STANOVISKO GENERÁLNÍ ADVOKÁTKY
LAILY MEDINA
přednesené dne 15. června 2023(1)
Věc C‑333/22
Ligue des droits humains ASBL,
BA
proti
Organe de contrôle de l’information policière
[žádost o rozhodnutí o předběžné otázce podaná cour d’appel de Bruxelles (Odvolací soud, Brusel, Belgie)]
„Žádost o rozhodnutí o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů v trestních věcech – Výkon práv subjektu údajů prostřednictvím příslušného dozorového úřadu – Ověření zákonnosti zpracování osobních údajů subjektu údajů tímto úřadem – Právo na účinnou soudní ochranu vůči dozorovému úřadu“
1.        Směrnice (EU) 2016/680(2), známější pod názvem „směrnice o prosazování práva“, stanoví zvláštní pravidla pro ochranu osobních údajů a volný pohyb těchto údajů v oblasti soudní spolupráce v trestních věcech a policejní spolupráce a v podstatě odráží „specifickou povahu těchto oblastí“(3). Tato směrnice sleduje dva politické cíle. Na jedné straně má přispět k dotvoření prostoru svobody, bezpečnosti a práva(4), který umožňuje volný pohyb osobních údajů mezi příslušnými orgány za účelem vymáhání práva(5). Na druhé straně má zajistit vysokou úroveň ochrany těchto údajů. Jejím právním základem je čl. 16 odst. 2 SFEU, který pověřuje unijního normotvůrce, aby stanovil pravidla týkající se ochrany osobních údajů.
2.        „Sladění“ těchto dvou politických cílů sledovaných směrnicí 2016/680 však zůstává obtížným úkolem(6). Projednávaná věc poskytuje Soudnímu dvoru příležitost k tomu, aby přezkoumal konkrétní příklad rovnováhy mezi vymáháním práva a ochranou údajů v souvislosti s vykonáváním práv subjektů údajů. Uvedená směrnice ve srovnání s předchozím režimem podle rámcového rozhodnutí Rady 2008/977/SVV(7) posiluje práva subjektů údajů. Toto posílení se týká zejména přiznání přímého práva subjektu údajů na přístup k osobním údajům, které je zásadním prvkem základního práva na ochranu údajů. Jak je uvedeno v odborné literatuře, práva subjektů údajů v oblasti vymáhání práva představují „základní nástroj proti asymetrii informační moci a nezákonným zpracováním“(8). Je proto nezbytné zajistit, aby mohla být uvedená práva účinně vykonávána.
I. Právní rámec
Unijní právo
Směrnice 2016/680
3.        Článek 3 směrnice 2016/680 stanovuje následující definice:
„8)      ‚správcem‘ příslušný orgán, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
[…]
15)      ‚dozorovým úřadem‘ nezávislý orgán veřejné moci zřízený členským státem podle článku 41;“.
4.        Kapitola III směrnice 2016/680 je nadepsaná „Práva subjektu údajů“. V této kapitole se v odstavcích 3 a 4 článku 13, nadepsaného „Informace poskytované subjektu údajů“, stanoví:
„3. Členské státy mohou přijmout legislativní opatření, aby poskytnutí informací subjektu údajů podle odstavce 2 odložily, omezily či od něho upustily, v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a)      zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b)      zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c)      chránit veřejnou bezpečnost;
d)      chránit národní bezpečnost;
e)      chránit práva a svobody druhých.
4. Členské státy mohou přijmout legislativní opatření s cílem určit kategorie zpracování, na něž se může plně nebo částečně vztahovat některé z písmen uvedených v odstavci 3.“
5.        Článek 14 směrnice 2016/680, nadepsaný „Právo subjektu údajů na přístup k osobním údajům“, stanoví:
„S výhradou článku 15 členské státy stanoví, že subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
[…]“
6.        Článek 15 směrnice 2016/680, nadepsaný „Omezení práva na přístup“, stanoví:
„1. Členské státy mohou přijmout legislativní opatření, která přístup subjektů údajů k informacím úplně nebo částečně omezují v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a)      zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b)      zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c)      chránit veřejnou bezpečnost;
d)      chránit národní bezpečnost;
e)      chránit práva a svobody druhých.
2. Členské státy mohou přijmout legislativní opatření s cílem určit kategorie zpracování, na něž se mohou plně nebo částečně vztahovat výjimky podle odstavce 1.
3. V případech uvedených v odstavcích 1 a 2 členské státy zajistí, aby správce bez zbytečného odkladu písemně informoval subjekt údajů o jakémkoli odmítnutí nebo omezení přístupu a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo některý z účelů podle odstavce 1. Členské státy stanoví, že správce informuje subjekty údajů o možnosti podat stížnost u dozorového úřadu nebo žádat soudní ochranu.
4. Členské státy stanoví, že správce zdokumentuje věcné či právní důvody, na nichž se rozhodnutí zakládá. Tyto informace se zpřístupní dozorovým úřadům.“
7.        Článek 16 směrnice 2016/680, nadepsaný „Právo na opravu nebo výmaz osobních údajů a omezení zpracování“, v odstavci 4 stanoví:
„Členské státy stanoví, že správce informuje subjekt údajů písemně o jakémkoli odmítnutí opravy či výmazu osobních údajů nebo omezení zpracování a o důvodech tohoto odmítnutí. Členské státy mohou přijmout legislativní opatření, která povinnost poskytnout tyto informace úplně nebo částečně omezují v takovém rozsahu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a)      zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b)      zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c)      chránit veřejnou bezpečnost;
d)      chránit národní bezpečnost;
e)      chránit práva a svobody druhých.
Členské státy stanoví, že správce informuje subjekty údajů o možnosti podat stížnost u dozorového úřadu nebo žádat soudní ochranu.“
8.        V článku 17 směrnice 2016/680, nadepsaném „Výkon práv subjektem údajů a ověření prováděná dozorovým úřadem“, je stanoveno:
„1. V případech uvedených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 členské státy přijmou opatření, která zajistí, aby práva subjektu údajů bylo možné vykonávat rovněž prostřednictvím příslušného dozorového úřadu.
2. Členské státy stanoví, že správce informuje subjekt údajů o možnosti vykonávat svá práva prostřednictvím dozorového úřadu podle odstavce 1.
3. V případě výkonu práva podle odstavce 1 informuje dozorový úřad subjekt údajů přinejmenším o tom, že provedl veškerá nezbytná ověření nebo přezkum. Dozorový úřad rovněž subjekt údajů informuje o jeho právu žádat soudní ochranu.“
Belgické právo
9.        Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (Zákon o ochraně fyzických osob při zpracování osobních údajů) ze dne 30. července 2018 (Moniteur belge, 5. září 2018, s. 68616) (dále jen „LPD“) se do belgického práva provádí směrnice 2016/680. V hlavě 2 kapitole III LPD jsou upravena práva subjektu údajů, která v podstatě sestávají z práva na informace, práva na přístup k údajům a práva na opravu údajů.
10.      Článek 42 LPD stanoví:
„Žádost o výkon práv uvedených v této kapitole týkající se policejních složek […] nebo Inspection générale de la police fédérale et de la police locale (Generální inspekce federální a místní policie, Belgie) se podává dozorovému úřadu uvedenému v článku 71.
V případech uvedených v čl. 37 odst. 2, čl. 38 odst. 2, čl. 39 odst. 4 a čl. 62 odst. 1 dozorový úřad uvedený v článku 71 sdělí subjektu údajů pouze to, že byla provedena nezbytná ověření.
Bez ohledu na odstavec 2 může dozorový úřad uvedený v článku 71 sdělit dotčené osobě určité kontextuální informace.
Kategorii kontextuálních informací, které může dozorový úřad dotčené osobě sdělit, určí král na základě stanoviska tohoto úřadu uvedeného v článku 71.“
11.      Předkládající soud uvádí, že „kontextuální informace“, které může Orgán pro kontrolu policejních informací sdělit subjektu údajů, nebyly dosud královskou vyhláškou, která má být vydána podle čtvrté věty článku 42 LPD, upřesněny.
12.      Článek 71 LPD stanoví:
„1.      Při Chambre des représentants (Poslanecká sněmovna, Belgie) se zřizuje nezávislý úřad pro dozor nad policejními informacemi, nazvaný Organe de contrôle de l’information policière (Orgán pro kontrolu policejních informací, Belgie).
[…]
pověřený: 1. dozorem nad uplatňováním ustanovení podle této hlavy […].“
13.      Hlava 5 LPD obsahuje kapitolu I, nadepsanou „Žaloba na zdržení se jednání“. V ní obsažený článek 209 zní takto:
„Aniž jsou dotčeny jakékoli jiné soudní, správní nebo mimosoudní prostředky nápravy, rozhoduje předseda tribunal de première instance (soud prvního stupně) postupem jako v řízení o předběžném opatření o existenci zpracování zakládajícího porušení právních nebo správních předpisů o ochraně fyzických osob se zřetelem na zpracování jejich osobních údajů a nařídí jeho zastavení.
Předseda tribunal de première instance (soud prvního stupně) postupem jako v řízení o předběžném opatření rozhoduje o každé žádosti týkající se práva na sdělení osobních údajů přiznaného zákonem nebo na jeho základě a o každé žádosti o opravu, výmaz nebo zákaz použití jakéhokoli osobního údaje, který je nepřesný nebo s ohledem na účel zpracování neúplný nebo irelevantní nebo jehož zaznamenávání, sdělování nebo uchovávání je zakázáno, proti jehož zpracování subjekt údajů vznesl námitku nebo který byl uchováván po uplynutí povolené doby.“
14.      Článek 240 LPD stanoví, že Orgán pro kontrolu policejních informací:
„4. vyřizuje stížnosti, v nezbytném rozsahu prošetřuje předmět stížností a v přiměřené lhůtě informuje stěžovatele o průběhu a výsledku šetření, a to zejména tehdy, je-li nutné další šetření nebo koordinace s jiným dozorovým úřadem […].“
II. Skutkový stav, původní řízení a otázky položené v řízení o předběžné otázce
15.      V roce 2016 se BA chtěl podílet na montáži a demontáži instalací desátého ročníku „Evropských rozvojových dnů“ v Bruselu (Belgie). Za tímto účelem musel získat „bezpečnostní osvědčení“.
16.      Dopisem ze dne 22. června 2016 odmítl Autorité nationale de sécurité (Národní bezpečnostní úřad, Belgie) požadované bezpečnostní osvědčení vydat. Uvedl, že z údajů daných tomuto úřadu k dispozici plyne, že dotčená osoba je známa účastí na 10 manifestacích mezi lety 2007 a 2016, přičemž tato skutečnost neumožňuje vydání osvědčení o bezpečnosti. BA toto rozhodnutí Národního bezpečnostního úřadu nenapadl.
17.      Dne 5. září 2018 vstoupil v platnost LPD, jímž se zřizuje Orgán pro kontrolu policejních informací.
18.      Dne 4. února 2020 požádal právní zástupce BA Orgán pro kontrolu policejních informací, aby zjistil správce sporného zpracování a nařídil jim, aby BA poskytli přístup ke všem informacím, které se jej týkají.
19.      E-mailem ze dne 6. února 2020 Orgán pro kontrolu policejních informací odpověděl, že BA má pouze nepřímé právo na přístup, přičemž uvedl, že hodlá ověřit osobní údaje BA, aby zaručil zákonnost jakéhokoli zpracování údajů v Banque de données nationale générale (BNG – všeobecná národní databáze). Orgán pro kontrolu policejních informací uvedl, že má pravomoc nařídit policii, aby v případě potřeby údaje vymazala nebo změnila, a že na závěr této kontroly bude BA informován o tom, že „byla provedena nezbytná ověření“.
20.      Dne 22. června 2020 napsal Orgán pro kontrolu policejních informací:
„[…] v souladu s článkem 42 [LPD] Vás informuji, že Orgán pro kontrolu provedl nezbytná ověření.
To znamená, že osobní údaje Vašeho klienta byly v policejních databázích ověřeny, aby byla zaručena zákonnost veškerého zpracování.
Bylo-li to nezbytné, byly osobní údaje změněny nebo vymazány.
Jak jsem Vám vysvětlil v e-mailu ze dne 2. června, článek 42 LPD neumožňuje Orgánu pro kontrolu poskytnout více informací.“
21.      Dne 2. září 2020 podali žalobci v původním řízení, totiž BA a Ligue des droits humains, na základě článku 209 LPD proti Orgánu pro kontrolu policejních informací žalobu k předsedovi tribunal de première instance francophone de Bruxelles (soud prvního stupně frankofonního soudu v Bruselu, Belgie). Žádali, aby jejich žaloba proti dozorovému úřadu byla prohlášena za přípustnou. Podpůrně položili uvedenému soudu otázku, zda je článek 42 LPD v rozporu s čl. 47 odst. 4 a čl. 17 odst. 3 směrnice 2016/680. V tomto ohledu BA a Ligue des droits humains tvrdí, že článek 42 LPD nezakotvuje soudní ochranu proti rozhodnutím přijatým nezávislým dozorovým úřadem, ani tomuto úřadu neukládá povinnost informovat subjekt údajů o jeho právu žádat soudní ochranu.
22.      Pokud jde o podstatu jejich žaloby, žalobci se domáhali přístupu ke všem osobním údajům týkajícím se BA a požadovali, aby bylo Orgánu pro kontrolu policejních informací nařízeno, aby zjistil správce a všechny osoby, které mohly takové údaje obdržet. Podpůrně se domáhali, aby byla Soudnímu dvoru položena otázka, zda je čl. 42 odst. 2 LPD slučitelný s články 14, 15 a 17 směrnice 2016/680 ve spojení s články 8, 47 a čl. 52 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“). V tomto ohledu se jejich výtka týká skutečnosti, že čl. 42 odst. 2 LPD stanoví obecnou a systémovou výjimku z práva na přístup k osobním údajům.
23.      Tribunal de première instance francophone de Bruxelles (Soud prvního stupně frankofonního soudu v Bruselu) usnesením ze dne 17. května 2021 prohlásil, že k projednání žaloby podané žalobci není příslušný.
24.      Podáním ze dne 15. června 2021 byl ke cour d’appel de Bruxelles (odvolací soud v Bruselu, Belgie) podán projednávaný opravný prostředek. Navrhovatelé opravného prostředku v podstatě zopakovali své výtky vůči čl. 42 odst. 2 LPD a návrhy, které vznesli v řízení v prvním stupni.
25.      Orgán pro kontrolu policejních informací navrhl, aby uvedené odvolání bylo zamítnuto.
26.      Předkládající soud uvádí, že údaje zpracovávané policejními složkami podléhají podle belgického práva zvláštnímu režimu. Podle článku 42 LPD se veškeré žádosti vycházející z práv k těmto osobním údajům podávají Orgánu pro kontrolu policejních informací. Tento orgán vyrozumí subjekty údajů pouze o tom, že „byla provedena nezbytná ověření“.
27.      Předkládající soud uvádí, že čl. 17 odst. 3 směrnice 2016/680 nebyl do vnitrostátního práva řádně proveden. Zaprvé článek 42 LPD nestanoví, že dozorový úřad má informovat subjekt údajů o jeho právu žádat soudní ochranu. Zadruhé LPD neumožňuje uplatnění soudní ochrany proti Orgánu pro kontrolu policejních informací.
28.      V tomto ohledu předkládající soud zaprvé uvádí, že uplatnění opravného prostředku upraveného v článku 240 LPD, který umožňuje subjektu údajů podat stížnost u dozorového úřadu, musí směřovat proti správci.
29.      Zadruhé žaloba na zdržení se jednáním, jak je upravena v článku 209 a následujících LPD, pro BA nezakládá účinný prostředek ochrany práv vůči Orgánu pro kontrolu policejních informací. V tomto ohledu předkládající soud uvádí, že z těchto ustanovení zaprvé vyplývá, že žaloba musí být podána proti správci. BA ji tedy nemůže podat proti Orgánu pro kontrolu policejních informací. Zadruhé článek 42 LPD BA neumožňuje takovou žalobu proti správci podat, poněvadž výkon jeho práv je svěřen Orgánu pro kontrolu policejních informací. Zatřetí zvláště stručná informace poskytnutá uvedeným orgánem podle článku 42 LPD neumožňuje BA ani soudu v rámci následné kontroly posoudit, zda Orgán pro kontrolu policejních informací řádně vykonal práva BA.
30.      Konečně, i když je žaloba na zdržení se jednání upravena LPD, „aniž jsou dotčeny jakékoli jiné soudní, správní nebo mimosoudní prostředky ochrany práv“ a omezena „příslušnost tribunal de première instance (soud prvního stupně) a předsedy tribunal de première instance (soud prvního stupně) v řízení o předběžném opatření“ (články 209 a 219 LPD), jakýkoli jiný prostředek ochrany práv podaný ze strany BA by podle názoru předkládajícího soudu narážel na stejné překážky.
31.      Za těchto podmínek se cour d’appel de Bruxelles (odvolací soud v Bruselu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)      Ukládají článek 47 a čl. 8 odst. 3 [Listiny] povinnost zakotvit soudní ochranu práv vůči nezávislému dozorovému úřadu, jakým je Orgán pro kontrolu policejních informací, vykonává-li práva subjektu údajů ve vztahu ke správci?
2)      Je článek 17 směrnice 2016/680 v souladu s článkem 47 a čl. 8 odst. 3 [Listiny], jak jsou vykládány Soudním dvorem, v tom, že dozorovému úřadu, jenž vykonává práva subjektu údajů ve vztahu ke správci, ukládá pouze povinnost tuto osobu informovat o tom, že ‚provedl veškerá nezbytná ověření nebo přezkum‘, a o ‚jeho právu žádat soudní ochranu‘, ač tatáž informace neumožňuje následný dohled nad činností a posouzením dozorového úřadu s ohledem na subjekt údajů a povinnosti, které nese správce?“
32.      Písemná vyjádření předložili navrhovatelé v původním řízení, belgická vláda, vláda České republiky, Evropská komise a Evropský parlament. Soudní dvůr položil belgické vládě k písemnému zodpovězení několik písemných otázek. Uvedená vláda odpověděla dne 13. března 2023. Ústního jednání, které se konalo dne 29. března 2023, se účastnili navrhovatelé a odpůrce v původním řízení, francouzská vláda, jakož i Evropská komise a Evropský parlament.
III. Hodnocení
Úvodní poznámky
33.      Předložené předběžné otázky se v podstatě týkají soudního přezkumu činnosti dozorového úřadu a jeho rozsahu a efektivity v situaci, kdy tento úřad vykonává práva subjektu údajů v zájmu tohoto subjektu, tedy v případě, kdy jsou tato práva vykonávána nepřímo. Předkládající soud nezpochybnil systematiku belgického režimu nepřímého přístupu subjektů údajů jako takovou. Právo na účinnou ochranu je však nevyhnutelně ovlivněno systémem, v němž je přístup subjektů údajů prakticky nemožný nebo příliš obtížný. Proto je důležité nejprve stručně popsat systematiku práv subjektu údajů podle směrnice 2016/680, a teprve poté zkoumat, jak do této systematiky zapadá belgický režim nepřímého přístupu.
a) Práva subjektů údajů podle směrnice 2016/680 a omezení těchto práv
34.      Právo na přístup ke shromážděným údajům a právo na opravu těchto údajů jsou zásadními prvky práva na ochranu osobních údajů zakotveného v čl. 8 odst. 2 Listiny. Obecně platí, že právo na přístup slouží dvěma hlavním cílům, a to „zvýšení transparentnosti a usnadnění kontroly“(9). Jak se uvádí v odborné literatuře, transparentnost skutečně zvyšuje, neboť poskytuje „druhou, hlubší a podrobnější vrstvu informací, které může subjekt údajů získat“(10). Právo na přístup také usnadňuje kontrolu, protože představuje předpoklad pro výkon dalších práv, konkrétně práva na opravu nebo výmaz osobních údajů nebo práva žádat soudní ochranu(11).
35.      Z bodu 7 odůvodnění směrnice 2016/680 vyplývá, že jejím cílem je dosáhnout účinné ochrany osobních údajů v celé Evropské unii, což vyžaduje nejen posílení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají, ale také rovnocenné pravomoci pro monitorování a zajišťování souladu s pravidly ochrany osobních údajů v členských státech. Ve srovnání s předchozím režimem podle rámcového rozhodnutí 2008/977 se jedná o významný krok vpřed. Oblast působnosti uvedeného rámcového rozhodnutí byla totiž omezena na přeshraniční zpracování údajů. Navíc odrážela „specifika ‚pilířové‘ struktury EU existující před vstoupením Lisabonské smlouvy v platnost“(12) a ponechala „členský[m] států[m] […] značnou svobodu“(13). Ve srovnání s tímto předchozím režimem stanoví kapitola III směrnice 2016/680 „novou strukturu práv subjektů údajů, přičemž zásadou je to, že mají právo na informace, přístup, opravu, výmaz osobních údajů nebo omezení zpracování, nejsou-li tato práva omezena“(14).
36.      Konkrétně je v článku 13 směrnice 2016/680 stanoveno, že správci mají subjektům údajů poskytovat určité informace (právo na informace). V článku 14 je stanoveno, že subjekt údajů má právo získat od správce potvrzení, zda údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k osobním údajům a konkrétním informacím (právo na přístup). V článku 16 je stanoveno, že subjekt údajů má právo požadovat na správci opravu nepřesných osobních údajů, které se ho týkají, jakož i právo na výmaz osobních údajů, případně na omezení zpracování (právo na opravu, výmaz nebo omezení zpracování). Subjekt údajů může svá práva v zásadě vykonávat přímo.
37.      Směrnice 2016/680 umožňuje členským státům přijmout legislativní opatření, která za podmínek stanovených v čl. 13 odst. 3, článku 15 a čl. 16 odst. 4 této směrnice zcela nebo zčásti omezí práva subjektů údajů. Taková opatření jsou v zásadě přípustná „v takovém rozsahu a na takovou dobu“, jak „je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené“, s cílem zachovat konkrétní účel veřejného zájmu, a sice zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů, zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů, chránit veřejnou bezpečnost, národní bezpečnost nebo práva a svobody druhých. Členské státy mohou podle čl. 13 odst. 4 a čl. 15 odst. 2 směrnice 2016/680 přijmout legislativní opatření s cílem určit kategorie zpracování, na něž se může plně nebo částečně vztahovat některý z těchto účelů.
38.      V případě omezení práva na přístup musí správce podle čl. 15 odst. 3 směrnice 2016/680 bez zbytečného odkladu písemně informovat subjekt údajů o jakémkoli odmítnutí nebo omezení přístupu a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo účel veřejného zájmu uvedený v čl. 15 odst. 1 směrnice. Správce musí informovat subjekty údajů o možnosti podat stížnost u dozorového úřadu nebo žádat soudní ochranu. Podle čl. 15 odst. 4 směrnice 2016/680 musí navíc správce v případě omezení nebo odepření práva na přístup zdokumentovat věcné či právní důvody, na nichž se rozhodnutí zakládá, a tyto informace zpřístupnit dozorovým úřadům.
39.      Ze systematiky práv subjektů údajů upravené v kapitole III směrnice 2016/680 vyplývá obecné pravidlo, dle něhož v oblasti prosazování práva mají subjekty údajů práva týkající se ochrany jejich údajů a tato práva mohou vykonávat přímo. Jakékoli omezení těchto práv představuje výjimku. Podle ustálené judikatury přitom musí být výjimka z obecného pravidla vykládána restriktivně(15). Kromě toho existují omezení týkající se povinnosti uvést odůvodnění uložených omezení a informovat o nich subjekt údajů. Tyto informace není třeba uvádět pouze ve výjimečných případech.
40.      Tentýž vzájemný vztah mezi pravidlem a výjimkou platí také ve vztahu k možnosti členských států určit kategorie zpracování, které lze plně nebo částečně kvalifikovat jako účely veřejného zájmu a jež tudíž umožňují omezit výkon práv subjektů údajů podle článku 13 odst. 3 nebo čl. 15 odst. 1 směrnice 2016/680. Jak v podstatě uvedla pracovní skupina zřízená podle článku 29(16) ve svém stanovisku ke směrnici 2016/680, možnost členských států určit takové kategorie zpracování neumožňuje plošná omezení práv subjektů údajů na informace a na přístup(17). Taková plošná omezení by vedla k upřednostňování výjimky před pravidlem, čímž by ustanovení zakotvující práva subjektu údajů do značné míry ztratila smysl(18).
b) Nepřímý výkon práv subjektu údajů
41.      Právo subjektu údajů obrátit se za účelem výkonu svých práv přímo na správce je významným prvkem směrnice 2016/680. Tato směrnice zaručuje subjektům údajů v zásadě přímý výkon práv(19). Subjekty údajů tak mají právo na přímý přístup, pokud se neuplatní omezení. Pokud se omezení uplatní a právo na přímý přístup tedy již není k dispozici, může subjekt údajů vykonávat svá práva nepřímo prostřednictvím příslušného dozorového úřadu podle čl. 17 odst. 1 směrnice 2016/680.
42.      Jak uvádějí francouzská vláda a Komise a jak zdůrazňuje rovněž pracovní skupina zřízená podle článku 29 ve svém stanovisku ke směrnici 2016/680, nepřímý výkon práv prostřednictvím příslušného orgánu je dodatečnou zárukou, která je subjektům údajů poskytnuta v případě, že se uplatní omezení(20). Rámec nepřímého výkonu práv jako dodatečné záruky představuje v porovnání s předchozí situací podle rámcového rozhodnutí 2008/977 významný pokrok(21). Podle tohoto rámcového rozhodnutí byl totiž nepřímý přístup rovnocenný s přístupem přímým(22). Bylo by tak v rozporu s celým účelem harmonizace sledovaným směrnicí 2016/680, pokud by členské státy navzdory rozvoji systematiky práv subjektů údajů, který tato směrnice přináší, učinily z poskytnutí nepřímého přístupu nikoli další možnost, kterou mají subjekty údajů k dispozici, ale spíše jediný prostředek, který tyto subjekty mají.
c) Režim nepřímého výkonu práv stanovený v článku 42 LPD
43.      Článek 17 směrnice 2016/680 je do belgického práva proveden článkem 42 LPD. V první větě článku 42 LPD se stanoví, že subjekty údajů musí všechny žádosti o výkon svých práv v souvislosti s policejními orgány podávat Orgánu pro kontrolu policejních informací. Ve druhé větě článku 42 LPD je stanoveno, že pokud správce omezí nebo odmítne přístup, tento dozorový úřad sdělí subjektu údajů pouze to, že byla provedena všechna nezbytná ověření.
44.      Článek 42 LPD podle všeho zavádí režim, který se ve vztahu k veškerým údajům zpracovávaným policejními orgány odchyluje od zásady přímého výkonu práv subjektů údajů. Vzhledem k mimořádně velkému rozsahu údajů, na něž se odchylný režim vztahuje, totiž tento režim zavádí plošnou výjimku z přímého práva na přístup. Jak bylo vysvětleno v úvodních poznámkách výše, takto širokou a plošnou výjimku z práva na přímý přístup nelze považovat za slučitelnou se směrnicí 2016/680(23). Jak v podstatě uvedla Conseil d’État (Státní rada, Belgie) ve svém stanovisku k návrhu LPD, přechod od situace, kdy má dotčená osoba možnost vykonávat svá práva nepřímo, k situaci, kdy zákonodárce namísto toho může nepřímý výkon těchto práv vyžadovat, je v rozporu s článkem 17 směrnice 2016/680(24).
45.      Nahrazení přímého přístupu nepřímým podle článku 42 LPD je ještě problematičtější, pokud je na něj nahlíženo ve světle omezených pravomocí Orgánu pro kontrolu policejních informací. Právní zástupce tohoto orgánu v odpověď na dotaz ohledně této okolnosti, který mu byl položen při jednání, potvrdil, že Orgán pro kontrolu policejních informací může v rámci nepřímého výkonu práv subjektu údajů informovat subjekt údajů pouze o tom, že byla provedena všechna nezbytná ověření. Je však třeba připomenout, že režim nepřímého přístupu je výjimkou, která předpokládá omezení práv subjektů údajů v souladu s podmínkami stanovenými ve směrnici 2016/680. Naproti tomu podle belgického systému je subjekt údajů povinen požádat o výkon svých práv v souvislosti s údaji zpracovávanými policejními orgány dozorový úřad. Nemůže získat přístup k údajům, které se ho týkají, a nemůže získat nic víc než potvrzení o tom, že byla provedena všechna nezbytná ověření. Vnitrostátní zákonodárce podle všeho odchylně od směrnice 2016/680 stanovil základní předpoklad, že práva subjektů údajů jsou ve vztahu ke všem údajům zpracovávaným policií omezena vždy a přímý přístup není možný.
46.      S ohledem na výše uvedené úvahy mám za to, že článek 42 LPD stanovuje režim nepřímého výkonu práv, který je neslučitelný se způsobem výkonu práv subjektů údajů stanoveným ve směrnici 2016/680. Předběžné otázky budu přezkoumávat ve světle této úvahy.
K první předběžné otázce
47.      Úvodem je třeba připomenout, že podle ustálené judikatury přísluší Soudnímu dvoru v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z tohoto hlediska Soudnímu dvoru přísluší případně přeformulovat otázky, jež mu jsou položeny. K těmto účelům může Soudní dvůr ze všech poznatků předložených předkládajícím soudem, zejména z odůvodnění předkládacího rozhodnutí, vytěžit ty prvky unijního práva, které je s přihlédnutím k předmětu sporu v původním řízení třeba vyložit(25).
48.      V projednávané věci z předkládacího rozhodnutí vyplývá, že podstatou první předběžné otázky předkládajícího soudu je výklad článku 17 směrnice 2016/680. Tento soud si v podstatě přeje zjistit to, zda uvedené ustanovení vykládané ve světle článku 47 a čl. 8 odst. 3 Listiny musí být vykládáno v tom smyslu, že vyžaduje, aby měl subjekt údajů k dispozici soudní ochranu vůči nezávislému dozorovému úřadu, pokud vykonává svá práva prostřednictvím tohoto úřadu.
49.      Nejprve je třeba uvést, že předkládající soud si klade tuto otázku, neboť se domnívá, že belgické právo neupravuje právo domáhat se soudního přezkumu vůči dozorovému úřadu, pokud tento úřad vykonává práva subjektu údajů nepřímo. V tomto ohledu předkládající soud zaprvé uvádí, že toto ustanovení nebylo do vnitrostátního práva provedeno správně, neboť článek 42 LPD nestanoví povinnost dozorového úřadu informovat subjekt údajů o jeho právu žádat soudní ochranu. Zadruhé má předkládající soud za to, že žádné jiné ustanovení LPD, zejména jeho článek 209 a násl. a článek 240, neumožňuje subjektu údajů podat žalobu proti dozorovému úřadu, vykonává-li tento úřad práva subjektu údajů nepřímo(26).
50.      Belgická vláda ve svých písemných vyjádřeních tvrdí, že bez ohledu na výklad věty druhé článku 209 LPD belgický právní řád za okolností věci v původním řízení umožňuje účinný soudní přezkum. V tomto ohledu uvádí, že zvláštními prostředky ochrany práv zakotvenými v LPD není dotčena obecná příslušnost civilních soudů. Belgická vláda ovšem správně zdůrazňuje, že Soudní dvůr je v souladu s ustálenou judikaturou oprávněn rozhodovat o výkladu nebo platnosti právního předpisu Unie pouze na základě skutečností, které mu sdělil vnitrostátní soud. Naproti tomu výklad vnitrostátních právních předpisů přísluší výhradně předkládajícímu soudu(27).
a) Prostředky ochrany práv, které má subjekt údajů k dispozici
51.      K určení toho, zda má subjekt údajů v případě nepřímého výkonu svých práv právo žádat soudní ochranu vůči dozorovému úřadu, je třeba připomenout, že směrnice 2016/680 v kapitole VIII stanoví řadu prostředků ochrany práv, které mají subjekty údajů k dispozici. Podle článku 52 směrnice 2016/680 mají subjekty údajů právo podat stížnost u dozorových úřadů. Článek 53 odst. 1 směrnice 2016/680 stanoví, že subjekty údajů mají právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jich týká. Článek 53 odst. 2 stanoví, že každý subjekt údajů má právo na účinnou soudní ochranu, pokud se dozorový úřad nezabývá stížností nebo neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti. Subjekty údajů navíc mají právo na účinnou soudní ochranu vůči správci nebo zpracovateli, pokud mají za to, že jejich práva byla porušena v důsledku nezákonného zpracování jejich osobních údajů. Ve všech těchto ustanoveních se uvádí, že každý z těchto prostředků ochrany práv je k dispozici „[a]niž je dotčena jakákoliv jiná správní nebo mimosoudní ochrana“.
52.      Pokud jde o právo na účinnou soudní ochranu vůči dozorovému úřadu, v bodě 86 odůvodnění směrnice 2016/680 se uvádí, že toto právo lze uplatnit proti „rozhodnutí dozorového úřadu, které vůči [dané osobě] zakládá právní účinky“. Tentýž bod odůvodnění stanoví, že takové rozhodnutí se týká zejména výkonu šetřicích, nápravných a povolovacích pravomocí dozorovým úřadem nebo odmítnutí či zamítnutí stížností, avšak toto právo se nevztahuje na „další opatření dozorových úřadů, která nejsou právně závazná, jako jsou stanoviska vydávaná dozorovým úřadem nebo poradenství jím poskytované“.
53.      Z článku 53 odst. 1 směrnice 2016/680 vykládaného ve světle bodu 86 odůvodnění této směrnice vyplývá, že subjekt údajů má právo napadnout rozhodnutí nebo opatření dozorového úřadu, které je právně závazné.
54.      V tomto ohledu je třeba připomenout, že právo na účinnou soudní ochranu zakotvené v článku 47 Listiny musí být přiznáno každému, kdo se dovolává práv nebo svobod zaručených unijním právem proti rozhodnutí nepříznivě zasahujícímu do jeho právního postavení, které může zasáhnout do těchto práv nebo svobod(28).
55.      Dále je třeba zdůraznit, že akty nepříznivě zasahující do právního postavení osoby zahrnují „akty nebo opatření s právně závaznými účinky, jimiž mohou být přímo a bezprostředně dotčeny zájmy žalobce tím, že podstatným způsobem mění jeho právní postavení“(29). V tomto ohledu je třeba vycházet z podstaty tohoto aktu a posoudit uvedené účinky podle takových objektivních kritérií, jako je obsah tohoto aktu, případně s přihlédnutím k souvislostem přijetí tohoto aktu, jakož i pravomocem orgánu, jenž je jeho autorem(30).
b) Pravomoci dozorového úřadu v souvislosti s nepřímým výkonem práv
56.      S ohledem na znaky vymezující akt, který nepříznivě zasahuje do právního postavení osoby, je pro určení toho, zda dozorový úřad v rámci nepřímého výkonu práv subjektu údajů podle článku 17 směrnice 2016/680 přijímá právně závazné rozhodnutí, nezbytné přezkoumat obsah či podstatu aktu dozorového úřadu s přihlédnutím ke kontextu uvedeného aktu a k pravomoci tohoto úřadu.
57.      Pokud jde v prvé řadě o podstatu aktu dozorového úřadu, je třeba na úvod upřesnit, že způsobilost aktu vyvolávat bezprostřední účinky na právní postavení fyzické nebo právnické osoby nemůže být posuzována pouze s ohledem na skutečnost, že tento akt má formu e-mailu (jak tomu bylo ve věci v původním řízení), jelikož by to vedlo k upřednostnění formy aktu, který je předmětem žaloby, před samotným obsahem uvedeného aktu(31).
58.      Článek 17 odst. 1 směrnice 2016/680 stanoví, že práva subjektu údajů mohou být vykonávána „prostřednictvím“ příslušného dozorového úřadu. V bodě 48 odůvodnění této směrnice se uvádí, že dozorový úřad koná „v zájmu“ subjektu údajů. Podle čl. 17 odst. 3 uvedené směrnice „informuje“ dozorový úřad subjekt údajů přinejmenším o tom, že provedl veškerá nezbytná ověření nebo přezkum.
59.      Orgán pro kontrolu policejních informací tvrdí, že ze znění těchto ustanovení vyplývá, že dozorový úřad pouze zastupuje subjekt údajů a jedná jako „posel“, který subjektu údajů pouze poskytuje informace. Proto nelze mít za to, že akt, který tento úřad přijme, má vůči subjektu údajů závazné právní účinky. Podobný argument předkládá i vláda České republiky.
60.      Mohla bych souhlasit s tím, že formulace použité v souvislosti s výkonem práv subjektu údajů „prostřednictvím“ dozorového úřadu nebo s jednáním dozorového úřadu „v zájmu“ subjektu údajů by samy o sobě mohly být chápány tak, že dozorový úřad má zmocnění pouze k poskytování informací.
61.      Mám však za to, že zkoumání kontextu aktu a pravomocí dozorového úřadu názor opírající se o existenci prostého zmocnění nepodporuje. Role dozorového úřadu v souvislosti s nepřímým výkonem práv subjektu údajů dalece přesahuje jednání, jež by se podobalo postavení „zástupce“ subjektu údajů, „posla“ či prostředníka. Jak prokážu, unijní normotvůrce dozorovému úřadu naopak svěřil rozhodující a aktivní úlohu při ověřování zákonnosti zpracování údajů, kterou může zastávat pouze orgán veřejné moci.
62.      Konkrétně, jak tvrdí Komise a belgická vláda, článek 17 směrnice 2016/680 musí být vykládán společně s ustanoveními oddílu 2 kapitoly VI této směrnice, ve kterém jsou stanovena pravidla týkající se příslušnosti, úkolů a pravomocí nezávislých dozorových úřadů. V článku 46 odst. 1 písm. g) uvedené směrnice se uvádí, že dozorový úřad „ověřuje zákonnost zpracování podle článku 17 a v přiměřené lhůtě informuje subjekt údajů o výsledku daného ověření podle odstavce 3 uvedeného článku nebo o důvodech, proč ověření nebylo provedeno“.
63.      Belgická vláda ve své odpovědi na písemnou otázku položenou Soudním dvorem správně poukázala na to, že specifický úkol spočívající v ověření zákonnosti zpracování dokládá, že úloha dozorového úřadu se neomezuje na to, aby působil jako pouhý „posel“ mezi subjektem údajů a správcem. Tento úřad namísto toho provádí řádné právní posouzení zákonnosti zpracování.
64.      V souladu s článkem 47 směrnice 2016/680 má navíc každý dozorový úřad za účelem plnění své úlohy spočívající v provádění nezávislého ověření zákonnosti zpracování určité vymáhací pravomoci. Jsou jimi „účinné vyšetřovací pravomoci“, které zahrnují přinejmenším „pravomoc získat od správce a zpracovatele přístup ke všem zpracovávaným osobním údajům“, a také „nápravné“ pravomoci, včetně pravomoci nařídit opravu nebo výmaz osobních údajů anebo omezení jejich zpracování. Navíc, podle čl. 47 odst. 5 uvedené směrnice mají dozorové úřady pravomoc zapojit se do soudního řízení s cílem vymoci dodržení pravidel ochrany údajů přijatých na základě směrnice 2016/680. Souhlasím s Komisí, která v tomto ohledu zdůraznila, že dozorový úřad může tyto pravomoci vykonávat pouze na vlastní účet jako orgán veřejné moci, a nikoli jako pouhý zmocněnec nebo jménem subjektu údajů.
65.      Když dozorový úřad informuje subjekt údajů o výsledku ověření, které provedl podle čl. 17 odst. 3 a čl. 46 odst. 1 písm. g) směrnice 2016/680, nutně tím dospěje k závěru svého rozhodovacího procesu, pokud jde o zákonnost zpracování. Právní postavení subjektu údajů je tedy ovlivněno i) tím, zda dozorový úřad správně provedl úkol, který je mu uložen a který spočívá v „ověř[ení] zákonnost[i] zpracování podle článku 17“, a ii) závěrem, k němuž tento úřad v závěru tohoto procesu dospěl.
66.      Uznání autonomní úlohy dozorového úřadu podle článku 17 směrnice 2016/680 na rozdíl od úlohy pouhého prostředníka podporuje výklad směrnice ve světle Listiny. Článek 8 odst. 3 Listiny svěřuje nezávislému orgánu dohled nad dodržováním pravidel o ochraně údajů, konkrétně práva na přístup k údajům. Úloha orgánů pro ochranu údajů má ústavní význam, neboť je na ni odkazováno v Listině. Úloha spočívající ve sledování a vymáhání uplatňování směrnice 2016/680 náleží dozorovému úřadu. Výklad, podle něhož tento úřad při nepřímém výkonu práv subjektu údajů jedná nezávisle na dotčené osobě, podporuje jeho ústavní úlohu.
67.      Dále, pokud by bylo přijato, že dozorový úřad jedná obdobně jako „zmocněnec“ subjektu údajů, pak by tento úřad musel podávat zprávy subjektu údajů jakožto svému zmocniteli. Orgán pro kontrolu policejních informací však tvrdí, že nemá pravomoc poskytovat další informace subjektu údajů. Tento přístup vede ke zvláštní situaci, v níž by zmocněnec byl informovanější než jeho zmocnitel.
68.      Francouzská vláda na jednání v podstatě tvrdila, že na rozdíl od situace, kdy dozorový úřad vyřizuje stížnosti podle čl. 46 odst. 1 písm. f) směrnice 2016/680, nemá tento úřad žádné pravomoci vůči správci podle čl. 46 odst. 1 písm. g). Podle názoru francouzské vlády platí, že jelikož subjekt údajů nemá pravomoci vůči správci, když vykonává svá práva přímo, nemůže mít tyto pravomoci ani tehdy, když tato práva vykonává nepřímo prostřednictvím dozorového úřadu. Francouzská vláda měla za to, že článek 47 směrnice 2016/680 se týká pouze pravomocí vykonávaných dozorovým úřadem na jeho vlastní účet, nikoli však pravomocí vykonávaných v zájmu subjektu údajů.
69.      Názor francouzské vlády se v podstatě opírá o myšlenku, že dozorový úřad jedná pouze jako prostředník subjektu údajů. Z výše uvedených důvodů nesdílím takto restriktivní výklad role dozorového úřadu. Nepřímý výkon práv subjektu údajů musí mít přidanou hodnotu, která pro subjekt údajů představuje další záruku a ochranu. Pokud by měl úřad za všech okolností pouze potvrdit, že byla provedena nezbytná ověření, aniž by mohl vykonávat své pravomoci, měla by jeho úloha při ověřování zákonnosti zpracování nízkou přidanou hodnotu.
70.      Článek 17 směrnice 2016/680 v tomto ohledu stanoví, že dozorový úřad informuje subjekt údajů přinejmenším o tom, že byla provedena všechna nezbytná ověření. To znamená, že mohou nastat okolnosti, za nichž dozorový úřad může či musí překročit rámec uvedených nejnutnějších informací. Tento výklad podporuje čl. 46 odst. 1 písm. g) směrnice 2016/680, který dozorovému úřadu ukládá povinnost ověřit zákonnost zpracování podle článku 17 směrnice 2016/680 a informovat subjekt údajů o výsledku ověření podle odstavce 3 uvedeného článku. „Výsledek ověření“ zahrnuje, avšak nikoli za všech okolností výlučně, poskytnutí nejnutnějších informací.
71.      Jak uvedla Komise, článek 17 směrnice 2016/680 svěřuje dozorovému úřadu prostor pro uvážení. Nepřiznává však členským státům prostor pro uvážení ve vztahu k omezení úlohy úřadu na úlohu posla nebo k úplnému odstranění prostoru pro uvážení tohoto úřadu tím, že stanoví, že úřad má poskytovat pouze nejnutnější informace. Pokud by měl totiž členský stát možnost odchýlit se od směrnice 2016/680 a svěřit dozorovým úřadům méně pravomocí, vážně by to ohrozilo cíl spočívající v posílení práv subjektů údajů a v harmonizaci pravomocí ke sledování a zajištění dodržování pravidel ochrany údajů v členských státech. Rovněž by to ohrozilo cíl spočívající v posílení transparentnosti a kontroly sledovaný touto směrnicí.
72.      Orgán pro kontrolu policejních informací na jednání vyjádřil obavu ohledně přiznání úlohy, která přesahuje prostý výkon zmocnění v zájmu subjektu údajů. Tvrdil, že v rámci článku 17 směrnice 2016/680 nemůže dozorový úřad rozhodovat o tom, zda je akt správce účelný, a nemůže vyvažovat zájmy související se sdělováním příslušných informací. Tento úřad argumentoval tím, že pokud by tomu tak nebylo, měl by povinnost zaujmout místo správce, což by bylo v rozporu s jeho nezávislostí.
73.      V tomto ohledu by prostor pro uvážení dozorového úřadu podle článku 17 směrnice 2016/680 neměl být chápán jako pravomoc zaujmout místo správce a automaticky poskytnout přístup k informacím, které správce odmítl sdělit. Dozorový úřad na základě své nezávislosti vede důvěrný dialog se správcem za účelem ověření zákonnosti zpracování. Jak v podstatě tvrdila Komise, tento dialog lze dovodit z povinnosti správce, jež je stanovena v čl. 15 odst. 4 směrnice a podle níž správce zpřístupní dozorovému úřadu věcné či právní důvody, na nichž se rozhodnutí o omezení přístupu k informacím zakládá.
74.      Pokud dozorový úřad v rámci tohoto dialogu dospěje k závěru, že omezení práv subjektu údajů je neodůvodněné, musí dát správci příležitost tuto situaci napravit. V návaznosti na tento dialog ponechává čl. 17 odst. 3 dozorovému úřadu prostor pro uvážení, pokud jde o rozsah informací o výsledku jím provedeného ověření, které může subjektu údajů sdělit. Vymezení rozsahu těchto informací musí být posuzováno případ od případu v souladu se zásadou proporcionality. Kromě toho musí být dozorový úřad schopen zajistit dodržování pravidel upravených směrnicí 2016/680 a vykonávat pravomoci stanovené v článku 47 uvedené směrnice. Toto ustanovení neukládá žádné omezení, co se výkonu těchto pravomocí v souvislosti s článkem 17 uvedené směrnice týče. Naopak účinné pravomoci dozorového úřadu představují nezbytnou a silnou protiváhu omezení práva subjektu údajů na přístup.
c) Hierarchie prostředků soudní ochrany
75.      Orgán pro kontrolu policejních informací a vláda České republiky na závěr předložily argument týkající se hierarchie prostředků soudní ochrany. V podstatě tvrdí, že v rámci nepřímého výkonu práv prostřednictvím dozorového úřadu musí být právo žádat soudní ochranu v souladu s článkem 54 směrnice 2016/680 uplatněno vůči správci, a nikoli vůči dozorovému úřadu, ledaže by tento nekonal.
76.      V tomto ohledu je třeba uvést, že ze žádného ustanovení směrnice 2016/680 nevyplývá, že by se prostředky ochrany stanovené v této směrnici vzájemně vylučovaly. Ze znění článků 52, 53 a 54 směrnice 2016/680 uvedených výše(32) naopak vyplývá, že tato ustanovení poskytují různé procesní prostředky osobám, které tvrdí, že toto nařízení bylo porušeno, přičemž každý z těchto prostředků musí být možné uplatnit, „aniž jsou dotčeny“ ostatní prostředky(33). Je třeba připomenout, že pokud jde o vztah prostředků ochrany stanovených nařízením (EU) 2016/679(34), Soudní dvůr v rozsudku ve věci Nemzeti rozhodl, že toto nařízení „nestanoví přednostní nebo výlučnou příslušnost ani žádné pravidlo přednosti posouzení provedeného úřadem nebo soudem, které jsou v něm uvedeny, pokud jde o existenci porušení práv přiznaných tímto nařízením“(35).
77.      Na rozdíl od postoje francouzské vlády a Orgánu pro kontrolu policejních informací mám za to, že odůvodnění rozsudku ve věci Nemzeti se uplatní obdobně, pokud jde o prostředky ochrany stanovené směrnicí 2016/680. Zaprvé prostředky ochrany, které má subjekt údajů k dispozici vůči dozorovému úřadu a správci podle nařízení 2016/679 a směrnice 2016/680, jsou podobné. Zadruhé v bodě 7 odůvodnění směrnice 2016/680 se uvádí, že účinná ochrana osobních údajů v celé Unii vyžaduje posílení práv subjektů údajů(36). Dostupnost řady prostředků ochrany posiluje cíl stanovený rovněž v bodě 85 odůvodnění směrnice 2016/680, kterým je zaručení práva na účinnou soudní ochranu v souladu s článkem 47 Listiny každému subjektu údajů, který se domnívá, že byla porušena jeho práva vyplývající z předpisů přijatých na základě této směrnice.
78.      Je třeba rovněž zdůraznit, že prostředek ochrany vůči dozorovému úřadu a prostředek ochrany vůči správci mají odlišný účel. Na jedné straně, jak správně poznamenala Komise, účelem žaloby proti rozhodnutí správce o omezení práva subjektu údajů je dosáhnout soudního přezkumu ohledně otázky, zda ustanovení čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 směrnice 2016/680 byla uplatněna správně. Na druhé straně účelem žaloby proti dozorovému úřadu je dosáhnout soudního přezkumu toho, zda byl správně uplatněn článek 17 a čl. 46 odst. 1 písm. g) směrnice 2016/680, což zahrnuje posouzení toho, zda tento dozorový úřad správně provedl svůj úkol spočívající v ověření zákonnosti zpracování.
79.      Rovněž je třeba uvést, že systém soudní ochrany by byl nesourodý a neúplný, pokud by subjekt údajů mohl napadnout pouze nečinnost dozorového úřadu, zatímco jeho činnost a způsob, jakým tento úřad plnil své povinnosti, by byly ze soudního přezkumu vyloučeny.
80.      V každém případě v původním řízení se podání žaloby proti správci jeví jako nemožné. Z předkládacího usnesení totiž vyplývá, že subjekty údajů nemohou podat žalobu proti správci, neboť výkon všech jejich práv je svěřen Orgánu pro kontrolu policejních informací. Ligue des droits humains navíc uvedla, že podle belgického systému policejních databází je pro subjekt údajů velmi obtížné dokonce identifikovat správce. Za těchto okolností hrozí, že subjekt údajů bude zcela připraven o účinnou soudní ochranu, neboť mu není známo, kdo je správcem, a i kdyby mu to známo bylo, nemá právo obrátit se přímo na tohoto správce. Kromě toho nemůže napadnout postup Orgánu pro kontrolu policejních informací. Podle mého názoru se zdá, že subjekt údajů patrně čelí systému, v němž jsou pro něj „všechny dveře zavřené“, což je v rozporu se směrnicí 2016/680.
81.      Vzhledem k výše uvedeným úvahám mám za to, že článek 17 směrnice 2016/680 ve spojení s čl. 46 odst. 1 písm. g) této směrnice a s ohledem na článek 47 a čl. 8 odst. 3 Listiny musí být vykládán v tom smyslu, že vyžaduje, aby měl subjekt údajů k dispozici soudní ochranu vůči nezávislému dozorovému úřadu, pokud tento subjekt údajů vykonává svá práva prostřednictvím tohoto úřadu a týká-li se tento prostředek ochrany úkolu dozorového úřadu spočívajícího v ověření zákonnosti zpracování.
Ke druhé předběžné otázce
82.      Svou druhou otázkou se předkládající soud v podstatě táže, zda je článek 17 směrnice 2016/680 slučitelný s čl. 8 odst. 3 a článkem 47 Listiny v rozsahu, v němž ukládá dozorovému úřadu povinnost informovat subjekt údajů pouze i) o tom, „že provedl veškerá nezbytná ověření nebo přezkum“ a ii) o „jeho právu žádat soudní ochranu“, ač tatáž informace neumožňuje následný dohled nad činností a posouzením dozorového úřadu týkajícím se tohoto subjektu údajů s ohledem na povinnosti, které nese správce.
83.      Úvodem je třeba připomenout, že podle obecné interpretační zásady musí být předpis unijního práva vykládán v co největším možném rozsahu způsobem, který nezpochybní jeho platnost, a v souladu s veškerým primárním právem, zejména s ustanoveními Listiny. Je-li tedy možný více než jeden výklad znění předpisu sekundárního unijního práva, je třeba dát přednost výkladu, v rámci něhož je ustanovení v souladu s primárním právem, před výkladem, který vede ke zjištění, že ustanovení je s primárním právem neslučitelné(37).
84.      Jak bylo vysvětleno v rámci úvodních poznámek a v analýze první předběžné otázky, článek 17 směrnice 2016/680 stanoví, že nepřímý výkon práv subjektu údajů je možný prostřednictvím příslušného dozorového úřadu, pokud jsou práva subjektu údajů omezena podle čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 3 směrnice 2016/680. Omezení práv subjektu údajů jsou přípustná pouze v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nezbytné a přiměřené s ohledem na cíl spočívající v ochraně konkrétního účelu veřejného zájmu stanoveného v uvedených ustanoveních.
85.      Vyvstává otázka, do jaké míry obsah informací poskytnutých dozorovým úřadem, který nepřímo vykonává práva subjektu údajů, umožňuje subjektu údajů výkon svého práva na účinnou soudní ochranu podle prvního pododstavce článku 47 Listiny.
86.      V rámci analýzy první předběžné otázky již bylo v tomto ohledu připomenuto, že právo na účinnou soudní ochranu zakotvené v článku 47 Listiny musí být přiznáno každému, kdo se dovolává práv nebo svobod zaručených unijním právem proti rozhodnutí nepříznivě zasahujícímu do jeho právního postavení, které může zasáhnout do těchto práv nebo svobod(38).
87.      Je však třeba připomenout, že právo na účinnou soudní ochranu nepředstavuje absolutní výsadu a v souladu s čl. 52 odst. 1 Listiny jej lze omezit za podmínky, že zaprvé jsou tato omezení stanovena zákonem, zadruhé respektují podstatu dotčených práv a svobod a zatřetí při dodržení zásady proporcionality jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého(39).
88.      V souvislosti s nepřímým výkonem práv prostřednictvím dozorového úřadu je třeba uvést, že možnost nepřímého výkonu je zapříčiněna omezením práv subjektu údajů. Úkolem dozorového úřadu je jednat v situaci, kdy je právo výjimečně omezeno, a v závislosti na okolnostech rovněž v případech, kdy správce neuvede informace o důvodech tohoto omezení(40). Jak bylo podrobně prokázáno v analýze první předběžné otázky, při plnění tohoto úkolu není úlohou dozorového úřadu jednat jako prostý „posel“, ale spíše zajistit zákonnost zpracování.
89.      Rozsah informací, které může dozorový úřad subjektu údajů sdělit, nezbytně závisí na důvodech, které vedly k omezení práva na přístup. Čím závažnější jsou důvody omezení, a případně neuvedení informací, tím méně informací bude moci dozorový úřad poskytnout. Na rozdíl od předpokladu, z něhož vychází znění předběžné otázky, z čl. 17 odst. 3 směrnice 2016/680 nevyplývá, že by dozorový úřad mohl „pouze“ za všech okolností potvrdit, že byla provedena veškerá nezbytná ověření. Naopak podle tohoto ustanovení dozorový úřad uvádí přinejmenším to, že provedl veškerá nezbytná ověření nebo přezkum.
90.      Z toho vyplývá, že informace, které má dozorový úřad poskytnout, nemohou být stanoveny předem. Jinými slovy, minimální obsah informací stanovený v čl. 17 odst. 3 není jediným možným obsahem. Jak uvedla Komise, rozsah informací musí být stanoven případ od případu a může se lišit v závislosti na okolnostech a na vyvážení dotčených zájmů s ohledem na zásadu proporcionality. Pro ilustraci, jak se správně uvádí v odborné literatuře(41), patrně by bylo bezproblémové, pokud by dozorový úřad subjektu údajů sdělil, že jeho jméno bylo nalezeno v policejní databázi kvůli chybě v psaní.
91.      Je třeba poznamenat, že návrh směrnice o prosazování práva předložený Komisí obsahoval ustanovení, dle něhož orgány dozoru byly kromě nejnutnějších informací povinny informovat subjekt údajů „o výsledku, co se týče zákonnosti předmětného zpracování“(42). Tato posledně uvedená informace, totiž výsledek, co se týče zákonnosti předmětného zpracování, však nebyla do článku 17 směrnice 2016/680 zahrnuta. To nicméně neznamená, že lze tolerovat potenciální porušení pravidel ochrany údajů. Ve své analýze první předběžné otázky jsem poukázala na to, že dozorový úřad vede se správcem důvěrný dialog. Pokud se dozorový úřad domnívá, že zpracování je nezákonné, poskytne správci možnost zjednat nápravu. Pokud však k nápravě nedojde, má dozorový úřad k dispozici vymáhací pravomoci podle článku 47 směrnice 2016/680, které musí uplatnit. V takové situaci podle mého názoru nestačí, aby dozorový orgán podával zprávy vnitrostátnímu Parlamentu, jak při jednání navrhl Orgán pro kontrolu policejních informací. Musí uplatnit svou pravomoc upozornit soudní orgány na porušení pravidel ochrany údajů, a případně zahájit soudní řízení či se do něj jinak zapojit v souladu s čl. 47 odst. 5 směrnice 2016/680.
92.      Výklad, podle něhož má dozorový úřad při nepřímém výkonu práv subjektu údajů prostor pro uvážení, potvrzuje rovněž ústavní význam úlohy nezávislých dozorových úřadů zakotvený v čl. 8 odst. 3 Listiny.
93.      Jak již bylo uvedeno, mohou nastat okolnosti, za nichž se dozorový úřad domnívá, že nemůže překročit rámec sdělení nejnutnějších informací, tedy že byla provedena veškerá nezbytná ověření. Za takovýchto okolností by výkon soudního přezkumu nebyl možný, ledaže by soud pověřený přezkumem rozhodnutí dozorového úřadu byl schopen přezkoumat všechny důvody, na nichž se toto rozhodnutí zakládá, jakož i rozhodnutí správce o omezení přístupu.
94.      V tomto ohledu je třeba zaprvé poukázat na to, že čl. 15 odst. 4 směrnice 2016/680 stanoví, že správce musí zdokumentovat věcné či právní důvody, na nichž je rozhodnutí o omezení práva na přístup založeno, a musí tyto informace zpřístupnit dozorovým úřadům. Jak uvedl Evropský parlament, je třeba připustit, že jsou-li tyto informace zpřístupněny dozorovému úřadu, měly by být zpřístupněny rovněž soudnímu orgánu, pokud subjekt údajů vykonává své právo žádat přezkum rozhodnutí správce nebo dozorového úřadu.
95.      Zadruhé ve výjimečných případech, kdy správce neposkytne informace o důvodech odepření nebo omezení práv subjektu údajů a dozorový úřad poskytne pouze nejnutnější informace, tedy že byla provedena veškerá nezbytná ověření, příslušný soud dotčeného členského státu musí mít k dispozici a musí zavést techniky a procesněprávní pravidla, které umožňují skloubit jednak legitimní hlediska veřejné bezpečnosti nebo veřejného zájmu týkající se povahy a zdroje informací, k nimž bylo přihlíženo při přijímání takového rozhodnutí, a jednak nutnost poskytnout jednotlivcům možnost využít procesních práv, jako je právo být vyslechnut či zásada kontradiktornosti(43).
96.      Za tímto účelem mají členské státy v souladu s argumentací uváděnou v judikatuře vyplývající z rozsudku ze dne 4. června 2013, ZZ (C‑300/11, EU:C:2013:363) povinnost zakotvit jednak účinnou soudní kontrolu, pokud jde o existenci i opodstatněnost důvodů uváděných vnitrostátním orgánem, a jednak techniky a pravidla této soudní kontroly, o nichž hovoří předchozí bod tohoto stanoviska(44).
97.      Francouzská vláda na jednání tvrdila, že okolnosti vydání rozsudku ve věci ZZ byly odlišné od okolností věci v původním řízení, neboť rozsudek ve věci ZZ se týkal soudního přezkumu rozhodnutí zakázat občanu Unie vstup do členského státu z důvodů veřejné bezpečnosti. V tomto ohledu je třeba poukázat na to, že argumentace Soudního dvora obsažená v judikatuře vyplývající z rozsudku ve věci ZZ, která se opírá o rozsudek ve věci Kadi(45), vychází z potřeby odpovídajícím způsobem vyvážit požadavky týkající se bezpečnosti státu a požadavky týkající se práva na účinnou soudní ochranu. Na základě dotazu položeného na jednání právní zástupce francouzské vlády uznal, že z této judikatury v podstatě vyplývá, že před soudcem není žádného tajemství. Domnívám se proto, že tato judikatura by se měla analogicky použít i v souvislosti se směrnicí 2016/680, pokud příslušné orgány zastávají názor, že důvody související s národní bezpečností nebo jakékoli jiné důvody související s veřejným zájmem, které mohou odůvodnit omezení práv subjektu údajů, brání přesnému a úplnému zpřístupnění důvodů takového rozhodnutí o uplatnění omezení.
98.      Z výše uvedeného vyplývá, že článek 17 směrnice 2016/680 je slučitelný s čl. 8 odst. 3 a článkem 47 Listiny, pokud i) dozorový úřad může v závislosti na okolnostech překročit rámec konstatování, že byla provedena veškerá nezbytná ověření a ii) subjekt údajů má k dispozici soudní přezkum činnosti a posouzení dozorového úřadu, která se jej týkají, s ohledem na povinnosti, které nese správce.
99.      Vzhledem k výše uvedenému není platnost článku 17 směrnice 2016/680 zpochybněna.
III. Závěry
100. S ohledem na výše uvedené navrhuji Soudnímu dvoru, aby odpověděl cour d’appel de Bruxelles (odvolací soud, Brusel, Belgie) takto:
„1)      Článek 17 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV ve spojení s článkem 46 odst. 1 písm. g) této směrnice a s ohledem na článek 47 a čl. 8 odst. 3 Listiny základní práv Evropské unie
musí být vykládán v tom smyslu, že vyžaduje, aby měl subjekt údajů k dispozici soudní ochranu vůči nezávislému dozorovému úřadu, pokud tento subjekt údajů vykonává svá práva prostřednictvím tohoto úřadu a týká-li se tento prostředek ochrany úkolu dozorového úřadu spočívajícího v ověření zákonnosti zpracování.
2)      Platnost článku 17 směrnice 2016/680 není zpochybněna.“
1–      Původní jazyk: angličtina.
2–      Směrnice Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89).
3–      Bod 10 odůvodnění směrnice 2016/680.
4–      Bod 2 odůvodnění směrnice 2016/680.
5–      Bod 4 odůvodnění směrnice 2016/680.
6–      Brewczyńska, M., „A critical reflection on the material scope of the application of the Law Enforcement Directive and its boundaries with the General Data Protection Law“ v Kosta, E., Leenes, R. a Kamara, I. (ed.) Research Handbook on EU data protection law, Edward Elgar, 2022, s. 105.
7      Rámcové rozhodnutí ze dne 27. listopadu 2008 o ochraně osobních údajů zpracovávaných v rámci policejní a justiční spolupráce v trestních věcech (Úř. věst. 2008, L 350, s. 60).
8–      Vogiatzoglou, P. a Marquenie, T., Assessment of the Implementation of the Law Enforcement Directive, studie na vyžádání sekretariátu LIBE, Evropský parlament, Tematická sekce Občanská práva a ústavní záležitosti, listopad 2022 (dále jen „the Assessment of the Implementation of the Law Enforcement Directive“), s. 54.
9–      Zanfir-Fortuna, G., „Article 15. Right of access by the data subject“, v Kuner, C, Bygrave, L. a Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR), A Commentary, Oxford University Press, Oxford, 2020, s. 452.
10–      Tamtéž.
11–      Kranenborg, H., Article 8 8 – Protection of personal data’ v Peers, S. a kol. (ed.), The EU Charter of Fundamental Rights, A Commentary, Hart Publishing, 2021, s. 272, odst. 08.171. Viz rozsudky ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293, body 51 a 52), a ze dne 20. prosince 2017, Nowak (C‑434/16, EU:C:2017:994, bod 57).
12–      Pracovní dokument útvarů Komise, souhrn posouzení dopadů, 25.1.2012, (SEC(2012) 73 final), s. 3.
13–      Návrh směrnice Evropského parlamentu Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů a o volném pohybu těchto údajů, (COM 2012/10) final, 25.1.2012), který předložila Evropská komise (dále jen „návrh směrnice o prosazovaní práva předložený Komisí“), s. 2.
14–      Pracovní skupina pro ochranu údajů zřízená podle článku 29, Stanovisko k některým klíčovým otázkám směrnice o prosazování práva (EU 2016/680), 29. listopadu 2017, 17/EN WP 258 (dále jen „stanovisko PS zřízené podle článku 29 ke směrnici 2016/680“), s. 24 (kurzivou zvýraznila autorka stanoviska).
15–      Rozsudek ze dne 2. března 2023, Eurocostruzioni (C‑31/21, EU:C:2023:136, bod 53 a citovaná judikatura).
16–      Pracovní skupina zřízená podle článku 29 byla zřízena podle článku 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355) jako nezávislý evropský poradní orgán pro otázky ochrany údajů a soukromí. Ke dni 25. května 2018 zanikla a byla nahrazena Evropským sborem pro ochranu osobních údajů (EDPB).
17–      Stanovisko PS zřízené podle článku 29 ke směrnici 2016/680, op. cit. v pozn. pod čarou 14, s. 18 a 24.
18–      V tomto smyslu viz rozsudek ze dne 20. září 2022, SpaceNet a Telekom Deutschland (C‑793/19 a C‑794/19, EU:C:2022:702, bod 57 a citovaná judikatura).
19–      Evropský inspektor ochrany údajů (EIOÚ), stanovisko č. 6/2015, Další krok ke komplexní ochraně údajů v EU, doporučení EIOÚ ke směrnici o ochraně údajů v odvětví policie a justice, 28. října 2015, s. 7.
20–      Viz stanovisko pracovní skupiny podle článku 29 ke směrnici 2016/680, s. 23.
21–      Assessment of the implementation of the Law Enforcement Directive, op. cit. poznámka pod čarou č. 87, s. 57. Z článku 17 odst. 1 písm. a) rámcového rozhodnutí 2008/977 vyplývá, že subjekty údajů mohly uplatnit právo na přístup vůči správci nebo vnitrostátnímu orgánu dozoru a mohly získat potvrzení týkající se předávání jejich údajů a sdělení o těchto údajích nebo alespoň potvrzení vnitrostátního orgánu dozoru, že byla provedena všechna nezbytná ověření.
22–      Viz článek 17 rámcového rozhodnutí 2008/977.
23–      Podotýkám, že ve studii Assessment of the implementation of the Law Enforcement Directive, poznámka pod čarou 7, s. 62, se uvádí, že provedení kapitoly III směrnice 2016/680 belgickým zákonodárcem je nejmarkantnější v tom, že subjektům údajů poskytuje „pouze možnost nepřímého výkonu jejich práv prostřednictvím vnitrostátního dozorového úřadu, což je zjevně v rozporu se zněním [uvedené směrnice]“ (kurzivou zvýraznila autorka stanoviska).
24–      Conseil d’État (Státní rada), legislativní oddělení, stanovisko č. 63.192/2 ze dne 19. dubna 2018, s. 32.
25–      Rozsudek ze dne 16. února 2023, Staatssecretaris van Justitie en Veiligheid (Nenarozené dítě v době podání žádosti o azyl) (C‑745/21, EU:C:2023:113, bod 43).
26–      Viz body 27 až 30 výše.
27–      V tomto smyslu viz rozsudek ze dne 10. června 2021, Ultimo Portfolio Investment (Lucembursko) (C‑303/20, EU:C:2021:479, bod 25).
28–      Rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboti (Zaznamenávání biometrických a genetických údajů policií) (C‑205/21, EU:C:2023:49, bod 87 a citovaná judikatura).
29–      Rozsudek ze dne 15. prosince 2022, Picard v. Komise (C‑366/21 P, EU:C:2022:984, bod 95).
30–      Rozsudek ze dne 15. prosince 2022, Picard v. Komise (C‑366/21 P, EU:C:2022:984, bod 96). Tyto prvky jsou rovněž rozhodující pro určení, zda akt má závazné právní účinky, a lze jej tedy napadnout podle článku 263 SFEU. Viz rozsudek ze dne 15. července 2021, FBF (C‑911/19, EU:C:2021:599, bod 38).
31–      Rozsudek ze dne 15. prosince 2022, Picard v. Komise (C‑366/21 P, EU:C:2022:984, bod 97).
32–      Viz bod 51 tohoto stanoviska.
33–      Obdobně viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, bod 34).
34–      Článek 77 odst. 1, čl. 78 odst. 1 a čl. 79 odst. 1 nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).
35–      Rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, bod 35).
36–      Obdobně, pokud jde o bod 11 odůvodnění nařízení 2016/679, viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2023:2, bod 42).
37–      Rozsudek ze dne 21. června 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, bod 86 a citovaná judikatura).
38–      Viz bod 54 tohoto stanoviska a citovaná judikatura.
39–      Rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboti (Zaznamenávání biometrických a genetických údajů policií) (C‑205/21, EU:C:2023:49, bod 89 a citovaná judikatura).
40–      Viz body 37 a 38 tohoto stanoviska.
41–      Dimitrova, D.; de Hert, P., „The right of access under the Police Directive: Small steps forward“, v Medina, M. et al. (ed.), Privacy technologies and policy: 6th Annual Privacy Forum, APF 2018, Springer International Publishing, 2018, s. 123.
42–      Viz článek 14 návrhu směrnice o prosazovaní práva předloženého Komisí. V článku 45 odst. 1 písm. c) tohoto návrhu byla stanovena „povinnost“ orgánu dozoru ověřovat zákonnost zpracování údajů podle článku 14 a v rozumné lhůtě informovat subjekt údajů „o výsledku daného ověření nebo o důvodech, proč ověření nebylo provedeno“.
43–      V tomto smyslu viz rozsudek ze dne 4. června 2013, ZZ (C‑300/11, EU:C:2013:363, bod 57).
44–      Tamtéž, bod 58.
45–      Rozsudek ze dne 3. září 2008, Kadi a Al Barakaat International Foundation v. Rada a Komise (C‑402/05 P a C‑415/05 P, EU:C:2008:461).