STANOVISKO GENERÁLNÍHO ADVOKÁTA
DÁMASA RUIZ-JARABA COLOMERA
přednesené dne 22. prosince 2008 (1)
Věc C‑553/07
College van burgemeester en wethouders van Rotterdam
proti
M. E. E. Rijkeboerovi
[žádost o rozhodnutí o předběžné otázce podaná Raad van State (Nizozemsko)]
„Ochrana údajů – Základní práva – Směrnice 95/46/ES – Právo na přístup k osobním údajům – Výmaz – Sdělení třetím osobám – Lhůta pro výkon práva na přístup – Zásada proporcionality“
I – Úvod
1. Raad van State (státní rada Nizozemska) položila Soudnímu dvoru předběžnou otázku ohledně výkladu článků 6 a 12 směrnice 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů(2). Předběžná otázka je položena v ožehavém kontextu: výmaz osobních informací v držení obecního úřadu, které byly předány třetím osobám, a následné právo na přístup k údajům o zpracování.
2. Likvidace údajů představuje v zásadě ochrannou činnost. Vyvolává však odlišné důsledky, protože spolu s rejstříky mizí také stopy jejich použití. Ten, kdo je zdánlivě chráněn, bývá totiž také poškozen, neboť se nikdy nedozví, jak s jeho osobními údaji nakládal jejich držitel(3).
3. Na pozadí této diskuse musí Soudní dvůr rozhodnout, zda lhůta pro zničení údajů působí jako časové omezení práva na přístup ke zpracování. V takovém případě by bylo třeba objasnit, zda je lhůta jednoho roku dostatečná a přiměřená pro ochranu práv zakotvených ve směrnici 95/46.
II – Skutkové okolnosti
4. Předkládací usnesení uvádí, že M. E. E. Rijkeboer žádal College van burgemeester en wethouders van Rotterdam (městský úřad Rotterdam, dále jen „College“) o seznam případů sdělování informací týkajících se jeho osoby třetím osobám uskutečněných podle archivu obecní správy během posledních dvou let. Rozhodnutími ze dne 27. a 29. listopadu 2005 College částečně zamítl žádost M. E. E. Rijkeboera a poskytl mu pouze údaje vztahující se k předchozímu roku. M. E. E. Rijkeboer s obecním rozhodnutím nesouhlasil a podal proti němu správní opravný prostředek, který byl dne 13. února 2006 také zamítnut.
5. Po vyčerpání možností ve správním řízení vyhověl Rechtbank Rotterdam (soud v Rotterdamu) žalobě M. E. E. Rijkeboera. Ve svém rozsudku ze dne 17. listopadu 2006 zrušil Rechtbank Rotterdam správní rozhodnutí, které částečně zamítalo žádost dotyčného, a nařídil, aby College vydal nové rozhodnutí.
6. Dne 28. prosince 2006 podal College opravný prostředek ke správnímu oddělení Raad van State, který usnesením ze dne 5. prosince 2007 přerušil původní řízení a položil Soudnímu dvoru předběžnou otázku.
III – Právní rámec
A – Právní rámec Společenství
7. Článek 6 EU v odstavcích 1 a 2 vyhlašuje vázanost Unie základními právy těmito slovy:
„Článek 1
1. Unie je založena na zásadách svobody, demokracie, dodržování lidských práv a základních svobod a právního státu, zásadách, které jsou společné členským státům.
2. Unie ctí základní práva zaručená Evropskou úmluvou o ochraně lidských práv a základních svobod podepsanou v Římě dne 4. listopadu 1950 a ta, jež vyplývají z ústavních tradic společných členským státům, jako obecné zásady práva Společenství.
[...]“
8. Základní právo na soukromí jako obecná zásada práva Společenství doznala normativního vyjádření ve směrnici 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů. Tento předpis, jehož zásady byly převzaty do článku 8 Listiny základních práv Evropské unie, definuje pojem „údaje“ a ukládá jejich výmaz, jsou-li po určitou dobu zpracovávány. Článek 2 písm. a) a čl. 6 uvedené směrnice to stanoví takto:
„Článek 2
[...]
a) ‚osobními údaji‘ [se rozumí] veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;
[…]
Článek 6
1. Členské státy stanoví, že osobní údaje musí být:
[…]
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány. Členské státy stanoví vhodná ochranná opatření pro osobní údaje, které jsou uchovávány po dobu delší, než je uvedeno výše pro historické, statistické či vědecké účely.
[...]“
9. K zabezpečení transparentnosti při zpracování ukládají články 10 a 11 směrnice 95/46 informační povinnosti ve prospěch subjektu údajů v závislosti na tom, zda byly údaje shromážděny od této osoby, či nikoli. Mezi jinými povinnostmi má správce rejstříků i následující úkoly:
„Článek 10
Informování v případě shromažďování údajů od subjektu údajů
Členské státy stanoví, že správce nebo jeho zástupce musí poskytnout osobě, od které získává údaje, které se jí týkají, alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a) totožnost správce a popřípadě jeho zástupce;
b) účely zpracování, pro které jsou údaje určeny;
c) veškeré doplňující informace jako:
– příjemci nebo kategorie příjemců údajů,
– skutečnost, zda jsou odpovědi na otázky povinné nebo dobrovolné a případné důsledky neposkytnutí odpovědi,
– existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů, s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.
Článek 11
Informování v případě, že údaje neposkytuje subjekt údajů
1. Pokud údaje neposkytuje subjekt údajů, stanoví členské státy, že správce nebo jeho zástupce musí po zaznamenání údajů nebo, počítá-li se se sdělením údajů třetí osobě, nejpozději při jejich prvním sdělení poskytnout subjektu údajů alespoň dále uvedené informace, ledaže s nimi subjekt údajů již byl seznámen:
a) totožnost správce, popřípadě jeho zástupce;
b) účely zpracování;
c) veškeré doplňující informace jako:
– kategorie dotčených údajů;
– příjemci nebo kategorie příjemců údajů;
– existence práva na přístup k údajům, které se subjektu údajů týkají, a právo na jejich opravu,
v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů vůči subjektu údajů s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány.
[…]“
10. Subjekty zpracovávaných údajů mohou dohlížet na jejich správné použití výkonem tzv. „práva na přístup“, jehož hlavní charakteristiky jsou vymezeny v článku 12 směrnice 95/46. Pro účely této věci má relevanci první domněnka tohoto článku:
„Článek 12
Právo na přístup
Členské státy zaručí každému subjektu údajů právo získat od správce:
a) bez omezení, v rozumných intervalech a bez prodlení nebo nadměrných nákladů:
– potvrzení, že údaje, které se ho týkají, jsou či nejsou zpracovávány, jakož i informace týkající se alespoň účelů zpracování, kategorií údajů, na které se zpracování vztahuje, a příjemců nebo kategorií příjemců, kterým jsou údaje sdělovány,
– sdělení srozumitelnou formou o údajích, které jsou předmětem zpracování, a veškeré dostupné informace o původu údajů,
– oznámení postupu automatického zpracování údajů, které se ho týkají, alespoň v případě automaticky přijímaných rozhodnutí uvedených v čl. 15 odst. 1.
[…]“
11. Povinnost výmazu a právo na přístup mohou členské státy omezit v případech vyjmenovaných v článku 13 směrnice 95/46:
„Článek 13
1. Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:
a) bezpečnosti státu;
b) obrany;
c) veřejné bezpečnosti;
d) předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;
e) významného hospodářského nebo finančního zájmu členského státu nebo Evropské unie včetně měnové, rozpočtové a daňové oblasti;
f) kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e);
g) ochrany subjektu údajů nebo práv a svobod druhých.
[…]“
B – Vnitrostátní právní rámec
12. Nizozemský právní řád provedl směrnici 95/46 obecným předpisem, Wet bescherming persoonsgegevens (zákon o ochraně osobních údajů). V tomto řízení o předběžné otázce má uváděná právní úprava podpůrnou povahu, neboť v oblasti místní správy platí zvláštní právní předpis, Wet gemeentelijke basisadministratie persoonsgegevens (zákon o osobních údajích obecní správy). Jeho čl. 103 odst. 1 vymezuje podmínky, za kterých má subjekt přístup k informacím o zpracování údajů, které se ho týkají:
„Článek 103
1. College van burgemeester en wethouders sdělí písemně během čtyř týdnů subjektu údajů na jeho žádost, zda v roce předcházejícím žádosti byly údaje, které se ho týkají, sděleny příjemci nebo třetí osobě.
[…]“
IV – Předběžná otázka
13. Dne 12. prosince 2007 byla do rejstříku kanceláře Soudního dvora zapsána žádost podaná Raad van State o rozhodnutí o předběžné otázce následujícího znění:
„Je zákonem stanovené omezení sdělení údajů na rok předcházející podání žádosti v souladu s čl. 12 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, ve spojení s čl. 6 odst. 1 písm. e) této směrnice a se zásadou proporcionality?“
14. Ve lhůtě stanovené článkem 23 statutu Soudního dvora předložily vyjádření College, vlády Nizozemska, Spojeného království, Řecké republiky, České republiky a Španělského království, jakož i Komise.
15. Vyjádření právních zástupců College a M. E. E. Rijkeboera a zmocněnců vlád Nizozemska, České republiky, Španělského království a Spojeného království, jakož i Evropské komise byla vyslechnuta na jednání konaném dne 20. listopadu 2008.
V – Vymezení předmětu diskuse
16. Tato věc vyvolává několik otázek určité pojmové složitosti. V podstatě jde o zjištění, zda může být stanovena specifická lhůta pro výmaz informace týkající se zpracování osobních údajů. Jejich výmazem v souladu se směrnicí 95/46 se uzavírá možnost uplatnit právo na přístup, neboť nelze žádat o informaci, která již neexistuje. Diskuse se tudíž zaměřuje na omezení oprávnění, které je rovněž výslovně zakotveno ve směrnici 95/46. Toto napětí mezi výmazem a přístupem odhaluje v uvedeném právním předpisu vnitřní rozpor, k němuž se má Soudní dvůr vyjádřit.
17. Je tedy třeba rozhodnout, zda údaje o zpracování zasluhují nebo mohou zasluhovat stejný právní režim jako osobní údaje. Také je potřeba vyjasnit, zda lhůta pro výmaz má ve všech případech působit jako omezení práva na přístup. Tyto pochybnosti musí být rozhodnuty v poněkud nejasném skutkovém a právním kontextu, neboť Raad van State neuvádí, zda lhůta stanovená pro výmaz údajů o zpracování je shodná se lhůtou u osobních údajů, nebo je kratší. Je tedy nutno analyzovat obě situace, aby se předkládajícímu soudu dostalo užitečné odpovědi.
VI – Úvodní diskuse: Zvážení zájmů s ohledem na základních práva Unie
A – Základní právo na soukromí a jeho vývoj ve Společenství
18. Při dodržení požadavků své ústavní listiny(4) vychází Evropská unie ze základních práv, na jejichž ochranu dohlíží Soudní dvůr(5). Po různých obdobích vývoje judikatury, zahájeného rozsudky Stauder(6) a Internationale Handelsgesellschaft(7), přiznaly členské státy plnou platnost strukturální povaze těchto práv, když schválily článek F Jednotného evropského aktu, který se později stal článkem 6 EU. Toto ustanovení prohlašuje, že Unie tato práva ctí tak, jak jsou zaručena Evropskou úmluvou o ochraně lidských práv a základních svobod(8) (dále jen „EÚLP“) a jak vyplývají z ústavních tradic společných členským státům.
19. Právo na soukromí je součástí těchto tradic. Od raného rozsudku Stauder(9) zařadila judikatura ochranu soukromí mezi obecné zásady práva Společenství. V první chvíli tak učinila při zkoumání povinností poskytovat údaje, jako je jméno(10) nebo informace o zdravotním stavu(11), při jejich vnitrostátním výkonu(12) nebo při jejich výkonu na úrovni Společenství(13). Nedlouho poté, během devadesátých let, potvrdil Soudní dvůr dopad tohoto práva v oblasti soukromého(14) a rodinného(15) života.
20. Rok 1995 znamenal posun, když byla přijata směrnice 95/46 o ochraně fyzických osob při zpracování údajů, které se jich týkají. Judikatura Soudního dvora v této oblasti, do té doby rozptýlená a kazuistická, nalezla pevnější základ, o který mohla opřít svá rozhodnutí, neboť směrnice podrobně vymezuje předmět(16), subjekty(17) a možné prostředky nápravy v rukou jednotlivce při oběhu informací, které se ho týkají(18). V desátém bodě jejího odůvodnění je vyjádřen cíl směrnice 95/46 jako nástroje ochrany základních práv zakotvených v EÚLP a v obecných zásadách práva Společenství(19). Rozsudek Österreichischer Rundfunk potvrdil, že ačkoli se směrnice 95/46 zaměřuje na volný pohyb údajů, zahrnuje také významný aspekt ochrany základních práv(20).
21. Ve zkratce řečeno, směrnice 95/46 rozvíjí základní právo na soukromí v rozměru týkajícím se automatického zpracování osobních informací(21).
22. Jak dokazuje uvedené kodifikační úsilí, stačí ověřit, že článek 8 Listiny základních práv Evropské unie(22) věnovaný „ochraně osobních údajů“ vyhlašuje právo na soukromí a na korektní zpracování údajů a uznává také právo na přístup k údajům a na jejich opravu. I přes opatrnost, s níž je třeba Listinu používat(23), lze jen obtížně nedbat jejího znění a popírat, že tyto prvky práva jsou součástí ústavních tradic společných členským státům(24). Tento závěr sílí, pokud připomeneme, že uplynulo více než deset let od přijetí směrnice 95/46 a současně došlo k účinné harmonizaci v dané oblasti(25).
23. Právě Listina zdůrazňuje v článku 8 dva aspekty, které se týkají tohoto sporu. Oba se odrážejí v článcích 6 a 12 směrnice 95/46; na jedné straně povinnost výmazu údajů po době ne delší, než je nezbytné s ohledem na cíle, pro které jsou shromažďovány [čl. 6 odst. 1 písm. e)]; a na druhé straně právo na přístup bez omezení k informacím o příjemcích, jimž byly sděleny [článek 12 písm. a)]. Tím, že Listina převzala tyto aspekty a začlenila je do „samotného jádra“ základního práva na soukromí, vyžaduje předběžná otázka Raad van State zvážení statků a zájmů, aby byla nalezena rozumná odpověď, která začlení tato pravidla do jim odpovídajícího ústavního rámce(26).
24. Při popisu klíčů k výkladu směrnice 95/46 je třeba předběžně prostudovat její teleologickou součást, abychom určili převažující zájem.
B – Základní právo na soukromí a jeho vnitřní napětí
25. Tento spor se netýká dvou základních práv, nýbrž dvou stran téže mince. Na rozdíl od toho, co se událo v případech, ve kterých dochází ke střetu například práva na čest a práva na svobodu informací nebo práva na soukromí a vlastnického práva, jsou nyní zkoumány dvě povinnosti, které tíží veřejné orgány: povinnost stanovit lhůty pro likvidaci rejstříků osobních údajů a povinnost zaručit přístup subjektům těchto údajů. Tato zvláštnost odlišuje případ M. E. E. Rijkeboera od jiných, k nimž se Soudní dvůr vyslovil již dříve, jako jsou věci Lindqvist(27) nebo Promusicae(28), v nichž ochrana soukromí narážela buď na náboženskou svobodu, nebo na vlastnictví(29). Zde naopak existuje jediné právo s vnitřním konfliktem, podobná rozdvojená duše jako u doktora Jekylla a pana Hydea, neboť jeho nitro, jak dále ukážu, společně obývají laskavost a chladná, vypočítavá krutost.
26. Uchování údajů správci je časově omezený úkol, neboť směrnice 95/46 je ukládá uchovávat po dobu ne delší, než je nezbytné s ohledem na cíle, pro které jsou shromažďovány nebo budou později určeny. Takto jednoznačně to vyjadřuje článek 6, když ponechává na členských státech, aby určily relevantní lhůty v závislosti na oblastech a cílech, které jsou základem pro vytváření a pozdější likvidaci rejstříků. Přes flexibilitu, kterou ustanovení ponechává každému vnitrostátnímu právnímu řádu, dovoluje článek 13 směrnice 95/46 stanovit výjimky z pravidla a umožňuje uchování údajů po dobu delší, než je obvyklé, když to vyžadují obecné zájmy, jako je bezpečnost státu, potírání zločinnosti nebo vědecký výzkum.
27. Aniž by zmiňovalo tuto okolnost, nepřikládá odůvodnění směrnice 95/46 větší význam omezením pro uchování údajů. Této povinnosti věnují pozornost jen články 6 a 12, a tedy se s ohledem na velkorysý prostor pro uvážení, který směrnice 95/46 ponechává členským státům, domnívám, že se zákonodárce Společenství na tento problém nezaměřil, což je zřejmé při srovnání jeho úpravy s úpravou práva na přístup(30).
28. Možnost, aby subjekt údajů mohl s údaji zacházet a žádal o jejich opravu, výmaz nebo blokování, představuje jeden z podstatných aspektů směrnice 95/46. Třicátý osmý a čtyřicátý bod odůvodnění dokreslují tuto myšlenku nejen proto, že potvrzují význam práva na přístup, nýbrž také spojením, které předpokládá mezi informacemi, jimiž disponuje subjekt údajů, a jejich zpracováním. Aby totiž byla oprávnění přiznaná v článku 12 proveditelná, je třeba počítat s řadou základních zásad, neboť jinak by záruky tohoto pravidla byly nulové. Čtyřicátý první bod odůvodnění to velmi zřetelně vyjadřuje, když uvádí, že „každá osoba musí mít možnost požívat práva na přístup k údajům, které se jí týkají a které jsou předmětem zpracování, aby se především přesvědčila o jejich přesnosti a o oprávněnosti jejich zpracování(31)“. V tomto bodě nabývají veškerého smyslu takzvané „zásady pro kvalitu údajů“, které stanoví kapitola II oddíl I směrnice 95/46, mezi nimiž se objevuje také povinnost uchovávat je po dobu „ne delší, než je nezbytné pro uskutečnění [jejich] cílů“. Povinnost zlikvidovat rejstříky se pojí s povinností pečovat o informace „korektním a zákonným způsobem“ a s povinností zaručit jejich kvalitu, aby byly přiměřené, podstatné, nepřesahující míru a přesné(32).
C – Vedlejší charakter článku 6 ve vztahu k článku 12 směrnice 95/46
29. Jsem si vědom obtíže, kterou vyvolává identifikace přednostního zájmu mezi články 6 a 12 směrnice 95/46. Existují silné důvody pro obhajobu názoru, že výmaz je klíčem systému zavedeného směrnicí 95/46, v jejímž rámci je zřízeno právo na přístup, které jednotlivce opravňuje dohlížet na splnění výmazových úkolů. Stejným způsobem je vybudováno právo na ochranu v článku 12, neboť přístup představuje opravdový subjektivní rozměr směrnice, který ve zkratce umožňuje jednotlivci reagovat za účelem ochrany svých zájmů.
30. V této situaci se nemohu ubránit tomu, abych nepřipomněl staré dilema o vejci a slepici. Co bylo dřív? Je možné žít s touto otázkou věčně a připustit, že nikdy nebude vyřešena, neboť oba pojmy jsou věčné reálné věci, jak napsal Aristoteles(33)?
31. Avšak soudy nepožívají svobody myšlení filosofa a musí se snažit dát odpověď, i když nebude vždy nejvýstižnější. Proto stejně jako existují vědci, kteří zaujali pozici ve věčném boji mezi slepicemi a vejci(34), kloním se k návrhu řešení konfliktu mezi články 6 a 12 směrnice 95/46.
32. Z toho, co jsem uvedl v bodech 29 až 35 tohoto stanoviska, vyvozuji, že směrnice 95/46 uznává podřízení výmazu právu na přístup. Tato pravidla přiznávají právo, které se rodí přípravou rejstříku a hyne jeho výmazem. Likvidace údajů je tudíž pouhým okamžikem v životě práva na přístup, což je rys, který podmiňuje a odůvodňuje článek 12.
33. Pokračujeme-li v této úvaze, dospějeme k přesvědčení, že právo na přístup sleduje ten cíl, aby subjekt údajů znal informace, jež jsou známy o jeho osobě. Navíc zacházíme ještě dále, pokud se ptáme na účel jeho pátrání. V mnoha případech usiluje subjekt práva o prověření zákonnosti zpracování svých údajů. Směrnice 95/46 ukládá správcům některé zásady pro výkon jejich činnosti, ale svou sílu projevuje také v ochranných mechanismech, mezi nimiž se nachází právo na přístup jako nástroj subjektu informací určený ke kontrole a prosazování pořádku.
34. Článek 12 by tedy jako osa systému záruk směrnice 95/46 postrádal logiku, pokud by ti, kdo spravují cizí data, nepodléhali žádnému pravidlu. Jak na jednání správně vyložila Komise, právě proto, že existují zásady zpracování (článek 6), je zřizováno právo na přístup(35), které se tyčí jako základní pilíř uvedené směrnice, jak lze ověřit v jejím článku 12, který zdůrazňuje upřesňující slova „bez omezení“(36). S ohledem na charakter směrnice 95/46 jako záruky, která soustřeďuje veškeré úsilí na ochranu subjektů údajů, je zřejmé, že povinnost uchování je ve vztahu k právu na přístup pomocná. Její pevné subjektivní zaměření a záměr chránit práva základního typu (v tomto případě práva na soukromí) upevňují tuto myšlenku a zohledňují zájmy, jež stojí v podtextu článku 6 na nižší normativní úrovni.
35. Tento argument potvrzuje systematika článku 8 Listiny základních práv Evropské unie, jejíž výkladová hodnota je nepochybná(37), a v prvním odstavci tohoto ustanovení uvádí právo na přístup. Odstavec 2 dále vyjmenovává zásady týkající se zpracování, ale ukazuje toto hierarchické pořadí, v němž má přednost právo subjektu před zodpovědností toho, kdo údaje užívá.
36. S touto perspektivou jako prvotním předpokladem a při upozornění Soudního dvora na subjektivní rozměr směrnice 95/46, v níž požívá zvláštní autority článek 12 ve vztahu k článku 6, budu zkoumat otázku státní rady Nizozemska.
VII – Osobní údaje a údaje o zpracování
37. Jak uvádím v bodech 16 a 17 tohoto stanoviska, je třeba prozkoumat odděleně dvě situace, které nastávají v závislosti na okolnostech každého případu, a analyzovat zákonnost lhůty na jedné straně tehdy, když je kratší než lhůta pro hlavní údaje, a na druhé straně tehdy, když je lhůta pro přístup k údajům o zpracování stejná jako u hlavních údajů. V první situaci je třeba určit, zda směrnice připouští tuto nezávislost cest při přístupu založenou na druhu požadovaných údajů. Ve druhé situaci vzniká potíž s upřesněním, zda má existovat přístup v době po výmazu.
38. K přesnému vyřešení otázky Raad van State bude nezbytné napřed rozluštit, zda se lhůty pro výmaz mají použít společně na všechny údaje, včetně údajů týkajících se zpracování, nebo zda se mohou lišit podle druhu osobních informací. Existuje podstatný rozdíl odvozený z cílů, které sledují jednotlivé druhy informací.
39. Vláda Řecké republiky, jakož i Česká republika na ústním jednání zdůraznily, že každý druh údajů sleduje jiné účely. Bude zajímavé později vysvětlit výhody a nevýhody této úvahy a její důsledky pro tuto věc.
40. Likvidace osobních údajů směřuje k ochraně subjektu těchto údajů, neboť zničení informace odstraňuje jakékoli nebezpečí nezákonného zpracování. Skutečnost, že směrnice 95/46 nestanoví v článku 6 lhůtu, má určitou logiku, neboť každý rejstřík slouží vlastním cílům a v souladu se zásadou subsidiarity je vnitrostátní zákonodárce v lepším postavení pro to, aby rozhodl o době, jakou mají správci před likvidací. Výmaz údajů týkajících se zpracování však plní jiné úkoly, neboť nechrání subjekt informace, protože jednotlivec ztrácí informační stopu, aniž by vykonal právo na přístup, protože relevantní údaje již nejsou v rukou správce a z výmazu těží třetí osoby, které obdržely údaje, jejichž totožnost a cíle jsou vymazány.
41. Tento nástin zdůrazňuje skryté pojmové obtíže této věci. Je jisté, že lze rozlišit výmaz údajů a výmaz údajů týkajících se zpracování(38). Jsou tu přítomny různé dotčené právní statky a samostatné funkce, které směrnice 95/46 upravuje odděleně. Taková konstrukce dovedená do krajnosti však vyvolává nepříliš žádoucí důsledky. Zaprvé nerovnost postrádá oporu v doslovném znění směrnice 95/46, neboť článek 6 se zabývá výmazem údajů in totum, a článek 12, ačkoli vyjmenovává různé druhy informací, tak činí za účelem vymezení obsahu práva na přístup, nikoli s rozlišovacím úmyslem(39). Zadruhé právo na přístup je upraveno tak, aby bylo vykonáváno „bez omezení“, což předpokládá jeho široké pojetí. Jak bude nastíněno dále, lze vymezit míru, v jaké bude toto oprávnění chráněno v závislosti na okolnostech, ale znění článku 12 vylučuje, že existují přístupy první a druhé třídy. Zatřetí, jak na jednání zdůraznila Komise, Španělské království a Spojené království, oba druhy údajů vytvářejí technologickou jednotku, jsou obvykle zpracovávány ve stejných rejstřících a jejich společná správa nepřináší zvláště tíživé břemeno pro správce.
42. Proto vylučuji, že by údaje týkající se zpracování měly vlastní život a právní režim. Tyto informace se týkají zpracovávaných osobních údajů, neboť vysvětlují způsob a podmínky zacházení s nimi, což mě vede k obhajobě toho, že takové údaje představují podstatnou součást definice „údajů“ ve Společenství ve smyslu čl. 2 písm. a) směrnice 95/46. Abychom pro předkládající soud zformulovali užitečnou odpověď, je třeba toto tvrzení upřesnit s ohledem na dvě situace uvedené v bodech 16 a 17 tohoto stanoviska.
VIII – První situace: kratší lhůta pro údaje o zpracování
43. Zdá se, že otázka položená Raad van State odkazuje na tuto situaci: nizozemská právní úprava stanovila prodloužené uchování údajů o osobách, ale zakotvila kratší lhůtu – jeden rok – pro výmaz údajů týkajících se zpracování. Předkládací usnesení však neuvádí podrobnosti o skutečnostech původního sporu, a proto navrhují první odpověď s ohledem na uvedenou situaci.
44. Z důvodů uvedených v bodech 37 a 42 tohoto stanoviska se domnívám, že směrnice 95/46 nezavedla rozlišení mezi osobními údaji a údaji týkajícími se zpracování. Při vědomí obtíží při skladování, které by přijetí takového pojetí vyvolalo, jsem toho názoru, že lhůta pro výmaz v článku 6 směrnice 95/46 je shodná pro oba druhy údajů. Ačkoli se cíl výmazu liší v závislosti na údaji, je mi zatěžko si představit rozdílné režimy založené na tak umělém oddělení, zejména když se rozhoduje o základním právu.
45. Jak uvádím v bodech 29 až 35 tohoto stanoviska, předpis přiznává přednost právu na přístup, jemuž se podřizují výmazové povinnosti. K dosažení tohoto cíle budou jak osobní údaje, tak údaje týkající se zpracování lépe chráněny, budou-li uchovávány po stejnou dobu.
46. Jsou případy, kdy je skladování dlouhé; takové trvání je však odůvodněno obecným zájmem, který se uplatní rovněž na prodloužení životnosti údajů týkajících se zpracování. V případě neudržitelně rozsáhlého skladování z důvodu historického, statistického nebo vědeckého využití rejstříků směrnice 95/46 požaduje, aby členské státy přijaly zvláštní opatření, která přizpůsobí použití těchto rejstříků okolnostem, jež odůvodňují jejich prodloužené uchování(40). Je tedy třeba přijmout další opatření, která zaručí ochranu subjektu údajů, byť uzpůsobená historickému nebo kulturnímu využití podle čl. 6 odst. 1 písm. e) směrnice 95/46.
47. Navíc, jak upozorňuje College ve svém písemném vyjádření potvrzeném na jednání, existují jiná omezení této povinnosti skladovat údaje o zpracování ve lhůtách společných s osobními údaji. Příklad poskytnutý College se mi jeví jako rozhodující ohledně ochrany informace týkající se třetí osoby, která by sama byla předmětem ochrany směrnice 95/46, což neznamená, že původní subjekt předávané informace má zůstat zcela bez ochrany. Toto omezení znamená, výlučně ve vztahu k osobním údajům příjemce, že se původní subjekt podřizuje stejným omezením jako kterýkoli jiný předávající subjekt pro účely směrnice 95/46.
48. V důsledku toho, jsou-li osobní údaje a údaje týkající se zpracování podřízeny stejné lhůtě pro výmaz, nebylo by nutné hodnotit proporcionalitu lhůty jednoho roku zakotvené v nizozemské právní úpravě. Kdyby byla doba uchování údajů delší než u údajů o zpracování, končila by odpověď na předběžnou otázku zde.
49. Kdyby byl normativní kontext věci odlišný, lišilo by se řešení předběžné otázky za předpokladu, že by panovala shoda mezi lhůtami a subjekt údajů by žádal o přístup ke dříve zlikvidované informaci.
IX – Druhá situace: společná lhůta pro výmaz u obou druhů údajů
A – Doslovné znění článku 12 směrnice 95/46
50. Španělské království, Česká republika a Nizozemsko tvrdí, že článek 12 zavádí vazbu mezi přístupem a výmazem, který ukládá článek 6, a odvolávají se na znění čl. 12 písm. a) druhé odrážky. Ustanovení požaduje, aby členské státy zaručily „právo získat od správce sdělení srozumitelnou formou o údajích, které jsou předmětem zpracování, a veškeré dostupné informace o původu údajů“. Z jeho znění lze dovodit, že směrnice 95/46 omezuje právo na přístup ke zpracovávaným informacím; tuto možnost vylučuje, když se dohledání uskutečňuje po ukončení zpracování, tedy po výmazu. Tento výklad je upevněn srovnáním mnoha jazykových verzí, které se liší v intenzitě, s níž zachycují dočasný a pevný charakter práva na přístup.
51. Argument není přesvědčivý, protože ačkoli anglické znění odkazuje na údaje „undergoing processing“(41), španělské znění je méně jednoznačné. Uznávám, že přísnější výklad ustanovení by byl ve větším souladu s povinností výmazu uvedenou v článku 6. Nevěřím ale, že by srovnání bylo rozhodující, zejména když existují důvody, které uvedu níže, pro odchylku od gramatického vyjádření článku 12(42).
52. Také nesdílím postoj Španělského království, že by bylo třeba doplnit další výjimku z článku 12, která by se přidala k výjimkám obsaženým v článku 13 směrnice 95/46(43). Španělská vláda připouští, že by přístup byl omezen na údaje, které jsou předmětem zpracování v současnosti, a domnívá se, že se k výjimkám článku 13 připojuje další výjimka nepřímé povahy, jejíž obsah se odvozuje z uvedené povinnosti obsažené v článku 6 směrnice 95/46. Toto vysvětlení mě neláká, výmluvně podepírá tezi, o jejíž zpochybnění usiluje: jestliže článek 13 seskupuje výjimky z širokého rozsahu práva na přístup, jako takové musí být tyto výjimky vykládány striktně. Jestliže není namístě přistoupit k široké výjimce z takových omezení, tím spíše by bylo nepřípustné vytvořit jiné kategorie výjimek ex novo.
53. Zkrátka doslovné znění těchto ustanovení mě vede k vyloučení omezujícího posouzení práva na přístup. Tyto důvody by nevedly k jednotnému pojetí lhůty, protože podle vnitřní hierarchie směrnice 95/46 má právo na přístup přednost před výmazem. Zničení rejstříku tedy představuje hranici přístupu, která pouze potvrzuje její zákonnost, když jsou splněny určené záruky. Tedy: je možné podmínit výkon práva (například stanovením lhůty) za předpokladu, že subjekt údajů je chráněn jinými prostředky. Kdyby tomu tak nebylo, existovaly by lhůty pro výmaz, které by byly nezákonné, protože by bránily právu na přístup, což neznamená, že je nutné rozlišovat informace a ukládat správcům, aby věčně uchovávali údaje týkající se zpracování. Naopak to předpokládá, že lhůta pro výmaz musí být prodloužena, tak aby byl zajištěn přístup.
54. Mám tedy za to, že lhůta pro likvidaci představuje současně omezení práva zakotveného v článku 12 směrnice 95/46. Tato doba však může ustanovení porušit, pokud nadměrně ztěžuje dosažení cílů, které předpis sleduje.
B – Výjimka z pravidla: informování dotčené osoby
55. Z uvedených důvodů tvrdím, že lhůta pro výmaz působí jako omezení pro výkon přístupu, ačkoli existují okolnosti, za kterých dochází k posunu mezi lhůtami pro výmaz a lhůtami pro přístup. Použitím slova „posun“ narážím na možnost, že doba bude přiměřená pro výmaz a nepřiměřená pro přístup nebo naopak. Jsem si vědom praktických komplikací vyplývajících z tohoto přístupu, ale podobné následky mohou nastat ve specifické situaci, je‑li dotčená osoba dostatečně poučena o svých právech.
56. K tomuto výsledku dojdeme, jestliže v souladu s tím, co uvedla Řecká republika a Komise, odhalíme informační deficit k újmě subjektu údajů. Na vysvětlenou je třeba připomenout, že směrnice 95/46 zavádí v článcích 10 a 11 povinnost oznámit dotčené osobě a vyžádat od ní řadu odkazů anebo povolení, mezi nimiž jsou zahrnuty informace týkající se předání údajů třetím osobám; tato povinnost je stanovena vágním způsobem a každému členskému státu je přiznán široký rozhodovací prostor. Způsob, jakým jednotlivé vnitrostátní právní řády upravily tyto povinnosti, podmiňuje odpověď ve věci, jako je tato. Nic není na překážku tomu, aby někdo, kdo nebyl před předáním údajů informován o totožnosti příjemce nebo o lhůtách pro výkon práva na přístup, požíval vysokého stupně ochrany(44). Tento důsledek je v souladu s předností, kterou směrnice 95/46 přiznává subjektivnímu právu subjektu údajů, jehož omezení musí být provedeno takovým způsobem, aby byl výkon tohoto práva zaručen i po výmazu.
57. V některých případech může při použití této doktríny soudní řízení vyústit v rozsudek, který nelze vykonat. Jestliže College zlikvidoval z moci úřední všechny údaje M. E. E. Rijkeboera starší jednoho roku, mohla by se žádost dotyčného ocitnout ve slepé uličce. Je zřejmé, že městský úřad v Rotterdamu není schopen poskytnout to, co již nemá. Je možné, že se tento nedostatek týká i jiných vnitrostátních právních řádů, ale pouze po určitou dobu, která uplyne do úpravy zákonodárství, jež není v souladu s právem Společenství. Mezitím si však dotčená osoba zachovává cestu, kterou je finanční odpovědnost státu pro nesplnění evropských povinností. Nedošlo-li k provedení, které jednotlivce plně uspokojuje, umožňují tato pravidla alespoň peněžitou náhradu, k jejímuž přiznání jsou příslušné vnitrostátní soudy(45).
58. V konečném důsledku musí být tato věc rozhodnuta, při použití severoamerického výrazu, pomocí hard look při pohledu na proporcionalitu(46), jestliže Raad van State shledá, že v původním řízení byl zjištěn informační deficit. V takových situacích je nezbytné, aby lhůta pro výmaz nepůsobila automaticky jako překážka práva na přístup. Přezkum proporcionality by se uskutečňoval v jeho nejvyšším ochranném stupni, kdy by stěží připustil tak pomíjivou lhůtu, jako je lhůta jednoho roku.
59. Za těchto okolností se připojuji k těm, kdo pojímají výmaz a přístup jako prvky jediné skutečnosti, které jsou tudíž sjednoceny ve stanovení svých lhůt. Výmaz podle článku 6 směrnice 95/46 zahrnuje každý informační prvek, včetně informací o předávání údajů třetím osobám. V důsledku toho působí časové omezení pro likvidaci nepřímo také jako lhůta pro vymezení trvání práva na přístup. Oddělit jedny údaje od druhých z hlediska přístupu znamená zohlednit rozlišení, které chybí ve směrnici 95/46 a jehož praktická účinnost navíc není zřejmá(47).
60. Lze připustit výjimky, jestliže existuje deficit transparentnosti v okamžiku, kdy je dotčená osoba poučována o svých právech. V takových případech je třeba lhůtu pro uskutečnění výmazu prodloužit, aby bylo zachováno právo na přístup.
C – Lhůta jednoho roku a zásada proporcionality
61. Nizozemská právní úprava zavádí zvláštní režim zpracování osobních údajů u obecních úřadů, který se ve vztahu k tomu, čím se nyní zabývám, vyznačuje obecnou lhůtou jednoho roku pro likvidaci. Již jsem uvedl důvody, proč je třeba posuzovat tuto dobu společně jak podle článku 6, tak podle článku 12 směrnice 95/46. V tomto okamžiku je třeba posoudit slučitelnost této lhůty se zásadou proporcionality, jejíž použitelnost představuje předpoklad právě uvedených ustanovení, neboť obě dávají smysl základnímu právu.
62. Vlády Spojeného království, Španělského království a České republiky věnovaly veškeré úsilí odůvodnění, proč je obtížné zaručit právo na přístup, když došlo k výmazu údajů. Nevěnovaly tudíž mnoho pozornosti sporné lhůtě; řecká vláda a College se však ve svých vyjádřeních zabývají důsledky nizozemské lhůty s ohledem na směrnici 95/46 a zásadu proporcionality. Podle názoru Řecké republiky a Komise se tato lhůta ukazuje jako příliš krátká, a tudíž neslučitelná s právním řádem Společenství. College se dovolává zákonnosti lhůty a upozorňuje na zvláštnosti nizozemského systému, který vyrovnává krátkost lhůty jinými zárukami chránícími subjekt údajů.
63. Při hodnocení proporcionality vnitrostátní lhůty je třeba napřed připomenout některá pravidla, protože Soudní dvůr při jiných příležitostech zkoumal podobné lhůty. Z judikatury vyplývá proměnlivé hledisko závislé na kontextu každého případu, kdy je prováděn více či méně intenzivní přezkum v závislosti na okolnostech(48). Jsou-li případně dotčena základní práva, musí být přezkum lhůty pro jeho výkon prováděn pečlivě(49). Přesto tento přezkum závisí na různých činitelích.
64. Jak uvádím v bodech 55 až 60 tohoto stanoviska, je třeba porovnat stupeň informovanosti, které se subjektu údajů dostalo během zpracování, přičemž k tomu lze formulovat následující kritéria.
65. V souladu s články 10 a 11 směrnice požívá dotyčná osoba práva na to, aby jí byla sdělena řada informací, mezi nimiž vyniká totožnost „příjemců nebo kategorií příjemců údajů [...] v míře, v jaké jsou tyto doplňující informace nezbytné pro zajištění řádného zpracování údajů [...], s ohledem na zvláštní okolnosti, za jakých jsou údaje shromažďovány“. Obě ustanovení rozlišují mezi informacemi získanými od samotného subjektu a těmi, jež mají jiný původ, ačkoli v obou případech mají být podány informace o předání údajů třetím osobám.
66. Vnitrostátní zákonodárce má široký prostor při upřesnění povinnosti uložené v uvedených článcích 10 a 11, ale tato ustanovení sledují cíl uvědomit jednotlivce o tom, že jeho údaje byly poskytnuty, aby se mu dostalo příležitosti, pokud si to přeje, mít přístup ke zpracování a dohlédnout na jeho soulad se zásadami článku 6 směrnice 95/46. Informace se však liší podle kontextu a předkládajícímu soudu přísluší ověřit, zda nizozemský právní řád a odpovídající obecní praxe dodržují to, co stanoví uvedené články 10 a 11. Je třeba zjistit, zda byl M. E. E. Rijkeboer informován o předávání údajů a zda byl poučen o lhůtě jednoho roku, která je mu dána, aby uplatnil právo na přístup. Členské státy nejsou povinny oznámit lhůtu, neboť články 10 a 11 to nestanoví(50). Při posouzení její délky však nabývá velké důležitosti ověření, zda byla tato podrobnost sdělena dotčené osobě. V opačném případě je obtížné připustit, aby při nedostatku dodatečného vysvětlení ze strany správce byla lhůta tak krátká, jako je jeden rok, v souladu se zásadou proporcionality, a tedy se směrnicí 95/46.
67. Rovněž tak má zvláštní význam druh předávaných informací, neboť jak se uvádí ve směrnici, údaje, které mají být oznámeny, mohou zahrnovat totožnost příjemců, ale také „kategorie příjemců údajů“. Tato druhá možnost znamená, že poskytnuté přehledy ne vždy zachycují, kdo měl k rejstříkům přístup, čímž ponechává dotyčného v nevýhodné situaci pro výkon práva na přístup. Vnitrostátnímu soudu přísluší určit míru, v jaké byl M. E. E. Rijkeboer zúčastněn na předávání, a způsoby, jakými se uskutečňovalo. Při tomto zkoumání musí být proveden přezkum lhůty, jestliže nebyla sdělena totožnost třetích osob, protože subjekt údajů se může obávat, že zpracování nerespektuje zásady článku 6.
68. Nakonec by bylo třeba stanovit některá pravidla o důkazním břemenu. M. E. E. Rijkeboer jako nositel základního práva musel zahájit soudní řízení, aby prověřil zpracování, kterým prošly jeho osobní údaje(51). Soulad se směrnicí 95/46 závisí na řadě kazuistických prvků, které vycházejí ze samotného vnitrostátního zákona a z praxe obecní správy. M. E. E. Rijkeboer se v řízení dovolává svého základního práva, ale neměl by být nucen prokazovat nedostatky právního řádu své země v této oblasti, neboť znění směrnice 95/46 – stejně jako úvahy obsažené v bodech 29 až 35 tohoto stanoviska – vede k domněnce, že právo na přístup má přednostní povahu a jakákoli výjimka musí být zvažována s nesmírnou opatrností. Při přednosti subjektivního rozměru pravidel Společenství v oblasti ochrany údajů tedy přísluší správci takových údajů prokázat, že právní rámec a praxe uplatňovaná při zpracování poskytují záruky, které odůvodňují lhůtu tak krátkou, jako je jeden rok, pro výkon práva podle článku 12 směrnice 95/46.
69. Ve vyjádření předloženém v rámci tohoto řízení o předběžné otázce poskytl College některé informace k této otázce. Vnitrostátní právní úprava zavádí systém brzd a vyvážení („checks and balances“, podle názorného vyjádření College), který spojuje právo na přístup s určitými zárukami, jako je omezení příjemců, vazba na zvláštní účely v určitých případech, předchozí souhlas dotyčného nebo mechanismus dozoru ze strany nezávislého orgánu. Navíc byla podle tvrzení College dotčené osobě oznámena lhůta jednoho roku jak jednotlivě, tak hromadně (na internetu a v letácích pro občany)(52).
70. Jsem si vědom dopadů, které tato věc může mít pro správce rejstříků podléhajících uvedenému předpisu. Přednostní hodnota ochrany jednotlivce mě však vede ke sloučení ochrany práv s účinnou správou rejstříků. Proto by články 6 a 12 směrnice 95/46 měly být vykládány v tom smyslu, že jsou neslučitelné se lhůtou jednoho roku pro výkon práva na přístup k údajům o zpracování za předpokladu, že:
– dotyčná osoba nebyla informována o předání;
– nebo sice informována byla, ale nebyla jí oznámena délka lhůty;
– nebo sice informována byla, ale nebyla dostatečně poučena o totožnosti příjemců.
71. S ohledem na to, že jde o základní právo, musí College prokázat, že vnitrostátní pravidla a správní praxe zaručují dotyčné osobě přiměřenou úroveň informovanosti, která jí umožňuje vykonávat bez omezení její právo na přístup.
72. Raad van State přísluší, aby s ohledem na uvedená kritéria, skutkové a právní okolnosti zjištěné jak v řízení o předběžné otázce, tak v původním řízení, použil články 6 a 12 směrnice 95/46 tak, jak je vysvětleno v bodech 70 a 71 tohoto stanoviska.
X – Závěry
73. S ohledem na výše uvedené úvahy navrhuji Soudnímu dvoru, aby na předběžnou otázku Raad van State odpověděl následovně:
„Údaje o zpracování včetně těch, které se týkají předávání třetím osobám, jsou osobními údaji podle čl. 2 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. K zaručení plného účinku směrnice 95/46 se lhůta pro výmaz použitelná na údaje o zpracování shoduje se lhůtou stanovenou pro osobní údaje, aniž jsou dotčena práva a povinnosti, které uvedená směrnice přiznává třetím osobám, které jsou příjemci údajů.
Články 6 a 12 uvedené směrnice 95/46 jsou neslučitelné se lhůtou jednoho roku pro výkon práva na přístup k údajům o zpracování za předpokladu, že:
– dotyčná osoba nebyla informována o předání;
– nebo sice informována byla, ale nebyla jí oznámena délka lhůty;
– nebo sice informována byla, ale nebyla dostatečně poučena o totožnosti příjemců.
Správci přísluší prokázat, že vnitrostátní pravidla a správní praxe zaručují dotyčné osobě přiměřenou úroveň informovanosti, která jí umožňuje vykonávat bez omezení její právo na přístup.“