa ustálenej judikatúry Súdneho dvora predmetom extenzívneho výkladu.(5)
25.      V prvom rade treba konštatovať, že táto zákonná definícia sa výslovne vzťahuje na „orgány verejnej moci“. Samotné znenie článku 4 bodu 7 GDPR teda nijako nevylučuje možnosť kvalifikovať dozorný orgán ako „prevádzkovateľa“. Normotvorca Únie zámerne upustil od rozlišovania medzi súkromnými a verejnoprávnymi subjektmi, o čom svedčí viacero odôvodnení, ktoré výslovne odkazujú na spracúvanie osobných údajov orgánmi verejnej moci. Okrem toho skutočnosť, že dozorný orgán je v článku 4 bode 21 GDPR definovaný ako nezávislý orgán verejnej moci zriadený členským štátom podľa článku 51, nemožno vzhľadom na široký a funkčný rozsah, ktorý toto nariadenie priznáva pojmu „prevádzkovateľ“(6), vykladať tak, že bráni jeho prípadnej kvalifikácii ako takého.
26.      V druhom rade treba uviesť, že ak takýto dozorný orgán vykonáva úlohy, ktoré mu boli zverené podľa článku 77 GDPR, najmä vyšetrovanie sťažností týkajúcich sa prípadných porušení pravidiel ochrany údajov, sám spracúva osobné údaje. Dozorný orgán sa neobmedzuje na prijímanie takýchto údajov, ale štruktúruje, analyzuje, uchováva a využíva ich v rámci samostatného výkonu právomocí v oblasti vyšetrovania a presadzovania práva, ktoré mu priznáva toto nariadenie. Zdá sa mi, že takéto operácie patria do pôsobnosti článku 4 bodu 2 GDPR, ktorý zahŕňa pojem „spracúvanie“ v širokom zmysle a bez ohľadu na akýkoľvek osobitný kontext, pričom zahŕňa všetky operácie vykonávané s údajmi.
27.      Na podporu tejto analýzy uvediem v nasledujúcich úvahách jednak podstatné vlastnosti konania o sťažnosti stanoveného v článku 77 GDPR a jednak kategórie osobných údajov, ktoré majú dozorné orgány v tomto rámci pravidelne a konkrétne spracúvať. Táto prezentácia umožní lepšie pochopiť povahu a rozsah úloh vykonávaných dozornými orgánmi pri vyšetrovaní takéhoto konania.
a)      Základné črty „konania o sťažnosti“ podľa článku 77 GDPR
28.      Postup podávania sťažností(7) zavedený článkom 77 GDPR predstavuje ústredný mechanizmus systému Únie určený na zabezpečenie ochrany fyzických osôb pri spracúvaní ich osobných údajov. Prispieva k operatívnemu vykonávaniu zásady zakotvenej v článku 8 ods. 3 Charty, podľa ktorej dodržiavanie pravidiel ochrany údajov musí podliehať kontrole nezávislého orgánu. Súdny dvor opakovane zdôraznil, že tento kontrolný mechanizmus nemá čisto formálnu povahu, ale má za cieľ zabezpečiť účinnú a skutočnú ochranu základných práv.(8)
29.      V článku 77 ods. 1 GDPR sa každej dotknutej osobe priznáva právo podať sťažnosť bez akýchkoľvek osobitných formálnych požiadaviek a bez rizika nákladov, a to aj dozornému orgánu členského štátu jej obvyklého pobytu, miesta výkonu práce alebo miesta údajného porušenia. Keďže toto právo predstavuje podstatný prvok systému ochrany zavedeného týmto nariadením, nemožno ho vykladať ani uplatňovať spôsobom, ktorý by prakticky znemožnil alebo nadmerne sťažil jeho výkon.(9)
30.      Treba zdôrazniť, že podanie sťažnosti neposkytuje dozornému orgánu iba všeobecnú možnosť preskúmania, ale ukladá mu konkrétnu povinnosť prešetriť spis úplne, starostlivo a nestranne. Z judikatúry Súdneho dvora totiž vyplýva, že v súlade s článkom 57 ods. 1 písm. f) GDPR je každý dozorný orgán povinný vybavovať sťažnosti podané na jeho území, preskúmať ich povahu v potrebnom rozsahu a vybavovať ich so všetkou náležitou starostlivosťou, ktorá sa vyžaduje.(10)
31.      Z toho vyplýva, že dozorný orgán nemôže odmietnuť vybaviť sťažnosť z dôvodov týkajúcich sa výlučne hospodárnosti správnych orgánov alebo z dôvodov vhodnosti. Rovnako je zakázané obmedziť svoju činnosť na neformálnu mediáciu alebo na úlohu obyčajného sprostredkovateľa. Naopak, je povinná preskúmať údajné skutkové a právne porušenie a prípadne účinne uplatniť nápravné právomoci, ktoré jej priznáva právo Únie.(11)
32.      Právomoci vymenované v článku 58 GDPR sa podľa judikatúry musia vykladať s ohľadom na ich účel, ktorým je zabezpečiť plnú účinnosť tohto nariadenia. Súdny dvor zdôraznil povinnosť kontrolných orgánov prijať „vhodné a potrebné“ nápravné opatrenia v prípade zisteného porušenia a využiť všetky nástroje, ktoré majú k dispozícii. Táto požiadavka zahŕňa presadzovanie práva, keďže nečinnosť môže ohroziť potrebný účinok uvedeného nariadenia.(12)
33.      V článku 77 ods. 2 GDPR sa ďalej vyžaduje, aby bol sťažovateľ informovaný o pokroku pri vybavovaní sťažnosti a o výsledku konania. Táto povinnosť je splnená len vtedy, ak poskytnutá odpoveď preukazuje, že sťažnosť bola skutočne preskúmaná zo skutkového a právneho hľadiska a že obsahuje skutočnosti potrebné na výkon účinného súdneho preskúmania. Konanie sa teda nemôže obmedziť na čisto formálne rozhodnutie, ale musí viesť k podrobnému, riadne odôvodnenému posúdeniu, ktoré môže preskúmať súd, ktorému bola vec predložená podľa článku 78 ods. 1 GDPR. Každé rozhodnutie prijaté na základe sťažnosti dozorným orgánom totiž podlieha úplnému súdnemu preskúmaniu.(13)
34.      Postup podľa článku 77 GDPR ako celok nepredstavuje jednoduchý správny akt, ale je samostatným opravným prostriedkom zavedeným právom Únie, ktorý prispieva tak k ochrane práv jednotlivcov, ako aj k objektívnej ochrane právneho poriadku v oblasti ochrany údajov. Súdny dvor priznáva dozorným orgánom postavenie inštitucionálneho garanta systému štrukturálnej ochrany základných práv, ktorého úloha sa neobmedzuje na pasívne prijímanie sťažností, ale zahŕňa aktívne uplatňovanie pravidiel ochrany údajov.
b)      „Spracúvanie“ osobných údajov dozorným orgánom v rámci konania o sťažnosti
35.      Po pripomenutí základných vlastností konania o sťažnosti treba analyzovať, do akej miery činnosť dozorného orgánu predstavuje „spracúvanie“ v zmysle článku 4 bodu 2 GDPR. Tento pojem je definovaný ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.
36.      V tejto súvislosti treba zdôrazniť, že v rámci postupu založeného na článku 77 GDPR sa dozorný orgán neobmedzuje na prijímanie údajov. Naopak, vykonáva súbor autonómnych a štruktúrovaných úkonov, ktoré realizuje na účely plnenia svojho zákonného poslania v oblasti preskúmavania, vyšetrovania a kontroly. Spracúvanie sa totiž začína podaním sťažnosti, ktorá obsahuje údaje týkajúce sa sťažovateľa a prípadne dotknutého prevádzkovateľa alebo identifikovateľných tretích strán. Tieto informácie – ktoré spadajú pod pojem „osobné údaje“ v zmysle článku 4 bodu 1 GDPR – sú zaznamenané, vložené do spisu a uchovávané vo vnútorných systémoch dozorného orgánu, čo už zahŕňa materiálne a organizačné operácie predstavujúce „spracúvanie“.(14)
37.      Tieto operácie sú súčasťou úloh, ktoré článok 57 ods. 1 GDPR zveruje dozorným orgánom, ako sa uvádza v týchto návrhoch. Medzi tieto úlohy patrí najmä preskúmanie sťažností [písmeno f)], ako aj výkon vyšetrovacích a rozhodovacích právomocí [písmeno h)]. Pri plnení týchto úloh orgány konajú v rámci funkčnej a rozhodovacej autonómie zaručenej právom Únie, čo je autonómia, ktorá je konkrétne vyjadrená v spôsobe, akým sa vyšetrujú sťažnosti a akým sa vykonávajú kontrolné právomoci, ktoré z nich vyplývajú.
38.      V priebehu konania dozorný orgán vecne a právne preskúma skutočnosti, ktoré mu boli predložené. Zhromažďuje, organizuje, analyzuje a hodnotí údaje na základe uplatniteľného normatívneho rámca. K ďalším spracovateľským operáciám dochádza aj vtedy, keď si vyžiada dodatočné informácie od prevádzkovateľa – voči ktorému sťažnosť smeruje a ktorý je predmetom vyšetrovania – alebo keď nahliadne do ďalších dokumentov, ktoré môžu obsahovať osobné údaje. Tieto informácie následne prijme, zaznamená, analyzuje a uchováva dozorný orgán. Rovnako prepojenie týchto prvkov s prípadnými už existujúcimi spismi alebo informáciami možno považovať za „spracúvanie“.
39.      Takto spracované údaje sa používajú na účely samostatného výkonu vyšetrovacích a rozhodovacích právomocí dozorného orgánu.(15) Slúžia na zistenie skutkového stavu, jeho právne posúdenie, vyhodnotenie možných nápravných opatrení a v prípade potreby na prijatie záväzných rozhodnutí alebo príkazov Využívajú sa tiež v rámci procesných oznámení zasielaných účastníkom konania, najmä pri informovaní sťažovateľa alebo prevádzkovateľa o výsledku konania.
40.      Zo všetkých týchto skutočností vyplýva, že dozorný orgán nemožno považovať len za „príjemcu“ údajov v zmysle článku 4 bodu 9 GDPR. Keďže samostatne rozhoduje o spôsoboch získavania, analýzy, organizácie a používania týchto údajov na účely plnenia úloh, ktoré sú mu zákonom zverené, koná ako prevádzkovateľ, ktorý vykonáva „spracúvanie“ v plnom zmysle článku 4 bodu 2 GDPR. Tento aspekt si vyžaduje ďalšie preskúmanie v nasledujúcej časti.
2.      O možnosti dozorného orgánu „určiť účely a prostriedky spracúvania“
41.      Na to, aby mohol byť dozorný orgán považovaný za „prevádzkovateľa“ v zmysle článku 4 bodu 7 GDPR, je ešte potrebné, aby mal právomoc určiť účely a prostriedky spracúvania osobných údajov.
42.      Ako už bolo uvedené, úloha dozorného orgánu v rámci postupu podávania sťažností na základe článku 77 GDPR sa neobmedzuje len na pasívne prijímanie informácií. V skutočnosti určuje účel spracúvania tým, že stanovuje, že údaje sa použijú na preskúmanie prípadného porušenia pravidiel ochrany údajov, zistenie skutočností a v prípade potreby prípravu a prijatie opatrení v oblasti dozoru. Toto určenie účelu nie je len vymedzené zákonom, ale v každom jednotlivom prípade si vyžaduje aj samostatnú konkretizáciu zo strany orgánu, najmä pokiaľ ide o rozsah preskúmania, presný predmet vyšetrovania a právnu kvalifikáciu vznesených námietok.(16)
43.      Dozorný orgán tiež v zásadných otázkach samostatne rozhoduje o prostriedkoch spracúvania. Určuje, aké osobné údaje sa zhromažďujú, v akej forme sa zaznamenávajú, štruktúrujú a uchovávajú, podľa akých kritérií sa vytvárajú spisy, organizujú digitálne archívy alebo evidujú dôkazné prostriedky, ako aj technické alebo organizačné postupy používané na analýzu, ďalšie spracovanie alebo interné sprístupňovanie údajov. Rovnako rozhoduje o tom, či je potrebné zaslať dotknutej osobe žiadosti o informácie, aké doplňujúce informácie je potrebné vyžiadať, akými metódami sa budú spájať a ako dlho sa budú uchovávať. Táto právomoc výberu a organizácie zjavne presahuje plnenie iba pomocnej alebo podriadenej úlohy.
44.      Skutočne vykonané spracovateľské operácie potvrdzujú túto rozhodovaciu autonómiu. Dozorný orgán zaregistruje sťažnosť, otvorí svoje vlastné spisy, uchováva a organizuje prijaté údaje, ako aj údaje, ktoré zhromažďuje, vykoná svoje skutkové a právne posúdenie, vyžiada si ďalšie dokumenty, zaznamená vyšetrovacie úkony a na základe svojej vlastnej analýzy prijme procesné a vecné rozhodnutia. Spracúvanie teda neslúži len na technickú správu správneho spisu, ale je základom samostatného vyšetrovania, posudzovania a rozhodovania, ktoré právo Únie zveruje výlučne dozornému orgánu.
45.      Okolnosť, že táto činnosť patrí do výkonu úlohy stanovenej zákonom, nevylučuje postavenie „prevádzkovateľa“. Súdny dvor viackrát pripomenul, že verejné orgány možno považovať za „prevádzkovateľov“, ak pri rozhodovaní o konkrétnych spôsoboch spracúvania disponujú mierou voľnej úvahy.(17) V tejto súvislosti je potrebné poznamenať, že Landesamt sám počas pojednávania uznal, že disponuje mierou voľnej úvahy pri určovaní svojich úloh, a to aj v rámci vybavovania sťažností,(18) pričom táto miera voľnosti je vyjadrením jeho autonómie.
46.      Kvalifikáciu „sprostredkovateľa“ treba zamietnuť aj v prípade neexistencie akejkoľvek podriadenosti, pokiaľ ide o určenie cieľov a prostriedkov, keďže orgán nezasahuje na pokyn tretej osoby, ale v rámci výkonu jeho vlastných právomocí. Dozorný orgán predovšetkým nekoná v mene prevádzkovateľa, ktorého sa sťažnosť týka, ale vykonáva verejnú právomoc, ktorá mu bola zverená s cieľom zabezpečiť dodržiavanie práva Únie.
47.      Hoci sa predmetné spracúvanie vo všeobecnosti zakladá na článku 6 ods. 1 písm. e) GDPR v spojení s článkom 57 ods. 1 písm. f) a h) tohto nariadenia, existencia právneho základu zabezpečuje len zákonnosť spracúvania bez vylúčenia postavenia „prevádzkovateľa“. Naopak, skutočnosť, že zákon zveruje orgánu plnenie úloh dohľadu, potvrdzuje, že spracúva údaje pri plnení svojich vlastných zákonných povinností a spôsobom, ktorý sám stanoví. Ako „prevádzkovateľ“ teda v zásade naďalej podlieha všeobecným povinnostiam vyplývajúcim z GDPR, najmä zásadám uvedeným v článku 5 a právam osôb uvedených v kapitole III tohto nariadenia, pokiaľ tieto práva neboli platne obmedzené dostatočne jasným a primeraným právnym ustanovením v súlade s článkom 23 GDPR.
48.      Nezávislosť dozorných orgánov zakotvená v článku 52 GDPR a opätovne potvrdená v odôvodnení 117 si vyžaduje, aby tieto orgány boli kvalifikovaní ako „prevádzkovatelia“ v prípade operácií týkajúcich sa osobných údajov, ktoré vykonávajú pri plnení svojich úloh vyplývajúcich zo zákona. Iba autonómne určenie účelov a prostriedkov dotknutých operácií spracúvania spolu so zodpovednosťou, ktorá z toho vyplýva, im umožňuje vykonávať svoje právomoci dohľadu a dodržiavania predpisov úplne nezávisle od subjektov, nad ktorými vykonávajú dohľad. Ak by sa v rámci vybavovania sťažností považovali len za jednoduchých vykonávateľov cieľov vymedzených tretími osobami, ohrozilo by to ich inštitucionálnu autonómiu, dostali by sa do vzťahu závislosti voči kontrolovaným prevádzkovateľom a zbavilo by požiadavku zodpovednosti stanovenú právom Únie jej podstaty. Dozorný orgán teda musí sám prevziať zodpovednosť za spracúvanie osobných údajov vykonávané v rámci konania o sťažnosti, pričom sa voči nemu v plnom rozsahu uplatňujú práva dotknutých osôb stanovené v GDPR.(19)
49.      Napokon, ak by dozorný orgán nebol kvalifikovaný ako „prevádzkovateľ“ v rámci vybavovania sťažností, dotknutá osoba by bola vo veľkej miere zbavená ochrany vo vzťahu k ústrednému prvku spracúvania jej údajov. Práva dotknutých osôb stanovené v článkoch 12 až 22 GDPR, najmä právo na prístup uvedené v článku 15, možno totiž uplatniť len voči prevádzkovateľovi. Bez tejto kvalifikácie by dotknutá osoba nemohla vedieť, aké údaje orgán získava a spracúva v rámci sťažnosti, ani požiadať o ich opravu, vymazanie alebo obmedzenie. Spracúvanie údajov vykonávané orgánom by tak nebolo podrobené žiadnym požiadavkám na transparentnosť a zodpovednosť, hoci práve tento orgán je poverený zabezpečením ochrany práv dotknutých osôb. Nekvalifikovanie ako „prevádzkovateľa“ by teda vytvorilo štrukturálny nedostatok ochrany, ktorý by dotknutú osobu vo vzťahu k dozornému orgánu zbavila základných záruk stanovených v GDPR(20).
50.      Z toho vyplýva, že dozorný orgán v rámci vybavovania sťažností podaných podľa článku 77 GDPR rozhoduje o účeloch a prostriedkoch spracúvania a neobmedzuje sa na prijímanie alebo správu údajov určených treťou osobou. Koná ako samostatný aktér, ktorý získava, organizuje, analyzuje a používa osobné údaje ako základ pre rozhodnutia týkajúce sa výkonu verejnej moci. Musí sa preto považovať za „prevádzkovateľa“ v zmysle širokej definície uvedenej v článku 4 bode 7 GDPR(21).
51.      Pre úplnosť treba uviesť, že skutočnosť, že normotvorca Únie výslovne nestanovil prípad, podľa ktorého dozorný orgán koná v rámci konania o sťažnosti súčasne ako „prevádzkovateľ“ v zmysle článku 4 bodu 7 GDPR, nepredstavuje relevantné tvrdenie, ktoré by bránilo takejto kvalifikácii. Rozhodujúci prvok naopak spočíva v tom, či tento orgán spĺňa hmotnoprávne podmienky stanovené v tomto ustanovení. Ako však vyplýva z predchádzajúcej analýzy, v prejednávanej veci je to zjavne tak.
52.      V tejto súvislosti nemôže uspieť ani tvrdenie zo strany Landesamt, podľa ktorého niektoré ustanovenia GDPR nevyhnutne predpokladajú striktné rozlišovanie medzi dozorným orgánom na jednej strane a „prevádzkovateľom“ na druhej strane. Tieto ustanovenia sa týkajú iba situácie, ktorú normotvorca Únie v zásade predpokladá, v ktorej sa tieto dve úlohy nezamieňajú. Nevylučujú však, že dozorný orgán môže za určitých okolností – o aké ide vo veci samej – súčasne spĺňať podmienky požadované na to, aby mohol byť kvalifikovaný ako „prevádzkovateľ“.
53.      Keďže niektoré ustanovenia GDPR stanovujú „spoluprácu“ alebo „konzultáciu“ medzi „prevádzkovateľom“ a dozorným orgánom, najmä v článkoch 31 a 36, prípadný konflikt, ktorý môže vyplynúť z prekrývania týchto úloh, možno vyriešiť teleologickým výkladom tohto nariadenia. Takýto výklad vyžaduje, aby vnútorné postupy dozorného orgánu boli organizované a koordinované tak, aby sa zabezpečilo účinné dosiahnutie cieľov sledovaných dotknutými ustanoveniami.
3.      O existencii práva sťažovateľa na prístup na základe článku 15 GDPR
54.      Ako bolo uvedené v týchto návrhoch, z kvalifikácie dozorného orgánu ako „prevádzkovateľa“ vyplýva pre tento orgán povinnosť zabezpečiť dodržiavanie práv, ktoré dotknutým osobám priznáva kapitola III GDPR. Medzi tieto práva patrí najmä právo na prístup zakotvené v článku 15 tohto nariadenia.
55.      V rámci konania začatého podľa článku 77 GDPR má sťažovateľ v zásade tiež postavenie „dotknutej osoby“ v zmysle tohto nariadenia. V tejto súvislosti môže od dozorného orgánu požadovať, aby mu potvrdil, či sa spracúvajú osobné údaje, ktoré sa ho týkajú. V prípade pozitívnej lustrácie právo na prístup zahŕňa aj všetky informácie taxatívne vymenované v článku 15 ods. 1 písm. a) až h) GDPR, medzi ktoré patria najmä účely spracúvania, kategórie dotknutých údajov, príjemcovia alebo kategórie príjemcov, doba uchovávania, ako aj informácie týkajúce sa práv, ktoré má dotknutá osoba k dispozícii.
a)      Právo získať „kópiu“ podľa článku 15 ods. 3 GDPR
56.      Právo na prístup okrem iného zahŕňa právo dotknutej osoby získať kópiu údajov podľa článku 15 ods. 3 GDPR. Toto ustanovenie ukladá prevádzkovateľovi povinnosť oznámiť dotknutej osobe repliku jej osobných údajov v zrozumiteľnej forme, ktorá umožní presne pochopiť rozsah a spôsoby ich spracovania. Účelom tohto práva je umožniť dotknutej osobe overiť, ktoré údaje, ktoré sa jej týkajú, sa spracúvajú, identifikovať ich zdroj, pochopiť ich účely a poznať prípadných príjemcov.(22)
57.      Súdny dvor rozhodol, že kópia musí byť poskytnutá za podmienok, ktoré umožňujú účinné preskúmanie zákonnosti spracúvania, ako aj účinné uplatňovanie ostatných práv zakotvených v GDPR.(23) Pojem „kópia“ sa nevzťahuje na dokument ako taký, ale na osobné údaje, ktoré obsahuje; dôležité je, aby boli tieto údaje poskytnuté úplne, jasne a tak, aby bolo možné z nich vyvodiť ich význam. Na zabezpečenie účinnosti tohto práva sa môže ukázať ako nevyhnutné poskytnutie výňatkov z dokumentov alebo dokonca celých dokumentov alebo výňatkov z databáz, ktoré obsahujú spracúvané osobné údaje.(24)
58.      Rozsah tohto práva je však prísne ohraničený jeho funkciou. Vzťahuje sa len na „osobné údaje“ dotknutej osoby a zahŕňa všetky informácie, ktoré sa jej týkajú alebo umožňujú jej identifikáciu v zmysle článku 4 bodu 1 GDPR. Ak je kontext, v ktorom sa tieto údaje objavujú, nevyhnutný na ich úplné pochopenie, oznamovacia povinnosť môže zahŕňať prenos vhodného výpisu alebo kontextuálnej prezentácie v rozsahu potrebnom na splnenie požiadaviek transparentnosti. Právo získať kópiu tak predstavuje ústredný prvok mechanizmu informačného sebaurčenia zavedeného GDPR, keďže dotknutej osobe zaručuje podstatnú kontrolu nad spracúvaním jej údajov a umožňuje jej overiť jeho súlad s požiadavkami práva Únie.
b)      Článok 15 GDPR nestanovuje „všeobecné právo na prístup k správnemu spisu“
59.      Toto právo na prístup stanovené v článku 15 GDPR, ktoré je vlastné režimu ochrany osobných údajov, však nemožno stotožňovať so všeobecným právom na prístup k správnemu spisu ani so všeobecnou požiadavkou administratívnej transparentnosti. Toto ustanovenie má výlučne za cieľ zabezpečiť transparentnosť spracúvania, aby dotknutá osoba mohla kontrolovať jeho zákonnosť a účinne uplatňovať práva, ktoré z toho vyplývajú, najmä právo na opravu, vymazanie („právo na zabudnutie“), obmedzenie spracúvania alebo právo namietať.(25) Na druhej strane však nezakotvuje ani všeobecné právo na prístup k informáciám, ktoré má v držbe administratíva, ani právo na nahliadnutie do interných dokumentov, a už vôbec nie právo na zverejnenie informácií týkajúcich sa vnútorného procesu rokovania alebo rozhodovania verejného orgánu. Je to zjavné pri porovnaní práva na prístup podľa článku 15 GDPR s ostatnými právami na prístup zakotvenými v práve Únie a vo vnútroštátnom práve.
60.      Po prvé článok 15 a článok 77 ods. 2 GDPR sledujú odlišné účely, a preto ich treba striktne rozlišovať. Článok 77 ods. 2 stanovuje procesné právo na informácie o stave a výsledku vybavovania sťažnosti, ale nepriznáva právo na prístup k údajom alebo dokumentom na základe predpisov o ochrane údajov. Zatiaľ čo článok 15 nariadenia má za cieľ zaručiť jednotlivcovi kontrolu nad vlastnými osobnými údajmi, článok 77 ods. 2 sa týka požiadavky procesnej transparentnosti pri správnom vybavovaní sťažností. Tieto ustanovenia, ktoré sú samostatné, pokiaľ ide o ich predmet a rozsah, nemožno zamieňať ani navzájom nahradiť. Ide o nezávislé právne režimy, ktoré majú odlišnú normatívnu logiku, podliehajú vlastným podmienkam výkonu a nemajú sa navzájom prekrývať ani nahrádzať.
61.      Po druhé článok 15 GDPR ustanovuje výlučne právo na prístup k osobným údajom a nezakotvuje ani právo na prístup k správnemu spisu, ani právo na nahliadnutie do dokumentov, ktorými disponuje tento orgán.(26) Jeho vecná pôsobnosť sa obmedzuje na poskytovanie osobných údajov, ktoré sú predmetom spracúvania, a nezameriava sa ani na správnu transparentnosť, ani na prístup k vnútorným rozhodovacím procesom. Právo na prístup k spisu teda zostáva, s výnimkou odvetvových ustanovení práva Únie, v normatívnej právomoci členských štátov, kde je vo všeobecnosti upravené právnymi predpismi týkajúcimi sa všeobecného správneho konania, osobitnými procesnými režimami, zákonmi o slobode informácií a transparentnosti alebo osobitnými profesijnými alebo odvetvovými pravidlami.(27)
62.      Z toho vyplýva, že článok 15 GDPR nezakladá žiadne právo na sprístupnenie alebo nahliadnutie do správneho spisu ako takého. Konkrétne rozsah práva na prístup sa nevzťahuje na interné právne analýzy, stanoviská, poznámky, služobné poznámky, prípravné dokumenty, ani všeobecnejšie na prvky týkajúce sa procesu vypracovania alebo interného odôvodnenia správneho rozhodnutia. Ak dokument, ktorý má orgán k dispozícii, obsahuje osobné údaje týkajúce sa sťažovateľa, povinnosť poskytnúť prístup sa obmedzuje na poskytnutie týchto údajov ako takých, a nie na vydanie alebo úplné kopírovanie dokumentu, v ktorom sa nachádzajú. Napokon informácie, ktoré nemajú žiadnu priamu ani nepriamu súvislosť s dotknutou osobou, svojou povahou nepatria do vecnej pôsobnosti článku 15 GDPR.
63.      Okrem toho treba pripomenúť, že právo na prístup stanovené v článku 15 GDPR môže podliehať určitým obmedzeniam podľa článku 23 ods. 1 tohto nariadenia, pokiaľ sú splnené podmienky, ktoré stanovuje. Tento aspekt je predmetom druhej prejudiciálnej otázky, ktorou sa budem zaoberať v nasledujúcej časti.
4.      Predbežný záver
64.      Vzhľadom na predchádzajúce úvahy sa domnievam, že na prvú otázku treba odpovedať tak, že článok 15 v spojení s článkom 4 bodom 7 GDPR sa má vykladať v tom zmysle, že dozorný orgán v zmysle článku 4 bodu 21 tohto nariadenia, ak koná v rámci konania o sťažnosti na základe článku 77 uvedeného nariadenia, má tiež postavenie „prevádzkovateľa“ v zmysle toho istého nariadenia, a je teda povinný zaručiť dotknutej osobe právo na prístup stanovené v článku 15 GDPR.
C.      O druhej otázke
1.      Obmedzenia práva na prístup k osobným údajom uvedené v článku 23 GDPR
65.      Svojou druhou otázkou predkladajúci vnútroštátny súd žiada o objasnenie vzťahu medzi článkom 23 GDPR a vnútroštátnym ustanovením, ktoré rovnako ako § 20 ods. 2 BayDSG vo všeobecnosti vylučuje akékoľvek právo na prístup k údajom alebo na nahliadnutie pred dozorným orgánom pre ochranu údajov. Odpoveď na túto otázku si vyžaduje dôkladnú analýzu štruktúry GDPR, ako vyplýva z jeho znenia, jeho účelu a relevantných odôvodnení, ako aj uplatňovania zásad stanovených Súdnym dvorom týkajúcich sa možných obmedzení práv dotknutých osôb.
66.      Článok 23 GDPR stanovuje, že legislatívne opatrenia Únie alebo členských štátov, ktorým prevádzkovateľ podlieha, môžu okrem iného obmedziť právo na prístup zaručené v článku 15 tohto nariadenia, pokiaľ takéto obmedzenie rešpektuje podstatu základných práv a slobôd a predstavuje v demokratickej spoločnosti nevyhnutné a primerané opatrenie na zabezpečenie dosiahnutia jedného z legitímnych cieľov uvedených v písmenách a) až j) tohto ustanovenia. Článok 23 ods. 1 GDPR však nemožno vykladať tak, že oprávňuje vnútroštátneho zákonodarcu slobodne nahradiť ustanovenia článkov 12 až 22 uvedeného nariadenia svojím vlastným režimom. Toto ustanovenie naopak stanovuje taxatívny zoznam otvorených doložiek, ktorý oprávňuje vnútroštátneho zákonodarcu z presne vymenovaných dôvodov stanoviť obmedzenia práv dotknutých osôb, ako aj povinností, ktoré prevádzkovateľovi vyplývajú z týchto článkov.(28)
67.      Článok 23 GDPR tak zavádza odchylný režim pre oblasti, na ktoré sa vzťahuje, týkajúce sa najmä výkonu verejných úloh a sledovania požiadaviek všeobecného záujmu, ktoré môžu odôvodniť obmedzenie práv dotknutých osôb v porovnaní s inými odvetviami. V tejto súvislosti treba zohľadniť odôvodnenie 4 prvú a druhú vetu GDPR, ktoré ukladá povinnosť vyvážiť dotknuté základné práva a zabezpečiť, aby zamýšľané obmedzenia boli odôvodnené, nevyhnutné a primerané z hľadiska protichodných práv a záujmov.
68.      Z návrhu na začatie prejudiciálneho konania vyplýva, že hoci dôvodová správa k bavorskému zákonu výslovne uvádza článok 23 GDPR ako právny základ § 20 ods. 2 BayDSG, neodkazuje na žiadny z cieľov vymenovaných v tomto ustanovení. Uvádza sa v ňom len to, že táto norma odráža osobitnú požiadavku týkajúcu sa účelu informácií získaných v rámci činností dohľadu nad ochranou údajov. Predkladajúci vnútroštátny súd však konštatuje, že podľa vyjadrení, ktoré predložil Landesamt v rámci konania vo veci samej má toto ustanovenie v skutočnosti dva hlavné ciele: na jednej strane zachovanie dôvernosti osobných údajov tretích osôb a na strane druhej zabezpečenie riadneho fungovania a nezávislosti dozorného orgánu.
69.      V súlade so zásadami, ktorými sa riadi mechanizmus spolupráce medzi súdmi Únie a vnútroštátnymi súdmi zavedený článkom 267 ZFEÚ, podľa ktorých výklad vnútroštátneho práva patrí výlučne do právomoci vnútroštátnych súdov(29) a Súdny dvor je povinný vychádzať zo spresnení, ktoré tieto súdy poskytli, pokiaľ ide o obsah a rozsah tohto práva(30), budem vychádzať z týchto skutočností.
2.      Zlučiteľnosť všeobecného vylúčenia z práva na prístup stanoveného v článku 15 GDPR s článkom 23 tohto nariadenia
70.      V ďalšej časti týchto návrhov posúdim, či všeobecné vylúčenie práva na prístup podľa článku 15 GDPR môže byť odôvodnené vzhľadom na vyššie uvedené legislatívne ciele. Budem tiež analyzovať otázku, či takáto právna úprava spĺňa dodatočné požiadavky, ktoré článok 23 GDPR ukladá na akékoľvek obmedzenie tohto práva.
a)      Existencia legitímneho cieľa
1)      Ochrana dôvernosti osobných údajov tretích osôb
71.      Ochrana dôvernosti osobných údajov tretích osôb predstavuje legitímny cieľ v zmysle GDPR, ktorý môže v zásade odôvodniť obmedzenia práv priznaných dotknutým osobám. V tejto súvislosti treba uviesť, že pokiaľ ide o právo na prístup stanovené v článku 15 GDPR, odôvodnenie 63 tohto nariadenia spresňuje, že „uvedené právo by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb“. Treba teda zohľadniť skutočnosť, že ako vyplýva z odôvodnenia 4 tohto nariadenia, právo na ochranu osobných údajov nie je absolútnym právom, pretože sa musí posudzovať so zreteľom na jeho úlohu v spoločnosti a musí byť vyvážené s inými základnými právami.(31)
72.      Článok 23 ods. 1 písm. i) GDPR výslovne odkazuje na ochranu „práv a slobôd iných“, ako to potvrdzuje odôvodnenie 73 tohto nariadenia. V dôsledku toho, ak ide o osobné údaje úradníkov a zamestnancov administratívy alebo súkromných osôb, vnútroštátny zákonodarca môže platne vychádzať zo skutočnosti, že ich poskytnutie by porušilo práva na ochranu osobnosti a že existuje potreba ochrany, ktorá musí byť vyvážená s právom sťažovateľa na prístup.
2)      Ochrana riadneho fungovania a nezávislosti dozorných orgánov
73.      Zachovanie riadneho fungovania a nezávislosti rozhodovania dozorných orgánov je tiež legitímnym cieľom v zmysle článku 23 ods. 1 GDPR. Normotvorca Únie im totiž priznáva kľúčovú úlohu v rámci európskeho systému ochrany údajov, o čom svedčí na jednej strane článok 52 tohto nariadenia, ktorý zaručuje ich úplnú nezávislosť, a na strane druhej rozsah vyšetrovacích právomocí a nápravných oprávnení ustanovených v článkoch 57 a 58 uvedeného nariadenia.(32) V tejto súvislosti Súdny dvor vo svojej judikatúre zdôraznil, že je potrebné zabezpečiť riadne fungovanie týchto orgánov, a to najmä tým, že sa zabráni tomu, aby bolo narušené podávaním zjavne neopodstatnených alebo neprimeraných sťažností v zmysle článku 57 ods. 4 GDPR.(33)
74.      Preto vzhľadom na článok 23 ods. 1 písm. h) GDPR, ktorý umožňuje prijať obmedzenia, ak sú tieto obmedzenia nevyhnutné na výkon „monitorovac[ej] a „kontroln[ej]“ funkcie spojených s výkonom verejnej moci, obmedzenie práva na prístup môže byť v zásade odôvodnené. Okrem toho vzhľadom na existujúce paralely treba zohľadniť aj cieľ uvedený v článku 23 ods. 1 písm. f) GDPR, ako je spresnený v odôvodnení 73 uvedeného nariadenia, ktorým je zabezpečiť nezávislosť súdnictva a ochranu priebehu súdnych konaní. Je pravda, že dozorné orgány nie sú súčasťou súdneho systému; rovnako ako štátne orgány zodpovedné za presadzovanie práva však zohrávajú kľúčovú úlohu pri odhaľovaní a sankcionovaní porušení práva v oblasti ochrany osobných údajov. Z toho vyplýva, že v každom prípade možno uvažovať o analogickom uplatnení tohto ustanovenia.
3)      Ochrana verejnej bezpečnosti
75.      Z dôvodov úplnosti treba uviesť, že návrh na začatie prejudiciálneho konania uvádza ako prípadný dôvod na odôvodnenie aj ochranu verejnej bezpečnosti v zmysle článku 23 ods. 1 písm. c) GDPR, pričom však neposkytuje presnejšie informácie. Treba však súhlasiť s posúdením predkladajúceho vnútroštátneho súdu a Komisie, podľa ktorého sa takéto odvolanie nezdá byť dôvodné. Vzhľadom na skutkové okolnosti vo veci samej, ako ich uviedol vnútroštátny súd, sa totiž takéto obmedzenie zjavne nezdá byť relevantné. Toto odôvodnenie bude v dôsledku toho vylúčené z nasledujúcej analýzy.
b)      Požiadavky stanovené regulačným rámcom GDPR
76.      Na jednej strane treba konštatovať, že záujem na dôvernosti osobných údajov tretích osôb je riadne zohľadnený vnútroštátnou právnou úpravou, akou je § 20 ods. 2 BayDSG, keďže kategoricky zakazuje sprístupnenie takýchto údajov. Okrem toho nemožno vylúčiť, že neexistencia spolupráce dozorných orgánov v rámci vybavovania žiadostí o prístup môže viesť k prerozdeleniu ľudských a materiálnych zdrojov do iných oblastí, ktoré by prípadne mohlo viesť k určitému nárastu efektívnosti.
77.      Na druhej strane takéto okolnosti vyvolávajú pochybnosti, pokiaľ ide o ich súlad s normatívnym rámcom zavedeným normotvorcom Únie pri prijímaní GDPR, a najmä so všeobecnou štruktúrou tohto nariadenia, ktorá je založená na rovnováhe medzi viacerými záujmami: transparentnosť spracúvania údajov, zachovanie dôvernosti, ak je to potrebné, a účinná ochrana týchto záujmov zo strany dozorných orgánov. Vnútroštátna právna úprava, ktorá primerane neodráža vyváženie týchto záujmov, preto nemôže spĺňať požiadavky článku 23 ods. 1 GDPR. To isté platí, ak sa zdá, že možno uvažovať o opatreniach, ktoré menej zasahujú do základných práv, ale sú rovnako účinné na dosiahnutie sledovaných cieľov.(34)
78.      V tejto súvislosti treba pripomenúť, že GDPR chápalo právo na prístup stanovené v jeho článku 15 ako základný prvok zásady transparentnosti. Táto kvalifikácia jasne vyplýva z odôvodnenia 63 tohto nariadenia, podľa ktorého dotknutá osoba si musí byť „vedomá… spracúvania“, aby sa zabezpečila účinnosť práv, ktoré jej priznáva uvedené nariadenie. Súdny dvor tento názor viackrát potvrdil a uviedol, že právo na prístup má vo všeobecnej štruktúre režimu zavedeného tým istým nariadením ústredné postavenie. Vnútroštátne ustanovenie, ktoré zbavuje dotknutú osobu tohto práva všeobecným a nediferencovaným spôsobom, teda zasahuje do samotného jadra systému ochrany zavedeného normotvorcom Únie.
79.      Hoci je pravda, že GDPR vo svojom článku 23 umožňuje obmedzenia práv dotknutých osôb vrátane práva na prístup z dôvodov verejného záujmu, zároveň vyžaduje, aby takéto obmedzenia vychádzali z dostatočne presného právneho základu. Tento základ musí jasne vymedziť povahu, rozsah a hranice obmedzenia, ako aj záruky potrebné na predchádzanie rizikám zneužitia. V odôvodnení 41 tohto nariadenia sa v tomto zmysle uvádza, že akékoľvek obmedzenie práva zaručeného uvedeným nariadením musí byť pre dotknutú osobu „jasné a presné“ a „predvídateľné“, pričom táto osoba musí byť schopná určiť rozsah obmedzení, ktoré môžu byť uplatnené na jej práva.(35) Vnútroštátne ustanovenie, ktoré stanovuje absolútne vylúčenie práva na prístup bez určenia jeho vecnej alebo osobnej pôsobnosti a bez stanovenia ochranných opatrení, nemôže spĺňať takto stanovené požiadavky.
80.      Okrem toho sa v odôvodnení 60 GDPR pripomína, že transparentnosť je základnou zásadou spracúvania osobných údajov, ktorá sa vzťahuje aj na činnosť orgánov verejnej moci. Hoci niektoré informácie môžu byť dočasne vyňaté z poskytovania v rámci konania o sťažnosti, najmä s cieľom neohroziť predchádzanie trestným činom, ich odhaľovanie alebo vyšetrovanie,(36) takáto výhrada musí zostať striktne nevyhnutná a primeraná a nesmie viesť k úplnému znemožneniu transparentnosti voči dotknutej osobe. Vnútroštátne ustanovenie, ktoré vylučuje akúkoľvek formu prístupu bez rozlišovania medzi osobnými údajmi a internými dokumentmi, je teda v rozpore so štruktúrou GDPR.
81.      Súdny dvor tiež rozhodol, že s ohľadom na článok 52 ods. 1 Charty musia byť obmedzenia, ktoré môžu byť uložené na základné právo, v súlade nielen so zásadami zákonnosti a proporcionality, ale aj so zásadou vyžadujúcou rešpektovanie „podstaty“ dotknutého práva.(37) V odôvodnení 4 GDPR sa opätovne potvrdzuje, že ochrana osobných údajov predstavuje základné právo zakotvené v článku 8 Charty, ktorého obmedzenia môžu nastať len pri dodržaní zásady proporcionality. Úplné vylúčenie práva na prístup však vedie k tomu, že dotknutá osoba je zbavená samotnej podstaty tohto práva a bráni jej kontrolovať, hoci len minimálne, spracúvanie, ktorého je predmetom.
82.      V odôvodnení 75 GDPR sa ďalej zdôrazňuje, že neexistencia alebo nedostatočná transparentnosť sama osebe predstavuje riziko, ktoré môže vážne ovplyvniť práva a slobody dotknutých osôb. Právna úprava, ktorá úplne zbavuje dotknutú osobu možnosti oboznámiť sa so spracúvaním, ktoré sa jej týka, vytvára práve tú rizikovú situáciu, ktorej chcel normotvorca zabrániť.
83.      Treba dodať, že v odôvodnení 129 GDPR sa dozorné orgány vymedzujú ako nezávislé orgány zodpovedné za presadzovanie tohto nariadenia a ochranu práv dotknutých osôb. Táto úloha, ako aj miesto, ktoré zastávajú v mechanizme dohľadu zriadenom GDPR, však neznamená, že sú oslobodené od všetkých povinností, ktoré z neho vyplývajú. GDPR naopak vytvára koherentný právny rámec, v ktorom dozorné orgány pri výkone svojich právomocí naďalej v plnej miere podliehajú pravidlám, ktoré stanovuje, najmä tým, ktoré sa týkajú práv dotknutých osôb. Vnútroštátne ustanovenie, ktoré úplne vylučuje akékoľvek poskytnutie údajov týkajúcich sa dotknutej osoby, ohrozuje túto rovnováhu a porušuje požiadavku zodpovednosti dozorných orgánov.
84.      Úplné vylúčenie práva na prístup sa navyše javí ako nezlučiteľné s cieľom GDPR, ktorým je zaručiť vysokú úroveň ochrany údajov fyzických osôb, ako pripomína odôvodnenie 10 tohto nariadenia.(38) Táto úroveň ochrany spočíva v podstate na transparentnosti a na možnosti dotknutej osoby kontrolovať spracovateľské operácie, ktoré sa jej týkajú. Právo na prístup ustanovené v článku 15 uvedeného nariadenia predstavuje v tomto ohľade nevyhnutný prvok, keďže je základom pre účinné uplatňovanie všetkých ostatných práv dotknutých osôb.(39) Všeobecné vylúčenie tohto práva by znamenalo, že určité spracovania by sa vyňali z akejkoľvek individuálnej kontroly, a tým by sa ohrozila účinnosť vysokej úrovne ochrany, ktorú zamýšľa normotvorca Únie.
85.      Pokiaľ ide o cieľ spočívajúci v ochrane práv a slobôd tretích osôb, ktorý sa uvádza na odôvodnenie obmedzenia práva na prístup, treba pripomenúť, že Súdny dvor rozhodol, že v prípade rozporu medzi právom na prístup a právami alebo slobodami iných osôb musia orgány pristúpiť k vyváženiu dotknutých záujmov. Z odôvodnenia 63 GDPR výslovne vyplýva, že toto vyváženie nemôže za žiadnych okolností odôvodniť úplné odňatie prístupu.(40) Vhodné spôsoby, ako čiastočné sprístupnenie, utajenie alebo anonymizácia údajov, ochrana totožnosti nahlasujúcich osôb, rozdielne zaobchádzanie podľa kategórií dokumentov alebo neindividualizované štruktúrované informácie umožňujú zosúladiť dotknuté záujmy bez toho, aby sa úplne zrušilo právo na prístup.
86.      Pokiaľ ide o uvádzanú potrebu zabezpečiť nezávislý a účinný výkon úloh dozorných orgánov, nezdá sa, ako by výkon práva na prístup stanoveného v článku 15 GDPR mohol ohroziť tento cieľ. Treba súhlasiť s posúdením predkladajúceho vnútroštátneho súdu, podľa ktorého nezávislosť dozorných orgánov vôbec neznamená, že zákonnosť spracúvania osobných údajov, ktoré vykonávajú, by mala byť vyňatá z kontroly dotknutej osoby. Riziko prípadného „vplyvu“, ktorý by mohol byť podporený prístupom k informáciám, ako tvrdí Landesamt, treba preto vylúčiť.
87.      Okrem toho, ako bolo uvedené v týchto návrhoch, článok 15 GDPR nezakotvuje všeobecné právo na prístup k spisu(41), takže administratívna záťaž, ktorá z toho vyplýva, by mala zostať obmedzená. Bez ohľadu na to treba poznamenať, že toto nariadenie vo svojom článku 12 ods. 5 poskytuje dozorným orgánom vhodný nástroj na riešenie neoprávnených alebo neprimeraných žiadostí.(42) Tieto orgány sú tiež oprávnené prijímať rôzne opatrenia na riadenie, ako je dočasné zdržanie sa poskytovania informácií v priebehu konania, vylúčenie niektorých interných dokumentov z poskytnutia, rozlišovanie medzi rôznymi druhmi konaní, oznamovanie len informácií týkajúcich sa už ukončených štádií alebo zavedenie organizačných mechanizmov, ktorými sa zabezpečí, aby žiadosti o prístup nenarušili interné postupy. Takéto opatrenia umožňujú zabezpečiť riadne fungovanie dozorných orgánov bez toho, aby sa úplne vylúčilo právo na prístup stanovené v článku 15 GDPR.
88.      Treba tiež pripomenúť, že účinnosť dozorných orgánov v rozhodujúcej miere závisí od toho, či im budú poskytnuté potrebné prostriedky, a to ľudské, technické a finančné zdroje, ako aj priestory a infraštruktúra, ktoré sú nevyhnutné na účinné plnenie ich úloh a právomocí.(43) V článku 52 ods. 4 GDPR sa od členských štátov výslovne vyžaduje, aby zabezpečili takéto pridelenie finančných prostriedkov. Z tohto hľadiska nemožno otázku funkčnosti dozorných orgánov obmedziť len na počet žiadostí o prístup založených na článku 15 GDPR. Nedostatočné financovanie orgánov by v žiadnom prípade nemalo viesť k zníženiu úrovne ochrany osobných údajov.
89.      Z návrhu na začatie prejudiciálneho konania vyplýva, že § 20 ods. 2 BayDSG predstavuje osobitosť nemeckého právneho poriadku, keďže žiadna iná spolková krajina nestanovuje porovnateľné vylúčenie práva na prístup. Takáto izolácia z normatívneho hľadiska je vážnym náznakom toho, že obmedzenie tohto rozsahu nemožno považovať za nevyhnutné alebo primerané v zmysle článku 23 ods. 1 GDPR. Keďže všetky ostatné dozorné orgány vykonávajú svoje úlohy bez toho, aby všeobecne obmedzovali práva dotknutých osôb, je ťažké tvrdiť, že takéto opatrenie je nevyhnutné na riadne fungovanie orgánu alebo na ochranu práv tretích osôb. Právna úprava špecifická pre jednu spolkovú krajinu, ktorá výrazne viac obmedzuje práva zaručené GDPR než tie, ktoré boli prijaté v iných častiach vnútroštátneho územia, zrejme nespĺňa požiadavky koherencie, nevyhnutnosti a proporcionality vyplývajúce z práva Únie.
90.      Treba teda konštatovať, že pokiaľ ide o oba uvádzané ciele, ochranu práv tretích osôb a zachovanie riadneho plnenia úloh dozorných orgánov, menej obmedzujúce, diferencované opatrenia v súlade s právom Únie umožňujú dosiahnuť sledované výsledky bez toho, aby sa odstránila podstata práva na prístup a bez toho, aby bola odstránená transparentnosť požadovaná vo vzťahu k dotknutej osobe, a bez toho, aby bola dotknutá možnosť preskúmať zákonnosť vykonaného spracúvania.
91.      Ďalším kritickým aspektom je skutočnosť, že § 20 ods. 2 BayDSG neumožňuje identifikovať cieľ sledovaný vnútroštátnym zákonodarcom. Ako vyplýva z informácií poskytnutých predkladajúcim vnútroštátnym súdom, prípravné práce sa obmedzujú na uvedenie článku 23 GDPR ako právneho základu, pričom však neodkazujú na jeden z cieľov vymenovaných v tomto ustanovení. Tento článok 23 pritom vyžaduje, aby účel obmedzenia jasne vyplýval zo samotného ustanovenia, čo je nevyhnutnou podmienkou účinného preskúmania dodržiavania zásad nevyhnutnosti a proporcionality.
92.      Túto požiadavku jasnosti nemožno napraviť dôvodmi uvedenými ex post účastníkom prejudiciálneho konania podľa článku 267 ZFEÚ, najmä ak je tento účastník konania tým účastníkom, ktorý ťaží z predmetného obmedzenia. Prijatie takejto možnosti by znamenalo nahradiť vôľu demokraticky zodpovedného zákonodarcu argumentačnou konštrukciou vypracovanou v rámci súdneho konania, čo by bolo nezlučiteľné s požiadavkami predvídateľnosti, normatívnej transparentnosti a právnej istoty vyplývajúcimi z článku 23 ods. 1 a 2 GDPR.
93.      Za týchto podmienok treba dospieť k záveru, že všeobecné a nediferencované vylúčenie z práva na prístup, akým je vylúčenie stanovené v § 20 ods. 2 BayDSG, nie je v súlade s požiadavkami článku 23 GDPR, keďže neobsahuje žiadny z prvkov výslovne požadovaných v jeho odseku 2, a nerešpektuje štruktúru ani účel tohto nariadenia, ako vyplývajú z relevantných odôvodnení. Takéto ustanovenie sa zdá byť neprimerané, nedostatočne vymedzené a spôsobilé zbaviť právo na prístup jeho podstaty.
3.      Predbežný záver
94.      Z vyššie uvedených dôvodov sa domnievam, že článok 23 GDPR sa má vykladať v tom zmysle, že bráni takej vnútroštátnej právnej úprave, akou je § 20 ods. 2 BayDSG, keďže sama osebe vylučuje existenciu práva na prístup voči dozornému orgánu na základe článku 15 tohto nariadenia.
VI.    Návrh
95.      Vzhľadom na predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálne otázky, ktoré položil Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko), takto:
1.      Článok 15 v spojení s článkom 4 bodom 7 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
dozorný orgán v zmysle článku 4 bodu 21 tohto nariadenia, keď koná v rámci konania o sťažnosti na základe článku 77 uvedeného nariadenia, má tiež postavenie „prevádzkovateľa“ v zmysle toho istého nariadenia, a je teda povinný zaručiť dotknutej osobe právo na prístup stanovené v článku 15 tohto istého nariadenia 2016/679.
2.      Článok 23 nariadenia 2016/679
sa má vykladať v tom zmysle, že:
bráni takému vnútroštátnemu ustanoveniu, akým je ustanovenie stanovené v § 20 ods. 2 bavorského zákona o ochrane údajov, ktoré ako také vylučuje existenciu práva na prístup k údajom na základe článku 15 tohto nariadenia voči bavorskému orgánu na ochranu údajov.
1      Jazyk prednesu: francúzština.
2      Ú. v. EÚ L 119, 2016, s. 1.
3      Pozri bod 24 a nasl. vyššie.
4      Pozri bod 65 a nasl. vyššie.
5      Pozri rozsudok z 29. júla 2019, Fashion ID (C‑40/17, EU:C:2019:629, body 65 a 66).
6      Súdny dvor dokonca rozhodol, že fyzickú alebo právnickú osobu, ktorá na svoje vlastné účely ovplyvňuje spracúvanie osobných údajov a podieľa sa tak na určovaní účelov a prostriedkov tohto spracúvania, možno kvalifikovať ako „prevádzkovateľa“ [pozri rozsudky z 10. júla 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 68), a z 29. júla 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 68)].
7      Vo všeobecnom nariadení o ochrane údajov sa výslovne nevymedzuje, čo je „sťažnosť“, ale znenie článku 77 to naznačuje. Podľa usmernení Európskeho výboru pre ochranu údajov (European Data Protection Board, EDPB) je sťažnosť podaním adresovaným dozornému orgánu zo strany identifikovanej fyzickej osoby, alebo subjektu spĺňajúceho podmienky článku 80, ktorý sa domnieva, že spracúvanie jeho údajov predstavuje porušenie nariadenia GDPR. EDPB uvádza, že tento pojem sa neobmedzuje na porušenie práv uvedených v kapitole III, ale vo všeobecnejšom zmysle zahŕňa akékoľvek porušenie nariadenia vyplývajúce zo spracúvania osobných údajov podávateľa sťažnosti (EDPB, „Interný dokument 6/2020 o predbežných krokoch na vybavovanie sťažností: prijateľnosť a posudzovanie sťažností“, prijatý 15. decembra 2020, s. 3).
8      Pozri rozsudky zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 58); z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu osobných údajov konať) (C‑768/21, EU:C:2024:785, bod 35), a z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti) (C‑416/23, EU:C:2025:3, bod 39).
9      Pozri rozsudok Súdu EZVO z 10. decembra 2020, Adpublisher AG/J & K (spojené veci E‑11/19 a E‑12/19, bod 45).
10      Pozri rozsudky zo 6. októbra 2015, Schrems (C‑362/14, EU:C:2015:650, bod 63); zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 107); zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 56), a z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu osobných údajov konať) (C‑768/21, EU:C:2024:785, bod 32).
11      V tejto súvislosti treba pripomenúť návrhy, ktoré predniesol generálny advokát Pikamäe v spojených veciach SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:222, bod 42), v ktorých zdôraznil, že normotvorca Únie nemal v úmysle urobiť z konania o sťažnosti mechanizmus porovnateľný s obyčajnou „petíciou“. Naopak, sledovaným cieľom bolo vytvoriť mechanizmus schopný účinne chrániť práva a záujmy osôb, ktoré podávajú sťažnosti. Konkrétne povinnosti uvedené v článku 57 ods. 1 písm. f) GDPR, ktoré prislúchajú dozornému orgánu v rámci vybavovania týchto sťažností a na ktoré sa vzťahuje zásada „riadnej správy vecí verejných“, potvrdzujú vôľu normotvorcu priznať tomuto postupu podstatu „skutočného správneho prostriedku nápravy“.
12      Pozri rozsudok z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu údajov konať) (C‑768/21, EU:C:2024:785, bod 42).
13      Pozri rozsudky zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 70), a z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu údajov konať) (C‑768/21, EU:C:2024:785, bod 49).
14      V práve Únie neexistujú jednotné pravidlá týkajúce sa konkrétneho vybavovania sťažností dozornými orgánmi. V dôsledku toho sa v správnej praxi vyskytujú medzi členskými štátmi určité rozdiely. EDPB sa však prostredníctvom usmernení a vypracovania „osvedčených postupov“ snaží zabezpečiť určitý stupeň harmonizácie činnosti dohľadu, ako aj procesných postupov, najmä pokiaľ ide o prijímanie alebo archiváciu sťažností, potvrdzovanie zmieru atď. (pozri v tejto súvislosti EDPB, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, prijatý 15. decembra 2020).
15      Ako uviedol Súd EZVO vo svojom rozsudku z 10. decembra 2020, Adpublisher AG/J & K
(spojené veci E‑11/19 a E‑12/19, bod 60), dozorný orgán je podľa článku 57 ods. 1 písm. h) GDPR oprávnený začať vyšetrovanie z úradnej moci. V rámci preskúmania sťažnosti sa teda môže vyjadriť k iným nárokom alebo k inému predmetu sporu, ako sú tie, ktoré uvádza sťažovateľ. Účinnosť postupu podávania sťažností vyžaduje, aby dozorný orgán nebol pri výkone svojich vyšetrovacích právomocí obmedzovaný spôsobom, akým sťažovateľ formuloval relevantné právne otázky vo svojej sťažnosti.
16      Zdá sa, že dozorné orgány vybavujú sťažnosti buď na základe ustanovení vnútroštátneho práva, alebo na základe vlastného uváženia. Zdá sa, že existujú aj rozdiely v spracúvaní sťažností podľa pragmatických kritérií alebo v rámci zjednodušeného postupu (pozri v tejto súvislosti GONZÁLEZ FUSTER, G., a i.: The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR. In: Access Now, Open Universiteit, 2022, s. 30).
17      Pozri rozsudky z 11. januára 2024, État belge (Údaje spracúvané úradným vestníkom) (C‑231/22, EU:C:2024:7, bod 39), a z 27. februára 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, bod 49).
18      Landesamt na žiadosť Súdneho dvora uviedol svoju správnu prax v oblasti vybavovania sťažností. V tejto súvislosti spresnil, že sťažovatelia môžu adresovať žiadosti, a to aj elektronicky, príslušným zamestnancom Landesamt a požiadať o prístup k spisu. Z tohto vysvetlenia jasne vyplýva, že spôsoby, akými Landesamt vybavuje sťažnosti, najmä pokiaľ ide o získané údaje, prijaté organizačné opatrenia a uskutočnené vyšetrovania, patria do autonómie, ktorú mu priznáva GDPR pri výkone jeho úloh.
19      MÖHLE, J.‑P.: Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht. In:
Die Öffentliche Verwaltung, 2023, č. 3, s. 108, vysvetľuje, že povinnosti vyplývajúce z práva na ochranu údajov (ako sú povinnosti informovania, zodpovednosti alebo spolupráce) môže mať len osoba, ktorá je skutočne schopná vykonávať vplyv, t. j. osoba, ktorá môže v budúcnosti zabrániť porušovaniu pravidiel ochrany údajov. Podľa môjho názoru je nepochybné, že v rámci konania o sťažnosti môže túto definíciu spĺňať len dozorný orgán.
20      Ako však konštatoval Súdny dvor, cieľom širokej definície pojmu „prevádzkovateľ“ je práve zabezpečenie účinnej a úplnej ochrany dotknutých osôb [pozri rozsudky z 13. mája 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 34); z 29. júla 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 66); z 5. júna 2018, Wirtschaftsakademie Schleswig‑Holstein(C‑210/16, EU:C:2018:388, bod 28)].
21      Pozri v tomto zmysle KUNERT, J.: Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art 20 II BayDSG.
In: GRUR‑Prax, 2025, č. 9, s. 324.
22      http://eur‑lex.europa.eu/legal‑content/FR/TXT/?uri=CELEX:62021CJ0579. Pozri rozsudok z 22. júna 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 50).
23      Pozri rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, body 33 a 34).
24      Pozri rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 41).
25      Pozri rozsudky z 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, bod 57); z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov) (C‑154/21, EU:C:2023:3, bod 38), a zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 35).
26      ZANFIR‑FORTUNA, G.: Article 15. Right of access by the data subject, ako aj KUNER, C., BYGRAVE, L. A., DOCKSEY, C. (ed.): The EU General Data Protection Regulation (GDPR): A Commentary. Oxford 2020, s. 452, zdôrazňujú, že je dôležité rozlišovať medzi právom na prístup k svojim osobným údajom zakotveným v článku 15 GDPR a právom na prístup k verejným informáciám. Tieto dve práva vychádzajú z rôznych normatívnych cieľov: cieľom prvého z nich je zabezpečiť transparentnosť voči osobe, ktorej údaje sú zhromažďované a spracúvané prevádzkovateľom (transparentnosť inter partes), zatiaľ čo cieľom druhého je zabezpečiť transparentnosť vo vzťahu k verejnosti, pokiaľ ide o informácie, ktoré majú hodnotu alebo verejný záujem (transparentnosť erga omnes).
27      GUMZEJ, N.: DPA powers toward effective and transparent GDPR enforcement: the case of Croatia. In: Juridical Tribune –
Review of Comparative and International Law, zv. 13, č. 2 (2023), s. 210, odkazuje na platné zákony o slobodnom prístupe k informáciám.
28      SCHEMMER, F.: Der Auskunftsanspruch der DS‑GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS‑GVO und dessen Grenzen. In: Zeitschrift für das gesamte Informationsrecht, 2024, č. 5, s. 210.
29      Pozri rozsudky zo 6. marca 2007, Placanica a i. (C‑338/04, C‑359/04 a C‑360/04, EU:C:2007:133, bod 34), a z 21. júna 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, bod 240).
30      Pozri rozsudky z 25. októbra 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, bod 10), a zo 14. novembra 2024, S. (Zmena zloženia súdu) (C‑197/23, EU:C:2024:956, bod 43).
31      Pozri rozsudky zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 172); z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov) (C‑154/21, EU:C:2023:3, bod 47), a z 21. marca 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, bod 75).
32      GIURGIU, A., LARSEN, T.: „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More ‚European‘ DPAS as guardians of Consistency?“ In: European Data Protection Law Review, č. 3 (2016), s. 352, považujú dozorné orgány za hlavných garantov práv jednotlivcov z dôvodu ich ústrednej úlohy pri monitorovaní a presadzovaní pravidiel ochrany údajov stanovených v GDPR. Zdôrazňujú, že je dôležité poskytnúť týmto orgánom dostatočné zdroje, a to tak personálne, ako aj finančné prostriedky, aby mohli účinne plniť svoje úlohy.
33      Pozri rozsudok z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti) (C‑416/23, EU:C:2025:3, bod 40).
34      Pozri rozsudok z 1. augusta 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 85).
35      Pozri rozsudok z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely) (C‑175/20, EU:C:2022:124, bod 56).
36      Pozri v tejto súvislosti EDPS, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1), prijaté 13. októbra 2021, body 65 – 67 a 82, v ktorých sa odporúča dočasné obmedzenie výkonu určitých práv dotknutých osôb s cieľom neohroziť administratívne vyšetrovania.
37      Pozri rozsudok z 8. apríla 2014, Digital Rights Ireland a i. (C‑293/12 a C‑594/12, EU:C:2014:238, bod 38); zo 6. októbra 2015, Schrems (C‑362/14, EU:C:2015:650, bod 94); zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 174), a zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 121).
38      Vo svojej ustálenej judikatúre Súdny dvor pripomenul tento cieľ a zdôraznil, že ochrana osobných údajov je zaručená tak článkom 16 ZFEÚ, ako aj článkom 8 Charty, čím toto právo zakotvuje v dvoch ustanoveniach primárneho práva Únie (pozri rozsudok z 12. januára 2023 Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 43).
39      Pozri rozsudok z 22. júna 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 53 a nasl.).
40      Pozri rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 44).
41      Pozri bod 59 a nasl. vyššie.
42      Pozri rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov) (C‑154/21, EU:C:2023:3, bod 49). Ako zdôraznil Súdny dvor, prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti o prístup v zmysle článku 12 ods. 5 GDPR.
43      Pozri v tomto zmysle Agentúra Európskej únie pre základné práva (FRA): GDPR in practice – Experiences of Data Protection Authorities, Luxembursko, 11. júna 2024, s. 21, v ktorom sa uvádza, že dostupnosť zdrojov dozorných orgánov je v priebehu rokov k dispozícii ako „zvyčajne nedostatočná“. V nadväznosti na prvé posúdenie Komisie týkajúce sa uplatňovania GDPR Európsky parlament prijal uznesenie, v ktorom vyzval členské štáty, aby si splnili svoju povinnosť podľa článku 52 ods. 4 GDPR poskytnúť svojim dozorným orgánom dostatočné zdroje, aby mohli čo najlepšie plniť svoje úlohy a zabezpečiť rovnaké podmienky na presadzovanie GDPR na európskej úrovni.