CELEX: 62021CC0077
Language: cs
Date: 2022-03-31 00:00:00
Title: Stanovisko generálního advokáta P. Pikamäe přednesené dne 31. března 2022.###

null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
PRIITA PIKAMÄEA
přednesené dne 31. března 2022(1)

Věc C‑77/21

Digi Távközlési és Szolgáltató Kft.

proti

Nemzeti Adatvédelmi és Információszabadság Hatóság

[žádost o rozhodnutí o předběžné otázce podaná Fővárosi Törvényszék (soud hlavního města Budapešti, Maďarsko)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. b) a e) – Zásada účelového omezení – Zásada omezení uložení – Osobní údaje zákazníků shromažďované a ukládané zákonným způsobem – Vytvoření jiné interní specifické databáze v důsledku technické závady – Následné ověření účelů zpracování – Dvojí účel – Neexistence totožnosti mezi účely zpracování a účely shromažďování údajů – Slučitelnost zpracování s účely shromažďování – Článek 6 odst. 4 – Neodstranění databáze po opravě technické závady – Splnění účelů zpracování“

1.        Za jakých podmínek může poskytovatel internetu a televizního vysílání uchovávat osobní údaje svých zákazníků, které byly shromážděny a již uloženy zákonným způsobem, na doplňujícím interním nosiči, bez jejich výslovného souhlasu, avšak pro účely opravy technické závady?

2.        To je jedna z otázek vznesených v projednávané věci, která umožní Soudnímu dvoru, aby doplnil svou stále četnější judikaturu týkající se nařízení (EU) 2016/679(2), pokud jde konkrétně o zásady účelového omezení a omezení uložení obsažené v čl. 5 odst. 1 písm. b) a e) tohoto aktu.
I.      Právní rámec

3.        V rámci projednávané věci jsou relevantní články 4 až 6, 13 a 32 GDPR.
II.    Spor v původním řízení a předběžné otázky

4.        Digi Távközlési és Szolgáltató Kft. (dále jen „Digi“) je jedním z hlavních poskytovatelů internetu a televize v Maďarsku.

5.        V dubnu 2018 vytvořila Digi v důsledku technické závady, která měla dopad na fungování serveru, tzv. zkušební databázi, do které zkopírovala osobní údaje přibližně třetiny svých konkrétních zákazníků.

6.        Dne 23. září 2019 se Digi dozvěděla o tom, že „etický hacker“ měl přístup k osobním údajům přibližně 322 000 osob. Na útok upozornil písemně samotný hacker v e-mailu zaslaném tomuto podniku dne 21. září 2019, přičemž jako důkaz uvedl jeden ze záznamů ze zkušební databáze. Digi napravila chybu a uzavřela s touto osobou smlouvu o důvěrnosti a poskytla jí odměnu.

7.        Po výmazu zkušební databáze oznámila Digi dne 25. září 2019 porušení zabezpečení osobních údajů Nemzeti Adatvédelmi és Információszabadság Hatóság (Národní úřad pro ochranu údajů a svobodu informací, dále jen „Úřad“), načež Úřad zahájil řízení.

8.        Rozhodnutím ze dne 18. května 2020 dospěl Úřad mimo jiné k závěru, že jednak Digi porušila čl. 5 odst. 1 písm. b) a e) GDPR tím, že po provedení nezbytných testů a opravě chyb nevymazala zkušební databázi, takže v této zkušební databázi uchovávala mnoho osobních údajů po dobu téměř osmnácti měsíců bez jakéhokoliv účelu a způsobem, který umožňoval identifikaci subjektů údajů, přičemž neodstranění zkušební databáze umožnilo vznik porušení zabezpečení osobních údajů. Kromě toho Úřad rozhodl, že Digi porušila čl. 32 odst. 1 a 2 GDPR. Za těchto podmínek Úřad uložil Digi pokutu ve výši 100 000 000 maďarských forintů (HUF) (přibližně 270 000 eur).

9.        Digi zpochybnila legalitu tohoto rozhodnutí u předkládajícího soudu.

10.      Předkládající soud uvádí, že osobní údaje, které Digi zkopírovala do zkušební databáze, byly shromážděny za účelem uzavření smluv o předplatném a že Úřad nezpochybnil zákonnost shromažďování údajů. Předkládající soud se nicméně zamýšlí nad tím, zda se účel shromažďování a zpracování údajů mění z důvodu, že údaje, které byly shromážděny za určitým účelem, byly zkopírovány do jiné databáze. Dodává, že je třeba rovněž určit, zda vytvoření zkušební databáze a další zpracovávání údajů o zákaznících tímto způsobem jsou slučitelné s účelem shromažďování těchto údajů. V tomto ohledu zásada účelového omezení neposkytuje jasné informace, pokud jde o otázku, v jakých interních systémech je správce oprávněn zákonným způsobem zpracovávat shromážděné údaje, nebo zda může tyto údaje zkopírovat do zkušební databáze, aniž je změněn účel shromažďování údajů.

11.      Pokud by vytvoření zkušební databáze nebylo slučitelné s účelem shromažďování údajů, předkládající soud si rovněž klade otázku, zda vzhledem k tomu, že účelem zpracování údajů o zákaznících v jiné databázi nebyla oprava chyb, nýbrž uzavření smluv, musí být nezbytná doba, po kterou jsou údaje uchovávány, uvedena v soulad s dobou nezbytnou k opravě chyb, nebo s dobou nezbytnou k plnění smluvních povinností.

12.      Za těchto podmínek se Fővárosi Törvényszék (soud hlavního města Budapešti, Maďarsko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)      Musí být pojem ‚účelové omezení‘ definovaný v čl. 5 odst. 1 písm. b) [GDPR] [...] vykládán v tom smyslu, že je v souladu s výše uvedeným pojmem také skutečnost, že správce údajů si v jiné databázi současně uchovává osobní údaje, které byly shromážděny nebo uloženy za omezeným legitimním účelem, nebo naopak v tom smyslu, že skutečnost, že jsou údaje uchovávány v souběžné databázi údajů, již není slučitelná s legitimními účely shromáždění údajů?
2)      Je-li odpověď na první otázku taková, že souběžné uchovávání údajů je samo o sobě neslučitelné se zásadou ‚účelového omezení‘, je skutečnost, že správce údajů současně uchovává v jiné databázi osobní údaje, které byly jinak shromážděny a uloženy za omezeným legitimním účelem, v souladu se zásadou ‚omezení uložení‘ stanovenou v čl. 5 odst. 1 písm. e) GDPR?“
III. Řízení před Soudním dvorem

13.      Žalobkyně a žalovaný v původním řízení, maďarská, česká a portugalská vláda, jakož i Evropská komise předložili písemná vyjádření. Na jednání konaném dne 17. ledna 2022 byla rovněž vyslechnuta ústní vyjádření žalobkyně a žalovaného v původním řízení, jakož i maďarské vlády a Komise.
IV.    Analýza

A.      K přípustnosti 

14.      Úřad i maďarská vláda vyjádřily pochybnosti ohledně přípustnosti žádosti o rozhodnutí o předběžné otázce s odůvodněním, že položené otázky neodrážejí skutkové okolnosti věci v původním řízení a nejsou bezprostředně relevantní pro její vyřešení.

15.      Z ustálené judikatury Soudního dvora vyplývá, že je pouze na vnitrostátním soudu, který rozhoduje spor a musí nést odpovědnost za soudní rozhodnutí, které bude vydáno, aby posoudil s ohledem na konkrétní okolnosti věci jak nezbytnost rozhodnutí o předběžné otázce pro vydání jeho rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Jestliže se tedy položené otázky týkají výkladu nebo platnosti normy unijního práva, je Soudní dvůr v zásadě povinen rozhodnout. Z toho vyplývá, že se na otázky položené vnitrostátními soudy vztahuje domněnka relevance. Soudní dvůr smí rozhodnutí o předběžné otázce položené vnitrostátním soudem odmítnout pouze tehdy, pokud je zjevné, že žádaný výklad nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, pokud se jedná o hypotetický problém nebo také pokud Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na dané otázky. V projednávané věci žádost o rozhodnutí o předběžné otázce obsahuje skutkové a právní poznatky, které postačují k pochopení významu předběžných otázek. Dále je především třeba konstatovat, že spis předložený Soudnímu dvoru neobsahuje žádnou informaci, na jejímž základě by bylo možné mít za to, že požadovaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení nebo že se jedná o hypotetický problém(3).

16.      V tomto ohledu je třeba uvést, že předkládajícímu soudu je předložena žaloba na neplatnost rozhodnutí o uložení sankce společnosti Digi, jakožto správci, z důvodu údajného porušení zásad účelového omezení a omezení uložení uvedených v čl. 5 odst. 1 písm. b) a e) GDPR, kterého se týká žádost o výklad podaná tímto soudem. Žádost o rozhodnutí o předběžné otázce je proto třeba považovat za přípustnou.
B.      K právnímu rámci analýzy

17.      Je třeba konstatovat, že se žádost o rozhodnutí o předběžné otázce týká výhradně výkladu článku 5 GDPR v rámci sporu v původním řízení ohledně zákonnosti zpracování osobních údajů prováděného společností Digi, jedním z hlavních poskytovatelů internetu a televize v Maďarsku, která je tudíž provozovatelem poskytujícím přístup k veřejným komunikačním službám on-line.

18.      Přitom je třeba uvést, že článek 1 směrnice 2002/58/ES(4) ve svém odstavci 1 stanoví, že touto směrnicí se harmonizují vnitrostátní předpisy požadované zejména pro zajištění rovnocenné úrovně ochrany základních práv a svobod, zejména práva na soukromí a zachování důvěrnosti informací, se zřetelem na zpracování osobních údajů v odvětví elektronických komunikací. Článek 3 směrnice 2002/58 dále stanoví, že se tato směrnice vztahuje na zpracování osobních údajů ve spojení s poskytováním veřejně dostupných služeb elektronických komunikací ve veřejných komunikačních sítích v Unii, včetně veřejných komunikačních sítí podporujících zařízení pro shromažďování a identifikaci údajů. Na uvedenou směrnici je tudíž třeba nahlížet tak, že upravuje činnosti poskytovatelů takových služeb(5).

19.      Podle čl. 1 odst. 2 směrnice 2002/58 tato směrnice upřesňuje a doplňuje směrnici 95/46/ES(6) pro účely obsažené v uvedeném odstavci 1, přičemž je třeba poznamenat, že na základě čl. 94 odst. 2 GDPR se odkazy uvedené ve směrnici 2002/58 na směrnici 95/46 považují za odkazy na toto nařízení(7). Podle bodu 10 odůvodnění směrnice 2002/58 se v odvětví elektronických komunikací směrnice 95/46 vztahuje zejména na všechny záležitosti týkající se ochrany základních práv a svobod, které nejsou zvláštním způsobem upraveny v rámci směrnice 2002/58, včetně povinností správce a práv jednotlivců(8).

20.      Z žádosti o rozhodnutí o předběžné otázce vyplývá, že se spor v původním řízení netýká využívání služeb elektronických komunikací předplatiteli Digi, a tedy ochrany takto učiněných sdělení a s nimi spojených provozních údajů upravené směrnicí 2002/58, ale je součástí vnitřního fungování tohoto podniku. Je nesporné, že Digi v roce 2018 vytvořila v důsledku technické závady serveru, která způsobila nedostupnost původní databáze jejích předplatitelů, soubor nazvaný „test“, do kterého zkopírovala osobní údaje části svých zákazníků(9). Uchovávání údajů v doplňující databázi pokračovalo i po opravě chyby společností Digi, a to až do září 2019, přičemž v tomto období došlo k hackerskému útoku, který zasáhl tuto databázi. Činnost takto rozvíjená Digi má povahu „zpracování osobních údajů“ a tento podnik je ve vztahu k tomuto zpracování „správcem“ ve smyslu definic uvedených v čl. 4 odst. 2 a 7 GDPR. Navíc, právě v tomto postavení správce byla Digi uložena Úřadem pokuta za to, že při této příležitosti porušila své povinnosti vyplývající zejména z čl. 5 odst. 1 písm. b) a e) GDPR.

21.      V tomto ohledu je třeba připomenout, že s výhradou výjimek, které jsou připuštěny na základě článku 23 GDPR, musí být každé zpracování osobních údajů v souladu se zásadami, jimiž se toto zpracování řídí, jakož i s právy subjektu údajů uvedenými v kapitolách II a III tohoto nařízení. Každé zpracování osobních údajů musí být konkrétně jednak v souladu se zásadami stanovenými v článku 5 uvedeného nařízení a jednak odpovídat podmínkám zákonnosti zpracování, které jsou vyjmenovány v článku 6 téhož nařízení(10).

22.      Podle článku 5 GDPR přísluší správci zajistit, aby osobní údaje byly „zpracovávány korektně a zákonným a transparentním způsobem“ [písm. a)], aby byly „shromažďovány pro určité, výslovně vyjádřené a legitimní účely a [nebyly] dále zpracovávány způsobem, který je s těmito účely neslučitelný“ [písm. b)], aby byly „přiměřené, relevantní a [nepřesahující míru] ve vztahu k účelu, pro který jsou [shromažďovány a/nebo dále zpracovávány]“ [písm. c)], aby byly „přesné a v případě potřeby aktualizované“ [písm. d)] a konečně, aby byly „uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro [uskutečnění] účel[ů], pro které jsou [shromažďovány nebo dále zpracovávány]“ [písm. e)], přičemž na zpracovávání údajů pro historické, statistické či vědecké účely se vztahují zvláštní ustanovení. V tomto kontextu musí uvedený správce přijmout přiměřená opatření k tomu, aby údaje nesplňující požadavky uvedeného ustanovení byly vymazány nebo opraveny(11).
C.      K dosahu žádosti o rozhodnutí o předběžné otázce

23.      Předkládající soud žádá Soudní dvůr o vodítka k výkladu zásad účelového omezení a omezení uložení zakotvených v čl. 5 odst. 1 písm. b) a e) GDPR, což se projevilo formulací dvou různých předběžných otázek týkajících se těchto ustanovení. Druhá otázka, která se týká zásady omezení uložení údajů, je však formulována pouze podmíněně pro případ nesouladu dotčeného zpracování se zásadou účelového omezení.

24.      Přitom je třeba zdůraznit, že požadavky týkající se zpracování osobních údajů uvedené v článku 5 GDPR jsou zjevně kumulativní a navzájem nezávislé(12). Problematika dodržování zásady omezení uložení je právně nezávislá na problematice týkající se zásady účelového omezení. V rozhodnutí, které je předmětem původního řízení, má Úřad za to, že původ porušení obou výše uvedených rozdílných zásad tkví v uchovávání údajů na dodatečném interním nosiči.

25.      I když předkládající soud formálně omezil svou druhou otázku její podmíněnou povahou, nebrání tato okolnost Soudnímu dvoru, aby předkládajícímu soudu poskytl všechny prvky výkladu, které mohou být pro rozsouzení věci v původním řízení užitečné, tím, že ze všech poznatků předložených tímto soudem, zejména z odůvodnění předkládacího rozhodnutí, vytěží ty prvky unijního práva, které je s přihlédnutím k předmětu sporu třeba vyložit(13).
D.      K zákonnosti zpracování s ohledem na zásady účelového omezení a omezení uložení

1.      Úvodní úvahy

26.      Úvodem považuji za nezbytné analyzovat dosah zásad definovaných v čl. 5 odst. 1 písm. b) a e) GDPR, a to ve vztahu k pojmu „uložení“ použitému v předkládacím rozhodnutí a písemnostech zúčastněných stran k popisu sporné operace zpracování ze dvou úhlů. První se týká samotného uložení nebo ochrany údajů, v projednávaném případě uchovávání kopie údajů části předplatitelů Digi v dodatečné interní databázi. Druhý pojímá uložení ve  smyslu zachování této databáze v čase. Vyvstává tedy otázka doby uložení údajů. Domnívám se, že v tomto ohledu se na výše uvedenou časovou problematiku nevztahuje zásada účelového omezení, ale výhradně zásada omezení uložení.

27.      Zásada účelového omezení stanovená v čl. 5 odst. 1 písm. b) GDPR má dvě složky: osobní údaje musí být jednak shromažďovány pro „určité, výslovně vyjádřené a legitimní“ účely a jednak nesmějí být „dále zpracovávány způsobem“, který je s těmito účely „neslučitelný“. Účelem této zásady je co možná nejpřesněji vymezit možnosti použití osobních údajů při zachování rovnováhy mezi dodržováním základních práv subjektů údajů v oblasti ochrany soukromí a ochrany osobních údajů a uznáním určité flexibility ve prospěch správce při správě těchto údajů, tak jak vyplývá z digitálního života a jeho rizik.

28.      V druhé složce, která je v projednávané věci zajímavější, je cílem uvedené zásady definovat meze, v jejichž rámci mohou být osobní údaje shromážděné za určitým účelem použity opakovaně. Podle čl. 5 odst. 1 písm. b) GDPR musí být jakékoliv zpracování učiněné po shromáždění považováno za „další zpracování“, a musí tedy až na výjimky splňovat požadavek na slučitelnost(14). Tento požadavek vyjadřuje nezbytnost konkrétní, logické a dostatečně úzké vazby mezi účelem shromažďování údajů a jejich dalším zpracováním. Jinak řečeno, toto zpracování nesmí být odděleno od původního účelu sběru údajů nebo být s tímto účelem v rozporu a jeho obsah musí být slučitelný s důvody shromažďování, a to bez ohledu na jakoukoli časovou problematiku.

29.      Zásada účelového omezení není stricto sensu vyjádřením zásady proporcionality, na rozdíl od zásady omezení uložení obsažené v čl. 5 odst. 1 písm. e) GDPR. Jak Soudní dvůr uvedl, z požadavků stanovených v tomto článku vyplývá, že i zpracování údajů, které bylo původně v souladu se zákonem, se časem může stát neslučitelným s uvedeným nařízením, jestliže již uvedené údaje nejsou nezbytné pro účely, pro které byly shromažďovány nebo zpracovány. To platí zejména v případě, že se jeví být nepřiměřenými, jsou nepodstatné nebo již nepodstatné nebo přesahují míru s ohledem na uvedené účely a uplynulý čas(15).

30.      V kontextu zásady omezení uložení jde tedy o provedení posouzení přiměřenosti zpracování ve vztahu k jeho účelu s ohledem na běh času. Tato zásada bude porušena v případě uchovávání údajů po dobu delší, než je nezbytně nutné, tedy po dobu delší, než je nezbytné pro uskutečnění cílů, pro které byly tyto údaje uchovávány(16). Pokud je cílů tohoto zpracování dosaženo, musí být údaje vymazány(17). Zásada omezení uložení tak odpovídá na otázku, kdy již není uchovávání údajů na doplňujícím interním nosiči společnosti Digi odůvodněné.

31.      Ve světle výše uvedených úvah posoudím zákonnost dotčeného zpracování s ohledem na obě výše uvedené zásady.
2.      K zásadě účelového omezení

32.      Ověření dodržení takové zásady, v její druhé složce, vyžaduje předchozí určení účelu nebo účelů shromažďování dotčených údajů. Ze spisu předloženého Soudnímu dvoru vyplývá, že tyto údaje byly společností Digi shromažďovány za účelem uzavření a plnění smluv o předplatném poskytovaném touto společností jakožto poskytovatelem internetu a televizního vysílání a že zákonnost tohoto prvního zpracování nebyla mezi účastníky původního řízení předmětem sporu. Totéž platí ohledně následné nevyhnutelné operace zpracování spočívající v ukládání uvedených údajů na vyhrazeném nosiči, který je kvalifikován jako původní databáze(18). V této souvislosti by chtěl předkládající soud získat odpověď na otázku, zda určitý, výslovně vyjádřený a legitimní účel shromažďování údajů je „změněn“ z důvodu, že tyto údaje byly zkopírovány do databáze, která přistupuje jako doplněk k prvnímu ukládání, které není mezi účastníky řízení sporné.

33.      Podle judikatury Soudního dvora platí, že pravidla o ochraně osobních údajů obsažená v GDPR musí být dodržována v souvislosti s jakýmkoli zpracováním těchto údajů tak, jak je vymezeno v článku 2 tohoto nařízení(19). Domnívám se, že výše uvedená otázka odráží porušení požadavku na individuální posouzení veškerých operací zpracování údajů po jejich shromáždění, jak v projednávaném případě vyplývá z čl. 5 odst. 1 písm. b) GDPR.

34.      Jinými slovy, každý případ dalšího použití těchto údajů musí být posouzen za účelem ověření jeho konkrétního účelu a případně jeho slučitelnosti s účelem shromáždění. Zákonnost tohoto účelu shromáždění a prvního uložení údajů nemůže mít na základě účinku šíření automatický dopad na dodržování zásady účelového omezení jinou činností dalšího zpracování, a to bez ohledu na skutečnost, že se toto další zpracování týká stejných údajů. Jak tvrdí maďarská vláda, nelze mít za to, že správce má možnost ukládat osobní údaje bez omezení ve více souborech, pokud je původně shromažďoval a zpracovával v souladu se zákonem.

35.      Tudíž je třeba posoudit otázku slučitelnosti mezi účelem shromáždění údajů a účelem jejich dalšího zpracování, která je vyžadována v čl. 5 odst. 1 písm. b) GDPR. Tato otázka však logicky vyvstává pouze v případě, že je toto zpracování prováděno pro účely, které se liší od původně specifikovaných účelů.

36.      Podle bodu 50 odůvodnění tohoto nařízení by tak zpracování osobních údajů „pro jiné účely“, než pro které byly osobní údaje původně shromážděny, mělo být povoleno pouze v případě, kdy je slučitelné s účely tohoto shromáždění. Znění čl. 6 odst. 4 uvedeného nařízení rovněž podporuje výše uvedený závěr. Toto ustanovení obsahuje demonstrativní seznam kritérií umožňujících při určitém uspořádání posoudit, zda je zpracování „pro jiný účel“ slučitelné s účely, pro něž byly osobní údaje původně shromážděny. Konstatování totožnosti účelů v případě shromáždění údajů a jejich dalším zpracováním, jak tvrdí společnost Digi, by tudíž učinilo otázku slučitelnosti bezpředmětnou a umožnilo učinit závěr o zákonnosti tohoto zpracování s ohledem na zásadu účelového omezení(20).
a)      K účelům zpracování

37.      Ze spisu předloženého Soudnímu dvoru a konkrétněji z prohlášení společnosti Digi vyplývá, že v návaznosti na technickou závadu serveru, která vedla k nedostupnosti původní databáze, tento podnik uložil kopii údajů části předplatitelů v doplňující interní databázi, označené jako „zkušební“ databáze, za účelem opravy technické závady a zajištění přístupu k údajům v souladu s povinností uloženou správci článkem 5 odst. 1 písm. f) a upřesněnou v článku 32 GDPR(21). Společnost Digi tvrdí, že tato operace zpracování tak rovněž přispěla k dosažení účelu shromažďování údajů, a sice poskytování služby stanovené ve smlouvě. Za těchto okolností sporné uchovávání nesouviselo s odlišným účelem, což vylučuje jakékoli porušení čl. 5 odst. 1 písm. b) tohoto nařízení.

38.      I když je samozřejmě věcí předkládajícího soudu, aby ověřil zákonnost výše uvedené operace zpracování, zejména s ohledem na požadavky stanovené v článku 5 GDPR a na všechny okolnosti, které charakterizují projednávaný případ, lze mu za tímto účelem poskytnout několik vodítek.

39.      Zaprvé uvádím, že společnost Digi v podstatě zmiňuje existenci dvojího účelu u sporného zpracování v tom smyslu, že první a zvláštní účel týkající se opravy poruchy serveru a zajištění dostupnosti údajů o předplatitelích je sám o sobě součástí druhého a obecného účelu, který se týká plnění smluv o předplatném a který se shoduje s účelem původního shromáždění údajů.

40.      Samozřejmě si lze v praxi představit, že osobní údaje mohou být shromažďovány a dále zpracovávány pro několik účelů, což GDPR jasně předpokládá a připouští, o čemž svědčí znění čl. 5 odst. 1 písm. b) a čl. 6 odst. 1 písm. a), jakož i body 32 a 50 odůvodnění tohoto nařízení. Tento přístup odpovídá na potřebu pragmatismu a flexibility, které vyžadují komplexní a nelineární zpracování osobních údajů v digitální době. Tento přístup musí nicméně zohlednit požadavek na určitost účelu, která je klíčovým prvkem při provádění evropského režimu ochrany osobních údajů.

41.      Dostatečná úroveň určitosti účelu tak představuje základní záruku z hlediska předvídatelnosti a právní jistoty v tom smyslu, že přispívá k tomu, aby subjekt údajů dobře porozuměl možnému použití jeho údajů, a umožňuje mu, aby učinil rozhodnutí na základě úplné znalosti věci. Tato předvídatelnost je zásadní při posouzení slučitelnosti mezi účelem shromažďování údajů a jejich dalším zpracováním, čímž je minimalizováno riziko narušení mezi přiměřenými očekáváními subjektů údajů ohledně možného použití jejich údajů v budoucnu a operacemi prováděnými správcem. Přesné určení účelu je rovněž vyžadováno pro použití dalších požadavků v oblasti kvality údajů, mezi které patří odpovídající povaha, relevance, přiměřenost a přesnost shromažďovaných údajů, jakož i požadavky týkající se doby jejich uložení podle čl. 5 odst. 1 písm. c), d) a e) GDPR.

42.      Tento požadavek určitosti tedy platí, jak zdůrazňuje stanovisko 3/2013 pracovní skupiny „Článek 29“(22), pro celou operaci zpracování, a nikoliv pouze v průběhu první fáze shromažďování údajů. Je zajímavé, že v případě zpracování údajů na základě souhlasu subjektu údajů bude zpracování podle čl. 6 odst. 1 písm. a) GDPR zákonné, pouze pokud subjekt údajů udělil souhlas s tímto zpracováním pro jeden či více „konkrétních“ účelů.

43.      Za těchto okolností platí, že i když může mít konkrétní zpracování dva účely, musí být každý z nich určitý a musí vykazovat objektivní a dostatečně úzkou souvislost s dotčenou operací zpracování.

44.      Zadruhé je třeba uvést zvláštní kontext, ve kterém musí být provedeno posouzení jednoho nebo více účelů dotčeného dalšího zpracování.

45.      Podle bodů 60 a 61 odůvodnění GDPR zásady spravedlivého a transparentního zpracování vyžadují, aby byl subjekt údajů informován o probíhající operaci zpracování a jejích účelech, a informování subjektu údajů o tom, že jsou zpracovávány jeho osobní údaje, musí proběhnout v okamžiku jejich shromáždění od subjektu údajů. V tomto ohledu čl. 13 odst. 1 písm. c) tohoto nařízení stanoví, že pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce  v okamžiku získání osobních údajů subjektu údajů  informace o účelech zpracování, pro které jsou osobní údaje určeny, a o právním základu pro zpracování.

46.      Je však možné, že bez ohledu na to, jak je správce obezřetný a uvážlivý, nebude schopen v době nastavení zpracování předvídat a určit povahu, jakož i přesný dosah všech operací, které tvoří řetězec zpracování údajů. Stejně tak je projednávaná věc dokonalým příkladem problematiky spojené s řízením technické poruchy, z podstaty věci nepředvídané, a následného provádění určitého druhu zpracování pro účel, který nebyl původně specifikován.

47.      V rámci posouzení, jako v projednávané věci, zákonnosti takového zpracování dozorovým úřadem a později soudem, u kterého probíhá řízení o žalobě proti rozhodnutí tohoto dozorového úřadu, je tento účel předmětem následného ověření, s ohledem na informace poskytnuté správcem v průběhu správního řízení. Právě správci, který je navrhovatelem dotčené operace zpracování, přísluší na základě zásady odpovědnosti stanovené v čl. 5 odst. 2 GDPR prokázat skutečnost tvrzeného účelu, a případně slučitelnost zpracování s účelem shromažďování údajů(23).

48.      V tomto ohledu mohou být pro ověření tohoto účelu zohledněny dva konkrétní a objektivní prvky. Zaprvé čl. 13 odst. 3 GDPR stanoví, že pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů a správce hodlá provádět další zpracování pro jiný účel, než je účel shromáždění, poskytne tento správce subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu(24) a příslušné další informace uvedené v odstavci 2 tohoto ustanovení. Zadruhé čl. 30 odst. 1 GDPR ukládá každému správci povinnost vést záznamy, písemně, v to počítaje i elektronickou formu, o činnostech zpracování, za něž odpovídá, a tyto záznamy poskytnout na požádání dozorového úřadu. Tyto záznamy obsahují různé informace, mezi které patří informace o účelech zpracování.

49.      V projednávaném případě podle všeho Digi neinformovala žádného z dotčených předplatitelů o svém úmyslu duplikovat jejich údaje a uchovávat je na interním nosiči určeném k provedení testů a opravě chyb, přičemž tato operace zpracování byla tímto provozovatelem považována za operaci, která nemá odlišný účel od účelu shromáždění údajů a která tudíž nespadá do působnosti čl. 13 odst. 3 GDPR(25). Spis předložený Soudnímu dvoru mimoto neumožňuje zjistit, zda je Digi v situaci, kdy jí svědčí osvobození od povinnosti stanovené v čl. 30 odst. 5 tohoto nařízení, pokud jde o povinnost vedení záznamů(26).

50.      V každém případě podotýkám, že na jednání Digi jasně uvedla, že technické závada, ke které došlo v roce 2018, nezpůsobila přerušení poskytování služby stanovené ve smlouvě, jelikož sporné uložení bylo provedeno pouze s přihlédnutím k riziku takového přerušení. Tato prohlášení musí být spojena s objektivními věcnými zjištěními ohledně volby označení databáze, označované jako „zkušební“ databáze, z důvodu, že tato databáze neobsahovala údaje všech předplatitelů, ale pouze třetiny z nich, a že poté, co na tuto databázi Digi zapomněla po dobu 18 měsíců po vyřešení původní technické závady, byla uvedená databáze okamžitě odstraněna po hackerském útoku v září 2019, který zasáhl bezpečnost údajů.

51.      Za těchto okolností lze podle mého názoru dospět k závěru, že sporné zpracování odpovídalo jedinému konkrétnímu a specifickému účelu dočasného zajištění bezpečnosti části údajů předplatitelů v souvislosti s opravou technické závady, která zasáhla fungování serveru, který je podle mého názoru odlišný od účelu shromáždění údajů.

52.      Komise a Digi naproti tomu tvrdí, že takové zpracování, jehož cílem je dodržení povinnosti zabezpečení, kterou ukládá správci čl. 5 odst. 1 písm. f) GDPR a upřesňuje článek 32 tohoto nařízení, nelze považovat za zpracování pro nový nebo odlišný účel, neboť jinak by byl porušen užitečný účinek tohoto aktu a vedlo by to k informování subjektů údajů bez praktického významu.

53.      Tento abstraktní a systematický přístup je podle mého názoru v rozporu s požadavkem na posouzení zákonnosti každé operace zpracování při zohlednění všech relevantních okolností daného případu. Ve skutečnosti vede právě tento přístup k tomu, že bude zbavena užitečného účinku povinnost poskytovat informace subjektům údajů stanovená v čl. 13 odst. 3 GDPR, tedy informace, které je správce povinen poskytnout těmto osobám, aby bylo zajištěno řádné zpracování jejích údajů(27). Tato povinnost má závaznou povahu v případě, že ke zpracování dochází, jako v projednávané věci, v rámci smluvního vztahu a zakládá se na čl. 6 odst. 1 písm. b) tohoto aktu, který se týká nezbytnosti splnit smlouvu, aniž je vyžadován souhlas osob, které jsou smluvními stranami. A konečně je tento přístup v rozporu se samotným účelem čl. 5 odst. 1 písm. b) GDPR, a sice že další zpracování pro jiný účel, než je účel shromáždění údajů, není nutně protiprávní, jelikož jeho pouhá slučitelnost s posledně uvedeným účelem je dostatečná ke splnění požadavků výše uvedeného ustanovení.
b)      Ke slučitelnosti zpracování

54.      Článek 5 odst. 1 písm. b) GDPR neobsahuje žádnou informaci ohledně podmínek, za kterých lze považovat další zpracování pro účel, který je odlišný od účelu původního shromáždění údajů, za slučitelné s tímto posledně uvedeným účelem. V tomto ohledu je třeba odkázat na čl. 6 odst. 4 GDPR, ve spojení s bodem 50 odůvodnění tohoto aktu, jehož znění vyjadřuje vztah mezi zásadou účelového omezení a právním základem dotyčného zpracování.

55.      Toto ustanovení tak provádí rozlišení, pokud jde o požadavek slučitelnosti, podle toho, zda zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, je či není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1 GDPR.

56.      V případě kladné odpovědi je správce podle bodu 50 druhého odstavce odůvodnění GDPR oprávněn k dalšímu zpracování osobních údajů bez ohledu na slučitelnost účelů(28). Tato odchylka od požadavku slučitelnosti je v podstatě odůvodněna existencí jiných pravidel na ochranu subjektů údajů, a konkrétně těch, která se týkají informování subjektů údajů o jiných účelech a o právu vznést námitku proti zpracování(29).

57.      V případě záporné odpovědi, což je právě situace odpovídající projednávané věci, čl. 6 odst. 4 GDPR stanoví:
„[...] zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:
a)      jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování;
b)      okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem;
c)      povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se odsouzení v trestních věcech a trestných činů podle článku 10;
d)      možné důsledky zamýšleného dalšího zpracování pro subjekty údajů;
e)      existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.“

58.      Vzhledem k neexistenci jakékoli formální informace ze strany společnosti Digi v okamžiku shromáždění údajů, pokud jde o zamýšlené další zpracování a jeho účel, je třeba přijmout věcný přístup, který podle mého názoru vyústí v konstatování o slučitelnosti zpracování.

59.      V tomto ohledu existuje nesporně vazba mezi účelem původního sběru údajů, a sice plnění smlouvy o předplatném internetu a televizního vysílání, a zpracováním, jehož účelem je zajištění bezpečnosti těchto údajů v doplňující interní databázi a provedení bezpečných testů s cílem napravit technickou závadu, která může potenciálně narušit poskytování služby stanovené na základě smlouvy. Aniž se překrývají, jak je uvedeno výše, jsou tyto účely logicky provázané.

60.      Je třeba zdůraznit, že se toto zpracování neodchyluje od oprávněných očekávání předplatitelů, pokud jde o další zpracování jejich osobních údajů. Dodatečné uložení údajů na interním nosiči odůvodněné nutností vyřešit technickou závadu ovlivňující přístup k údajům z původní databáze totiž nelze považovat za překvapivé nebo nepravděpodobné. Mimoto dotyčné údaje byly i nadále zpracovávány stejným správcem a nebyly zpřístupněny třetím osobám, což  a priori ukazuje na neexistenci negativního dopadu. Skutečnost, že se v rámci hackerského útoku, jehož byla společnost Digi obětí, mohl pachatel útoku dostat k údajům obsaženým na  tomto nosiči, podle mého názoru nemůže vést k retroaktivnímu závěru o neslučitelnosti dotčeného zpracování.
3.      K zásadě omezení uložení

61.      Podle čl. 5 odst. 1 písm. e) GDPR musí být údaje uloženy ve formě umožňující identifikaci subjektů údajů(30) po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1 tohoto nařízení, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů.

62.      Jak bylo uvedeno, je zásada omezení uložení vyjádřením zásady proporcionality stejně jako zásady „minimalizace údajů“, podle níž musí být osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány(31). V rámci zásady omezení uložení souvisí otázka nezbytnosti zpracování, posuzovaná z časového hlediska, s otázkou přetrvávání účelu zpracování.

63.      Rovněž je třeba připomenout, že dodržení požadavku proporcionality znamená, že výjimky z ochrany osobních údajů a její omezení musí být činěny v mezích toho, co je naprosto nezbytné(32). Soudní dvůr jasně uvedl, že cílem čl. 5 odst. 1 písm. e) GDPR je ochrana subjektů údajů(33).

64.      Bod 39 odůvodnění GDPR takto jednoznačně uvádí, že doba, po kterou jsou osobní údaje uchovávány, musí být „omezena na nezbytné minimum“, a že za tímto účelem by měl správce stanovit lhůty pro výmaz nebo pravidelný přezkum. Článek 13 odst. 2 písm. a) GDPR stanoví, že správce musí poskytnout subjektu údajů v okamžiku získání osobních údajů doplňující informace k těm, které jsou uvedeny v odstavci 1 tohoto článku, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování, mezi které patří doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby(34).

65.      V této souvislosti je třeba s ohledem na všechny okolnosti projednávané věci(35) určit, k jakému okamžiku mohou být účely uchovávání kopie údajů části předplatitelů v doplňující interní databázi případně považovány za splněné, čímž je toto zpracování zbaveno svého odůvodnění a společnost Digi je nucena údaje smazat. Je zjevné, že na základě zásady odpovědnosti stanovené v čl. 5 odst. 2 GDPR přísluší správci doložit zákonnost zpracování s ohledem na zásadu omezení uložení stejně jako v případě zásady účelového omezení.

66.      V projednávané věci vzhledem k tomu, že sporné uchovávání plnilo účel zajištění bezpečnosti údajů a přispívalo tak k dosažení účelu plnění smlouvy o předplatném, společnost Digi tvrdí, že doba uložení údajů obsažených ve zkušební databázi se řídila dobou uložení údajů ve vztahu k plnění jejích smluvních povinností, což vylučuje jakékoli porušení čl. 5 odst. 1 písm. e) GDPR.

67.      Pokud jde o stanovení účelu nebo účelů, odkazuji na veškerá zjištění a posouzení učiněná v rámci odpovědi na otázku dodržování zásady účelového omezení, z nichž vyplývá, že se nelze domnívat, že dotčené zpracování sledovalo dvojí účel, včetně plnění smluv o předplatném(36).

68.      V každém případě, bez ohledu na povahu daného účelu nebo daných účelů, by však zpracování údajů ve formě uložení v doplňujícím interním souboru mělo být časově omezeno na to, co je nezbytně nutné. Jinými slovy, jakmile byla původní porucha vyřešena, zanikla okolnost, která odůvodňovala operaci uložení a její zachování. Přímý a první účel zajištění bezpečnosti údajů ve vztahu k opravě technické závady, samostatně nebo ve spojení s nepřímým a vedlejším účelem plnění smlouvy o předplatném, se nadále nemůže za těchto okolností vztahovat na pokračování ve zpracování.

69.      Je třeba konstatovat, že Digi jednoznačně uvedla, že zkušební databáze byla určena k zajištění přístupu k údajům o předplatitelích „do doby, než bude chyba opravena“, a že tuto databázi nedopatřením neodstranila, ačkoli již nebyla odůvodněna opravou chyb(37), což znamená, že sporné zpracování již nebylo zapotřebí a bylo tedy bez účelu. Lze se domnívat, že interní databáze, na kterou správce podle svého vyjádření po dobu jednoho a půl roku zapomněl, může mít nadále skutečný účel? Podle mého názoru musí být odpověď nutně záporná.
V.      Závěry

70.      S  přihlédnutím k výše uvedeným úvahám navrhuji Soudnímu dvoru, aby odpověděl Fővárosi Törvényszék (soud hlavního města Budapešti, Maďarsko) následovně:
„1)      Článek 5 odst. 1 písm. b) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že zásada uvedená v tomto ustanovení nebrání uchovávání osobních údajů, které byly shromážděny a uloženy v souladu se zákonem, v doplňující interní databázi, pokud toto zpracování sleduje stejné účely jako jsou účely shromáždění, nebo, pokud tomu tak není, je s těmito účely slučitelné, což přísluší prokázat správci, včetně případu, kdy tímto zpracováním plní správce svou povinnost zajistit náležité zabezpečení osobních údajů stanovenou v čl. 5 odst. 1 písm. f) uvedeného nařízení.
Pokud není uvedené zpracování pro jiný účel než ten, pro který byly údaje shromážděny, založeno na souhlasu subjektu údajů nebo na legislativním aktu Unie nebo členského státu, na který se vztahuje čl. 23 odst. 1 nařízení 2016/679, musí být jeho slučitelnost prokázána zejména s ohledem na kritéria obsažená v čl. 6 odst. 4 tohoto nařízení.
2)      Článek 5 odst. 1 písm. e) nařízení 2016/679 musí být vykládán v tom smyslu, že zásada uvedená v tomto ustanovení brání uložení údajů ve formě umožňující identifikaci subjektů údajů, které byly shromážděny a uloženy v souladu se zákonem v doplňující interní databázi pro účel opravy technické závady a dočasného zajištění bezpečnosti těchto údajů, po dobu delší, než je nezbytné pro uskutečnění tohoto cíle, a tedy po odstranění této poruchy, včetně případu, kdy uvedený přímý a první účel může být provázán s nepřímým a vedlejším účelem poskytování smluvně sjednané služby.“

1–      Původní jazyk: francouzština.

2–      Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

3–      Rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, body 73 a 74).

4–      Směrnice Evropského parlamentu a Rady ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/29, s. 514).

5–      Rozsudek ze dne 6. října 2020, Privacy International (C‑623/17, EU:C:2020:790, body 34 a 36).

6–      Směrnice Evropského parlamentu a Rady ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).

7–      Je třeba připomenout, že vzhledem k tomu, že GDPR zrušilo a nahradilo směrnici 95/46 a příslušná ustanovení tohoto nařízení mají v podstatě totožný obsah jako relevantní ustanovení této směrnice, je judikatura Soudního dvora týkající se uvedené směrnice v zásadě použitelná i na uvedené nařízení [rozsudek ze dne 17. června 2021, M. I. C. M. (C‑597/19, EU:C:2021:492, bod 107)].

8–      Viz rozsudek ze dne 11. listopadu 2020, Orange Romania (C‑61/19, EU:C:2020:901), pokud jde o výlučné použití ustanovení směrnice 95/46 a GDPR ve věci, která se týkala souhlasu zákazníků společnosti Orange România, poskytovatele mobilních telekomunikačních služeb na rumunském trhu, se shromažďováním a uchováváním kopií jejich dokladů totožnosti.

9–      Z bodu 2 vyjádření Komise vyplývá, že tyto údaje odpovídaly následujícím informacím: jméno, místo a datum narození, adresa, číslo průkazu totožnosti, někdy osobní číslo, e-mailová adresa, čísla pevných a mobilních telefonů subjektů údajů.

10–      Rozsudek ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208).

11–      Obdobně viz rozsudek ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 72).

12–      Nezávislost povinností správce definovaných v článku 5 GDPR nevylučuje existenci souvislosti mezi nimi, v projednávaném případě vytvořené prostřednictvím pojmu „účely“. Ověření povahy a účelů činnosti zpracování je nezbytné pro posouzení, zda byly dodrženy zásady obsažené v tomto ustanovení a zejména zásady účelového omezení a omezení uložení dotčené ve sporu v původním řízení.

13–      Rozsudek ze dne 22. dubna 2021, Profi Credit Slovakia (C‑485/19, EU:C:2021:313, bod 50).

14–      Další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely musí být podle čl. 5 odst. 1 písm. b) GDPR považováno za zákonnou operaci zpracování slučitelnou s původními účely, přičemž tato situace neodpovídá okolnostem věci v původním řízení.

15–      Obdobně viz rozsudek ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 93).

16–      V tomto smyslu viz rozsudky ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 33), a ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 92).

17–      V tomto smyslu viz rozsudek ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 33).

18–      S ohledem na povahu těchto operací zpracování se domnívám, že čl. 6 odst. 1 písm. a) a b) GDPR je jejich náležitým právním základem, který ostatně není v projednávaném případě předmětem sporu.

19–      Obdobně viz rozsudek ze dne 20. května 2003, Österreichischer Rundfunk a další (C‑465/00, C‑138/01 a C‑139/01, EU:C:2003:294, bod 40).

20–      Operace shromažďování osobních údajů zákazníků i operace jejich uchovávání v původní databázi současně splňují tentýž účel, a sice poskytování služby stanovené ve smlouvě.

21–      Viz bod 13 vyjádření společnosti Digi.

22–      Nezávislý poradní orgán, který byl zřízen na základě článku 29 směrnice 95/46 a po přijetí GDPR nahrazen Evropským sborem pro ochranu osobních údajů.

23–      Obdobně viz rozsudek ze dne 11. listopadu 2020, Orange Romania (C‑61/19, EU:C:2020:901, body 51 a 52).

24–      Znění čl. 13 odst. 3 GDPR podporuje přístup, podle kterého se požadavek na konkrétnost účelu nepoužije pouze ve fázi shromáždění údajů, ale vztahuje se na všechny operace zpracování.

25–      Toto ustanovení odráží pružnost v oblasti řízení uznanou ve prospěch správce, jehož posouzení je určující pouze pro splnění informační povinnosti vůči subjektům údajů. Tato možnost vyžaduje současně důkladné ověření účelů zpracování dozorovým orgánem, které je zásadní pro zajištění zákonnosti dalšího zpracování, a zejména dodržování požadavku slučitelnosti.

26–      Dosah této povinnosti je totiž oslaben prostřednictvím osvobození ve prospěch podniků nebo organizací zaměstnávajících méně než 250 osob, ledaže zpracování, které provádí, pravděpodobně představuje riziko pro práva a svobody subjektů údajů, zpracování není příležitostné, nebo zahrnuje zpracování zvláštních kategorií údajů uvedených v čl. 9 odst. 1 GDPR nebo osobních údajů týkajících se rozsudků v trestních věcech a trestných činů uvedených v článku 10 tohoto aktu.

27–      Rozsudek ze dne 11. listopadu 2020, Orange Romania (C‑61/19, EU:C:2020:901, bod 48). Podotýkám, že není bez zajímavosti, že osvobození od informační povinnosti uložené správci v případě, že osobní údaje nebyly získány od subjektu údajů, stanovené v čl. 14 odst. 5 písm. b) GDPR, pokud se ukáže, že poskytnutí informací není možné nebo by vyžadovalo nepřiměřené úsilí, se nepoužilo na situace upravené článkem 13 tohoto nařízení.

28–      Je třeba poznamenat, že mezi zpracování, která jsou osvobozena od požadavku slučitelnosti, nepatří zpracování založená na čl. 6 odst. 1 písm. c) GDPR, která se týkají zpracování nezbytných pro splnění právní povinnosti, která se na správce vztahuje, a zejména povinnosti stanovené v čl. 5 odst. 1 písm. f) tohoto nařízení, která se týká zajištění náležitého zabezpečení údajů.

29–      Připomínám, že podle čl. 6 odst. 1 písm. a) GDPR je zpracování zákonné, pouze pokud subjekt údajů udělil souhlas se zpracováním svých osobních údajů „pro jeden či více konkrétních účelů“.

30–      Tato podmínka není v projednávané věci předmětem sporu.

31–      V tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body) (C‑439/19, EU:C:2021:504, bod 98).

32–      Rozsudek ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 210).

33–      Obdobně viz rozsudek ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293, bod 35).

34–      S ohledem na okolnosti, za kterých bylo provedeno sporné zpracování, se v projednávané věci toto ustanovení nepoužilo.

35–      Rozsudek ze dne 13. května 2014, Google Spain a Google (C‑131/12, EU:C:2014:317, bod 94).

36–      Pouze připomínám, že zjištění ohledně odstranění zkušební databáze bezprostředně po „etickém“ hackerském útoku, jehož předmětem byla společnost Digi, nezávisle na trvání smluvních vztahů s dotyčnými předplatiteli, je v přímém rozporu s tvrzením ohledně zachování této databáze odůvodněného plněním smluv o předplatném.

37–      Viz zejména bod 22 vyjádření Digi.