62023CJ0169
ROZSUDOK SÚDNEHO DVORA (tretia komora)
z 28. novembra 2024 (
*1
)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov a voľný pohyb týchto údajov – Nariadenie (EÚ) 2016/679 – Údaje spracúvané pri vydávaní preukazu COVID‑19 – Údaje, ktoré neboli získané od dotknutej osoby – Informácie, ktoré sa majú poskytovať – Výnimka z povinnosti poskytovať informácie – Článok 14 ods. 5 písm. c) – Údaje vytvorené prevádzkovateľom v rámci jeho vlastného postupu – Právo podať sťažnosť – Právomoc dozorného orgánu – Článok 77 ods. 1 – Primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby podľa práva členského štátu, ktorému prevádzkovateľ podlieha – Opatrenia zamerané na bezpečnosť spracúvania údajov – Článok 32“
Vo veci C‑169/23 [Másdi] (
i
),
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Kúria (Najvyšší súd, Maďarsko) z 8. februára 2023 a doručený Súdnemu dvoru 17. marca 2023, ktorý súvisí s konaním:
Nemzeti Adatvédelmi és Információszabadság Hatóság
proti
UC,
SÚDNY DVOR (tretia komora),
v zložení: predsedníčka druhej komory K. Jürimäe, vykonávajúca funkciu predsedníčky tretej komory, predseda Súdneho dvora K. Lenaerts, vykonávajúci funkciu sudcu tretej komory, sudcovia N. Jääskinen, M. Gavalec (spravodajca) a N. Piçarra,
generálna advokátka: L. Medina,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
–
Nemzeti Adatvédelmi és Információszabadság Hatóság, v zastúpení: G. J. Dudás, ügyvéd,
–
UC, v zastúpení: D. Karsai a V. Łuszcz, ügyvédek,
–
maďarská vláda, v zastúpení: Z. Biró‑Tóth a M. Z. Fehér, splnomocnení zástupcovia,
–
česká vláda, v zastúpení: L. Březinová, M. Smolek a J. Vláčil, splnomocnení zástupcovia,
–
Európska komisia, v zastúpení: A. Bouchagiar, C. Kovács a H. Kranenborg, splnomocnení zástupcovia,
po vypočutí návrhov generálnej advokátky na pojednávaní 6. júna 2024,
vyhlásil tento
Rozsudok
1
Návrh na začatie prejudiciálneho konania sa týka výkladu článku 14 ods. 1, článku 14 ods. 5 písm. c), článku 32, ako aj článku 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).
2
Tento návrh bol podaný v rámci sporu medzi Nemzeti Adatvédelmi és Információszabadság Hatóság (Národný úrad pre ochranu údajov a slobodu informácií, Maďarsko) (ďalej len „vnútroštátny orgán“) na jednej strane a UC na druhej strane vo veci existencie povinnosti poskytovať informácie v súvislosti so spracúvaním osobných údajov zo strany Budapest Főváros Kormányhivatala (vládny úrad pre hlavné mesto Budapešť, Maďarsko) (ďalej len „vydávajúci správny orgán“), ktorý je poverený vydávaním osvedčení o imunite zaočkovaným osobám proti ochoreniu COVID‑19 alebo osobám, ktoré sa týmto ochorením nakazili.
Právny rámec
Právo Únie
GDPR
3
Podľa odôvodnení 1, 10 a 61 až 63 GDPR:
„(1)
Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie… a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.
…
(10)
S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci [Európskej únie], úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. Pokiaľ ide o spracúvanie osobných údajov na účely dodržania zákonnej povinnosti, plnenia úloh realizovaných vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, členské štáty by mali mať možnosť zachovať alebo zaviesť vnútroštátne predpisy, ktorými by sa spresnilo uplatňovanie pravidiel stanovených v tomto nariadení. …
…
(61)
Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa mali dotknutej osobe poskytnúť v čase získavania osobných údajov od dotknutej osoby, alebo ak sa osobné údaje získali z iného zdroja, v primeranej lehote v závislosti od okolností prípadu. Ak možno osobné údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o tom, kedy boli osobné údaje prvýkrát poskytnuté tomuto príjemcovi. Ak má prevádzkovateľ v úmysle spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, mal by dotknutej osobe pred takýmto ďalším spracúvaním poskytnúť informácie o tomto inom účele a ďalšie potrebné informácie. Ak sa z dôvodu použitia viacerých zdrojov nemohol dotknutej osobe poskytnúť pôvod osobných údajov, mala by sa poskytnúť všeobecná informácia.
(62)
Nie je však potrebné uložiť povinnosť poskytovať informácie, ak dotknutá osoba už informácie má, ak zaznamenanie alebo poskytnutie osobných údajov je výslovne stanovené zákonom, alebo ak sa poskytnutie informácií dotknutej osobe ukáže ako nemožné alebo by si vyžiadalo vynaloženie neprimeraného úsilia. …
(63)
Dotknutá osoba by mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. …“
4
Článok 1 tohto nariadenia, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:
„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“
5
Článok 4 uvedeného nariadenia s názvom „Vymedzenie pojmov“ stanovuje:
„Na účely tohto nariadenia:
1.
‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
2.
‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7.
‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov;…
…“
6
V článku 6 GDPR, nazvanom „Zákonnosť spracúvania“, sa v odseku 1 stanovuje:
„Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
…
c)
spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
…
e)
spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
…“
7
Článok 9 tohto nariadenia s názvom „Spracúvanie osobitných kategórií osobných údajov“ v odsekoch 1 a 2 stanovuje:
„1.   Zakazuje sa spracúvanie osobných údajov, ktoré odhaľujú rasový alebo etnický pôvod, politické názory, náboženské alebo filozofické presvedčenie alebo členstvo v odborových organizáciách, a spracúvanie genetických údajov, biometrických údajov na individuálnu identifikáciu fyzickej osoby, údajov týkajúcich sa zdravia alebo údajov týkajúcich sa sexuálneho života alebo sexuálnej orientácie fyzickej osoby.
2.   Odsek 1 sa neuplatňuje, ak platí niektorá z týchto podmienok:
…
i)
spracúvanie je nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti a liekov alebo zdravotníckych pomôcok, na základe práva Únie alebo práva členského štátu, ktorým sa stanovujú vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby, najmä profesijné tajomstvo;
…“
8
Kapitola III GDPR, nazvaná „Práva dotknutej osoby“, obsahuje viacero oddielov, medzi ktoré patrí oddiel 2 s názvom „Informácie a prístup k osobným údajom“.
9
V tomto oddiele 2 GDPR sa nachádza článok 13 vzťahujúci sa na „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“, článok 14 vzťahujúci sa na „Informácie, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby“ a článok 15 vzťahujúci sa na „Právo dotknutej osoby na prístup k údajom“.
10
Podľa článku 14 tohto nariadenia:
„1.   Ak osobné údaje neboli získané od dotknutej osoby, prevádzkovateľ poskytne dotknutej osobe tieto informácie:
a)
totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa;
b)
kontaktné údaje prípadnej zodpovednej osoby;
c)
účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
d)
kategórie dotknutých osobných údajov;
e)
príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú;
f)
v relevantnom prípade informácia, že prevádzkovateľ zamýšľa preniesť osobné údaje príjemcovi v tretej krajine alebo medzinárodnej organizácii…
2.   Okrem informácií uvedených v odseku 1 prevádzkovateľ poskytne dotknutej osobe tieto ďalšie informácie potrebné na zabezpečenie spravodlivého a transparentného spracúvania so zreteľom na dotknutú osobu:
a)
doba uchovávania osobných údajov, alebo ak to nie je možné, kritériá na jej určenie;
b)
ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;
c)
existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby a práva na ich opravu alebo vymazanie alebo obmedzenie spracúvania, a práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov;
d)
ak je spracúvanie založené na článku 6 ods. 1 písm. a) alebo na článku 9 ods. 2 písm. a), existencia práva kedykoľvek svoj súhlas odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania založeného na súhlase udelenom pred jeho odvolaním;
e)
právo podať sťažnosť dozornému orgánu;
f)
z akého zdroja pochádzajú osobné údaje, prípadne informácie o tom, či údaje pochádzajú z verejne prístupných zdrojov;
g)
existencia automatizovaného rozhodovania…
…
4.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli osobné údaje získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a akékoľvek ďalšie relevantné informácie uvedené v odseku 2.
5.   Odseky 1 až 4 sa neuplatňujú v rozsahu, v akom:
a)
dotknutá osoba má už dané informácie;
b)
sa poskytovanie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie, najmä v prípade spracúvania na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely, na ktoré sa vzťahujú podmienky a záruky podľa článku 89 ods. 1, alebo pokiaľ je pravdepodobné, že povinnosť uvedená v odseku 1 tohto článku znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania. V takých prípadoch prijme prevádzkovateľ vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti;
c)
sa získanie alebo poskytnutie výslovne stanovuje v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha, a v ktorom sa stanovujú primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby; alebo
d)
v prípade, keď osobné údaje musia zostať dôverné na základe povinnosti zachovávania profesijného tajomstva upravenej právom Únie alebo právom členského štátu vrátane povinnosti zachovávať mlčanlivosť vyplývajúcej zo štatútu.“
11
Článok 32 uvedeného nariadenia, nazvaný „Bezpečnosť spracúvania“, znie:
„1.   Prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:
a)
pseudonymizáciu a šifrovanie osobných údajov;
b)
schopnosť zabezpečiť trvalú dôvernosť, integritu, dostupnosť a odolnosť systémov spracúvania a služieb;
c)
schopnosť včas obnoviť dostupnosť osobných údajov a prístup k nim v prípade fyzického alebo technického incidentu;
d)
proces pravidelného testovania, posudzovania a hodnotenia účinnosti technických a organizačných opatrení na zaistenie bezpečnosti spracúvania.
2.   Pri posudzovaní primeranej úrovne bezpečnosti sa prihliada predovšetkým na riziká, ktoré predstavuje spracúvanie, a to najmä v dôsledku náhodného alebo nezákonného zničenia, straty, zmeny, neoprávneného poskytnutia osobných údajov, ktoré sa prenášajú, uchovávajú alebo inak spracúvajú, alebo neoprávneného prístupu k takýmto údajom.
3.   Dodržiavanie schváleného kódexu správania uvedeného v článku 40 alebo schváleného certifikačného mechanizmu uvedeného v článku 42 sa môže použiť ako prvok na preukázanie súladu s požiadavkami uvedenými v odseku 1 tohto článku.
4.   Prevádzkovateľ a sprostredkovateľ podniknú kroky na zabezpečenie toho, aby každá fyzická osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa práva Únie alebo práva členského štátu.“
12
Článok 55 toho istého nariadenia s názvom „Príslušnosť“ v odseku 1 stanovuje:
„Každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s týmto nariadením na území vlastného členského štátu.“
13
V článku 57 GDPR, nazvanom „Úlohy“, sa v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:
a)
monitoruje a presadzuje uplatňovanie tohto nariadenia;
…
c)
poskytuje v súlade s právom členského štátu poradenstvo národnému parlamentu, vláde a iným inštitúciám a orgánom o legislatívnych a administratívnych opatreniach súvisiacich s ochranou práv a slobôd fyzických osôb pri spracúvaní;
…“
14
Článok 58 tohto nariadenia s názvom „Právomoci“ v odseku 3 stanovuje:
„Každý dozorný orgán má všetky tieto povoľovacie a poradné právomoci:
…
b)
vydávať z vlastnej iniciatívy alebo na požiadanie stanoviská k akýmkoľvek otázkam súvisiacim s ochranou osobných údajov adresované národnému parlamentu, vláde členského štátu alebo v súlade s právom členského štátu iným inštitúciám a orgánom, ako aj verejnosti;
…“
15
V článku 77 uvedeného nariadenia, nazvanom „Právo podať sťažnosť dozornému orgánu“, sa v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.“
16
Článok 78 GDPR s názvom „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“ znie:
„1.   Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.
2.   Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak dozorný orgán, ktorý je príslušný podľa článkov 55 a 56, sťažnosť nevybavil alebo neinformoval dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti podanej podľa článku 77.
3.   Návrh na začatie konania proti dozornému orgánu sa podáva na súdoch členského štátu, v ktorom je dozorný orgán zriadený.
4.   Ak sa návrh na začatie konania podáva proti rozhodnutiu dozorného orgánu, ktorému predchádzalo stanovisko alebo rozhodnutie výboru v rámci mechanizmu konzistentnosti, dozorný orgán takéto stanovisko alebo rozhodnutie postúpi súdu.“
Nariadenie (EÚ) 2021/953
17
Článok 10 nariadenia Európskeho parlamentu a Rady (EÚ) 2021/953 zo 14. júna 2021 o rámci pre vydávanie, overovanie a uznávanie interoperabilných potvrdení o očkovaní proti ochoreniu COVID‑19, o vykonaní testu a prekonaní tohto ochorenia (digitálny COVID preukaz EÚ) s cieľom uľahčiť voľný pohyb počas pandémie ochorenia COVID‑19 (Ú. v. EÚ L 211, 2021, s. 1), nazvaný „Ochrana osobných údajov“, v odseku 1 stanovoval:
„Na spracúvanie osobných údajov pri vykonávaní tohto nariadenia sa vzťahuje [GDPR].“
Maďarské právo
18
Podľa § 2 ods. 1 koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [nariadenie vlády č. 60/2021 (II.12.) o osvedčení o imunite voči koronavírusu] z 12. februára 2021 v znení uplatniteľnom na spor vo veci samej (ďalej len „nariadenie vlády č. 60/2021“):
„Osvedčenie o imunite obsahuje:
a)
meno dotknutej osoby;
b)
číslo pasu dotknutej osoby, ak je k dispozícii;
c)
číslo a identifikačný údaj trvalého preukazu totožnosti dotknutej osoby, ak je k dispozícii;
d)
sériové číslo osvedčenia o imunite;
e)
v prípade predloženia dokladu o očkovaní, dátum očkovania;
f)
v prípade predloženia dokladu o prekonaní ochorenia, dátum platnosti tohto dokladu;
g)
kód dátového úložiska, ktorý je opticky čitateľný počítačovým zariadením, a ktorý je vytvorený z údajov uvedených v písmenách a) až f);
h)
nasledujúce údaje vo forme textových upozornení:
ha)
‚Aby bol preukaz platný, musí sa predložiť spolu s občianskym preukazom alebo cestovným pasom‘
hb)
‚Je neprenosný‘
hc)
‚Práva spojené s osvedčením sú k dispozícii na internetovej stránke koronavirus.gov.hu‘.“
19
V súlade s § 2 ods. 6 a 7 nariadenia vlády č. 60/2021 osvedčenie o imunite vydáva vydávajúci správny orgán v prospech oprávnenej fyzickej osoby buď z úradnej moci, alebo na základe žiadosti.
20
Ustanovenie § 3 ods. 3 tohto nariadenia vlády stanovuje:
„V prípadoch uvedených v § 2 ods. 6 písm. c) a d) vydávajúci správny orgán prostredníctvom automatického prenosu informácií – v prípade potreby prostredníctvom príslušných služieb elektronického registra správy identifikačných údajov – získava:
a)
od prevádzkovateľa EESZT [Elektronikus Egészségügyi Szolgáltatási Tér (priestor elektronických zdravotníckych služieb)]: číslo sociálneho zabezpečenia dotknutej osoby, údaje uvedené v § 2 ods. 1 písm. e) a g) a údaje uvedené v odseku 1;
b)
od orgánu zodpovedného za registráciu osobných údajov a adries: meno, identifikačné údaje cestovného pasu a trvalého preukazu totožnosti a adresu dotknutej osoby.“
Spor vo veci samej a prejudiciálne otázky
21
UC, ktorý je fyzickou osobou, bolo vydávajúcim správnym orgánom vydané osvedčenie o imunite, ktoré potvrdzuje jeho očkovanie proti ochoreniu COVID‑19 podľa nariadenia vlády č. 60/2021.
22
Dňa 30. apríla 2021 UC začal správne konanie v súvislosti so spracúvaním osobných údajov, ktoré sa ho týkajú, pričom na vnútroštátnom orgáne podal sťažnosť na základe článku 77 ods. 1 GDPR, aby bola vydávajúcemu správnemu orgánu uložená povinnosť zosúladiť jeho spracovateľské operácie s ustanoveniami GDPR. UC vo svojej sťažnosti vydávajúcemu správnemu orgánu najmä vytýkal, že nevypracoval a nezverejnil vyhlásenie o ochrane osobných údajov týkajúcich sa vydávania osvedčení o imunite, pričom tvrdil, že neexistovali informácie o účele a právnom základe spracúvania týchto údajov, ani o právach dotknutej osoby a spôsobe, akým možno tieto práva uplatniť.
23
V rámci konania začatého na základe tejto sťažnosti vydávajúci správny orgán vyhlásil, že plnil svoje úlohy spojené s vydaním osvedčenia o imunite na základe § 2 nariadenia vlády č. 60/2021, keďže právnym základom spracúvania osobných údajov je článok 6 ods. 1 písm. e) GDPR a článok 9 ods. 2 písm. i) tohto nariadenia, pokiaľ ide o spracúvanie osobných údajov patriacich do osobitných kategórií.
24
Okrem toho vydávajúci správny orgán uviedol, že osobné údaje, ktoré spracúval, získal od iného orgánu v súlade s ustanoveniami nariadenia vlády č. 60/2021. Na tomto základe tvrdil, že podľa článku 14 ods. 5 písm. c) GDPR nie je povinný poskytovať informácie o spracúvaní týchto údajov. Na svojej internetovej stránke však vyhotovil a zverejnil požadované vyhlásenie o ochrane osobných údajov.
25
Rozhodnutím z 15. novembra 2021 vnútroštátny orgán zamietol žiadosť UC a dospel k záveru o neexistencii povinnosti vydávajúceho správneho orgánu poskytnúť informácie z dôvodu, že na dotknuté spracúvanie osobných údajov sa vzťahuje výnimka stanovená v článku 14 ods. 5 písm. c) GDPR.
26
Tento orgán konkrétne dospel k záveru, že nariadenie vlády č. 60/2021 predstavuje právny základ spracúvania a že toto nariadenie výslovne ukladá vydávajúcemu správnemu orgánu povinnosť zhromažďovať predmetné údaje. Podľa uvedeného orgánu zverejnenie informácií o spracúvaní osobných údajov vydávajúcim správnym orgánom na jeho internetovej stránke predstavovalo náležitý postup a nie zákonnú povinnosť.
27
Okrem toho vnútroštátny orgán ex offo preskúmal, či existujú primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby v zmysle článku 14 ods. 5 písm. c) druhej časti vety GDPR, a dospel k záveru, že za takéto opatrenia by sa mali považovať ustanovenia § 2, 3 a 5 až 7 nariadenia vlády č. 60/2021.
28
UC podal proti tomuto rozhodnutiu správnu žalobu na Fővárosi Törvényszék (Súd hlavného mesta Budapešť, Maďarsko), ktorý uvedené rozhodnutie zrušil a nariadil tomuto orgánu začať nové konanie.
29
Tento súd vo svojom rozsudku konštatoval, že výnimka stanovená v článku 14 ods. 5 písm. c) GDPR sa neuplatňuje, pretože určité osobné údaje poskytnuté v súvislosti s osvedčeniami o imunite nezískal prevádzkovateľ od iného subjektu, ale vytvoril ich tento samotný prevádzkovateľ v rámci plnenia svojich úloh. To bol podľa uvedeného súdu prípad sériového čísla osvedčenia o imunite, dátumu skončenia platnosti osvedčenia vydaného osobe, ktorá sa nakazila, QR kódu uvedeného na karte, čiarového kódu a iných alfanumerických kódov uvedených na liste o odovzdaní osvedčenia, ako aj osobných údajov vytvorených v rámci procesu správy spisov prevádzkovateľa. Podľa názoru toho istého súdu sa výnimka stanovená v článku 14 ods. 5 písm. c) GDPR mohla vzťahovať len na osobné údaje získané od iného orgánu.
30
Vnútroštátny orgán podal proti tomuto rozsudku mimoriadny opravný prostriedok na Kúria (Najvyšší súd, Maďarsko), ktorý je vnútroštátnym súdom, ktorý podal návrh na začatie prejudiciálneho konania.
31
Práve v tomto kontexte sa tento vnútroštátny súd predovšetkým pýta, či sa výnimka stanovená v článku 14 ods. 5 písm. c) GDPR môže uplatňovať na každé spracúvanie osobných údajov s výnimkou tých, ktoré sa týkajú osobných údajov získaných od dotknutej osoby.
32
V prípade kladnej odpovede sa uvedený súd pýta, či v rámci konania o sťažnosti podľa článku 77 ods. 1 GDPR má dozorný orgán na účely rozhodnutia o uplatniteľnosti tejto výnimky právomoc overiť, či vnútroštátne právo prevádzkovateľa stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.
33
V prípade kladnej odpovede sa vnútroštátny súd napokon pýta, či sa toto overenie týka aj primeranosti opatrení, ktoré je prevádzkovateľ povinný vykonať podľa článku 32 GDPR s cieľom zaistiť bezpečnosť spracúvania osobných údajov.
34
Za týchto podmienok Kúria (Najvyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:
„1.
Má sa článok 14 ods. 5 písm. c) [GDPR] v spojení s [jeho] článkom 14 ods. 1 a odôvodnením 62 vykladať v tom zmysle, že výnimka stanovená v tomto ustanovení sa nevzťahuje na údaje vytvorené prevádzkovateľom v rámci jeho vlastného postupu, ale len na údaje, ktoré prevádzkovateľ osobitne získal od inej osoby?
2.
V prípade, že sa článok 14 ods. 5 písm. c) GDPR vzťahuje aj na údaje vytvorené v rámci vlastného postupu prevádzkovateľa, má sa článok 77 ods. 1 GDPR, ktorý upravuje právo podať sťažnosť dozornému orgánu, vykladať v tom zmysle, že fyzická osoba, ktorá namieta porušenie povinnosti poskytnúť informácie, môže pri výkone svojho práva podať sťažnosť tiež požiadať o preskúmanie, či právo členského štátu uvedené v článku 14 ods. 5 písm. c) GDPR stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby?
3.
V prípade kladnej odpovede na druhú otázku, možno článok 14 ods. 5 písm. c) GDPR vykladať v tom zmysle, že ‚primerané opatrenia‘ uvedené v tomto ustanovení vyžadujú, aby vnútroštátny zákonodarca transponoval (do právneho predpisu) opatrenia týkajúce sa bezpečnosti údajov stanovené v článku 32 GDPR?“
35
Dňa 16. januára 2024 Súdny dvor vyzval účastníkov konania a subjekty oprávnené podľa článku 23 Štatútu Súdneho dvora Európskej únie, aby na základe článku 61 Rokovacieho poriadku Súdneho dvora písomne odpovedali na určité otázky. Žalobca a žalovaný vo veci samej, maďarská a česká vláda, ako aj Európska komisia odpovedali na tieto otázky.
O prejudiciálnych otázkach
O prvej otázke
36
Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 14 ods. 5 písm. c) GDPR vykladať v tom zmysle, že výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, ktorú stanovuje toto ustanovenie, sa týka len osobných údajov, ktoré prevádzkovateľ získal od inej osoby, než je dotknutá osoba, alebo či sa týka aj osobných údajov, ktoré tento prevádzkovateľ vytvoril v rámci plnenia svojich úloh.
37
Článok 14 ods. 1, 2 a 4 tohto nariadenia určuje informácie, ktoré je prevádzkovateľ povinný poskytnúť dotknutej osobe v zmysle článku 4 bodu 1 uvedeného nariadenia, ak osobné údaje neboli získané od tejto osoby.
38
Článok 14 ods. 5 toho istého nariadenia stanovuje výnimky z tejto povinnosti. Pokiaľ ide o tieto výnimky, písmeno c) tohto odseku 5 stanovuje, že uvedená povinnosť sa neuplatňuje v rozsahu, v akom sa získanie alebo poskytnutie výslovne stanovuje v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha a v ktorom sa stanovujú primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.
39
Na účely určenia, či sa táto výnimka vzťahuje na osobné údaje vytvorené samotným prevádzkovateľom v rámci plnenia jeho úloh na základe údajov získaných od inej osoby, než je dotknutá osoba, treba podľa ustálenej judikatúry zohľadniť nielen znenie ustanovenia, ktoré túto výnimku stanovuje, ale aj kontext tohto ustanovenia a ciele sledované právnou úpravou, ktorej je súčasťou (pozri v tomto zmysle rozsudok z 12. januára 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 32 a citovanú judikatúru).
40
V prvom rade treba vzhľadom na znenie článku 14 ods. 5 písm. c) GDPR určiť predmet „získania alebo poskytnutia“ uvedený v tomto ustanovení.
41
Po prvé existuje totiž rozdiel medzi jednotlivými jazykovými verziami uvedeného ustanovenia. Francúzska jazyková verzia toho istého ustanovenia odkazuje na získanie alebo poskytnutie „informations“, zatiaľ čo predovšetkým maďarská („adat“), estónska („isikuandmed“), chorvátska („podataka“), litovská („duomenų“), holandská („gegevens“), portugalská („dados“), rumunská („datelor“), ako aj švédska („uppgifter“) jazyková verzia odkazuje na získanie alebo poskytnutie „údajov“, ďalej fínska jazyková verzia obsahuje výraz („tietojen“), ktorý sa môže vzťahovať na „údaje“ alebo „informácie“ a napokon bulharská, španielska, česká, dánska, nemecká, grécka, anglická, talianska, lotyšská, maltská, poľská, slovenská a slovinská jazyková verzia neuvádza predmet získania alebo poskytnutia.
42
Podľa ustálenej judikatúry pritom takisto platí, že formulácia použitá v jednej z jazykových verzií ustanovenia práva Únie sa nemôže chápať ako jediný základ na výklad tohto ustanovenia, prípadne sa nemôže považovať za ustanovenie, ktoré má prednosť pred inými jazykovými verziami. Ustanovenia práva Únie sa totiž majú vykladať a uplatňovať jednotným spôsobom pri zohľadnení existujúcich verzií vo všetkých jazykoch Únie. V prípade rozporov medzi rôznymi jazykovými verziami textu práva Únie sa má predmetné ustanovenie vykladať podľa všeobecnej štruktúry a účelu právneho predpisu, ktorého je súčasťou (rozsudok z 21. marca 2024, Cobult, C‑76/23, EU:C:2024:253, bod 25 a citovaná judikatúra).
43
Pokiaľ ide o všeobecnú štruktúru GDPR, článok 14 ods. 5 tohto nariadenia treba vykladať s prihliadnutím na jeho odôvodnenia 61 a 62, ktoré odkazujú jednak na „osobné údaje… [získané a] osobné údaje… [poskytnuté]“, ako aj na „zaznamenanie alebo poskytnutie osobných údajov… výslovne stanovené zákonom“, a jednak na „informácie… [poskytnuté]“ alebo „[ktoré sa majú poskytnúť]“. Výklad, podľa ktorého sa „získanie alebo poskytnutie“ v zmysle článku 14 ods. 5 písm. c) GDPR týka osobných údajov, navyše potvrdzuje široký rozsah pojmu „spracúvanie“ v zmysle článku 4 bodu 2 GDPR, ktorý sa vzťahuje na všetky operácie uplatňované na osobné údaje [pozri v tomto zmysle rozsudok z 5. októbra 2023, Ministerstvo zdravotnictví (Mobilná aplikácia Covid‑19), C‑659/22, EU:C:2023:745, bod 27 a citovanú judikatúru].
44
Pokiaľ ide o účel právnej úpravy, ktorej súčasťou je článok 14 ods. 5 písm. c) GDPR, stačí poznamenať, ako to urobila generálna advokátka v bode 31 svojich návrhov, že ratio legis tejto výnimky spočíva v skutočnosti, že povinnosť poskytnúť dotknutej osobe informácie, ktoré stanovuje článok 14 ods. 1, 2 a 4 tohto nariadenia, nie je odôvodnená, ak iné ustanovenie práva Únie alebo práva členského štátu ukladá prevádzkovateľovi dostatočne komplexne a záväzne povinnosť poskytnúť tejto osobe informácie týkajúce sa získania alebo poskytnutia osobných údajov. V prípade, na ktorý sa vzťahuje tento článok 14 ods. 5 písm. c), totiž dotknuté osoby musia mať dostatočné znalosti o spôsobe a účele získania alebo poskytnutia týchto údajov.
45
V dôsledku toho vzhľadom na znenie článku 14 ods. 5 písm. c) GDPR vo všetkých jeho jazykových verziách treba prijať záver, že toto ustanovenie sa má chápať tak, že odkazuje na získanie alebo poskytnutie osobných údajov.
46
Po druhé treba konštatovať, že znenie článku 14 ods. 5 písm. c) GDPR neobmedzuje výnimku, ktorú stanovuje, len na osobné údaje, ktoré prevádzkovateľ získal od inej osoby, než je dotknutá osoba, ani nevylučuje údaje, ktoré vytvoril samotný prevádzkovateľ v rámci plnenia svojich úloh na základe takýchto údajov.
47
Z toho vyplýva, že osobné údaje, ktoré boli predmetom „získania“ v zmysle uvedeného ustanovenia prevádzkovateľom, sú všetky údaje, ktoré tento prevádzkovateľ získal od inej osoby, než je dotknutá osoba, a údaje, ktoré sám vytvoril v rámci plnenia svojich úloh z údajov získaných od inej osoby, než je dotknutá osoba.
48
V druhom rade treba uviesť, že vecná pôsobnosť článku 14 GDPR je vymedzená negatívne vo vzťahu k článku 13 tohto nariadenia. Ako vyplýva zo samotného názvu týchto ustanovení, tento článok 13 sa týka informácií, ktoré sa majú poskytnúť pri získavaní osobných údajov od dotknutej osoby, zatiaľ čo tento článok 14 sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby. Vzhľadom na túto dichotómiu všetky prípady, v ktorých sa údaje nezískavajú od dotknutej osoby, patria do vecnej pôsobnosti uvedeného článku 14.
49
Z výkladu článku 13 GDPR v spojení s jeho článkom 14 teda vyplýva, že tak osobné údaje získané prevádzkovateľom od inej osoby, než je dotknutá osoba, ako aj údaje vytvorené samotným prevádzkovateľom, ktoré už zo svojej povahy neboli získané od dotknutej osoby, patria do pôsobnosti tohto článku 14. Z toho vyplýva, že výnimka stanovená v uvedenom článku 14 ods. 5 písm. c) sa vzťahuje na tieto dve kategórie údajov.
50
V treťom rade treba článok 14 ods. 5 písm. c) GDPR vykladať v zmysle, ktorý je v súlade s cieľom sledovaným týmto nariadením, ktorý spočíva, ako vyplýva z jeho článku 1 v spojení s jeho odôvodneniami 1 a 10, v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov, zakotvenej v článku 8 ods. 1 Charty základných práv a v článku 16 ods. 1 ZFEÚ (pozri v tomto zmysle rozsudok zo 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, bod 53 a citovanú judikatúru).
51
V tejto súvislosti z odôvodnenia 63 GDPR vyplýva, že normotvorca Únie chcel, aby dotknutá osoba v zmysle tohto nariadenia mala právo na prístup k osobným údajom, ktoré boli o nej získané, s cieľom oboznámiť sa s ich spracúvaním a overiť jeho zákonnosť.
52
Prevádzkovateľ tak môže byť oslobodený od svojej povinnosti poskytnúť informácie, ktorá mu obvykle prislúcha voči dotknutej osobe, pod podmienkou, že táto osoba môže vykonávať kontrolu nad svojimi osobnými údajmi a uplatňovať práva, ktoré jej priznáva GDPR.
53
V súlade s cieľom sledovaným týmto nariadením výnimka z povinnosti poskytnúť dotknutej osobe informácie, ktorá je stanovená v článku 14 ods. 5 písm. c) GDPR, na jednej strane vyžaduje, aby získanie alebo poskytnutie osobných údajov prevádzkovateľom bolo výslovne stanovené v práve Únie alebo v práve členského štátu, ktorému tento prevádzkovateľ podlieha. Na druhej strane toto právo musí stanoviť primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.
54
Z toho vyplýva, že na to, aby bolo uplatnenie článku 14 ods. 5 písm. c) GDPR plne v súlade s cieľom sledovaným týmto nariadením, podlieha dôslednému dodržiavaniu podmienok, ktoré toto ustanovenie stanovuje, a to najmä existencii úrovne ochrany dotknutej osoby, ktorá je prinajmenšom rovnocenná s úrovňou ochrany zaručenou článkom 14 ods. 1 až 4 uvedeného nariadenia.
55
Vzhľadom na vyššie uvedené dôvody treba na prvú otázku odpovedať tak, že článok 14 ods. 5 písm. c) GDPR sa má vykladať v tom zmysle, že výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, stanovená v tomto ustanovení, sa týka bez rozdielu všetkých osobných údajov, ktoré prevádzkovateľ nezískal priamo od dotknutej osoby, či už tieto údaje získal prevádzkovateľ od inej osoby, než je dotknutá osoba, alebo boli vytvorené samotným prevádzkovateľom v rámci plnenia jeho úloh.
O druhej a tretej otázke
56
Svojou druhou a treťou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa článok 14 ods. 5 písm. c) a článok 77 ods. 1 GDPR majú vykladať v tom zmysle, že v rámci konania o sťažnosti má dozorný orgán právomoc overiť, či právo členského štátu, ktorému prevádzkovateľ podlieha, stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby na účely uplatnenia výnimky stanovenej v tomto článku 14 ods. 5 písm. c), a ak áno, či sa toto overenie týka aj primeranosti opatrení, ktoré je prevádzkovateľ povinný vykonať podľa článku 32 tohto nariadenia s cieľom zaistiť bezpečnosť spracúvania osobných údajov.
57
V prvom rade treba pripomenúť, že podľa článku 77 ods. 1 GDPR a bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.
58
Pokiaľ ide o právomoc dozorných orgánov, článok 55 ods. 1 uvedeného nariadenia stanovuje, že každý dozorný orgán je na území vlastného členského štátu príslušný plniť úlohy, ktoré mu boli uložené, podľa toho istého nariadenia.
59
Pokiaľ ide o tieto úlohy, článok 57 ods. 1 písm. a) GDPR stanovuje, že každý dozorný orgán na svojom území monitoruje a presadzuje uplatňovanie tohto nariadenia.
60
GDPR neobsahuje žiadne ustanovenie, ktoré by mohlo vyňať určité aspekty uplatňovania výnimky stanovenej v článku 14 ods. 5 písm. c) tohto nariadenia z právomoci týchto dozorných orgánov.
61
Podľa tohto ustanovenia pre prevádzkovateľa platí výnimka z povinnosti poskytnúť dotknutej osobe informácie uvedené v článku 14 ods. 1, 2 a 4 GDPR v rozsahu, v akom jednak získanie alebo poskytnutie osobných údajov je výslovne stanovené v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha, a jednak toto právo stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.
62
Sťažnosť podľa článku 77 ods. 1 GDPR preto môže byť založená na tom, že prevádzkovateľ porušil povinnosť poskytnúť informácie v dôsledku nedodržania podmienok uplatnenia výnimky stanovenej v článku 14 ods. 5 písm. c) tohto nariadenia.
63
Pokiaľ ide o prvú podmienku pripomenutú v bode 61 tohto rozsudku, dozorný orgán, ktorému bola takáto sťažnosť predložená, môže byť povinný overiť, či právo Únie alebo vnútroštátne právo stanovuje, že prevádzkovateľ musí získať alebo poskytnúť osobné údaje.
64
Pokiaľ ide o druhú podmienku, treba konštatovať, ako uviedla generálna advokátka v bodoch 67 a 69 svojich návrhov, že rozsah výrazu „primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby“ nie je v GDPR spresnený. Ustanovenia práva Únie alebo práva členského štátu, ktoré stanovujú takéto opatrenia a ktorým podlieha prevádzkovateľ, však musia zaručiť, ako bolo uvedené v bode 54 tohto rozsudku, takú úroveň ochrany dotknutej osoby, pokiaľ ide o spracúvanie jej osobných údajov, ktorá je prinajmenšom rovnocenná úrovni stanovenej v článku 14 ods. 1 až 4 tohto nariadenia. Tieto ustanovenia tak musia byť takej povahy, aby umožnili dotknutej osobe vykonávať kontrolu nad jej osobnými údajmi a uplatňovať práva, ktoré jej priznáva GDPR.
65
Na tento účel je najmä dôležité, aby uvedené ustanovenia jasne a predvídateľne uvádzali zdroj, z ktorého dotknutá osoba získa informácie o spracúvaní osobných údajov, ktoré sa jej týkajú.
66
V kontexte prenosu osobných údajov medzi orgánmi členského štátu a vytváraním takýchto údajov prevádzkovateľom z údajov získaných od inej osoby, než je dotknutá osoba, treba uviesť, že v prípade sťažnosti zo strany dotknutej osoby bude úlohou dozorného orgánu najmä overiť, či relevantné vnútroštátne právo alebo právo Únie dostatočne presne vymedzuje rôzne druhy osobných údajov, ktoré sa majú získať alebo poskytnúť, ako aj osobné údaje, ktoré má prevádzkovateľ vytvoriť pri plnení svojich úloh, a či toto právo stanovuje spôsob, akým má dotknutá osoba účinný prístup k informáciám uvedeným v článku 14 ods. 1, 2 a 4 GDPR.
67
Ako zdôrazňuje Komisia vo svojich písomných pripomienkach, overenie zo strany dozorného orgánu toho, či sú splnené všetky podmienky uplatnenia výnimky stanovenej v článku 14 ods. 5 písm. c) GDPR, nie je súčasťou preskúmania platnosti relevantných ustanovení vnútroštátneho práva. Tento orgán rozhoduje len o tom, či je prevádzkovateľ v danom prípade oprávnený uplatniť vo vzťahu k dotknutej osobe výnimku stanovenú v tomto ustanovení.
68
Pokiaľ ide o výsledok takéhoto overenia, treba pripomenúť, že podľa článku 78 tohto nariadenia ak v konkrétnom prípade dozorný orgán rozhodne, že sťažnosť dotknutej osoby je nedôvodná, táto osoba musí mať vo svojom členskom štáte právo na účinný súdny prostriedok nápravy proti tomuto rozhodnutiu o zamietnutí.
69
Naopak, ak sa tento orgán domnieva, že sťažnosť je dôvodná a že podmienky uplatnenia výnimky stanovenej v článku 14 ods. 5 písm. c) uvedeného nariadenia nie sú splnené, uloží prevádzkovateľovi povinnosť poskytnúť dotknutej osobe informácie v súlade s článkom 14 ods. 1, 2 a 4 toho istého nariadenia.
70
V druhom rade, pokiaľ ide o otázku, či sa toto overenie musí týkať aj primeranosti opatrení, ktoré musí prevádzkovateľ vykonať na účely zaistenia bezpečnosti spracúvania, z hľadiska článku 32 GDPR, treba zdôrazniť, že článok 14 ods. 5 písm. c) tohto nariadenia stanovuje výnimku len z povinnosti poskytnúť informácie, ktorá je upravená v článku 14 ods. 1, 2 a 4 uvedeného nariadenia, pričom nestanovuje výnimku z povinností obsiahnutých v iných ustanoveniach toho istého nariadenia, medzi ktoré patrí aj článok 32 tohto nariadenia.
71
Tento článok 32 ukladá prevádzkovateľovi a jeho prípadnému sprostredkovateľovi povinnosť prijať primerané technické a organizačné opatrenia s cieľom zaistiť primeranú úroveň bezpečnosti spracúvania osobných údajov. Primeranosť takýchto opatrení sa musí konkrétne posúdiť s prihliadnutím na riziká spojené s príslušným spracúvaním a na základe posúdenia, či sú povaha, obsah a vykonávanie týchto opatrení primerané týmto rizikám (pozri v tomto zmysle rozsudky zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21, EU:C:2023:986, body 42, 46 a 47, ako aj z 25. januára 2024, MediaMarktSaturn, C‑687/21, EU:C:2024:72, body 37 a 38).
72
Vzhľadom na znenie týchto dvoch ustanovení treba uviesť, že povinnosti zakotvené v článku 32 GDPR, ktoré musia byť dodržané v každom prípade a bez ohľadu na to, či existuje alebo neexistuje povinnosť poskytnúť informácie podľa článku 14 tohto nariadenia, majú odlišnú povahu a odlišný rozsah v porovnaní s povinnosťou poskytnúť informácie, stanovenou v tomto článku 14.
73
V prípade sťažnosti podľa článku 77 ods. 1 GDPR z dôvodu, že prevádzkovateľ sa nesprávne odvolal na výnimku stanovenú v článku 14 ods. 5 písm. c) tohto nariadenia, je teda predmet overení, ktoré má vykonať dozorný orgán, obmedzený pôsobnosťou samotného článku 14 uvedeného nariadenia, pričom dodržanie článku 32 tohto nariadenia nie je súčasťou týchto overení.
74
Vzhľadom na predchádzajúce dôvody treba na druhú a tretiu otázku odpovedať tak, že článok 14 ods. 5 písm. c) a článok 77 ods. 1 GDPR sa majú vykladať v tom zmysle, že v rámci konania o sťažnosti má dozorný orgán právomoc overiť, či právo členského štátu, ktorému prevádzkovateľ podlieha, stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby na účely uplatnenia výnimky stanovenej v tomto článku 14 ods. 5 písm. c). Toto overenie sa však netýka primeranosti opatrení, ktoré je prevádzkovateľ povinný vykonať podľa článku 32 tohto nariadenia s cieľom zaistiť bezpečnosť spracúvania osobných údajov.
O trovách
75
Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:
1.
Článok 14 ods. 5 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, stanovená v tomto ustanovení, sa týka bez rozdielu všetkých osobných údajov, ktoré prevádzkovateľ nezískal priamo od dotknutej osoby, či už tieto údaje získal prevádzkovateľ od inej osoby, než je dotknutá osoba, alebo boli vytvorené samotným prevádzkovateľom v rámci plnenia jeho úloh.
2.
Článok 14 ods. 5 písm. c) a článok 77 ods. 1 nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
v rámci konania o sťažnosti má dozorný orgán právomoc overiť, či právo členského štátu, ktorému prevádzkovateľ podlieha, stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby na účely uplatnenia výnimky stanovenej v tomto článku 14 ods. 5 písm. c). Toto overenie sa však netýka primeranosti opatrení, ktoré je prevádzkovateľ povinný vykonať podľa článku 32 tohto nariadenia s cieľom zaistiť bezpečnosť spracúvania osobných údajov.
Podpisy
(
*1
)	Jazyk konania: maďarčina.
(
i
)	Názov prejednávanej veci je fiktívny. Nezodpovedá skutočnému menu ani názvu žiadneho z účastníkov konania.