CELEX: 62021CN0683
Language: cs
Date: 2021-11-12 00:00:00
Title: Věc C-683/21: Žádost o rozhodnutí o předběžné otázce podaná Vilniaus apygardos administracinis teismas (Litva) dne 12. listopadu 2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v. Valstybinė duomenų apsaugos inspekcija

21.2.2022   
            
            
               CS
            
            
               Úřední věstník Evropské unie
            
            
               C 84/26
            
         
      Žádost o rozhodnutí o předběžné otázce podaná Vilniaus apygardos administracinis teismas (Litva) dne 12. listopadu 2021 – Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos v. Valstybinė duomenų apsaugos inspekcija
      (Věc C-683/21)
      (2022/C 84/34)
      Jednací jazyk: litevština
      
         Předkládající soud
      
      Vilniaus apygardos administracinis teismas
      
         Účastníci původního řízení
      
      
         Žalobce: Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos
      
         Žalovaná: Valstybinė duomenų apsaugos inspekcija
      
         Předběžné otázky
      
      
                  1.
               
               
                  Lze pojem „správce“ uvedený v čl. 4 bodu 7 GDPR (1) vykládat v tom smyslu, že za správce je třeba považovat i osobu, která má v úmyslu pořídit prostřednictvím zadávacího řízení nástroj pro shromažďování údajů (mobilní aplikaci), bez ohledu na to, že nebyla uzavřena smlouva o zadání veřejné zakázky a vytvořený produkt (mobilní aplikace), k jehož pořízení bylo využito zadávacího řízení, nebyl předán?
               
            
                  2.
               
               
                  Lze pojem „správce“ uvedený v čl. 4 bodu 7 GDPR vykládat v tom smyslu, že za správce je třeba považovat i veřejného zadavatele, který nenabyl vlastnické právo k vytvořenému IT produktu, ani ho nepřevzal, ale konečná verze vytvořené aplikace obsahuje odkazy na tento veřejnoprávní subjekt či s ním propojená rozhraní nebo dotyčný veřejnoprávní subjekt byl coby správce uveden v rámci politiky ochrany důvěrných údajů, kterou oficiálně neschválil ani neuznal?
               
            
                  3.
               
               
                  Lze pojem „správce“ uvedený v čl. 4 bodu 7 GDPR vykládat v tom smyslu, že za správce je třeba považovat i osobu, která neprovedla žádné skutečné operace spočívající ve zpracování údajů ve smyslu čl. 4 bodu 2 GDPR nebo která ve vztahu k provedení takových operací neposkytla jednoznačné povolení/souhlas? Je pro výklad pojmu „správce“ relevantní skutečnost, že IT produkt použitý ke zpracování osobních údajů byl vytvořen v souladu se zadáním veřejného zadavatele?
               
            
                  4.
               
               
                  Je-li pro účely výkladu pojmu „správce“ relevantní určení skutečných operací spočívajících ve zpracování údajů, musí být definice „zpracování“ osobních údajů ve smyslu čl. 4 bodu 2 GDPR vykládána v tom smyslu, že se vztahuje i na situace, kdy byly v rámci procesu pořizování mobilní aplikace použity kopie osobních údajů k testování IT systémů?
               
            
                  5.
               
               
                  Lze společnou správu údajů podle čl. 4 bodu 7 a čl. 26 odst. 1 GDPR vykládat výlučně v tom smyslu, že se jedná o záměrně koordinované činnosti, pokud jde o určení účelu a prostředků zpracování údajů, nebo lze tento pojem vykládat rovněž v tom smyslu, že se společná správa vztahuje i na situace, kdy neexistuje jednoznačná „dohoda“ o účelu a prostředcích zpracování údajů nebo kdy činnost dotčených subjektů není koordinovaná? Jsou pro výklad pojmu „společná správa údajů“ právně relevantní okolnost související s fází vytváření prostředků pro zpracování osobních údajů (IT aplikace), ve které došlo ke zpracování osobních údajů, a účel vytváření dané aplikace? Lze „dohodu“ mezi společnými správci chápat výlučně jako jednoznačné a jasné vymezení podmínek společné správy údajů?
               
            
                  6.
               
               
                  Musí být ustanovení čl. 83 odst. 1 GDPR v rozsahu, v němž stanoví, že „ukládání správních pokut [musí být] účinné, přiměřené a odrazující“, vykládáno v tom smyslu, že se vztahuje i na případy, kdy je odpovědnost přičtena „správci“, pokud zpracování osobních údajů provádí i vývojář při vytváření IT produktu, a platí, že nepatřičné zpracování osobních údajů prováděné zpracovatelem vždy automaticky zakládá právní odpovědnost správce? Musí být toto ustanovení vykládáno v tom smyslu, že se vztahuje i na případy objektivní odpovědnosti správce?
               
            
         (1)  Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1).