62021CC0683
STANOVISKO GENERÁLNÍHO ADVOKÁTA
NICHOLASE EMILIOUA
přednesené dne 4. května 2023 (
1
)
Věc C‑683/21
Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
proti
Valstybinė duomenų apsaugos inspekcija,
za účasti:
IT sprendimai sėkmei UAB,
Lietuvos Respublikos sveikatos apsaugos ministerija
[žádost o rozhodnutí o předběžné otázce podaná Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva)]
„Žádost o rozhodnutí o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 4 odst. 7 – Pojem ‚správce‘ – Vývoj mobilní aplikace v kontextu pandemie covid-19 – Odpovědnost orgánu veřejné moci pověřeného organizací výběrového řízení na pořízení mobilní aplikace – Článek 4 odst. 2 – Pojem ‚zpracování‘ – Použití osobních údajů během testovací fáze mobilní aplikace – Článek 26 odst. 1 – Společná správa – Článek 83 – Ukládání správních pokut – Podmínky – Nutnost, aby k porušení došlo úmyslně nebo z nedbalosti – Odpovědnost správce za zpracování osobních údajů provedené zpracovatelem“
I. Úvod
1.
Za jakých podmínek lze uložit správcům a zpracovatelům správní pokuty za porušení pravidel ochrany údajů stanovených v nařízení (EU) 2016/679 ve světě, kde se osobní údaje staly trumfem a představují pro podniky nově nalezený zlatý důl (
2
)? Konkrétně, je „zavinění“ požadovaným prvkem, který musí být splněn před tím, než jim mohou být takové pokuty uloženy? To je hlavní problém, který Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva) vznáší v tomto případě.
2.
Spor projednávaný před tímto soudem mezi Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos (Národní středisko pro veřejné zdraví při Ministerstvu zdravotnictví, Litva, dále jen „NVSC“) a Valstybinė duomenų apsaugos inspekcija (Státní inspekce pro ochranu údajů, Litva; dále jen „inspekce“) se v podstatě týká úlohy, kterou NVSC hraje při vývoji a zveřejnění mobilní aplikace, která v dubnu a květnu 2020 shromažďovala osobní údaje osob, které byly v kontaktu s pacienty nakaženými covid-19.
3.
V této souvislosti poskytuje tato věc Soudnímu dvoru příležitost dodatečně objasnit pojmy „správce“, „společní správci“ a „zpracování“, které jsou definovány v čl. 4 odst. 7, čl. 26 odst. 1 a čl. 4 odst. 2. GDPR, a poprvé zvážit, zda je možné za použití článku 83 tohoto nařízení uložit správní pokutu správci, který se porušení pravidel obsažených v GDPR nedopustil úmyslně či z nedbalosti. Tato otázka vyžaduje, aby Soudní dvůr objasnil, zda toto ustanovení umožňuje ukládat pokuty bez zavinění na základě objektivní odpovědnosti.
II. Právní rámec
A.
Unijní právo
4.
Bod 148 odůvodnění GDPR uvádí:
„S cílem posílit prosazování pravidel tohoto nařízení by za jakékoliv jeho porušení měly být uloženy sankce včetně správních pokut […]. V méně závažných případech porušení, nebo pokud by pokuta, která bude pravděpodobně uložena, představovala pro fyzickou osobu nepřiměřenou zátěž, může být namísto pokuty uloženo napomenutí. Náležitě by se však měla zohlednit povaha, závažnost a doba trvání porušení, úmyslný charakter porušení, kroky, které byly učiněny s cílem zmírnit způsobenou škodu, míra odpovědnosti nebo jakékoli relevantní předchozí porušení, způsob, jakým se dozorový úřad o daném porušení dozvěděl, dodržování opatření, která byla vůči správci nebo zpracovateli nařízena, dodržování kodexu chování nebo jakýkoli jiný přitěžující nebo polehčující faktor. Uložení sankcí včetně správních pokut by mělo podléhat vhodným procesním zárukám v souladu s obecnými zásadami právních předpisů Unie a Listiny, včetně účinné právní ochrany a spravedlivého procesu.“
5.
Bod 150 odůvodnění uvedeného nařízení uvádí:
„Aby byly posíleny a harmonizovány správní sankce za porušení tohoto nařízení, měl by každý dozorový úřad mít pravomoc uložit správní pokuty. V tomto nařízení by měly být uvedeny porušení a maximální hranice a kritéria pro stanovení souvisejících správních pokut, jež by měl v každém jednotlivém případě určit příslušný dozorový úřad při zohlednění všech příslušných okolností konkrétní situace s náležitým přihlédnutím zejména k povaze, závažnosti a době trvání tohoto porušení a k jeho důsledkům a opatřením přijatým v zájmu zajištění souladu s povinnostmi vyplývajícími z tohoto nařízení a v zájmu prevence či zmírnění důsledků tohoto porušení. […] Uložení správní pokuty nebo varování nemá vliv na uplatňování dalších pravomocí dozorových úřadů nebo dalších sankcí podle tohoto nařízení.“
6.
Článek 4 odst. 7 GDPR definuje správce jako „fyzick[ou] nebo právnick[ou] osob[u], orgán veřejné moci, agentur[u] nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů […]“.
7.
Článek 26 tohoto nařízení, nadepsaný „Společní správci“, v příslušné části uvádí:
„1.   Pokud účely a prostředky zpracování stanoví společně dva nebo více správců, jsou společnými správci.
[…]“
8.
Článek 83 tohoto nařízení, nadepsaný „Obecné podmínky pro ukládání správních pokut“, stanoví:
„1.   Každý dozorový úřad zajistí, aby ukládání správních pokut v souladu s tímto článkem ohledně porušení tohoto nařízení podle odstavců 4, 5 a 6 bylo v každém jednotlivém případě účinné, přiměřené a odrazující.
2.   Správní pokuty se ukládají podle okolností každého jednotlivého případu kromě či namísto opatření uvedených v čl. 58 odst. 2 písm. a) až h) a j). Při rozhodování o tom, zda uložit správní pokutu, a rozhodování o výši správní pokuty v jednotlivých případech se řádně zohlední tyto okolnosti:
a)
povaha, závažnost a délka trvání porušení s přihlédnutím k povaze, rozsahu či účelu dotčeného zpracování, jakož i k počtu dotčených subjektů údajů a míře škody, jež jim byla způsobena;
b)
zda k porušení došlo úmyslně nebo z nedbalosti;
[…]
k)
jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení.
3.   Pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.
[…]“
B.
Litevské právo
9.
Článek 72 odst. 2 Viešųjų pirkimų įstatymas (zákon o zadávání veřejných zakázek) uvádí:
„Veřejný zadavatel provede jednací řízení bez uveřejnění oznámení o zahájení zadávacího řízení v těchto fázích:
(1)
písemná výzva vybraným hospodářským subjektům, aby předložily nabídky;
(2)
ověření toho, zda nejsou dány důvody pro vyloučení hospodářských subjektů, jak jsou stanoveny v zadávací dokumentaci, a ověření toho, zda hospodářské subjekty splňují stanovené kvalifikační předpoklady a případně požadované normy zajišťování jakosti či normy environmentálního řízení;
(3)
jednání s uchazeči v souladu s postupem upraveným v článku 66 tohoto zákona a žádost, aby předložili konečné nabídky. Veřejný zadavatel není povinen předložení konečné nabídky požadovat tehdy, pokud se jednacího řízení bez předchozího uveřejnění oznámení o zahájení zadávacího řízení účastní jeden hospodářský subjekt;
(4)
hodnocení konečných nabídek a určení úspěšného zájemce.“
III. Skutkový stav, původní řízení a předběžné otázky
10.
V reakci na situaci vyplývající z šíření covid-19 ministr zdravotnictví Litevské republiky (dále jen „ministr zdravotnictví“) rozhodnutím ze dne 24. března 2020 pověřil ředitele NVSC zorganizováním vývoje a pořízení mobilní aplikace, konkrétně KARANTINAS. Tato mobilní aplikace byla navržena tak, aby shromažďovala a monitorovala osobní údaje jednotlivců, kteří byli v kontaktu s pacienty infikovanými covid-19 (
3
).
11.
Dne 27. března 2020 osoba, která tvrdila, že je zmocněncem NVSC, informovala společnost „IT sprendimai sėkmei“ UAB, že byla vybrána jako vývojář KARANTINAS. Mezi ITSS a touto osobou a také mezi ITSS a řadou zaměstnanců a ředitelem NVSC došlo v souvislosti s vývojem mobilní aplikace k výměně e-mailů. V této fázi byla rovněž sepsána dohoda o mlčenlivosti, v níž jsou jako správci uvedeni ITSS i NVSC.
12.
Mobilní aplikace, která byla nakonec vyvinuta, byla veřejnosti zpřístupněna ke stažení z obchodu Google Play dne 4. dubna 2020 a z obchodu Apple App Store dne 6. dubna 2020. Verze KARANTINAS, která byla veřejnosti zpřístupněna ke stažení, opět zmiňovala ITSS i NVSC jako správce. V té době tato mobilní aplikace ještě nebyla ze strany NVSC zakoupena.
13.
Rozhodnutím ze dne 10. dubna 2020 uložil ministr zdravotnictví řediteli NVSC, aby přistoupil k pořízení KARANTINAS v jednacím řízení bez uveřejnění oznámení o zahájení zadávacího řízení podle § 72 odst. 2 zákona o veřejných zakázkách.
14.
Toto řízení bylo zahájeno, ale NVSC jej ukončilo poté, co nezískalo potřebné finanční prostředky. Na základě zadávacího řízení nebyla uzavřena žádná kupní smlouva. KARANTINAS byl však i nadále k dispozici veřejnosti ke stažení.
15.
Dne 15. května 2020 NVSC společnost ITSS požádalo, aby v mobilní aplikaci neuváděla žádné údaje o NVSC ani na něj nikterak neodkazovala. Dne 18. května 2020 zahájila inspekce šetření kvůli porušení pravidel stanovených GDPR týkající se ITSS i NVSC. Provoz aplikace KARANTINAS byl na žádost inspekce dne 26. května 2020 pozastaven. Podle ITSS poskytlo prostřednictvím aplikace v období od 4. dubna do 26. května 2020 osobní údaje 3802 uživatelů.
16.
Rozhodnutím ze dne 24. února 2021 uložila inspekce NVSC a ITSS jako společným správcům správní pokuty za porušení článků 5, 13, 24, 32 a 35 GDPR (
4
).
17.
Toto rozhodnutí bylo ze strany NVSC napadeno u Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu). Podstatou otázky předkládajícího soudu je, zda pojem „správce“ ve smyslu čl. 4 odst. 7 GDPR musí být vykládán široce, aby zahrnoval jakoukoli fyzickou nebo právnickou osobu nebo orgán, jako je NVSC, který není vývojářem mobilní aplikace, ale který za účelem získání takové mobilní aplikace prostřednictvím výběrového řízení určil „účely a prostředky zpracování osobních údajů“, nebo zda by tento pojem měl být vykládán striktněji s přihlédnutím k zadávacímu řízení a jeho výsledku.
18.
Zejména si klade otázku, zda je v tomto ohledu relevantní skutečnost, že zadávací řízení bylo nakonec zrušeno a NVSC aplikaci KARANTINAS nikdy nezískalo. Klade si rovněž otázku, zda má na toto posouzení vliv skutečnost, že NVSC ke zpřístupnění této mobilní aplikace veřejnosti nedalo oficiálně souhlas nebo jej nepovolilo.
19.
Dále se ptá na vztah mezi NVSC a ITSS. V tomto ohledu si klade otázku, za jakých okolností je tento subjekt a tuto společnost třeba považovat za „společné správce“ ve smyslu čl. 4 odst. 7 a čl. 26 odst. 1 GDPR. Alternativně, pokud by NVSC a ITSS neměly být ve smyslu GDPR považováni za „společné správce“, ale za „správce“ a (respektive) „zpracovatele“ (
5
), soud se táže, kdy by jednání ITSS mohlo vést k odpovědnosti NVSC. V tomto ohledu klade otázku, zda je třeba článek 83 GDPR vykládat tak, že správci, jako je NVSC, který se sám úmyslně nebo z nedbalosti nedopustil žádného porušení tohoto nařízení, může být uložena správní pokuta.
20.
Za těchto okolností se Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„(1)
Lze pojem ‚správce‘ uvedený v čl. 4 bodu 7 GDPR vykládat v tom smyslu, že za správce je třeba považovat i osobu, která má v úmyslu pořídit prostřednictvím zadávacího řízení nástroj pro shromažďování údajů (mobilní aplikaci) bez ohledu na to, že nebyla uzavřena smlouva o zadání veřejné zakázky a vytvořený produkt (mobilní aplikace), k jehož pořízení bylo využito zadávacího řízení, nebyl předán?
(2)
Lze pojem ‚správce‘ uvedený v čl. 4 bodu 7 GDPR vykládat v tom smyslu, že za správce je třeba považovat i veřejného zadavatele, který nenabyl vlastnické právo k vytvořenému IT produktu, ani ho nepřevzal, ale konečná verze vytvořené aplikace obsahuje odkazy na tento veřejnoprávní subjekt nebo s ním propojená rozhraní nebo dotyčný veřejnoprávní subjekt byl coby správce uveden v rámci politiky ochrany důvěrných údajů, kterou oficiálně neschválil ani neuznal?
(3)
Lze pojem ‚správce‘ uvedený v čl. 4 bodu 7 GDPR vykládat v tom smyslu, že za správce je třeba považovat i osobu, která neprovedla žádné skutečné operace spočívající ve zpracování údajů ve smyslu čl. 4 bodu 2 GDPR nebo která ve vztahu k provedení takových operací neposkytla jednoznačné povolení / souhlas? Je pro výklad pojmu ‚správce‘ relevantní skutečnost, že IT produkt použitý ke zpracování osobních údajů byl vytvořen v souladu se zadáním veřejného zadavatele?
(4)
Je-li pro účely výkladu pojmu ‚správce‘ relevantní určení skutečných operací spočívajících ve zpracování údajů, musí být definice ‚zpracování‘ osobních údajů ve smyslu čl. 4 bodu 2 GDPR vykládána v tom smyslu, že se vztahuje i na situace, kdy byly v rámci procesu pořizování mobilní aplikace použity kopie osobních údajů k testování IT systémů?
(5)
Lze společnou správu údajů podle čl. 4 bodu 7 a čl. 26 odst. 1 GDPR vykládat výlučně v tom smyslu, že se jedná o záměrně koordinované činnosti, pokud jde o určení účelu a prostředků zpracování údajů, nebo lze tento pojem vykládat rovněž v tom smyslu, že se společná správa vztahuje i na situace, kdy neexistuje jednoznačná ‚dohoda‘ o účelu a prostředcích zpracování údajů nebo kdy činnost dotčených subjektů není koordinovaná? Jsou pro výklad pojmu ‚společná správa údajů‘ právně relevantní okolnost související s fází vytváření prostředků pro zpracování osobních údajů (IT aplikace), ve které došlo ke zpracování osobních údajů, a účel vytváření dané aplikace? Lze ‚dohodu‘ mezi společnými správci chápat výlučně jako jednoznačné a jasné vymezení podmínek společné správy údajů?
(6)
Musí být ustanovení čl. 83 odst. 1 GDPR v rozsahu, v němž stanoví, že ‚ukládání správních pokut [musí být] účinné, přiměřené a odrazující‘, vykládáno v tom smyslu, že se vztahuje i na případy, kdy je odpovědnost přičtena ‚správci‘, pokud zpracování osobních údajů provádí i vývojář při vytváření IT produktu, a platí, že nepatřičné zpracování osobních údajů prováděné zpracovatelem vždy automaticky zakládá právní odpovědnost správce? Musí být toto ustanovení vykládáno v tom smyslu, že se vztahuje i na případy objektivní odpovědnosti správce?“
21.
Žádost o rozhodnutí o předběžné otázce ze dne 22. října 2021 byla zapsána do rejstříku Soudního dvora dne 12. listopadu 2021. Písemná vyjádření předložily NVSC, inspekce, litevská vláda a Evropská komise.
22.
Na jednání, které se konalo dne 17. ledna 2023, byla zastoupena litevská a nizozemská vláda spolu s Komisí a Radou.
IV. Analýza
23.
Během pandemie covid-19 byly v mnoha členských státech veřejnosti zpřístupněny ke stažení mobilní aplikace určené ke „sledování“ osob infikovaných virem nebo těch, kteří byli v kontaktu s někým, kdo byl virem infikován. Takové mobilní aplikace byly vyvinuty ve snaze reagovat na nouzovou situaci, často za účasti několika veřejných a soukromých subjektů (jako jsou ministerstva a další veřejné subjekty i soukromé společnosti). Uživatelé byli povinni do těchto mobilních aplikací nahrávat své osobní údaje, zejména údaje týkající se jejich zdravotního stavu (
6
).
24.
Spor v původním řízení se týká právě takové mobilní aplikace, konkrétně KARANTINAS, kterou vyvinula ITSS (soukromá společnost) z podnětu NVSC (orgánu veřejné moci) na základě rozhodnutí ministra zdravotnictví. Z informací ve spisu ani z informací poskytnutých na jednání není jasné, které další litevské veřejné subjekty, pokud vůbec nějaké, byly do vývoje žádosti aplikace zapojeny (
7
). Existují také určité pochybnosti, zda NVSC souhlasilo se zpřístupněním KARANTINAS veřejnosti během období, ve kterém zpracování osobních údajů probíhalo (duben a květen 2020). V otázkách předložených Soudnímu dvoru však Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu) označil za relevantní následující okolnosti.
–
NVSC plánovalo aplikace KARANTINAS pořídit podle čl. 72 odst. 2 zákona o zadávání veřejných zakázek, ale řízení nebylo nikdy dokončeno a k akvizici nikdy nedošlo. Vlastnictví aplikace KARANTINAS tudíž nikdy nebylo převedeno z ITSS na NVSC.
–
NVSC bylo v politice ochrany důvěrných údajů společnosti KARANTINAS, které byly zpřístupněny veřejnosti, uvedeno jako správce. Odkazy na NVSC byly obsaženy i v poslední verzi aplikace, která však tímto subjektem nikdy nebyla oficiálně schválena.
–
NVSC samo nikdy osobní údaje nezpracovávalo ani formálně nesouhlasilo s provedenými operacemi zpracování, ale poskytlo pokyny ohledně vývoje aplikace KARANTINAS a tyto pokyny ITSS dodržovala.
–
společnost ITSS a NVSC nedospěly k žádné formální dohodě ohledně účelů a prostředků zpracování osobních údajů, k nimž došlo.
25.
Na základě tohoto skutkového stavu se otázky položené Soudnímu dvoru týkají výkladu různých ustanovení GDPR. První tři otázky, jakož i pátá otázka, požadují výklad pojmu „správce“ ve smyslu čl. 4 odst. 7 uvedeného nařízení a požadují objasnění okolností, za nichž lze dva nebo více subjektů považovat za „společné správce“ podle tohoto ustanovení a čl. 26 odst. 1 téhož nařízení. Nejprve tyto otázky analyzuji společně (A), než přejdu ke čtvrté otázce, která se týká pojmu „zpracování“ ve smyslu čl. 4 odst. 2 GDPR a jeho použití v kontextu fáze testování mobilní aplikace (B) (
8
). Poté se zaměřím na skutečnost, která je podstatou tohoto případu, konkrétně na šestou otázku, která má průřezový charakter, protože se týká podmínek, za nichž mohou být v souladu s článkem 83 GDPR uloženy správní pokuty správcům (C).
A.
K pojmu „správce“ a společné správě (otázky 1 až 3 a 5)
26.
Podstatou prvních tří otázek předkládajícího soudu je, zda s ohledem na okolnosti uvedené v bodě 24 výše musí být subjekt, jako je NVSC, považován za „správce“ ve smyslu čl. 4 odst. 7 GDPR. Kromě toho předkládající soud prostřednictvím páté otázky žádá o objasnění, zda za takových okolností musí být dva subjekty, jako je NVSC a ITSS, v souladu s tímto ustanovením ve spojení s čl. 26 odst. 1 tohoto nařízení považovány za „společné správce“, ačkoliv nedospěly k žádné formální dohodě o účelech a prostředcích zpracování a nejeví se, že by jinak koordinovaly své jednání.
1. Kdo je správce? (K první až třetí otázce)
27.
Připomínám, že čl. 4 odst. 7 GDPR definuje „správce“ jako osobu nebo subjekt, který „sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů“. Zjednodušeně řečeno, správce nemusí sám žádné osobní údaje zpracovávat, ale ve vztahu k příslušným operacím zpracování musí určit „proč a jak“ (
9
). Soudní dvůr uvedl, že ke splnění tohoto kritéria musí osoba nebo subjekt skutečně „[vykonávat] […] vliv na zpracování osobních údajů“ (
10
). Není však nutné, aby určení účelů a prostředků zpracování probíhalo v souladu s písemnými příkazy nebo pokyny správce (
11
). Článek 4 odst. 7 GDPR totiž vyžaduje spíše věcnou než formální analýzu.
28.
V souvislosti s tím Evropský sbor pro ochranu osobních údajů (EDPB) uvedl, že správcem je rovněž možné být bez ohledu na konkrétní kompetence nebo pravomoci ke kontrole údajů přiznané zákonem. Schopnost určit účely a prostředky zpracování totiž závisí především na uplatněném vlivu, který lze odvodit ze skutkových okolností. Subjekt, který je ve skutečnosti schopen určovat účely a prostředky zpracování, bude tedy považován za „správce“ bez ohledu na to, zda byl takto formálně jmenován (zákonem nebo smlouvou či jinak) (
12
).
29.
V návaznosti na tato upřesnění poznamenávám, že některé z okolností popsaných předkládajícím soudem v prvních třech otázkách jsou čistě formální povahy: například skutečnost, že NVCS není právně vlastníkem aplikace KARANTINAS nebo že akvizice mobilní aplikace nebyla nikdy dokončena nebo že NVSC oficiálně nepovolilo vydání aplikace pro širokou veřejnost nebo neschválilo poslední verzi aplikace. Podle mého názoru žádná z těchto okolností nemůže sama o sobě bránit zjištění, že NVSC v rámci původního řízení jednalo jako „správce“ ve smyslu čl. 4 odst. 7 GDPR. Nepostačují k vyvrácení závěru, že NVSC ve skutečnosti bylo schopno určit účely a prostředky zpracování osobních údajů, ke kterému došlo. Podobně se mi jeví, že skutečnost, že NVSC bylo v politice ochrany důvěrných údajů verze aplikace KARANTINAS, která byla zpřístupněna veřejnosti ke stažení, uvedeno jako správce nebo že v této verzi mobilní aplikace byly zahrnuty odkazy na tento subjekt, je z hlediska vlivu skutečně vykonávaného tímto subjektem relevantní, ale nikoliv průkazná.
30.
Naproti tomu důkazy předložené předkládajícímu soudu, které prokazují, že NVSC rozhodlo o tom, jaký typ osobních údajů a od kterých subjektů údajů má aplikace KARANTINAS shromažďovat, nebo o jiných klíčových aspektech zpracování, jsou podle mého názoru dostatečné k prokázání toho, že tento subjekt určil „prostředky“ zpracování. Dále se domnívám, že skutečnost, že aplikace KARANTINAS byla vytvořena za účelem splnění cíle definovaného NVSC, tedy zajištění reakce na pandemii covid-19, a že její fungování bylo ze strany ITSS pravidelně upravováno tak, aby v souladu s pokyny poskytnutými NVSC odpovídalo potřebám stanoveným tímto subjektem, stačí k závěru, že tento subjekt určil „účely“ tohoto zpracování.
31.
S ohledem na to se mi jeví, že za účelem určení, zda subjekt, jako je NVSC, lze považovat za „správce“ ve smyslu čl. 4 odst. 7 GDPR, musí předkládající soud rovněž určit, zda bez ohledu na vliv vykonávaný ze strany NVSC ve fázi vývoje aplikace KARANTINAS bylo rozhodnutí tuto mobilní aplikaci zpřístupnit veřejnosti a tedy zpracovávat osobní údaje skutečně přijato s (výslovným nebo předpokládaným) souhlasem tohoto subjektu (bez ohledu na to, že tento souhlas nebyl formálně udělen).
32.
Jak objasňuje definice pojmu „správce“ v čl. 4 odst. 7 GDPR, vliv vykonávaný správcem se musí týkat samotného zpracování osobních údajů, nikoli jakéhokoli předchozího kroku. Fyzická či právnická osoba či subjekt se nestává „správcem“ pouhou skutečností, že iniciuje vývoj mobilní aplikace nebo definuje parametry této aplikace (nebo jiného nástroje pro sběr dat). Její jednání musí skutečně souviset se zpracováním osobních údajů, a proto musí s tím, že se příslušný nástroj k takovému zpracování použije, dát výslovný nebo implicitní souhlas.
33.
Soud na tomto požadavku setrval v rozsudku ve věci Fashion ID (
13
), v němž výslovně uvedl, že odpovědnost správce je omezena na operaci nebo soubor operací zpracování osobních údajů, u nichž skutečně určil účely a prostředky (
14
). Z toho vyplývá, že určení účelů nebo prostředků přímo souvisí s příslušnou operací nebo souborem operací zpracování osobních údajů.
34.
Podle mého názoru z těchto zjištění vyplývá, že subjekt, jako je NVSC, který iniciuje vývoj mobilní aplikace, může být za „správce“ ve smyslu čl. 4 odst. 7 GDPR považován pouze za situace, kdy existuje dostatek prvků faktické spíše než formální povahy, z nichž mohou vnitrostátní soudy vyvodit závěr, že takový subjekt skutečně ovlivňoval „účely a prostředky“ tohoto zpracování a skutečně souhlasil se zpřístupněním mobilní aplikace veřejnosti a následně i zpracováním osobních údajů. S výhradou ověření, které musí provést předkládající soud, se domnívám, že NVSC splňuje tyto požadavky.
2. Kdy lze dva subjekty považovat za společné správce? Otázka 5:
35.
Pátá otázka se týká podmínek, které musí být splněny, aby bylo možné dva (nebo více) subjektů považovat za společné správce. Rozumím tomu tak, že předkládající soud žádá o objasnění výkladu tohoto pojmu, protože má podezření, že v situaci dotčené v původním řízení by bylo možno NVSC a ITSS považovat za „společné správce“ a jako takovým by jim mohla být přičtena společná a nerozdílná odpovědnost za způsobenou škodu (
15
) nebo za porušení pravidel ochrany údajů, ke kterým došlo, když byla aplikace KARANTINAS veřejnosti zpřístupněna ke stažení, je společně pokutovat. V tomto ohledu podotýkám, jak jsem uvedl v bodě 16 výše, že tento subjekt a tato společnost byly ve skutečnosti inspekcí oba shledány odpovědnými a byly jim uloženy pokuty podle článku 83 GDPR za porušení, kterých se dopustily jako společní správci.
36.
Podle čl. 26 odst. 1 GDPR se o „společné správce“ jedná, pokud dva nebo více správců společně stanoví účely a prostředky zpracování. Každý společný správce tedy musí nezávisle splňovat kritéria uvedená v definici „správce“ uvedené v čl. 4 odst. 7 uvedeného nařízení (
16
). Kromě toho musí mít společní správci mezi sebou určitý vztah, protože jejich vliv na zpracování musí být vykonáván společně.
37.
Soudní dvůr uvedl, že existence společné kontroly nutně neznamená stejnou míru odpovědnosti nebo účasti různých zúčastněných osob nebo subjektů. Naopak společní správci mohou být zapojeni v různých fázích zpracování, takže míru odpovědnosti každého z nich je třeba hodnotit s přihlédnutím ke všem relevantním okolnostem každého případu (
17
). Společná odpovědnost několika subjektů za totéž zpracování navíc nepředpokládá, že bude mít každý z nich přístup k dotčeným osobním údajům (
18
). Důležité však je, že se společně podílejí na stanovení „účelů a prostředků“ zpracování.
38.
V tomto ohledu podotýkám, že jak uvádí pokyny 07/2020, takový společný výkon může existovat v různých formách. Může být výsledkem společného rozhodnutí přijatého dvěma nebo více subjekty nebo může být pouze výsledkem konvergujících rozhodnutí těchto subjektů. V případech, kde tomu tak je, záleží pouze na tom, aby se rozhodnutí vzájemně doplňovala a byla nezbytná k tomu, aby zpracování probíhalo takovým způsobem, že mají hmatatelný dopad na určení účelů a prostředků zpracování – tedy v podstatě že zpracování by nebylo možné bez účasti obou stran (
19
).
39.
V této souvislosti se předkládající soud táže, zda skutečnost, že dva správci (v projednávané věci, NVSC a ITSC) nedospěli k žádné formální dohodě, pokud jde o účely a prostředky zpracování, nebo se nezdá, že by jinak koordinovali své jednání, brání tomu, aby byli považováni za „společné správce“.
40.
Chápu, že pochybnosti předkládajícího soudu v tomto ohledu vyplývají ze skutečnosti, že podle čl. 26 odst. 1 GDPR musí společní správci transparentně vymezit své podíly na odpovědnosti za plnění povinností podle tohoto nařízení, a to prostřednictvím ujednání mezi nimi. Mimoto bod 79 odůvodnění tohoto nařízení uvádí, že je vyžadováno, „aby bylo jasně určeno, kdo má plnit jednotlivé povinnosti,“ a to včetně případů, kdy správce určuje účely a prostředky zpracování společně s jinými správci. Podle mého názoru se však tyto povinnosti a požadavky na společné správce vztahují pouze tehdy, kdyži je možné za takové považovat. Nejsou součástí kritérií, která musí být splněna, aby mohli být jako takoví kvalifikováni.
41.
Jak jsem uvedl v bodě 36 výše, společná správa závisí na splnění pouze dvou objektivních podmínek. Zaprvé musí každý společný správce splňovat kritéria uvedená v definici „správce“ v čl. 4 odst. 7 GDPR. Ve spise není dostatek informací, z nichž by bylo možné určit, zda v situaci v původním řízení musí být společnost ITSS považována za „správce“ ve smyslu tohoto ustanovení. Ve světle zjištění, která jsem učinil v předchozí části a s výhradou ověření ze strany předkládajícího soudu, se mi však jeví, že přinejmenším NVSC, pokud ne tento subjekt společně s ITSS, splňuje podmínky, aby byl považován za „správce“ ve smyslu tohoto ustanovení. Zadruhé musí být vliv správců na zpracování vykonáván společně (to znamená, že musí být vykonáván v souladu s právními kritérii a judikaturou, které jsem připomněl v bodech 37 a 38 výše). V tomto ohledu jsem vysvětlil, že společný výkon zpracování může existovat v různých formách a nemusí ani vycházet ze společného rozhodnutí zúčastněných stran. Věcný a funkční přístup, který se uplatní při stanovení, zda má být fyzická nebo právnická osoba považována za „správce“ ve smyslu čl. 4 odst. 7 GDPR, se podle mého názoru vztahuje také na společnou správu (
20
).
42.
S ohledem na tyto prvky se zaprvé domnívám, že neexistence jakékoli dohody nebo ujednání, nebo dokonce společného rozhodnutí mezi dvěma nebo více správci, jako jsou NVSC a ITSS, nemůže sama o sobě vyloučit zjištění, že jsou „společnými správci“ ve smyslu čl. 4 odst. 7 GDPR ve spojení s čl. 26 odst. 1 GDPR. V tomto ohledu dodávám, že EDPB uvedl, že ačkoli mohou být smluvní ujednání při posuzování společné kontroly užitečná, měla by být vždy posouzena s ohledem na faktické okolnosti vztahu mezi stranami (
21
).
43.
Zadruhé dle mého názoru to, že NVSC a ITSS, vedle skutečnosti, že neuzavřely dohodu, ujednání nebo společné rozhodnutí, své kroky patrně vzájemně nekoordinovaly ani jinak nespolupracovaly, neznamená, že je nelze považovat za „společné správce“. I kdyby taková koordinace nebo spolupráce existovala, je to z hlediska otázky, zda vztah mezi těmito dvěma subjekty je vztahem společné správy či nikoli, nepodstatné. Lze si totiž snadno představit, že by spolupráce nebo koordinace mohla existovat mezi dvěma nebo více subjekty, aniž by byly vůbec společnými správci. Například dva samostatní správci by mohli koordinovat činnost nebo vzájemně spolupracovat s úmyslem předávat si mezi sebou osobní údaje. Tím by se však nestali „společnými správci“ ve smyslu čl. 4 odst. 7 a čl. 26 odst. 1 GDPR (
22
). Relevantní je skutečnost, jak jsem vysvětlil v bodě 38 výše, že zpracování by nebylo možné bez účasti obou stran, jelikož obě mají hmatatelný dopad na určení účelů a prostředků zpracování.
3. Závěr k výkladu pojmu „správce“ a společné správě
44.
S ohledem na výše uvedené mám na jednu stranu za to, že s výhradou ověření, které má provést předkládající soud, subjekt, jako je NVSC, splňuje podmínky uvedené v čl. 4 odst. 7 GDPR, aby mohl být považován za „správce“. Na druhou stranu, zda NVSC a ITSS mohou být považováni za „společné správce“, v souladu s kritérii, která jsem nastínil v předchozí části, nebo kvalifikováni jako „správce“ a „zpracovatel“, závisí na povaze jejich vztahu, což přísluší posoudit předkládajícímu soudu.
45.
V tomto ohledu dodávám, že povaha vztahu mezi NVSC a ITSS (konkrétně to, zda se jedná o „společné správce“, respektive „správce“ a „zpracovatele“) je pro šestou otázku relevantní. Při diskusi otázek vznesených v šesté otázce se tedy vrátím ke zjištěním, která jsem učinil v souvislosti s otázkou pátou.
B.
K pojmu „zpracování“ (otázka 4)
46.
Podstatou čtvrté otázky předkládajícího soudu je, zda se definice „zpracování“ uvedená v čl. 4 odst. 2 GDPR vztahuje na situaci, kdy jsou osobní údaje používány během fáze testování mobilní aplikace (
23
). Ze žádosti o rozhodnutí o předběžné otázce vyvozuji, že aplikace KARANTINAS před tím, než byla veřejnosti zpřístupněna ke stažení, prošla testovací fází. Jak tomu rozumím, čtvrtá otázka se týká situace, která se liší od situace, která je jádrem ostatních otázek předložených Soudnímu dvoru, které se všechny týkají zpracování osobních údajů po skončení zkušební fáze, kdy byla aplikace KARANTINAS zpřístupněna veřejnosti. Předkládající soud si konkrétně klade otázku, zda je použití osobních údajů během této testovací fáze kvalifikováno jako „zpracování“ ve smyslu čl. 4 odst. 2 GDPR a jako takové může zakládat potenciální odpovědnost správců nebo zúčastněných zpracovatelů.
47.
Článek 4 odst. 2 GDPR definuje „zpracování“ jako „jakoukoli operaci nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů […]“ (
24
).
48.
Z tohoto znění (zejména z použití slova „jakákoli“ a obecných pojmů jako „operace“ nebo „soubor operací“) jsem vyrozuměl, že toto ustanovení má mít široký význam, aby pokrylo co největší množinu možných situací, ve kterých jsou osobní údaje používány. Demonstrativní výčet takových situací, který je v tomto ustanovení uveden, tento výklad s ohledem na rozmanitost operací, které jsou v něm obsaženy, potvrzuje (
25
).
49.
Navíc zatímco z výše uvedeného oddílu vyplývá, že definice „správce“ ve smyslu čl. 4 odst. 7 uvedeného nařízení úzce souvisí s účely zpracování osobních údajů (důvody „proč“ jsou osobní údaje shromažďovány), v případě definice uvedené v čl. 4 odst. 2 uvedeného nařízení to neplatí. Důvody, pro které jsou operace nebo soubory operací prováděny, jsou z hlediska toho, zda musí být kvalifikovány jako „zpracování“ ve smyslu tohoto ustanovení, jako takové v zásadě irelevantní. Z toho podle mého názoru vyplývá, že to, zda jsou osobní údaje shromažďovány pro účely testování IT systémů tvořících součást mobilní aplikace nebo pro jiný účel, nemá na to, zda je dotčená operace kvalifikována jako „zpracování“, žádný vliv.
50.
V tomto ohledu dále podotýkám, že „použití“ osobních údajů (bez jakéhokoli dalšího upřesnění, a tedy bez ohledu na účel použití) je uvedeno mezi operacemi nebo soubory operací, které představují „zpracování“ (
26
). Článek 4 odst. 2 GDPR kromě toho neobsahuje žádnou výslovnou výjimku, odchylku nebo výluku týkající se operací souvisejících s použitím osobních údajů pro testování IT systémů. Z toho vyplývá, že nic nebrání tomu, aby použití osobních údajů za účelem provedení takového testování bylo považováno za „zpracování“ ve smyslu tohoto ustanovení, spíše naopak.
51.
S ohledem na tyto skutečnosti mám za to, že definice „zpracování“ uvedená v čl. 4 odst. 2 GDPR se vztahuje na situaci, kdy jsou osobní údaje používány během fáze testování mobilní aplikace.
52.
Pouhá skutečnost, že osobní údaje poskytnuté pro účely testování IT systémů tvořících součást mobilní aplikace mohly projít pseudonymizací, nemá na můj závěr v tomto ohledu vliv (
27
). GDPR by se neuplatnilo jedině, pokud by informace dodané do mobilní aplikace byly tvořeny pouze anonymními informacemi, které se „netýkají identifikované či identifikovatelné fyzické osoby ani osobních údajů“, nebo osobními údaji anonymizovan[ými] tak, že subjekt údajů není nebo již přestal být identifikovatelným“. Poznamenávám však, že ve věci v původním řízení se na základě informací poskytnutých ve spisu nejeví, že by údaje použité při fázi testování sestávaly z takto anonymizovaných údajů (
28
).
53.
S ohledem na výše uvedené se domnívám, že definice „zpracování“ uvedená v čl. 4 odst. 2 GDPR pokrývá situaci, kdy jsou osobní údaje používány během testovací fáze mobilní aplikace, pokud tyto údaje nebyly anonymizovány takovým způsobem, že subjekt údajů již není nebo již nadále nebude identifikovatelný. To, zda jsou osobní údaje shromažďovány za účelem testování IT systémů tvořících součást mobilní aplikace nebo pro jiný účel, nemá žádný vliv na otázku, zda je daná operace kvalifikována jako „zpracování“ (
29
).
54.
V návaznosti na tato upřesnění se nyní vrátím k hlavní otázce v projednávané věci, která se týká podmínek, za nichž lze správci nebo zpracovateli uložit správní pokutu podle článku 83 GDPR.
C.
Ke správním pokutám uloženým podle článku 83 GDPR (otázka 6)
55.
Před přijetím GDPR byly sankce za porušení pravidel ochrany osobních údajů do značné míry ponechány na uvážení členských států v souladu s jejich procesní a nápravnou autonomií (
30
). Správní pokuty, které byly zavedeny článkem 83 uvedeného nařízení, jsou tedy v unijním právu na ochranu údajů relativně novým „vývojem“. Pracovní skupina zřízená podle článku 29 je popsala jako „ústřední prvek nového režimu vymáhání“ (
31
). Ačkoli toto ustanovení ještě Soudní dvůr nevyložil, dozorové úřady jej již použily, někdy k uložení vysokých pokut správcům nebo zpracovatelům (
32
).
56.
Článek 83 GDPR v závislosti na konkrétním typu porušení stanoví dvoustupňový systém sankcí. Zatímco první stupeň, definovaný v čl. 83 odst. 4 uvedeného nařízení, se vztahuje na situace, kdy správce nebo zpracovatel poruší obecné povinnosti, které se na ně vztahují, jakož i určité konkrétní povinnosti, druhý stupeň je vyhrazen, jak naznačuje čl. 83 odst. 5 GDPR, pro závažnější porušení, jako je mimo jiné porušení základních zásad zpracování, práv subjektů údajů a pravidel týkajících se předávání osobních údajů příjemci do třetí země nebo mezinárodní organizaci.
57.
U obou úrovní musí příslušné vnitrostátní orgány poté, co zjistí porušení určitého ustanovení GDPR, provést dvě posouzení. Zaprvé musí určit, zda má být uložena pokuta, a zadruhé, pokud tak rozhodly, musí stanovit výši pokuty. Tato posouzení musí být provedena v každém jednotlivém případě s ohledem na různé faktory uvedené v čl. 83 odst. 2 GDPR. Mezi tyto faktory patří posouzení toho, „zda k porušení došlo úmyslně nebo z nedbalosti“ [čl. 83 odst. 2 písm. b) tohoto nařízení].
58.
Podstatou šesté otázky předkládajícího soudu je, zda lze správci uložit správní pokutu, pokud správce pravidla ochrany osobních údajů neporušil úmyslně nebo z nedbalosti a k protiprávnímu zpracování osobních údajů došlo nikoli samotným správcem, ale zpracovatelem. Vrátím-li se ke zjištěním, která jsem učinil výše ohledně páté otázky, mám za to, že šestá otázka je položena pro případ, že by v původním řízení nebylo možno NVSC a ITSS považovat za „společné správce“ ve smyslu čl. 4 odst. 7 GDPR ve spojení s čl. 26 odst. 1 uvedeného nařízení a bylo by třeba je považovat za „správce“ a „zpracovatele“. V tomto konkrétním rámci by předkládající soud rád objasnil okolnosti, za kterých může být NVSC uložena pokuta podle článku 83 GDPR.
59.
Podotýkám, že šestá otázka jako relevantní ustanovení zmiňuje pouze čl. 83 odst. 1 GDPR. Podle mého názoru však aspekty vznesené touto otázkou vyžadují uvážení článku 83 uvedeného nařízení jako celku, přičemž zejména, jak jsem vysvětlil v bodě 57 výše, je třeba vzít v úvahu čl. 83 odst. 2 písm. b) uvedeného nařízení, jelikož toto ustanovení rozlišuje, „zda k porušení došlo úmyslně nebo z nedbalosti“. K šesté otázce tedy přistoupím tak, že budu zkoumat výklad článku 83 GDPR jako celku, nikoli pouze čl. 83 odst. 1 daného nařízení.
60.
Podle mého názoru má tato otázka dvě části. Zaprvé vyžaduje, aby Soudní dvůr určil, zda článek 83 GDPR obecně umožňuje ukládat správní pokuty správcům nebo zpracovatelům v případě neexistence jakékoli mens rea (morální aspekt – zavinění). Podstatou otázky předkládajícího soudu je, zda by NVSC mohla být uložena pokuta pouze na základě toho, že nesplnilo povinnosti, které mu byly uloženy z titulu správce (objektivní odpovědnost), nebo zda je při spáchání příslušného porušení vyžadován prvek zavinění. Zadruhé vyžaduje objasnění toho, zda skutečnost, že nezákonné zpracování osobních údajů neprovedl samotný správce, ale zpracovatel, má nějaký vliv na schopnost dozorových orgánů uložit pokutu správci.
61.
Tyto dva aspekty rozeberu postupně.
1. První hledisko: určení zavinění
62.
Článek 83 GDPR vyžaduje, aby každá správní pokuta uložená za porušení pravidel ochrany osobních údajů byla „účinná, přiměřená a odrazující“. To objasňuje odstavec 1 tohoto ustanovení. Tento odstavec však neuvádí, zda lze takovou pokutu uložit pouze tehdy, je-li prokázáno rovněž zavinění, to znamená, zda „zavinění“ je předpokladem pro uložení jakékoli pokuty.
63.
Odstavec 2 písm. b) tohoto ustanovení naproti tomu to, „zda k porušení došlo úmyslně nebo z nedbalosti,“ uvádí mezi okolnostmi (
33
), které musí dozorové úřady v každém jednotlivém případě „řádně zohlednit“. Podle čl. 83 odst. 2 písm. k) uvedeného nařízení je třeba tyto aspekty chápat jako „přitěžující nebo polehčující okolnosti“ a nejedná se o taxativní výčet.
64.
V tomto kontextu jsou podle mého názoru možné dva způsoby, jak článek 83 GDPR chápat.
65.
Na jednu stranu by se dalo uvažovat o tom, že ačkoli rozhodnutí o uložení pokuty a její výši musí být učiněno s ohledem na míru zavinění (takže např. by měla být v zásadě uložena vyšší pokuta, pokud porušení bylo důsledkem úmyslného jednání, a naopak nedbalostní jednání by mělo vést k uložení nižší pokuty), nic nebrání tomu, aby byla pokuta uložena i bez zavinění, pokud lze mít za to, že zpracovatel nebo správce je za porušení odpovědný. Tento výklad je podpořen zněním čl. 83 odst. 2 písm. b) a k) v tom smyslu, že uvedení různých typů zavinění (úmyslné nebo nedbalostní jednání) jako „polehčujících nebo přitěžujících [okolností]“ by mohla tato ustanovení obecně implikovat, že zavinění není pro uložení pokuty podmínkou.
66.
Na druhou stranu by se také dalo tvrdit, jak v projednávaném případě činí Komise, že před uložením pokuty musí být jako minimální požadavek prokázána nedbalost osoby nebo subjektu, který se porušení dopustil. Tento přístup může podpořit i odlišný, opatrnější výklad čl. 83 odst. 2 písm. b) a k) GDPR, a sice že tato ustanovení vyžadují, aby dozorové úřady rozlišovaly mezi polehčující okolností (nedbalostí) a přitěžující okolností (úmyslem), ale nenaznačují, že by pokuta mohla být uložena v případě úplné absence zavinění.
67.
Komise se k tomuto výkladu výslovně přiklonila ve svém původním návrhu (
34
), který vedl k přijetí GDPR, v němž systém pokut navrhla upravit jako třístupňový. Komise pro každou úroveň navrhla, aby pokuty mohly být ukládány pouze „každému, kdo [se] úmyslně či z nedbalosti“ (
35
) dopustil jednoho nebo více údajných porušení. Komise tak zavinění jako předpoklad pro uložení takové pokuty jasně předpokládala (
36
).
68.
Přestože oba přístupy lze podle mého názoru na základě textového výkladu čl. 83 odst. 2 GDPR obhájit, neboť každý z nich odpovídá chápání toho, „zda k porušení došlo úmyslně nebo z nedbalosti“, jako „přitěžující“, respektive „polehčující“ okolnosti, jsem toho názoru, že pouze druhý přístup náležitě odráží záměr unijního normotvůrce. K tomuto závěru mne vede několik důvodů.
a) Důvody, proč je vyžadováno zavinění
69.
Nejprve podotýkám, že několik okolností uvedených v čl. 83 odst. 2 GDPR je formulováno způsobem, z něhož lze vyvodit, že tyto okolnosti nemusí platit ve všech případech, ale pouze v některých. Konkrétně ustanovení čl. 83 odst. 2 písm. c), e) a k) začínají [v anglickém znění] slovem „jakékoli“ („kroky podniknuté správcem či zpracovatelem ke zmírnění škod […]“; „veškerá relevantní předchozí porušení […]“; „jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu […]“), čímž naznačují, že ačkoli dozorové úřady musí vždy vzít v úvahu, zda bylo přijato nějaké zmírňující opatření, zda došlo k předchozímu porušení nebo zda existuje jiná relevantní přitěžující nebo polehčující okolnost, pokud existují takové okolnosti nebo jsou prokázány, může ve skutečnosti nastat situace, kdy tytéž okolnosti zkrátka neexistují a příslušný orgán pro ochranu osobních údajů přesto může rozhodnout o uložení pokuty (nebo naopak o jejím neuložení). V podobném duchu podotýkám, že čl. 83 odst. 2 písm. i) GDPR je rovněž formulován nesystematicky, neboť vyžaduje zvážení, zda správce nebo zpracovatel dodržel opatření uvedená v čl. 58 odst. 2 tohoto nařízení, ale pouze„v případě, že vůči danému správci nebo zpracovateli byla […] dříve nařízena“.
70.
Naproti tomu čl. 83 odst. 2 písm. b) zmiňuje, „zda k porušení došlo úmyslně nebo z nedbalosti“ (
37
). Mám tedy za to, že se jedná o jednu z okolností, které musí být přítomny ve všech případech, a obrazně řečeno jejichž příslušná kolonka musí být ve všech případech před uložením pokuty „zaškrtnuta“, podobně jako v případě „povah[y], závažnost[i] a délk[y] trvání porušení […]“ (čl. 83 odst. 2 písm. a)), „kategori[í] osobních údajů dotčen[ých] daným porušením […]“ (čl. 83 odst. 2 písm. g)) a „způsob[u], jakým se dozorový úřad dozvěděl o porušení […]“ (čl. 83 odst. 2 písm. h)). Tyto další okolnosti musí být podle mého názoru rovněž „přítomné“ ve všech případech: například „povaha, závažnost a délka trvání porušení“ se mohou v jednotlivých případech značně lišit (a mohou tedy být považovány za důvod „pro“ nebo „proti“ uložení pokuty). Ve všech případech však bude existovat jistá povaha, určitá závažnost a určitá doba trvání porušení. Podle mého názoru to představuje první indicii, že správní pokuty byly v článku 83 GDPR zavedeny tak, že je lze ukládat pouze v situacích, kdy údajné porušení bylo buď úmyslné, nebo nedbalostní (
38
).
71.
Zadruhé podotýkám, že ačkoli čl. 83 odst. 2 GDPR výslovně nestanoví, že by k porušení muselo dojít „úmyslně nebo z nedbalosti“, nelze totéž říci o odstavci 3 tohoto ustanovení, který obsahuje obecné pravidlo vylučující sčítání správních pokut. Tento odstavec zmiňuje pouze situaci, kdy k relevantnímu protiprávnímu jednání došlo „úmyslně či z nedbalosti“.
72.
Z mého pohledu logicky vyplývá, že čl. 83 odst. 2 GDPR je třeba vykládat tak, že pokutu lze uložit pouze v případě, že k údajnému porušení došlo úmyslně nebo z nedbalosti. Pokud by totiž byl rozsah čl. 83 odst. 2 a 3 nařízení GDPR odlišný, bylo by možné ukládat souhrnné pokuty za méně závažná porušení (tedy za ta, která byla spáchána bez zavinění), jelikož by se na ně nevztahovalo druhé ustanovení (čl. 83 odst. 3), ačkoli by stále mohla vést k uložení pokuty na základě prvního z těchto ustanovení (čl. 83 odst. 2). Totéž by však nebylo možné v případě porušení spáchaných z nedbalosti nebo úmyslně, protože všechna tato porušení by podléhala zákazu sčítání obsaženému v čl. 83 odst. 3 uvedeného nařízení. Takový výsledek by byl zjevně v rozporu se základním principem sankčního režimu zavedeného nařízením GDPR, podle kterého by závažná porušení měla být v zásadě sankcionována přísněji než ta méně závažná, a nikoli naopak.
73.
Zatřetí podotýkám, že pokuty uložené podle článku 83 GDPR mohou vést k přísnému trestu. První stupeň, na který se vztahuje čl. 83 odst. 4 uvedeného nařízení, může totiž vést k uložení pokuty až do výše 10000000 eur, nebo jedná-li se o podnik, až do výše 2 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší. Druhý stupeň stanoví pokuty až do výše 20000000 eur, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí rozpočtový rok (opět podle toho, která hodnota je vyšší).
74.
Mám tedy za to, že pokuty uložené při použití článku 83 GDPR sledují alespoň v některých situacích represivní cíl (
39
) a vykazují vysoký stupeň přísnosti, takže mohou mít trestní povahu (
40
), a tudíž spadají do působnosti článku 49 Listiny základních práv Evropské unie (dále jen „Listina“) (
41
).
75.
Ve světle těchto skutečností, a zejména trestní povahy pokut uložených podle článku 83 GDPR, je možné tvrdit, že připustit ukládání takových pokuty bez zavinění by bylo neslučitelné s požadavkem stanoveným v odstavci 1 tohoto ustanovení, podle kterého musí být pokuty ve všech případech nejen „účinné“ a „odrazující“, ale také „přiměřené“. Jinými slovy, bylo by nepřiměřené uložit pokuty v případech, kdy se neprokáže ani nedbalost. Podle mého názoru je však tento argument obtížně uplatnitelný vzhledem k tomu, že Soudní dvůr již konstatoval, že systém trestů nebo sankcí založených na objektivní odpovědnosti, byť trestněprávní povahy, není sám o sobě nepřiměřený ve vztahu ke sledovaným cílům, pokud může vést dotyčné osoby k dodržování ustanovení nařízení a pokud cíle, o něž je usilováno, sledují obecný zájem, který může odůvodnit zavedení takového systému (
42
). Evropský soud pro lidská práva (ESLP) navíc ve vztahu k článku 7 Evropské úmluvy o lidských právech (EÚLP) (který odpovídá článku 49 Listiny) (
43
) rozhodl, že ačkoli trest podle tohoto ustanovení obecně vyžaduje existenci morální vazby, jejímž prostřednictvím lze v jednání osoby, která se trestného činu fyzicky dopustila, odhalit prvek odpovědnosti, tento požadavek nevylučuje existenci určitých forem objektivní odpovědnosti (
44
).
76.
Z této judikatury jsem však vyrozuměl, že k uložení trestněprávního trestu je zpravidla vyžadován mens rea, a objektivní odpovědnost tudíž představuje jakousi „výjimku“ z tohoto obecného pravidla v rozsahu, v jakém musí být odůvodněna s ohledem na cíle sledované nařízením.
77.
Pokud jde o GDPR jako celek, jeví se mi, že unijní normotvůrce o správních pokutách uvažoval jako pouze o jednom z nástrojů, které tento nástroj k zajištění účinného dodržování stanoví. Pokuty musí být totiž ukládány „vedle či namísto“ ostatních opatření uvedených v čl. 58 odst. 2 uvedeného nařízení, který dozorovým úřadům svěřuje řadu nápravných pravomocí (jako je pravomoc upozorňovat, napomínat nebo nařizovat) (
45
). Dále v situacích, kdy není uložena správní pokuta podle článku 83 GDPR, mají dozorové úřady možnost uložit jiné sankce podle článku 84 uvedeného nařízení (
46
).
78.
Podle mého názoru tato ustanovení objasňují, že unijní normotvůrce při přijímání tohoto nařízení nezamýšlel, aby každé porušení pravidel ochrany údajů bylo postižitelné správní pokutou. Mělo spíše zajistit flexibilní a diferencovaný systém trestů a sankcí. To potvrzuje bod 148 odůvodnění GDPR, který stanoví, že dozorové úřady mohou „v méně závažných případech porušení nebo pokud by pokuta, která bude pravděpodobně uložena, představovala pro fyzickou osobu nepřiměřenou zátěž“ namísto pokuty uložit napomenutí. V tomto kontextu je omezení použití článku 83 GDPR na situace, kdy je jako minimální požadavek stanovena nedbalost, podle mého názoru v souladu s těmito cíli a zastřešující logikou těchto jednotlivých ustanovení, podle nichž uložení správních pokut by mělo být vyhrazeno pro určitý druh porušení
79.
Rovněž mám za to, že když unijní normotvůrce projevil záměr do GDPR zavést objektivní nebo předpokládanou odpovědnost, učinil tak s použitím konkrétní formulace, která v článku 83 tohoto nařízení použita není. Například v případě občanskoprávní odpovědnosti (tedy odpovědnosti správců a zpracovatelů vůči subjektům údajů), na kterou se vztahuje článek 82 GDPR, unijní normotvůrce uvedl, že správci a zpracovatelé mají přísnou povinnost nahradit újmu, kterou způsobili subjektům údajů, ledaže prokáží, že nenesou žádným způsobem odpovědnost za událost, která vedla ke vzniku újmy (
47
). Článek 83 tohoto nařízení neobsahuje naproti tomu formulaci podobnou článku 84 GDPR. To podle mého názoru potvrzuje, že unijní normotvůrce neměl pro toto ustanovení v úmyslu zavést systém pokut založený na objektivní nebo předpokládané odpovědnosti.
80.
Začtvrté, a to je možná nejdůležitější, mám za to, že v praxi je hranice pro porušení GDPR z nedbalosti ve smyslu čl. 83 odst. 2 písm. b) uvedeného nařízení v každém případě tak nízká, že je obtížné představit si situace, kdy pokutu nebude možné uložit pouze z důvodu, že by nebyl naplněn tento prvek. Domnívám se tedy, že pouhá skutečnost, že úmysl nebo nedbalost musí být prokázána před tím, než může být uložena pokuta na základě článku 83 tohoto nařízení, neohrožuje cíl legislativního normotvůrce, kterým je zajistit účinné prosazování právních předpisů na ochranu osobních údajů, spíše naopak.
81.
V této souvislosti někteří autoři uvádí, že má-li správce nebo zpracovatel pouhé pochybnosti o zákonnosti prováděného zpracování a nepodnikne-li pouze žádná opatření, jedná se již o úmyslné přijetí potenciálního porušení GDPR, a tedy o hrubou nedbalost (
48
). Pracovní skupina zřízená podle článku 29 dále uvedla, že nedbalostní porušení se v mnoha ohledech rovná „neúmyslnému“ porušení, protože podle jejího názoru takové porušení může existovat, pokud nebylo zamýšleno způsobit porušení a správce nebo zpracovatel nesplnil povinnost řádné péče (
49
). Zejména uvedla, že i okolnost prostého „selhání lidského faktoru“ (
50
) může naznačovat nedbalost.
82.
Napadají mě dva závěry. Zaprvé, hranice mezi zcela neúmyslným a nezaviněným porušením a nedbalostí je ve skutečnosti velmi tenká. Domnívám se, že dozorové úřady budou mít zřídkakdy potíže s nalezením dostatečných indicií, že k údajnému porušení došlo přinejmenším z nedbalosti. V tomto ohledu poznamenávám, že literatura uvádí, že „vzhledem k četným akcím na zvyšování povědomí […] k zajištění souladu s GDPR je těžké si představit […] porušení GDPR, ke kterému by nedošlo přinejmenším z nedbalosti“ (
51
). Zcela souhlasím a připomínám, že cílem GDPR je konkrétně zajistit, aby správci a zpracovatelé byli obeznámeni s pravidly ochrany údajů, což podle mého názoru ještě více komplikuje úvahy o tom, že by k porušení mohlo dojít zcela bez zavinění (tj. ani z nedbalosti) (
52
).
83.
Zadruhé, tento výsledek se jeví být zcela v souladu s primárním cílem GDPR, kterým je zajistit jednotnou a vysokou úroveň ochrany fyzických osob v Evropské unii (
53
). Pokuty mají skutečně odrazující účinek (
54
). Díky pobídce k dodržování GDPR, kterou pro správce a zpracovatele vytvářejí, přispívají k celkovému posílení ochrany subjektů údajů a jsou tak klíčovým prvkem při zajištění dodržování jejich práv (
55
). Podle mého názoru z toho vyplývá, že ačkoliv od „zavinění“ upustit nelze, míra zavinění požadovaná pro uplatnění článku 83 tohoto nařízení je dostatečně nízká, aby byla zajištěna odpovídající úroveň ochrany subjektů údajů.
84.
Kromě toho bych zdůraznil, že přístup, který navrhuji Soudnímu dvoru přijmout, rovněž potvrzuje soulad systému pokut zavedeného tímto ustanovením s tím, který je stanoven pro porušení práva hospodářské soutěže v čl. 23 odst. 1 nařízení (ES) č. 1/2003 (
56
), který se rovněž použije pouze tehdy, je-li prokázán úmysl nebo nedbalost. Skutečnost, že tento systém pokut inspiroval znění článku 83 GDRP, potvrzuje bod 150 odůvodnění tohoto nařízení, který uvádí, že „[p]ro účely uložení správních pokut podniku by měl být podnik chápán ve smyslu článků 101 a 102 Smlouvy o fungování EU“, a další podobnosti mezi těmito dvěma systémy pokut, jako je skutečnost, že výše pokut může být v případě podniků v obou systémech založena na jejich obratu. Rovněž podotýkám, že několik okolností uvedených v čl. 83 odst. 2 GDPR odráží ty, které jsou relevantní pro stanovení výše pokuty za porušení práva hospodářské soutěže (
57
).
85.
Poté, co jsem nastínil důvody, proč se domnívám, že před uložením pokuty správci nebo zpracovateli podle čl. 83 odst. 2 GDPR musí být zjištěno zavinění, zbývá říci pár slov k argumentaci Rady a litevské vlády. Podle těchto účastníků řízení je rozhodnutí, zda je zavinění před uložením správní pokuty vyžadováno či nikoli, na členských státech.
86.
S tímto tvrzením jednoduše nesouhlasím.
b) Proč členské státy nemají prostor pro uvážení, pokud jde o požadavek na zavinění
87.
Je zřejmé, že jedním z hlavních cílů GDPR, a zejména jeho článku 83, je dosáhnout v celé Evropské unii vyšší úrovně harmonizace, zejména pokud jde o ukládání pokut (
58
). Zastávám proto názor, že na rozdíl od tvrzení Rady a litevské vlády, unijní normotvůrce nezamýšlel dát členským státům volnost při rozhodování o tom, zda je požadováno zavinění.
88.
Je pravda, že vnitrostátní právní předpisy mohou stanovit další procesní požadavky, které mají dozorové úřady při ukládání pokut dodržovat (ve vztahu k aspektům, jako je oznamování pokut a lhůt pro podání námitek, odvolání, nucený výkon a platby) (
59
). To je zřejmé z čl. 83 odst. 8 GDPR, který stanoví, že na výkon pravomoci ukládat pokuty dozorovým úřadem „se vztahují vhodné procesní záruky“, které stanoví vnitrostátní právo, za předpokladu, že je zaručeno dodržování unijního práva (a zejména právo na účinnou soudní ochranu a spravedlivý proces).
89.
Tento prostor pro uvážení se však nemůže rozšířit na hmotněprávní požadavky, které se vztahují na uložení pokuty, jako je míra zavinění. Podle mého názoru tento závěr přímo vyplývá z několika bodů odůvodnění uvedeného nařízení (
60
), které naznačují, že unijní normotvůrce zamýšlel systémem správních pokut zavedených článkem 83 GDPR dosáhnout konzistentních výsledků na celém území Evropské unie.
90.
Pro úplnost dodávám, že jelikož pokuty mají na hospodářskou soutěž mezi podniky a na trh významný dopad, je podle mého názoru zásadní, aby byl článek 83 GDPR uplatňován konzistentním způsobem, jinak by skutečně k narušení hospodářské soutěže mezi podniky mohl přispět (
61
).
2. Druhé hledisko: může být správci uložena pokuta za porušení, ke kterému došlo za okolností, kdy nezákonné zpracování neprovedl on sám, ale zpracovatel?
91.
Podstatou druhé částí šesté otázky předkládajícího soudu je, zda může být správci uložena pokuta podle článku 83 GDPR v situaci, kdy protiprávní zpracování osobních údajů neprováděl sám správce, ale zpracovatel (v tomto případě ITSS).
92.
Mám za to, že na tuto otázku je třeba odpovědět kladně.
93.
V tomto ohledu připomínám, jak jsem uvedl v bodě 27 výše, že správce sám nemusí žádné osobní údaje zpracovávat, pokud sám určuje, „proč a jak“ jsou příslušné operace zpracování uplatněny. Dále poznamenávám, že čl. 4 bod 8 GDPR definuje „zpracovatele“ jako „fyzickou nebo právnickou osobu, orgán veřejné moci, agenturu nebo jiný subjekt, který zpracovává osobní údaje pro správce“ (
62
).
94.
Tyto definice podle mého názoru potvrzují, že v souvislosti s použitím GDPR může správce nést odpovědnost, a může mu být tedy podle článku 83 tohoto nařízení uložena pokuta v situaci, kdy jsou osobní údaje zpracovávány protiprávně a kdy protiprávní zpracování neprovádí sám správce, ale zpracovatel. Tato možnost existuje, pokud takový zpracovatel může jménem správce osobní údaje zpracovávat.
95.
Tak tomu bude, pokud zpracovatel jedná v rámci pověření, které mu správce udělil, a zpracovává údaje v souladu se zákonnými pokyny, které od správce obdržel (
63
). Pokud však zpracovatel rámec tohoto pověření překročí a použije údaje, které získal jako zpracovatel, pro vlastní účely a je zřejmé, že strany nejsou „společnými správci“ ve smyslu čl. 4 odst. 7 a čl. 21 odst. 6 GDPR, pak podle mého názoru nemůže být pokuta podle článku 83 tohoto nařízení správci v souvislosti s nezákonným zpracováním, ke kterému došlo, uložena (
64
).
96.
Z toho vyplývá, že v případě, jako je věc v původním řízení, může být na základě článku 83 GDPR uložena pokuta NVSC, přestože osobní údaje byly nezákonně zpracovávány pouze ze strany ITSS a NVSC se zpracování neúčastnilo. Tato možnost se uplatní, pokud lze mít za to, že tato společnost zpracovávala osobní údaje jménem NVSC, což neplatí v případě, že ITSS jednala mimo zákonné pokyny ze strany NVSC nebo v rozporu s nimi a použila osobní údaje pro vlastní účely, a pokud je zřejmé, že NVSC a ITSS nejednají jako společní správci.
V. Závěry
97.
S ohledem na výše uvedené navrhuji, aby Soudní dvůr na předběžné otázky položené Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva) odpověděl následovně:
„(1)
Článek 4 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že subjekt, který iniciuje vývoj mobilní aplikace, může být považován za ‚správce‘ ve smyslu tohoto ustanovení pouze za situace, kdy existuje dostatek prvků faktické spíše než formální povahy, z nichž mohou vnitrostátní soudy vyvodit závěr, že takový subjekt skutečně ovlivňoval ‚účely a prostředky‘ tohoto zpracování a že skutečně souhlasil se zpřístupněním mobilní aplikace veřejnosti a následně i zpracováním osobních údajů.
(2)
Toto ustanovení ve spojení s čl. 26 odst. 1 uvedeného nařízení
musí být vykládáno v tom smyslu, že k tomu, aby byli dva nebo více správců považováni za ‚společné správce‘, musí být splněny dvě podmínky: zaprvé každý společný správce musí nezávisle splňovat kritéria uvedená v definici ‚správce‘ uvedené v čl. 4 odst. 7 uvedeného nařízení a zadruhé vliv správců na ‚účely a prostředky‘ zpracování musí být vykonáván společně. Mimoto neexistence jakékoli dohody, nebo dokonce koordinace mezi správci nemůže sama o sobě vyloučit zjištění, že správci jsou ‚společnými správci‘ ve smyslu těchto ustanovení.
(3)
Článek 4 odst. 2 tohoto nařízení
musí být vykládán v tom smyslu, že se pojem ‚zpracování‘ vztahuje na situaci, kdy jsou osobní údaje používány během testovací fáze mobilní aplikace, pokud nebyly tyto údaje anonymizovány takovým způsobem, že subjekt údajů již není nebo již nadále nebude identifikovatelný. Skutečnost, zda jsou osobní údaje shromažďovány za účelem testování IT systémů tvořících součást mobilní aplikace nebo pro jiný účel, nemá na otázku, zda je daná operace kvalifikována jako ‚zpracování‘, žádný vliv.
(4)
Článek 83 nařízení 2016/679
musí být vykládán v tom smyslu, že pokutu lze uložit pouze za účelem sankcionování porušení pravidel tohoto nařízení, ke kterému došlo‚úmyslně nebo z nedbalosti‘. Správci může být podle tohoto ustanovení uložena pokuta, i když nezákonné zpracování provádí zpracovatel. Tato možnost se uplatní, pokud se prokáže, že zpracovatel jedná jménem správce. Pokud však zpracovatel osobní údaje zpracovává mimo rámec zákonných pokynů správce nebo v rozporu s nimi a použije získané osobní údaje pro vlastní účely a je zřejmé, že strany nejsou ‚společnými správci‘ ve smyslu čl. 4 odst. 7 a čl. 21 odst. 6 nařízení 2016/679, pak pokuta podle článku 83 tohoto nařízení nemůže být správci v souvislosti s nezákonným zpracováním, ke kterému došlo, uložena.“
(
1
) – Původní jazyk: angličtina.
(
2
) – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).
(
3
) – Osobní údaje shromažďované aplikací KARANTINAS o jejích uživatelích obsahovaly následující: číslo občanského průkazu, souřadnice zeměpisné délky a zeměpisné šířky, zemi, město, obec, adresu bydliště, jméno, příjmení, osobní identifikační číslo, telefonní číslo, informace, zda daná osoba musí zůstat v izolaci, zda se zaregistrovala, atd. Údaje se shromažďovaly nejen v Litvě, ale i v zahraničí.
(
4
) – Článek 5 GDPR obsahuje výčet obecných zásad, jejichž dodržování musí být při zpracování osobních údajů správci zajištěno. Článek 13 uvedeného nařízení uvádí informace, které musí správci poskytnout subjektům údajů, když od nich shromažďují osobní údaje. Článek 24 téhož nařízení stanoví, že správci mimo jiné musí zavést vhodná technická a organizační opatření, aby zajistili (a byli schopni doložit), že zpracování je prováděno v souladu s platnými pravidly ochrany údajů. Článek 32 GDPR se týká zabezpečení zpracování a ukládá v tomto ohledu povinnosti správcům i zpracovatelům, zatímco článek 35 tohoto nařízení se týká povinnosti správců provést před provedením určitých typů zpracování posouzení vlivu na ochranu osobních údajů.
(
5
) – Podle článku 29 GDPR „[z]pracovatel a jakákoliv osoba, která jedná z pověření správce nebo zpracovatele a má přístup k osobním údajům, může tyto osobní údaje zpracovávat pouze na pokyn správce, ledaže jí jejich zpracování ukládá právo Unie nebo členského státu“.
(
6
) – Poznamenávám, že osobní údaje týkající se zdravotního stavu představují „zvláštní kategorii osobních údajů“, jejichž zpracování zakazuje článek 9 GDPR s výjimkou případů uvedených v odstavci 2 tohoto ustanovení [např. skutečnost, že zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví {písm. i)} nebo pro účely preventivního nebo pracovního lékařství {písm. h)}]. S ohledem na to poznamenávám, že otázky položené Soudnímu dvoru se v tomto případě netýkají zákonnosti takového zpracování, ale spíše podmínek, za kterých může být subjekt, jako je NVSC, odpovědný za zpracování, které provedl vývojář takové mobilní aplikace (v projednávaném případě ITSS).
(
7
) – Na základě informací poskytnutých ve spisu a při jednání není jasné, zda se město Vilnius podílelo na vývoji aplikace KARANTINAS.
(
8
) – Jak vysvětlím v bodě 46 níže, ze žádosti o rozhodnutí o předběžné otázce vyvozuji, že aplikace KARANTINAS předtím, než byla veřejnosti zpřístupněna ke stažení, prošla testovací fází. Podle mého názoru se čtvrtá otázka týká použití osobních údajů, ke kterému došlo během této testovací fáze, na rozdíl od použití v pozdější fázi, kdy byla aplikace KARANTINAS veřejnosti k dispozici ke stažení.
(
9
) – Viz Rücker, D. a Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C. H. Beck, Hart and Nomos, Oxford, 2018, s. 27. Podle těchto autorů je nejdůležitější vlastností správce to, že určuje výsledky, kterých má být dosaženo, a nikoli prostředky nebo „způsob“ zpracování, které lze, alespoň v jejich nepodstatných aspektech, bez ztráty způsobilosti správce delegovat na zpracovatele.
(
10
) – Viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 68). Tento rozsudek se týkal výkladu pojmu „správce“, jak byl definován v čl. 2 písm. d) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355). Ačkoli tato směrnice již není v platnosti a byla nahrazena nařízením GDPR, výklad, který Soudní dvůr v souvislosti s tímto ustanovením poskytl, zůstává v kontextu uplatňování nařízení GDPR relevantní, neboť definice tohoto pojmu zůstává s výjimkou drobných formálních úprav v obou předpisech stejná. Budu tedy na rozsudky týkající se jednoho nebo druhého předpisu odkazovat bez rozdílu.
(
11
) – Viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 67).
(
12
) – Viz „Pokyny 07/2020 k pojmům správce a zpracovatele v nařízení GDPR“ EDPB, verze 2.1, přijaté 7. července 2021 („pokyny 07/2020“, dostupné v angličtině na následující internetové adrese: https://edpb.europa.eu/system/files/2021-07/eppb_guidelines_202007_controllerprocessor_final_en.pdf), s. 3 a body 21 a 25 až 27.
(
13
) – Rozsudek ze dne 29. července 2019 (C‑40/17, EU:C:2019:629, bod 85).
(
14
) – Viz také pokyny 07/2020, bod 42.
(
15
) – Viz čl. 26 odst. 3 GDPR, podle kterého může „subjekt údajů vykonávat svá práva podle [GDPR] u každého ze správců a vůči každému z nich“. Viz rovněž čl. 82 odst. 4 a 5 tohoto nařízení.
(
16
) – Viz v tomto ohledu rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 67 a citovaná judikatura).
(
17
) – V tomto smyslu viz rozsudek ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, bod 43).
(
18
) – Viz rozsudek ze dne 10. července 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, bod 69 a citovaná judikatura).
(
19
) – Viz pokyny 07/2020, s. 3 a body 54 a 55.
(
20
) – Bylo by totiž poněkud rozporuplné, pokud by bylo možné osobu nebo subjekt formálně kvalifikovat jako „správce“, ale stejný subjekt a jiný subjekt by nebylo možné považovat za „společné správce“.
(
21
) – Viz pokyny 07/2020, bod 52.
(
22
) – Viz v tomto ohledu pokyny 07/2020, bod 69.
(
23
) – Podotýkám, že ve čtvrté otázce předkládající soud zmiňuje použití „kopií osobních údajů“, a nikoli osobních údajů. Vzhledem k tomu, že osobní údaje mohou existovat v nehmotné podobě, a jak objasňuje čl. 4 odst. 1 GDPR, „osobní údaje“ jsou v tomto ustanovení definovány jako „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“ (zdůrazněno autorem stanoviska)), bez jakéhokoli požadavku, aby osobní údaje byly „zkopírovány“ nebo přepsány na určité zařízení nebo nosič, musím přiznat, že mi není jasné, co tento soud rozumí pod pojmem „kopie osobních údajů“. Fyzický nosič (například výtisk), na kterém jsou osobní údaje zpřístupněny, není podle mého názoru pro otázku, zda je konkrétní soubor operací s osobními údaji kvalifikován jako „zpracování“ ve smyslu čl. 4 odst. 2 uvedeného nařízení, relevantní. Ve své odpovědi na čtvrtou otázku tedy budu odkazovat na „osobní údaje“ namísto „kopií osobních údajů“.
(
24
) – Kurzivou zvýraznil autor stanoviska.
(
25
) – Podle článku 4 odst. 2 GDPR „zpracování“ zahrnuje operace jako je „shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.
(
26
) – Viz předchozí poznámku pod čarou.
(
27
) – „Osobní údaje“ ve smyslu čl. 4 odst. 1 GDPR vykládaného ve světle bodu 26 odůvodnění tohoto nařízení skutečně zahrnují osobní údaje, které prošly pseudonymizací, ale které by mohly být při použití dalších osobních údajů přiřazeny fyzické osobě.
(
28
) – V žádosti o rozhodnutí o předběžné otázce předkládající soud uvádí, že některé, ale ne všechny, osobní údaje použité pro účely testovací fáze mohly obsahovat „falešné“ údaje. Co si pod tímto pojmem představuje, však dále nerozvádí. V tomto ohledu bych chtěl pouze uvést, že podle mého názoru mohou být informace kvalifikovány jako „osobní údaje“ ve smyslu čl. 4 odst. 1 GDPR bez ohledu na to, zda obsahují pravdivé nebo nepravdivé informace. Důležité je, jak jsem uvedl, pouze to, že se informace týkají identifikované nebo identifikovatelné fyzické osoby. Pokud jsou údaje zcela vytvořeny tak, že nelze říci, že se týkají identifikované nebo identifikovatelné osoby, pak se podle mého názoru nejedná o „osobní údaje“ a GDPR se na zpracování těchto údajů nevztahuje. Nařízení se však stále vztahuje na ostatní „nefalešné“ údaje shromážděné během testovací fáze.
(
29
) – Rád bych připomněl, že použití osobních údajů pro účely testování IT systémů tvořících součást mobilní aplikace představuje odlišný způsob „zpracování“, než ke kterému dochází, je-li stejná mobilní aplikace zpřístupněna ke stažení veřejnosti. Vyžaduje tedy samostatné posouzení toho, kdo je „správce“, „zpracovatel“ nebo „společný správce“.
(
30
) – Viz článek 24 směrnice 95/46.
(
31
) – Viz „Pokyny k uplatňování a stanovování správních pokut pro účely [GDPR]“ Pracovní skupina pro ochranu údajů zřízená podle článku 29, přijaté dne 3. října 2017, s. 4. Tato pracovní skupina byla následně nahrazena EDPB. Její pokyny k uplatňování a stanovování správních pokut však zůstávají platné.
(
32
) – Viz například mnohamilionová pokuta, kterou francouzský úřad na ochranu údajů uložil společnosti Google v lednu 2019 (https://edpb.europa.eu/news/national-news/2019/cnils-restricted-committee-imposes-financial-penalty-50-million-euros_en).
(
33
) – Konkrétně v čl. 83 odst. 2 písm. b) uvedeného nařízení. Ostatní okolnosti uvedené v čl. 83 odst. 2 písm. a) až k) souvisí buď se samotným porušením (například jeho povahou, závažností a trváním (a) nebo kategoriemi cílených osobních údajů (g)), popřípadě se správcem nebo zpracovatelem, kterému by byla pokuta určena (konkrétně jejich mírou odpovědnosti (d); jejich chování ex ante, jako jsou relevantní předchozí porušení (e) a předchozí opatření jim nařízená (i), a jejich chování ex post, včetně toho, zda oznámili porušení (h), kroky, které podnikli ke zmírnění škody (c) a míry spolupráce s dozorovým úřadem za účelem nápravy porušení a zmírnění jeho možných nežádoucích účinků (f)). Dále je třeba zohlednit „jakoukoliv jinou přitěžující nebo polehčující okolnost vztahující se na okolnosti daného případu, jako jsou získaný finanční prospěch či zamezení ztrátám, přímo či nepřímo vyplývající z porušení“ (k).
(
34
) – „Návrh nařízení Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováváním osobních údajů a o volném pohybu těchto údajů (obecné nařízení o ochraně údajů)“, COM(2012) 11 final („původní návrh Komise na přijetí nařízení“).
(
35
) – Viz čl. 79 odst. 4, 5 a 6 původního návrhu Komise na přijetí nařízení. Podotýkám, že to, zda k porušení došlo úmyslně nebo z nedbalosti, bylo rovněž zahrnuto do seznamu okolností obsažených v čl. 79 odst. 2 uvedeného návrhu, které bylo při stanovení výše pokuty třeba zohlednit; kurzivou zvýraznil autor stanoviska.
(
36
) – Toto znění bylo poté upraveno a výrazy „úmyslně nebo z nedbalosti“ již nejsou v ustanoveních definujících dvě úrovně systému pokut zavedené nařízením GDPR zahrnuty.
(
37
) – Kurzivou zvýraznil autor stanoviska.
(
38
) – Totéž lze konstatovat i při pohledu na další jazykové znění čl. 83 odst. 2 GDPR, zejména české, řecké, španělské, francouzské a italské. Poznamenávám však, že v italském znění je použit výraz „the“ („le“), a nikoli „any“ („eventuali“) s ohledem na čl. 83 odst. 2 písm. c) tohoto nařízení, který se týká kroků podniknutých správcem nebo zpracovatelem ke zmírnění škody.
(
39
) – Podle pracovní skupiny zřízené podle článku 29 jsou správní pokuty „nápravnými opatřeními“, jejichž cílem může být „znovu zajistit soulad s pravidly nebo potrestat protiprávní jednání (případně obojí)“ (kurzivou zvýraznil autor stanoviska) [viz „Pokyny k uplatňování a stanovování správních pokut pro účely [GDPR]“ Pracovní skupina pro ochranu údajů zřízená podle článku 29, přijaté dne 3. října 2017 (s. 6)].
(
40
) – Obdobně viz rozsudek ze dne 2. února 2021, Consob (C‑481/19, EU:C:2021:84, bod 43). Připomínám, že pro posouzení, zda jsou sankce trestněprávní povahy, jsou relevantní tři kritéria: prvním je právní kvalifikace porušení práva v rámci vnitrostátního práva, druhým samotná povaha porušení práva a třetím stupeň přísnosti sankce, která hrozí dotčené osobě (viz bod 42 daného rozsudku, jakož i rozsudku ze dne 5. června 2012, Bonda, C‑489/10, EU:C:2012:319, bod 37; viz rovněž ESLP, 8. června 1976, Engel a další v. Nizozemsko, CE:ECHR:1976:0608JUD000510071, § 82). Aby mohla být pokuta považována za [sankci] trestněprávní povahy, nemusí být splněna všechna kritéria (viz v tomto ohledu stanovisko generálního advokáta Y. Bota ve věci ThyssenKrupp Nirosta v. Komise (C‑352/09 P, EU:C:2010:635, bod 50 a citovaná judikatura).
(
41
) – Článek 49 Listiny, nadepsaný „Zásady zákonnosti a přiměřenosti trestných činu a trestů“ v odstavci 3 stanoví, že [v]ýše trestu nesmí být nepřiměřená trestnému činu“.
(
42
) – Viz rozsudky ze dne 9. února 2012, Urbán (C‑210/10, EU:C:2012:64, bod 48); ze dne 13. listopadu 2014, Reindl (C‑443/13, EU:C:2014:2370, bod 42); ze dne 20. prosince 2017, Global Starnet (C‑322/16, EU:C:2017:985, bod 63); a ze dne 22. března 2017Euro-Team a Spirál-Gép (C‑497/15 a C‑498/15, EU:C:2017:229, body 53 a 54). Tyto rozsudky dokládají skutečnost, že tato judikatura byla uplatněna na různé oblasti unijního práva.
(
43
) – Viz „Vysvětlení k Listině základních práv“ (Úř. věst. 2007 C 303, s. 17). Podle čl. 52 odst. 3 Listiny nemůže být úroveň ochrany poskytovaná článkem 49 Listiny nižší než úroveň, kterou poskytuje článek 7 EÚLP.
(
44
) – Viz ESLP (velký senát), 28. června 2018, GIEM s.r.l. a další v. Itálie (CE:ECHR:2018:0628JUD000182806, §§ 242 a 243).
(
45
) – Viz čl. 58 odst. 2 písm. i) a čl. 83 odst. 2 GDPR.
(
46
) – Podle čl. 84 odst. 1 GDPR „[č]lenské státy stanoví pravidla pro jiné sankce, jež se mají ukládat za porušení […], zejména za porušení, na něž se nevztahují správní pokuty podle článku 83, a učiní veškerá opatření nezbytná k zajištění jejich uplatňování“. Bod 152 odůvodnění tohoto nařízení objasňuje, že článek 84 se použije, pokud GDPR „[n]ejsou-li správní sankce harmonizovány tímto nařízením nebo v případě potřeby v jiných případech, jako jsou závažná porušení“.
(
47
) – V této souvislosti viz: Chamberlain, J. a Reichel, J., „The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation“, vol. 89, č. 4, Mississippi Law Journal, 2020, s. 677 až 679.
(
48
) – Viz Nemitz, P. „Fines under the GDPR“ v Leenes, R., van Brakel, R., Gutwirth, S. a De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, 2019, Oxford, s. 241.
(
49
) – Naproti tomu pojem „úmysl“ definoval tak, že ve vztahu k charakteristice trestného činu zahrnuje vědomost a svévolné jednání (viz „Pokyny k uplatňování a stanovování správních pokut pro účely [GDPR]“ Pracovní skupina pro ochranu údajů zřízená podle článku 29, přijaté dne 3. října 2017 (s. 11)).
(
50
) – Tamtéž, s. 12. Mezi další uvedené okolnosti patří pouhé neprostudování a nedodržování stávajících politik, neprovedení kontroly osobních údajů ve zveřejňovaných informacích, včasné neprovedení technických aktualizací nebo nepřijetí politik.
(
51
) – Viz Nemitz, P. „Fines under the GDPR“ v Leenes, R., van Brakel, R., Gutwirth, S. a De Hert, P., Data Protection and Privacy: The Internet of Bodies, Hart Publishing, 2019, Oxford, s. 240.
(
52
) – Viz body 122 a 132 odůvodnění GDPR.
(
53
) – Viz zejména bod 1 odůvodnění GDPR, který s odkazem na čl. 8 odst. 1 Listiny a čl. 16 odst. 1 SEU připomíná, že ochrana osobních údajů je základním právem. Viz také body 10, 11 a 13 odůvodnění GDPR a rozsudek ze dne 24. září 2019, Google (Územní rozsah odstranění odkazů) (C‑507/17, EU:C:2019:772, bod 54).
(
54
) – Viz bod 148 odůvodnění GDPR.
(
55
) – Viz Chamberlain, J. a Reichel, J., „The Relationship Between Damages and Administrative Fines in the EU General Data Protection Regulation“, vol. 89, č. 4, Mississippi Law Journal, 2020, s. 685.
(
56
) – Nařízení Rady ze dne 16. prosince 2002 o provádění pravidel hospodářské soutěže stanovených v článcích [101 a 102] SFEU (Úř. věst. 2003, L 1, s. 1; Zvl. vyd. 08/02, s. 205).
(
57
) – Viz rozsudek ze dne 8. prosince 2011, Chalkor v. Rada (C‑386/10 P, EU:C:2011:815, body 56 a 57 a citovaná judikatura). V tomto ohledu podotýkám, že ačkoliv před uložením pokuty za porušení pravidel hospodářské soutěže musí být prokázán úmysl nebo nedbalost, tento požadavek je v praxi rovněž velmi nízký. Soudní dvůr totiž rozhodl, že tato podmínka je splněna, jestliže si dotčený podnik nemohl nepovšimnout protisoutěžní povahy svého jednání bez ohledu na to, zda věděl, či nevěděl o tom, že porušuje pravidla hospodářské soutěže (viz rozsudek ze dne 10. července 2014, Telefónica a Telefónica de España v. Komise (C‑295/12 P, EU:C:2014:2062, bod 156 a citovaná judikatura).
(
58
) – Viz například bod 9 odůvodnění GDPR, který uvádí, že rozdíly v úrovni ochrany práv a svobod fyzických osob v členských státech „mohou bránit volnému pohybu osobních údajů“ a „mohou být překážkou pro výkon hospodářských činností na úrovni Unie“.
(
59
) – Viz bod 129 odůvodnění [„[t]ím by však neměly být vyloučeny další požadavky podle procesního práva členského státu“ (kurzivou zvýraznil autor stanoviska)] a bod 150 odůvodnění GDPR. Viz „Pokyny k uplatňování a stanovování správních pokut pro účely [GDPR]“ článku 29 Pracovní skupiny pro ochranu údajů přijaté dne 3. října 2017 (s. 6).
(
60
) – V tomto ohledu podotýkám, že bod 10 odůvodnění GDPR uvádí, že „úroveň ochrany […] [by měla být] rovnocenná ve všech členských státech“, zatímco body 11, 13 a 129 odůvodnění tohoto nařízení vyžadují rovnocenné pravomoci pro monitorování a zajišťování souladu a rovnocenné sankce za porušování v členských státech. Bod 152 odůvodnění uvedeného nařízení uvádí, že členské státy by měly zavést systém, který takové sankce stanoví, pouze v rozsahu, v jakém toto nařízení správní sankce neharmonizuje (nebo v případech potřeby) (viz také bod 150 odůvodnění GDPR).
(
61
) – Viz v tomto ohledu Voss, W. G. a Bouthinon-Dumas, H., „EU General Data Protection Regulation Sanctions in Theory and in Practice“, sv. 37, Santa Clara High Tech, 2020, s. 44.
(
62
) – Kurzivou zvýraznil autor stanoviska.
(
63
) – Podle článku 29 GDPR „[z]pracovatel a jakákoliv osoba, která jedná z pověření správce nebo zpracovatele a má přístup k osobním údajům, může tyto osobní údaje zpracovávat pouze na pokyn správce, ledaže jí jejich zpracování ukládá právo Unie nebo členského státu“.
(
64
) – Podle čl. 28 odst. 10 GDPR bude zpracovatel v souvislosti se zpracováním těchto údajů považován za správce. Viz také v tomto ohledu Rücker, D. and Kugler, T., New European General Data Protection Regulation, A Practitioner’s Guide, C. H. Beck, Hart and Nomos, Oxford, 2018, s. 30.