Predbežné znenie

NÁVRHY GENERÁLNEHO ADVOKÁTA

MANUEL CAMPOS SÁNCHEZ‑BORDONA

prednesené 15. decembra 2022 ( )

Vec C‑579/21

J. M.

za účasti:

Apulaistietosuojavaltuutettu,

Pankki S

[návrh na začatie prejudiciálneho konania, ktorý podal Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko, Fínsko)]

„Návrh na začatie prejudiciálneho konania – Spracúvanie osobných údajov – Nariadenie (EÚ) 2016/679 – Údaje obsiahnuté v zázname o operáciách – Právo na prístup k údajom – Pojem osobné údaje – Pojem príjemca – Zamestnanci prevádzkovateľa“





1. Zamestnanec a zároveň klient finančnej inštitúcie požiadal túto inštitúciu, aby mu oznámila totožnosť osôb, ktoré nahliadli do jeho osobných údajov v rámci interného vyšetrovania. Vzhľadom na to, že mu inštitúcia odmietla poskytnúť tieto informácie, podal príslušné opravné prostriedky, až sa napokon obrátil na Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko, Fínsko).

2. Tento súd podal na Súdny dvor návrh na začatie prejudiciálneho konania týkajúci sa výkladu nariadenia (EÚ) 2016/679( ). Pri zodpovedaní tohto návrhu bude musieť Súdny dvor rozhodnúť o práve dotknutej osoby na prístup k určitým informáciám týkajúcim sa spracúvania jej osobných údajov.

I. Právny rámec

A. Právo Únie. GDPR

3. Odôvodnenie 11 uvádza:

„Účinná ochrana osobných údajov v rámci celej Únie si vyžaduje posilnenie a spresnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú a o ich spracúvaní rozhodujú, ako aj zodpovedajúcich právomocí na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov a zodpovedajúcich sankcií za porušenia pravidiel v členských štátoch.“

4. Článok 4 („Vymedzenie pojmov“) stanovuje:

„Na účely tohto nariadenia:

1. ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;

2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

9. ‚príjemca‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou. …“.

5. Článok 15 („Právo dotknutej osoby na prístup k údajom“) ods. 1 znie:

„Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

a) účely spracúvania;

b) kategórie dotknutých osobných údajov;

c) príjemcovia alebo kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, najmä príjemcovia v tretích krajinách alebo medzinárodné organizácie;

d) ak je to možné, predpokladaná doba uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;

e) existencia práva požadovať od prevádzkovateľa opravu osobných údajov týkajúcich sa dotknutej osoby alebo ich vymazanie alebo obmedzenie spracúvania, alebo práva namietať proti takémuto spracúvaniu;

f) právo podať sťažnosť dozornému orgánu;

g) ak sa osobné údaje nezískali od dotknutej osoby, akékoľvek dostupné informácie, pokiaľ ide o ich zdroj;

h) existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a v týchto prípadoch aspoň zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu“.

6. Podľa článku 24 („Zodpovednosť prevádzkovateľa“) ods. 1:

„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú“.

7. V súlade s článkom 25 („Špecificky navrhnutá a štandardná ochrana údajov“) ods. 2:

„Prevádzkovateľ vykoná primerané technické a organizačné opatrenia, aby zabezpečil, že štandardne sa spracúvajú len osobné údaje, ktoré sú nevyhnutné pre každý konkrétny účel spracúvania. Uvedená povinnosť sa vzťahuje na množstvo získaných osobných údajov, rozsah ich spracúvania, dobu ich uchovávania a ich dostupnosť. Konkrétne sa takýmito opatreniami zabezpečí, aby osobné údaje neboli bez zásahu fyzickej osoby štandardne prístupné neobmedzenému počtu fyzických osôb“.

8. Článok 29 („Spracúvanie na základe poverenia prevádzkovateľa alebo sprostredkovateľa“) uvádza:

„Sprostredkovateľ a každá osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, môže spracúvať tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to vyžaduje podľa práva Únie alebo práva členského štátu“.

9. Článok 30 („Záznamy o spracovateľských činnostiach“) stanovuje:

„1. Každý prevádzkovateľ a v príslušnom prípade zástupca prevádzkovateľa vedie záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. Tieto záznamy musia obsahovať všetky tieto informácie:

a) meno/názov a kontaktné údaje prevádzkovateľa a v príslušnom prípade spoločného prevádzkovateľa, zástupcu prevádzkovateľa a zodpovednej osoby;

b) účely spracúvania;

c) opis kategórií dotknutých osôb a kategórií osobných údajov;

d) kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, vrátane príjemcov v tretích krajinách alebo medzinárodných organizácií;

…

f) podľa možností predpokladané lehoty na vymazanie rôznych kategórií údajov;

g) podľa možností všeobecný opis technických a organizačných bezpečnostných opatrení uvedených v článku 32 ods. 1.

2. Každý sprostredkovateľ a v príslušnom prípade zástupca sprostredkovateľa vedie záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa, pričom tieto záznamy obsahujú:

a) meno/názov a kontaktné údaje sprostredkovateľa alebo sprostredkovateľov a každého prevádzkovateľa, v mene ktorého sprostredkovateľ koná, a v príslušnom prípade zástupcu prevádzkovateľa alebo sprostredkovateľa a zodpovednej osoby;

b) kategórie spracúvania vykonávaného v mene každého prevádzkovateľa;

c) v príslušných prípadoch prenosy osobných údajov do tretej krajiny alebo medzinárodnej organizácii…

d) podľa možností všeobecný opis technických a organizačných bezpečnostných opatrení uvedených v článku 32 ods. 1.

3. Záznamy uvedené v odsekoch 1 a 2 sa vedú v písomnej podobe vrátane elektronickej podoby.

4. Prevádzkovateľ alebo sprostredkovateľ a v príslušnom prípade zástupca prevádzkovateľa alebo sprostredkovateľa na požiadanie sprístupnia záznamy dozornému orgánu.

5. Povinnosti uvedené v odsekoch 1 a 2 sa nevzťahujú na podnik alebo organizáciu, ktorá zamestnáva menej ako 250 osôb, pokiaľ nie je pravdepodobné, že spracúvanie, ktoré vykonáva, povedie k riziku pre práva a slobody dotknutej osoby, pokiaľ je toto spracúvanie príležitostné alebo nezahŕňa osobitné kategórie údajov… alebo osobných údajov týkajúcich sa uznaní viny za trestné činy a priestupky…“.

10. Článok 58 („Právomoci“) ods. 1 znie:

„Každý dozorný orgán má všetky tieto vyšetrovacie právomoci:

a) nariadiť prevádzkovateľovi a sprostredkovateľovi a v príslušnom prípade zástupcovi prevádzkovateľa alebo sprostredkovateľa, aby poskytli všetky informácie, ktoré vyžaduje na plnenie svojich úloh;

…“.

B. Vnútroštátne právo

1. Tietosuojalaki (1050/2018) ( )

11. Podľa § 30 sú predpisy týkajúce sa spracúvania osobných údajov zamestnancov, skúšok a kontrol, ktoré sa majú vykonať u zamestnancov, a požiadaviek, ktoré sa majú v tejto súvislosti dodržiavať, ako aj technického monitorovania na pracovisku a vyhľadávania a otvárania e‑mailov zamestnanca obsiahnuté v Laki yksityisyyden suojasta työelämässä (759/2004)( ).

12. Podľa § 34 ods. 1 dotknutá osoba nemá právo na prístup k získaným údajom, ktoré sa jej týkajú, v zmysle článku 15 GDPR, pokiaľ:

1. poskytnutie týchto údajov by mohlo ohroziť národnú bezpečnosť, obranu alebo verejný poriadok a verejnú bezpečnosť alebo predchádzanie trestným činom alebo ich odhaľovanie;

2. poskytnutie týchto údajov by mohlo predstavovať vážne nebezpečenstvo pre zdravie dotknutej osoby alebo starostlivosť o ňu alebo pre práva dotknutej osoby alebo tretej osoby alebo

3. osobné údaje sa používajú pri dozorných a kontrolných činnostiach a neposkytnutie údajov je potrebné na ochranu dôležitého hospodárskeho alebo finančného záujmu Fínska alebo Európskej únie.

13. Podľa § 34 ods. 2 je dotknutá osoba, ak len časť údajov podľa odseku 1 nespadá pod právo upravené v článku 15 GDPR, oprávnená získať prístup ku všetkým ostatným údajom, ktoré sa jej týkajú.

14. Podľa § 34 ods. 3 sa dotknutej osobe musia oznámiť dôvody obmedzenia, pokiaľ to neohrozí účel obmedzenia.

15. V súlade s § 34 ods. 4 sa údaje uvedené v článku 15 ods. 1 GDPR musia na žiadosť dotknutej osoby poskytnúť dozornému úradníkovi pre ochranu údajov, pokiaľ dotknutá osoba nemá právo na prístup k získaným údajom, ktoré sa jej týkajú.

2. Laki yksityisyyden suojasta työelämässä (759/2004)

16. Podľa oddielu 2 § 4 druhého odseku je zamestnávateľ povinný vopred informovať zamestnanca o obstaraní údajov, ktoré slúžia na zistenie jeho spoľahlivosti. Ak zamestnávateľ posudzuje úverovú bonitu zamestnanca, musí zamestnancovi navyše oznámiť, z ktorého registra sa čerpajú úverové informácie. Ak boli údaje o zamestnancovi získané od inej osoby, než je samotný zamestnanec, zamestnávateľ musí zamestnancovi oznámiť získané údaje pred tým, ako sa použijú pri rozhodnutiach, ktoré sa týkajú zamestnanca. Povinnosti prevádzkovateľa poskytnúť údaje dotknutej osobe, ako aj právo dotknutej osoby na prístup k týmto údajom sú upravené v kapitole III GDPR.

II. Skutkový stav, konanie a prejudiciálne otázky

17. V roku 2014 sa J. M. dozvedel, že jeho osobné údaje ako klienta finančnej inštitúcie Suur‑Savon Osuuspankki (ďalej len „Pankki“) boli v období od 1. novembra do 31. decembra 2013 preverované. Počas tohto obdobia J. M. okrem toho, že bol klientom, bol aj zamestnancom spoločnosti Pankki.

18. Dňa 29. mája 2018 J. M., ktorý mal podozrenie, že dôvody na preverovanie neboli v plnom rozsahu zákonné, požiadal Pankki, aby mu poskytla informácie o totožnosti zamestnancov, ktorí mali v uvedenom období prístup k jeho údajom, a o účele spracúvania.

19. Medzitým Pankki prepustila zo zamestnania J. M., ktorý odôvodnil svoju žiadosť tým, že chce okrem iného objasniť dôvody svojho prepustenia.

20. Dňa 30. augusta 2018 Pankki ako prevádzkovateľ odmietla poskytnúť J. M. mená zamestnancov, ktorí spracúvali jeho osobné údaje. Tvrdila, že právo stanovené v článku 15 GDPR sa nevzťahuje na denné záznamy alebo interné protokoly, v ktorých je uvedené, ktorí zamestnanci a v akom čase mali prístup k počítačovému systému, ktorý obsahuje údaje o klientoch. Okrem toho by sa požadované informácie týkali osobných údajov týchto zamestnancov, a nie J. M.

21. S cieľom predísť nedorozumeniam Pankki poskytla J. M. tieto ďalšie vysvetlenia:

– interné útvary inštitúcie v roku 2014 prešetrovali klientske údaje J. M. za obdobie od 1. novembra do 31. decembra 2013.

– tieto vyšetrovania súviseli so spracúvaním údajov iného klienta spoločnosti Pankki, z ktorých vyplynulo, že s J. M. mal prepojenie, ktoré mohlo viesť ku konfliktu záujmov. Cieľom spracúvania bolo teda objasniť túto situáciu.( )

22. J. M. sa obrátil na vnútroštátny dozorný orgán (kancelária dozorného úradníka pre ochranu údajov, Fínsko) so žiadosťou, aby spoločnosti Pankki nariadil poskytnúť príslušné informácie.

23. Dňa 4. augusta 2020 zástupca dozorného úradníka pre ochranu údajov zamietol žiadosť J. M.

24. J. M. podal žalobu na Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko), v ktorej tvrdil, že na základe GDPR má právo na prístup k informáciám o totožnosti a postavení osôb, ktoré nahliadali do jeho údajov vo finančnej inštitúcii.

25. Za týchto okolností tento súd kladie Súdnemu dvoru nasledujúce prejudiciálne otázky:

„1. Má sa právo na prístup k údajom, ktoré má dotknutá osoba podľa článku 15 ods. 1 [GDPR], v spojení s [pojmom] ‚osobné údaje‘ v zmysle článku 4 bodu 1 tohto nariadenia vykladať v tom zmysle, že informácie získané prevádzkovateľom, z ktorých vyplýva, kto, kedy a na aký účel spracúval osobné údaje dotknutej osoby, nepredstavujú informácie, na sprístupnenie ktorých má dotknutá osoba nárok, najmä preto, lebo ide o údaje, ktoré sa týkajú zamestnancov prevádzkovateľa?

2. Ak je odpoveď na prvú otázku kladná a dotknutá osoba na základe článku 15 ods. 1 [GDPR] nemá právo na prístup k informáciám uvedeným v tejto otázke, lebo tieto informácie nepredstavujú ‚osobné údaje‘ dotknutej osoby podľa článku 4 bodu 1 [GDPR], majú sa v prejednávanom prípade ešte vziať do úvahy informácie, na sprístupnenie ktorých má dotknutá osoba nárok podľa článku 15 ods. 1 písm. [a) až h)]:

a) Ako sa má vykladať účel spracúvania v zmysle článku 15 ods. 1 písm. a) so zreteľom na rozsah práva dotknutej osoby na prístup k údajom, t. j. môže účel spracúvania založiť právo na prístup k protokolovým údajom používateľov, ktoré získal prevádzkovateľ, ako sú napríklad informácie o osobných údajoch spracúvateľov, čase, ako aj účele spracúvania osobných údajov?

b) Možno osoby, ktoré spracúvali klientske údaje J. M., v tejto súvislosti za určitých podmienok považovať za príjemcov osobných údajov podľa článku 15 ods. 1 písm. c) [GDPR], ku ktorým by dotknutá osoba mala právo na prístup?

3. Je pre konanie dôležité, že ide o banku, ktorá vykonáva regulovanú činnosť, alebo že J. M. pracoval pre banku a zároveň bol jej klientom?

4. Je pre posúdenie vyššie položených otázok relevantné, že k spracúvaniu údajov J. M. došlo pred nadobudnutím účinnosti [GDPR]?“

III. Konanie na Súdnom dvore

26. Návrh na začatie prejudiciálneho konania bol doručený do kancelárie Súdneho dvora 22. septembra 2021.

27. Písomné pripomienky predložili J. M., Pankki, rakúska, česká a fínska vláda a Európska komisia.

28. Na pojednávaní, ktoré sa konalo 12. októbra 2022, sa zúčastnili J. M., kancelária dozorného úradníka pre ochranu údajov, Pankki, fínska vláda a Komisia.

IV. Analýza

29. Keďže vnútroštátny súd žiada o výklad rôznych ustanovení GDPR, je potrebné najprv určiť, či je toto nariadenie ratione temporis uplatniteľné v spore vo veci samej. Tejto pochybnosti sa týka práve štvrtá prejudiciálna otázka.

A. Uplatniteľnosť GDPR (štvrtá prejudiciálna otázka)

30. GDPR podľa svojho článku 99 ods. 1 nadobudlo účinnosť 24. mája 2016. Jeho uplatniteľnosť však bola odložená na 25. mája 2018.( )

31. Preverovanie osobných údajov J. M. sa uskutočnilo v období od 1. novembra do 31. decembra 2013, teda pred nadobudnutím účinnosti a uplatniteľnosti GDPR.

32. Relevantným dátumom v prejednávanej veci je však 29. máj 2018, teda deň, keď J. M. na základe článku 15 ods. 1 GDPR (uplatniteľného od 25. mája 2018) požiadal o sporné informácie.

33. Ako zdôraznila rakúska vláda, článok 15 ods. 1 GDPR priznáva dotknutým osobám právo procesnej povahy (právo na prístup) na získanie informácií o spracúvaní ich osobných údajov.( ) Pravidlo takejto povahy sa uplatňuje od nadobudnutia svojej účinnosti.( ) Preto sa naň mohol J. M. odvolávať, keď požiadal Pankki o informácie.

34. Zákonnosť spracúvania údajov získaných pred nadobudnutím účinnosti GDPR sa musí určite posúdiť s ohľadom na hmotnoprávne predpisy, ktoré boli v tom čase platné, a to smernicu 95/46/ES( ) a na to, čo je uplatniteľné so spätnou účinnosťou, aj GDPR( ).

35. Keďže je nesporné, že požadované informácie mal prevádzkovateľ k dispozícii, keď J. M. požiadal o prístup k nim (čo je právo zaručené článkom 15 ods. 1 GDPR), uplatňuje sa toto posledné uvedené nariadenie.( )

36. Skutočnosť, že sporné údaje boli spracúvané pred nadobudnutím účinnosti GDPR, preto nie je relevantná na účely prístupu k informáciám, o ktoré dotknutá osoba požiadala podľa článku 15 ods. 1 GDPR, alebo ich odmietnutia.

B. Prvá a druhá prejudiciálna otázka

37. Prvú a druhú prejudiciálnu otázku možno preskúmať spoločne. Ich otázka v podstate znie, či zhromažďované a spracúvané osobné údaje J. M. spoločnosťou Pankki zodpovedajú informáciám, ktoré má dotknutá osoba právo získať podľa článku 15 ods. 1 GDPR.

1. Totožnosť zamestnanca a osobné údaje dotknutej osoby

38. Pripomínam, že informácie, ktoré požadoval J. M., sa týkali totožnosti zamestnancov, ktorí v roku 2013 nahliadli do jeho klientskych údajov, ako aj času, kedy sa spracúvanie uskutočnilo, a účelu spracúvania.

39. Na pojednávaní sa potvrdilo, že J. M. svoj návrh obmedzil na to, aby poznal totožnosť týchto zamestnancov. V spore sa konkrétne nespochybňuje, že spracúvanie jeho údajov bankou bolo zákonné.( )

40. Keďže:

– pokiaľ ide o čas spracúvania, z uznesenia vnútroštátneho súdu vyplýva, že J. M. ho vedel už pri podaní svojej žiadosti.

– pokiaľ ide o účel spracúvania, Pankki ho oznámila J. M. za vyššie uvedených podmienok.( )

41. Diskusia sa preto zameriava výlučne na informácie o totožnosti zamestnancov spoločnosti Pankki, ktorí pracovali s osobnými údajmi J. M.

42. Tieto informácie sa v skutočnosti týkajú podrobností o spracovateľských operáciách a nie, prísne vzaté, osobných údajov dotknutej osoby v zmysle článku 4 bodu 1 GDPR.( )

43. Je zrejmé, že osobou, ktorej údaje boli predmetom preverenia, bol J. M.( ) Po tom, čo J. M. získal od spoločnosti Pankki potvrdenie o tom, že jeho údaje boli spracúvané,( )informácie, na ktoré mal podľa článku 15 ods. 1 GDPR právo, sú informácie, ktoré vymenúvajú body a) až h) tohto ustanovenia( ). Ich poskytnutím sa podporuje výkon práv dotknutej osoby( ) v rámci mechanizmov zaručujúcich zákonnosť spracúvania údajov.

44. Z článku 15 ods. 1 GDPR vyplýva, že uvedené informácie sa týkajú okolností súvisiacich so spracúvaním údajov.

45. Článok 15 ods. 1 GDPR totiž priznáva dotknutej osobe právo získať od prevádzkovateľa:

– v prvom rade „potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú“.

– v druhom rade, po potvrdení existencie spracúvania, „…prístup k týmto osobným údajom a tieto informácie“( ), teda informácie uvedené v písmenách a) až h) tohto ustanovenia.

46. Ustanovenie rozlišuje medzi „osobnými údajmi“ na jednej strane a „informáciami“ uvedenými v písmenách odseku 1 na strane druhej.

47. Informácie, ktoré sa majú poskytnúť dotknutej osobe podľa článku 15 ods. 1 písm. a) až h) GDPR, preto nemožno zamieňať s osobnými údajmi dotknutej osoby v zmysle článku 4 bodu 1 tohto nariadenia.

48. Nejde určite o údaje, ale o informácie, pokiaľ ide o:

– „účely spracúvania“ [písmeno a)];

– „kategórie dotknutých osobných údajov“ [písmeno b)];

– „predpokladanú dobu uchovávania“ [písmeno d)];

– práva dotknutej osoby, ktoré sú uvedené v písmenách e), f) a g);( )

– existenciu automatizovaného rozhodovania [písmeno h)].

49. Vo všetkých týchto prípadoch sa informácie týkajú buď určitých práv dotknutej osoby, alebo najmä prvkov súvisiacich s vykonávaným spracúvaním, ako je jeho účel (ktorý je rovnaký ako jeho dôvod) a jeho predmet (kategórie spracúvaných údajov).

50. Informácie o príjemcoch, ktorým boli alebo budú poskytnuté osobné údaje dotknutej osoby [článok 15 ods. 1 písm. c) GDPR] predstavujú väčšie koncepčné ťažkosti, ktoré hneď uvediem.

51. Článok 15 ods. 1 GDPR v skratke stanovuje právo na informácie týkajúce sa samotného spracúvania a okolností tohto spracúvania. K týmto informáciám sa pridávajú informácie týkajúce sa práv dotknutej osoby v súvislosti so spracúvanými údajmi, ako napríklad právo podať sťažnosť dozornému orgánu.

52. Samotná existencia spracúvania a jeho okolnosti podľa môjho názoru nepredstavujú „osobné údaje“ v zmysle článku 4 bodu 1 GDPR.

53. Je pravda, že zo spracúvania môžu vyplývať rozhodnutia týkajúce sa dotknutej osoby, ako uviedol vnútroštátny súd.( ) Tento výsledok však nebude závisieť od toho, ktorá konkrétna fyzická osoba alebo osoby preskúmali údaje v mene a na zodpovednosť spoločnosti Pankki, čo predstavuje spornú informáciu vo veci samej.

54. J. M. teda mal právo, aby ho Pankki ako prevádzkovateľ informovala o osobných údajoch, ktoré má k dispozícii, či už získané od samotného J. M. (článok 13 GDPR), alebo inými prostriedkami (článok 14 GDPR). Tiež mal právo – teraz na základe článku 15 GDPR – na informácie o existencii a okolnostiach každého spracúvania, ktorého predmetom boli tieto údaje, ale nie preto, že toto spracúvanie samo osebe predstavuje „osobný údaj“, ale na základe výslovného poverenia podľa článku 15 GDPR.( )

55. Vopred podotýkam, čo podrobnejšie vysvetlím neskôr, že v tejto veci je dôležité, že totožnosť zamestnancov, ktorí nahliadli do údajov J. M., nepredstavuje „osobný údaj“ J. M.

56. Iná vec je, že protokoly alebo záznamy, o ktorých sa zmienim neskôr, priamo alebo nepriamo obsahujú osobné údaje dotknutej osoby, ktoré sú odlišné od údajov, ktorí zamestnanci k nim mali prístup. To, či to tak je alebo nie je, bude do veľkej miery závisieť od obsahu príslušných protokolov alebo záznamov. Opakujem však, že ak sa spor vo veci samej obmedzuje na totožnosť zamestnancov spoločnosti Pankki, nejde o osobné údaje J. M., ale o osobné údaje týchto zamestnancov.

2. Prístup k informáciám o príjemcoch, ktorým boli osobné údaje poskytnuté

57. Vnútroštátny súd chce vedieť, či aj v prípade, že nejde o osobné údaje J. M., má J. M. na základe článku 15 ods. 1 písm. a) a c) GDPR právo na to, aby mu Pankki poskytla informácie o zamestnancoch, ktorí spracúvali jeho osobné údaje.

58. Podľa písmena a) má dotknutá osoba právo na to, aby jej prevádzkovateľ potvrdil účel spracúvania. Toto písmeno (ktoré bolo v prejednávanej veci dodržané, keďže Pankki informovala J. M. o účele spracúvania) však nestanovuje kritériá na určenie toho, kto sú príjemcami osobných údajov tohto spracúvania.

59. Naopak, otázka má zmysel, keď si vyžaduje výklad článku 15 ods. 1 písm. c) GDPR. Pripomínam, že podľa tohto ustanovenia má dotknutá osoba právo získať informácie o „príjemco[ch] alebo kategóri[ách] príjemcov, ktorým boli alebo budú osobné údaje poskytnuté…“.

60. Článok 4 bod 9 GDPR zase definuje pojem „príjemca“ ako „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou“.

61. Táto posledná časť („bez ohľadu na to, či je treťou stranou“) by mohla viesť k nedorozumeniam, pokiaľ ide o subjektívny rozsah ustanovenia, ako bolo uvedené na pojednávaní. Povrchný a podľa môjho názoru nesprávny výklad by mohol podporiť názor, že „príjemcom“ nie je len akákoľvek tretia strana, ktorej Pankki poskytla osobné údaje J. M., ale aj každý zo zamestnancov, ktorí konkrétne nahliadajú do týchto údajov v mene a na základe oprávnenia právnickej osoby, ktorou je Pankki.

62. Článok 4 bod 10 GDPR definuje pojem „tretia strana“ ako „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt než dotknutá osoba, prevádzkovateľ, sprostredkovateľ a osoby, ktoré sú na základe priameho poverenia prevádzkovateľa alebo sprostredkovateľa poverené spracúvaním osobných údajov“.( )

63. Vzhľadom na tieto predpoklady sa domnievam, že pojem príjemca nezahŕňa zamestnancov právnickej osoby, ktorí pri používaní počítačového systému tejto právnickej osoby nahliadajú do osobných údajov klienta v mene jej riadiacich orgánov. Ak títo zamestnanci konajú na základe priameho poverenia prevádzkovateľa, nenadobúdajú len na základe tejto skutočnosti povahu „príjemcov“ údajov.( )

64. Môže sa však stať, že zamestnanec nedodrží postupy stanovené prevádzkovateľom a z vlastnej iniciatívy získa prístup k údajom klientov alebo iných zamestnancov nezákonným spôsobom. V takom prípade by nelojálny zamestnanec nekonal v mene a na účet prevádzkovateľa.

65. Z tohto dôvodu by sa nelojálny zamestnanec mohol označiť za „príjemcu“, ktorému boli osobné údaje dotknutej osoby „poskytnuté“ (obrazne povedané), či už vlastnou činnosťou, a teda nezákonne,( ) alebo dokonca (samotným) prevádzkovateľom spracúvania.( )

66. Z opisu skutkového stavu uvedeného v uznesení vnútroštátneho súdu a z tvrdení, ktoré na pojednávaní uviedla spoločnosť Pankki, vyplýva, že táto spoločnosť na vlastnú zodpovednosť poverila svojich zamestnancov nahliadnutím do osobných údajov J. M. Títo zamestnanci sa teda riadili pokynmi prevádzkovateľa a konali v jeho mene. Nemožno ich teda označiť za príjemcov v zmysle článku 15 ods. 1 písm. c) GDPR.( )

67. Iná vec je, že identifikácia týchto zamestnancov a času, v ktorom mal ktorýkoľvek z nich prístup k osobným údajom klienta (teda obsah týchto údajov v informačných systémoch alebo záznamoch, ktorým sa budem hneď venovať), musí byť k dispozícii dozorným orgánom na účely overenia správnosti ich konania.

68. Potvrdzuje to článok 29 GDPR, keď odkazuje na osoby, ktoré konajú „na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktor[é] m[ajú] prístup k osobným údajom“. Tieto osoby môžu uvedené údaje spracúvať len na základe pokynov svojho zamestnávateľa, ktorý je skutočným prevádzkovateľom (alebo sprostredkovateľom) spracúvania.

69. Účelom článku 15 ods. 1 GDPR je umožniť dotknutej osobe účinne vykonávať (brániť) práva, na ktoré má nárok v súvislosti so svojimi osobnými údajmi. Preto sa jej musí uviesť, kto je prevádzkovateľom, a prípadne, ktorým príjemcom boli tieto údaje poskytnuté. S týmito informáciami sa dotknutá osoba môže okrem prevádzkovateľa obrátiť aj na príjemcov, ktorí sa oboznámili s jej údajmi.

70. Samozrejme, dotknutá osoba môže mať pochybnosti o správnosti zásahu určitých osôb do riadenia spracúvania jej údajov v mene prevádzkovateľa alebo sprostredkovateľa a v ich záujme.

71. V tejto súvislosti, ako zdôraznila česká vláda a Komisia uviedla na pojednávaní, sa môže obrátiť na zodpovednú osobu (článok 38 ods. 4 GDPR) alebo na dozorný orgán s cieľom podať sťažnosť [článok 15 ods. 1 písm. f) a článok 77 GDPR]. Nie je jej však priznané právo priamo získať osobný údaj (totožnosť) zamestnanca, ktorý ako podriadený prevádzkovateľa alebo sprostredkovateľa koná v zásade v súlade s ich pokynmi.

72. Na pojednávaní sa diskutovalo o tom, či možnosť obrátiť sa na zodpovednú osobu alebo dozorný orgán predstavuje dostatočnú záruku z hľadiska ochrany práv osoby, ktorej údaje boli spracúvané.

73. Pri riešení tejto diskusie možno zaujať maximalistický postoj, takže každá dotknutá osoba by mala právo poznať totožnosť zamestnancov prevádzkovateľa, ktorí získali prístup k jej údajom, aj keď v mene a na pokyn tohto prevádzkovateľa.

74. Domnievam sa, že GDPR neposkytuje žiadnu podporu pre tento argument bez toho, aby bola dotknutá možnosť členského štátu prevziať ho do svojich vnútroštátnych právnych predpisov, pokiaľ ide o jeden alebo viacero konkrétnych sektorov.( )

75. Podľa môjho názoru by nebolo rozumné, aby Súdny dvor, ktorý by prevzal kvázi legislatívne funkcie, zmenil a doplnil GDPR tak, že by zaviedol novú informačnú povinnosť, ktorá by išla nad rámec povinností uvedených v jeho článku 15 ods. 1. Stalo by sa tak v prípade, ak by bol prevádzkovateľ povinný bez rozdielu poskytnúť dotknutej osobe totožnosť už nie príjemcu, ktorému boli údaje poskytnuté, ale každého zamestnanca alebo osoby z vnútorného okruhu podniku, ktorá mala k týmto údajom oprávnený prístup.( )

76. Ako uviedla Pankki na pojednávaní, totožnosť jednotlivých zamestnancov, ktorí riadili spracúvanie klientskych údajov, predstavuje obzvlášť citlivé informácie z hľadiska ich bezpečnosti, prinajmenšom v určitých hospodárskych odvetviach.

77. Títo zamestnanci by mohli byť vystavení pokusom o nátlak a ovplyvňovanie zo strany tých, ktorí ako klienti banky môžu mať záujem na personalizácii svojho prostredníka, ktorým by nebola ani tak samotná finančná inštitúcia, ale jeden alebo viacero jej zamestnancov, ako najslabší článok obchodného reťazca. Mohlo by k tomu dôjsť napríklad vtedy, keď sa monitorovanie transakcií prostredníctvom nahliadania do klientskych údajov vykonáva s cieľom splniť povinnosti, ktoré majú banky v súvislosti s predchádzaním trestnej činnosti vo finančnej oblasti a bojom proti nej.

78. Je pravda, že klient môže mať pochybnosti o bezúhonnosti alebo nestrannosti fyzickej osoby, ktorá zasahovala v mene prevádzkovateľa do spracúvania jeho údajov. Táto pochybnosť, ak by bola opodstatnená, by mohla odôvodniť jeho záujem poznať totožnosť zamestnanca s cieľom uplatniť svoje právo podať proti nemu sťažnosť.

79. Vzhľadom na citlivosť týchto informácií záujem poznať totožnosť zamestnanca naráža prinajmenšom nesporne na záujem prevádzkovateľov zachovať si diskrétnosť, pokiaľ ide o totožnosť ich zamestnancov a na právo týchto zamestnancov na ochranu ich vlastných údajov. Rovnováha sa podľa môjho názoru dosiahne prostredníctvom dozorného orgánu ako rozhodcu medzi týmito dvoma protichodnými záujmami.

80. V prípade, o aký ide v prejednávanej veci, to bude dozorný orgán, ktorý zo svojej pozície nestrannosti posúdi, či pochybnosti o konaní zamestnancov banky sú dostatočne opodstatnené a konzistentné na to, aby odôvodnili prezradenie dôverného charakteru ich totožnosti.

3. Prístup k údajom o totožnosti zamestnancov uvedených v informačných systémoch alebo záznamoch o operáciách

81. Odpoveď na prvú a druhú prejudiciálnu otázku by sa mohla v tomto štádiu prijať po tom, čo sa konštatuje, že zamestnanci subjektu, ktorí konajú v jeho mene a riadia sa jeho pokynmi, nie sú v pravom zmysle slova príjemcami uvedenými v článku 15 ods. 1 písm. c) GDPR.

82. Odpoveď je však vhodné doplniť o analýzu údajného práva dotknutej osoby poznať totožnosť zamestnancov, ak sa nachádza v informačných systémoch alebo záznamoch o operáciách subjektu. Hoci, ako som už uviedol, nie všetky tieto informačné systémy alebo záznamy musia mať nevyhnutne rovnaký obsah, vo všeobecnosti sa uznáva, že odrážajú kto (zo zamestnancov prevádzkovateľa) ako a kedy nahliadol do klientskych údajov.

83. Tento typ záznamov umožňuje prevádzkovateľovi splniť si svoju povinnosť dodržiavať zásady stanovené v článku 5 ods. 1 GDPR a prijať vhodné technické a organizačné opatrenia na zabezpečenie a preukázanie súladu spracúvania s mandátmi tohto nariadenia (článok 24 ods. 1 a článok 25 ods. 2 samotného GDPR).

84. V špecifickej oblasti smernice (EÚ) 2016/680( ), ktorú Komisia uvádza ako príklad( ) osobitného režimu ochrany údajov v oblasti trestných činov:

– jej článok 24 ukladá prevádzkovateľom povinnosť viesť záznamy o všetkých kategóriách spracovateľských činností, za ktoré sú zodpovední (odsek 1); a každému sprostredkovateľovi povinnosť viesť záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa (odsek 2).

– jej článok 25 vyžaduje, aby „… aspoň o týchto spracovateľských operáciách sa v systémoch automatizovaného spracúvania uchovávajú logy: získavanie, zmena, prehliadanie, poskytovanie vrátane prenosov, kombinovanie a vymazanie. Z logov o prehliadaní a poskytovaní musí byť možné určiť dôvody, dátum a čas takýchto operácií, a pokiaľ možno aj identifikačné údaje osoby, ktorá tieto osobné údaje prehliadala alebo ich poskytovala, ako aj totožnosť príjemcov takýchto osobných údajov“.( )

85. V súlade s článkom 14 smernice 2016/680 sa však informácie týkajúce sa najmä totožnosti zamestnanca, ktorý spracúval osobné údaje, nenachádzajú medzi informáciami, ku ktorým má dotknutá osoba právo na prístup.

86. V tom istom zmysle článok 30 GDPR stanovuje existenciu toho, čo nazýva „záznamy o spracovateľských činnostiach“, ktorého obsah sa zhoduje – s nižšou mierou špecifikácie, pokiaľ ide o definíciu operácií – s obsahom článku 25 smernice 2016/680.( ) A rovnako ako v prípade tejto smernice, zaznamenané informácie o totožnosti zamestnanca sa nenachádzajú medzi informáciami, ktoré sú prístupné dotknutej osobe podľa článku 15 GDPR.

87. Dôvodom tejto asymetrie medzi zaznamenanými informáciami na jednej strane a právom na prístup k nim na strane druhej je rozdiel v účeloch, ktorým slúžia ustanovenia upravujúce záznamy o spracovateľských činnostiach a prístupnosť ich obsahu.

88. Účelom záznamov uvedených v článku 30 GDPR je, opakujem, zabezpečiť zákonnosť spracúvania a zaručiť integritu a bezpečnosť údajov. Zodpovednosť za to vo všeobecnosti nesie dozorný orgán, ktorému musia prevádzkovateľ a sprostredkovateľ sprístupniť záznamy o operáciách (článok 30 ods. 4 GDPR).

89. V GDPR je cieľom práva podať sťažnosť dozorným orgánom [článok 15 ods. 1 písm. f)], ktoré sú zodpovedné za zabezpečenie jeho riadneho uplatňovania, ochrana práv fyzických osôb v súvislosti so spracúvaním ich údajov. Je to uvedené v článku 51 ods. 1 GDPR a vyplýva to zo zoznamu úloh, ktoré im boli zverené v článku 57 samotného nariadenia.

90. Všeobecná úloha dohliadať na uplatňovanie GDPR a chrániť práva fyzických osôb odôvodňuje výsady dozorného orgánu. Medzi ne patrí poznať okolnosti, za ktorých došlo k spracúvaniu údajov zo strany sprostredkovateľa alebo prevádzkovateľa. V prejednávanej veci je rozhodujúca práve jedna z týchto okolností: totožnosť osôb, ktoré nahliadajú do osobných údajov klientov v mene prevádzkovateľa alebo sprostredkovateľa.

91. V GDPR sa však nikde nevyžaduje, aby tieto údaje o totožnosti zamestnancov, ktoré sú uvedené v interných záznamoch subjektov a ktoré im umožňujú zistiť (a prípadne sprístupniť dozornému orgánu), kto a kedy preskúmal osobné údaje klienta, boli tomuto klientovi sprístupnené.

92. Na druhej strane sa osobe dotknutej konkrétnym spracúvaním musia poskytnúť informácie potrebné na zistenie relevantných okolností na účely posúdenia zákonnosti spracúvania a prípadného napadnutia tohto spracúvania pred dozorným orgánom alebo v konečnom dôsledku pred súdom.

93. Nič to však nemení na skutočnosti, že ak tieto záznamy o operáciách skutočne obsahujú osobné údaje dotknutej osoby (teda iné ako len totožnosť zamestnancov), dotknutá osoba bude mať logicky právo získať od prevádzkovateľa potvrdenie o tom, že sa jej osobné údaje spracúvajú. Na tieto účely nie je podstatné, či sa tieto údaje nachádzajú v záznamoch o operáciách alebo v akomkoľvek inom informačnom systéme alebo v internej databáze subjektu.

C. Tretia prejudiciálna otázka

94. Vnútroštátny súd chce vedieť, či „je pre konanie dôležité, že ide o banku, ktorá vykonáva regulovanú činnosť, alebo že J. M. pracoval pre banku a zároveň bol jej klientom“.

95. Podľa môjho názoru sa nič nemení na tom, čo bolo doteraz uvedené, pretože prevádzkovateľ vykonáva regulovanú činnosť. Skutočnosť, že prevádzkovateľ je bankou, na ktorú sa vzťahuje osobitná právna úprava, ktorá je vlastná pre tento typ inštitúcií( ), však môže mať vplyv na posúdenie zákonnosti (právneho základu) spracúvania, ak toto spracúvanie vyplýva z dodržiavania zákonných povinností, ktorým podlieha.( )

96. V zásade nie je dôležité ani to, že osoba, ktorej údaje boli preverované, bola zamestnancom a zároveň aj klientom tejto banky. Článok 15 ods. 1 GDPR nestanovuje rozdiely v závislosti od profesijnej činnosti dotknutej osoby, ktorá je nadradená jej postaveniu klienta finančnej inštitúcie.( )

97. Je pravda, ako zdôraznila Komisia, že článok 23 GDPR umožňuje členským štátom legislatívne obmedziť rozsah povinností a práv stanovených okrem iného v jeho článku 15 prostredníctvom sektorových ustanovení pre konkrétnu kategóriu dotknutých osôb. Vnútroštátny súd však neuvádza žiadne vnútroštátne obmedzenie tohto druhu.

V. Návrh

98. Vzhľadom na vyššie uvedené navrhujem, aby Súdny dvor odpovedal Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko, Fínsko) takto:

„Článok 15 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), v spojení s článkom 4 bodom 1 tohto nariadenia

sa má vykladať v tom zmysle, že:

sa uplatňuje v prípade, ak žiadosť o prístup k informáciám, ktorú dotknutá osoba adresovala prevádzkovateľovi, bola podaná po 25. máji 2018.

Nepriznáva dotknutej osobe právo dozvedieť sa z informácií, ktoré má prevádzkovateľ k dispozícii (prípadne prostredníctvom záznamov alebo informačných systémov o operáciách), totožnosť zamestnanca alebo zamestnancov, ktorí na základe poverenia a podľa pokynov prevádzkovateľa nahliadli do jej osobných údajov“.