ROZSUDEK SOUDNÍHO DVORA (druhého senátu)
20. prosince 2017 (*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46/ES – Článek 2 písm. a) – Pojem „osobní údaje“ – Písemné odpovědi uvedené zkoušeným v rámci odborné zkoušky – Korekturní poznámky zkoušejícího týkající se těchto odpovědí – Článek 12 písm. a) a b) – Rozsah práv subjektu údajů na přístup a na opravu“
Ve věci C‑434/16,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Supreme Court (Nejvyšší soud, Irsko) ze dne 29. července 2016, došlým Soudnímu dvoru dne 4. srpna 2016, v řízení
Peter Nowak
proti
Data Protection Commissioner,
SOUDNÍ DVŮR (druhý senát),
ve složení M. Ilešič (zpravodaj), předseda senátu, A. Rosas, C. Toader, A. Prechal, a E. Jarašiūnas, soudci,
generální advokátka: J. Kokott,
vedoucí soudní kanceláře: M. Aleksejev, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 22. června 2017,
s ohledem na vyjádření předložená:
– za P. Nowaka G. Ruddenem, solicitor, a N. Traversem, SC,
– za Data Protection Commissioner D. Youngem, solicitor, a P. A. McDermottem, SC,
– za Irsko E. Creedon a L. Williams, jakož i A. Joycem, jako zmocněnci, ve spolupráci s A. Caroll, barrister,
– za českou vládu M. Smolkem a J. Vláčilem, jako zmocněnci,
– za řeckou vládu G. Papadaki a S. Charitaki, jako zmocněnkyněmi,
– za maďarskou vládu M. Z. Fehérem a A. Pálfy, jako zmocněnci,
– za rakouskou vládu G. Eberhardem, jako zmocněncem,
– za polskou vládu B. Majczynou, jako zmocněncem,
– za portugalskou vládu L. Inez Fernandesem a M. Figueiredem, jakož i I. Oliveira, jako zmocněnci,
– za Evropskou komisi D. Nardim a H. Kranenborgem, jako zmocněnci,
po vyslechnutí stanoviska generální advokátky na jednání konaném dne 20. července 2017,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).
2 Tato žádost byla předložena v rámci sporu mezi P. Nowakem a Data Protection Commissioner (komisař pro ochranu údajů, Irsko) ve věci odepření, ze strany uvedeného komisaře, přístupu P. Nowakovi k opraveným odpovědím ze zkoušky, jíž se účastnil, z důvodu, že informace obsažené v odpovědích nejsou osobními údaji.
Právní rámec
Unijní právo
Směrnice 95/46
3 Směrnice 95/46, jejímž cílem je podle článku 1 ochrana základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, jakož i odstranění překážek volnému pohybu těchto údajů uvádí v bodech 25, 26 a 41 odůvodnění:
„(25) vzhledem k tomu, že zásady ochrany se musí odrazit jednak v povinnostech jednotlivců […] odpovědných za zpracování údajů týkajících se zejména kvality údajů, technického zabezpečení, oznamování okolností, za jakých může být zpracování provedeno, orgánu dozoru a jednak v právu poskytnutému osobám, jejichž údaje jsou zpracovávány, být informován o tom, že jsou zpracovávány, právu přístupu k údajům, právu žádat jejich opravu a právu odmítnout za určitých okolností zpracování;
(26) vzhledem k tomu, že zásady ochrany se musí vztahovat na veškeré informace týkající se identifikované či identifikovatelné osoby; že pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem[,] tak jakoukoli jinou osobou pro identifikaci dané osoby; že zásady ochrany se nevztahují na údaje, které byly anonymizovány tak, že subjekt údajů již není identifikovatelný; […]
[…]
(41) vzhledem k tomu, že každá osoba musí mít možnost požívat práva na přístup k údajům, které se jí týkají a které jsou předmětem zpracování, aby se především přesvědčila o jejich přesnosti a o oprávněnosti jejich zpracování […].“
4 Pojem „osobní údaje“ je definován v čl. 2 písm. a) této směrnice jako „veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity“.
5 Článek 6 uvedené směrnice, zařazený do oddílu I, nadepsaného „Zásady pro kvalitu údajů“, kapitoly II této směrnice zní takto:
„1. Členské státy stanoví, že osobní údaje musejí být:
a) zpracovány korektně a zákonným způsobem;
b) shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní, a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely. Další zpracování pro historické, statistické nebo vědecké účely není považováno za neslučitelné, pokud členské státy poskytnou vhodná ochranná opatření;
c) přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány;
d) přesné, a je-li to nezbytné, i aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje s ohledem na účely, pro které byly shromažďovány nebo dále zpracovávány, byly vymazány nebo opraveny;
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší než je nezbytné pro uskutečnění cílů, pro které jsou shromažďovány nebo dále zpracovávány. Členské státy stanoví vhodná ochranná opatření pro osobní údaje, které jsou uchovávány po dobu delší než je uvedeno výše pro historické, statistické či vědecké účely.
2. Dodržování odstavce 1 zajistí správce.“
6 Článek 7 směrnice 95/46, zařazený do oddílu II, nadepsaného „Zásady pro oprávněné zpracování údajů“, kapitoly II této směrnice, stanoví:
„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:
a) subjekt údajů nezpochybnitelně udělil souhlas; nebo
[…]
c) je nezbytné pro splnění právní povinnosti, které podléhá správce; nebo
[…]
e) je nezbytné pro vykonání úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce nebo třetí osoba, které jsou údaje sdělovány; nebo
f) je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“
7 Článek 12 této směrnice, nadepsaný „Právo na přístup“, stanoví:
„Členské státy zaručí každému subjektu údajů právo získat od správce:
a) bez omezení, v rozumných intervalech a bez prodlení nebo nadměrných nákladů:
– potvrzení, že údaje, které se ho týkají, jsou či nejsou zpracovávány, jakož i informace týkající se alespoň účelů zpracování, kategorií údajů, na které se zpracování vztahuje, a příjemců nebo kategorií příjemců, kterým jsou údaje sdělovány,
– sdělení srozumitelnou formou o údajích, které jsou předmětem zpracování, a veškeré dostupné informace o původu údajů,
[…]
b) podle daného případu opravu, výmaz nebo blokování údajů, jejichž zpracování není v souladu s touto směrnicí, zejména z důvodů neúplné nebo nepřesné povahy údajů;
c) oznámení třetí osobě, které údaje byly sděleny, veškerých oprav, výmazů nebo blokování provedeného v souladu s písmenem b), pokud se to neukáže jako nemožné nebo to nevyžaduje nepřiměřené úsilí.“
8 Článek 13 směrnice, nadepsaný „Výjimky a omezení“, stanoví:
„1. Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:
[…]
g) ochrany subjektu údajů nebo práv a svobod druhých.
[…]“
9 Článek 14 směrnice 95/46, nadepsaný „Právo subjektu údajů na námitku“, stanoví:
„Členské státy přiznávají subjektu údajů právo:
a) alespoň v případech uvedených v čl. 7 písm. e) a f) vznést kdykoli z vážných a legitimních důvodů souvisejících s jeho osobní situací námitku proti zpracování osobních údajů, které se ho týkají, ledaže vnitrostátní právo stanoví jinak. Je-li námitka oprávněná, nesmí se zpracování zahájené správcem těchto údajů nadále týkat;
[…]“
10 Článek 28 uvedené směrnice, nadepsaný „Orgán dozoru“, stanoví:
„1. Každý členský stát pověří jeden nebo několik orgánů veřejné moci na svém území dohledem nad dodržováním předpisů přijatých členskými státy na základě této směrnice.
[…]
3. Každý orgán dozoru má zejména:
– pravomoci provádět šetření, jako například pravomoc přístupu k údajům, které jsou předmětem zpracování, a shromažďovat veškeré informace nezbytné pro splnění svého úkolu dozoru;
– pravomoci účinně zasáhnout, jako například […] nařídit blokování, výmaz nebo zničení údajů nebo dočasně nebo trvale zakázat zpracování […]
[…]
Proti rozhodnutím orgánu dozoru, která dala vzniknout stížnostem, je možné využít opravný prostředek k soudu.
4. Na orgán dozoru se může obrátit jakákoli osoba nebo sdružení zastupující tuto osobu se žádostí týkající se ochrany svých práv a svobod v souvislosti se zpracováním osobních údajů. Dotčená osoba je informována o způsobu vyřízení své žádosti.
[…]“
Nařízení (EU) 2016/679
11 Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) je podle svého čl. 99 odst. 2 použitelný od 25. května 2018. Článek 94 odst. 1 tohoto nařízení stanoví, že směrnice 95/46 se zrušuje s účinkem od téhož dne.
12 Uvedené nařízení v článku 15, nadepsaném „Právo subjektu údajů na přístup k osobním údajům“, stanoví:
„1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům […]
[…]
3. Správce poskytne kopii zpracovávaných osobních údajů. […]
4. Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.“
13 Článek 23 nařízení 2016/679, nadepsaný „Omezení“, stanoví:
„1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 […], jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[…]
e) jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu, zejména důležitý hospodářský nebo finanční zájem Unie nebo členského státu, včetně peněžních, rozpočtových a daňových záležitostí, veřejného zdraví a sociálního zabezpečení;
[…]
i) ochranu subjektu údajů nebo práv a svobod druhých;
[…]“
Irské právo
14 Data Protection Act 1988 (zákon o ochraně údajů z roku 1988), ve znění Data Protection (Amendment) Act 2003 (novela z roku 2003 zákona o ochraně údajů) (dále jen „zákon o ochraně údajů“) provádí směrnici 95/46 do irského právního pořádku. Článek 1 odst. 1 tohoto zákona definuje pojem „osobní údaje“ takto:
„údaje týkající se žijící osoby, která může být identifikována podle těchto údajů nebo podle takových údajů ve spojení s jinými informacemi, které jsou v držení správce údajů nebo se mohou do jeho držení dostat.“
15 Právo na přístup je upraveno v článku 4 zákona o ochraně údajů, přičemž jeho odstavec 6, který se konkrétně týká žádostí o přístup k výsledkům zkoušek, zní následovně:
„a) Žádost osoby podle odstavce 1 tohoto článku, pokud jde o výsledky zkoušky, jíž se daná osoba zúčastnila, se pro účely tohoto článku považuje za podanou
i) ke dni prvního zveřejnění výsledků zkoušky nebo
ii) ke dni podání žádosti,
podle toho, který z uvedených okamžiků nastane později; […]
b) Pro účely tohoto odstavce se pojmem ‚zkouška‘ rozumí jakýkoli proces zjišťování znalostí, inteligence, schopností či dovedností určité osoby s použitím výsledků, kterých dosáhne při jakékoli zkoušce, práci nebo jiné činnosti.“
16 Článek 6 zákona o ochraně údajů stanoví právo na opravu a výmaz osobních údajů, jejichž zpracování není v souladu s tímto zákonem.
17 Článek 10 odst. 1 písm. b) bod i) zákona o ochraně údajů stanoví, že komisař pro ochranu údajů je povinen prošetřit stížnost, „ledaže má za to, že není míněna vážně nebo je vexatorní“.
Spor v původním řízení a předběžné otázky
18 Peter Nowak se připravoval na povolání certifikovaného účetního a v rámci své přípravy úspěšně složil zkoušky z účetnictví první úrovně, jakož i tři zkoušky druhé úrovně organizované Institute of Chartered Accountants of Ireland (Institut certifikovaných účetních Irska, dále jen „CAI“). Neuspěl však ve zkoušce „účetnictví strategického financování a řízení“, při které měli zkoušení možnost používat studijní materiály („open book exam“).
19 Po čtvrtém neúspěchu při této zkoušce na podzim 2009 podal P. Nowak nejprve stížnost, kterou zpochybnil výsledek této zkoušky. Poté, co tato stížnost byla v březnu 2010 zamítnuta, podal v květnu 2010 podle článku 4 zákona o ochraně údajů žádost o přístup týkající se všech osobních údajů, které se ho týkají a které má v držení CAI.
20 Dopisem ze dne 1. června 2010 vydal CAI P. Nowakovi 17 dokumentů, ale odepřel mu zároveň přístup k dokumentu s jeho odpověďmi na zkušební otázky, a to z důvodu, že uvedený dokument neobsahuje osobní údaje ve smyslu zákona o ochraně údajů.
21 Peter Nowak se následně obrátil na komisaře pro ochranu údajů ve snaze zpochybnit podloženost odmítnutí poskytnout mu jeho odpovědi na zkušební otázky. V červnu 2010 odpověděl komisař pro ochranu údajů P. Nowakovi e-mailem a uvedl, že „písemné odpovědi na zkušební otázky obecně nejsou brány v potaz pro účely [ochrany údajů] […], neboť takový materiál zpravidla není osobním údajem“.
22 Po této odpovědi komisaře pro ochranu údajů následovala další korespondence vedená mezi P. Nowakem a tehdejším komisařem pro ochranu údajů, která vyústila v podání formální stížnosti, kterou P. Nowak podal dne 1. července 2010.
23 E-mailem ze dne 21. července 2010 sdělil komisař pro ochranu údajů P. Nowakovi, že po prozkoumání spisového materiálu nebylo zjištěno žádné závažné porušení zákona o ochraně údajů a že, podle čl. 10 odst. 1 písm. b) bodu i) tohoto zákona, který se zabývá stížnostmi, které nejsou míněny vážně, a vexatorními stížnostmi, rozhodl, že se jeho stížností nebude dále zabývat. Tento e-mail kromě toho uváděl, že se u materiálu, u něhož chtěl P. Nowak uplatnit „právo na opravu“, nejedná o „osobní údaje, na které se vztahuje článek 6 zákona o ochraně údajů“.
24 Peter Nowak podal proti tomuto rozhodnutí odvolání k Circuit Court (oblastní soud, Irsko). Tento soud rozhodl, že žaloba je nepřípustná z důvodu, že vzhledem ke skutečnosti, že komisař pro ochranu údajů se stížností nezabýval, neexistuje rozhodnutí, které by bylo možné napadnout žalobou. Podpůrně tento soud rozhodl, že žaloba je neopodstatněná, protože odpovědi na zkušební otázky nepředstavují osobní údaj.
25 Peter Nowak podal proti rozsudku uvedeného soudu odvolání k High Court (Vrchní soud, Irsko), který však tento rozsudek potvrdil. Rozsudek High Court (Vrchní soud) dále potvrdil Court of Appeal (Odvolací soud, Irsko). Supreme Court (Nejvyšší soud, Irsko), který povolil kasační opravný prostředek proti rozsudku Court of Appeal (Odvolací soud), rozhodl, že žaloba podaná P. Nowakem proti rozhodnutí komisaře pro ochranu údajů je přípustná.
26 Vzhledem k tomu, že má však Supreme Court (Nejvyšší soud) pochybnosti o otázce, zda odpovědi na zkušební otázky mohou představovat osobní údaj ve smyslu směrnice 95/46, rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Mohou být informace či odpovědi uvedené účastníkem odborné zkoušky osobními údaji ve smyslu směrnice 95/46?
2) Bude-li odpověď na první otázku znít tak, že osobními údaji ve smyslu směrnice 95/46 mohou být veškeré takové informace nebo jejich část, jaké faktory budou relevantní pro určení, zda jsou takové odpovědi v konkrétní věci osobními údaji, a jakou váhu je třeba těmto faktorům přikládat?“
K předběžným otázkám
27 Svými otázkami, které je třeba zkoumat společně, se předkládající soud v podstatě táže, zda čl. 2 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že za takových podmínek, jako jsou podmínky ve věci v původním řízení, představují písemné odpovědi uvedené zkoušeným při odborné zkoušce a případné korekturní poznámky zkoušejícího, které se k nim pojí, osobní údaje ve smyslu tohoto ustanovení.
28 V tomto ohledu je třeba připomenout, že čl. 2 písm. a) směrnice 95/46 definuje osobní údaje jako „veškeré informace o identifikované nebo identifikovatelné osobě“. Podle téhož ustanovení „identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity“.
29 Je nesporné, že účastník odborné zkoušky je fyzickou osobou, kterou lze identifikovat přímo prostřednictvím jejího jména nebo nepřímo prostřednictvím identifikačního čísla, která jsou uvedena v odpovědích na zkušební otázky nebo na první stránce těchto odpovědí.
30 Na rozdíl od toho, co patrně tvrdí komisař pro ochranu údajů, není v tomto kontextu relevantní otázka, zda zkoušející může nebo nemůže identifikovat zkoušeného v okamžiku opravy a hodnocení odpovědí na zkušební otázky.
31 K tomu, aby určitý údaj mohl být kvalifikován jako „osobní údaj“ ve smyslu čl. 2 písm. a) směrnice 95/46, se totiž nevyžaduje, aby se všechny informace umožňující identifikovat subjekt údajů nacházely v rukách jediné osoby (rozsudek ze dne 19. října 2016, Breyer, C‑582/14, EU:C:2016:779, bod 43). Navíc je nesporné, že v případě, kdy zkoušející nezná identitu zkoušeného při hodnocení jeho odpovědí v rámci zkoušky, subjekt, který zkoušku organizuje, v daném případě CAI, naopak disponuje potřebnými informacemi, které mu umožňují bez obtíží nebo pochybností identifikovat tohoto zkoušeného prostřednictvím jeho identifikačního čísla uvedeného na odpovědích na zkušební otázky nebo na první stránce těchto odpovědí, a tak k němu přiřadit jeho odpovědi.
32 Je však třeba ověřit, zda písemné odpovědi zkoušeného při odborné zkoušce a případné korekturní poznámky zkoušejícího, které se k nim pojí, představují informace o zkoušeném ve smyslu čl. 2 písm. a) směrnice 95/46.
33 Jak již Soudní dvůr konstatoval, působnost směrnice 95/46 je velmi široká a osobní údaje, které upravuje, jsou různorodé (rozsudek ze dne 7. května 2009, Rijkeboer, C‑553/07, EU:C:2009:293, bod 59 a citovaná judikatura).
34 Použití výrazu „veškeré informace“ v rámci definice pojmu „osobní údaj“ v čl. 2 písm. a) směrnice 95/46 odráží cíl unijního zákonodárce přiznat tomuto pojmu široký význam, přičemž tento pojem se neomezuje na informace, které jsou citlivé nebo patří do soukromé sféry, ale potenciálně zahrnuje všechny druhy informací, a to jak objektivní, tak subjektivní ve formě názoru nebo hodnocení pod podmínkou, že jsou „o“ dotčené osobě.
35 Pokud jde o tuto poslední podmínku, je splněna v případě, že tato informace z důvodu svého obsahu, účelu nebo účinku souvisí s určitou osobou.
36 Jak v podstatě uvedli P. Nowak, česká, řecká, maďarská, rakouská a portugalská vláda, jakož i Evropská komise, písemné odpovědi účastníka odborné zkoušky představují takové informace, které souvisejí s jeho osobou.
37 Úvodem je totiž třeba uvést, že obsah těchto odpovědí odráží úroveň znalostí a schopností uchazeče v dané oblasti, jakož i případně jeho myšlenkové pochody, úsudek a kritické myšlení. V případě rukou psané zkoušky odpovědi mimoto obsahují grafologické informace.
38 Dále je cílem získání uvedených odpovědí zhodnotit odborné schopnosti uchazeče a jeho způsobilost vykonávat dotčené povolání.
39 Konečně použití těchto informací, jehož výsledkem je zejména úspěch nebo neúspěch zkoušeného u dané zkoušky, může mít vliv na jeho práva a zájmy, neboť může určit nebo ovlivnit například jeho šanci na přístup k požadovanému povolání nebo zaměstnání.
40 Konstatování, že písemné odpovědi účastníka odborné zkoušky představují informace, které se týkají tohoto účastníka z důvodu jejich obsahu, účelu nebo účinku, platí mimo jiné i tehdy, když jde, tak jako v daném případě, o zkoušku s možností využívat během ní studijních materiálů.
41 Jak totiž uvedla generální advokátka v bodě 24 svého stanoviska, každá zkouška má za cíl zjistit a dokumentovat výkon určité osoby, a sice zkoušeného, a nikoli, na rozdíl zejména od reprezentativního průzkumu, získat informace nezávislé na této osobě.
42 Pokud jde o korekturní poznámky zkoušejícího týkající se odpovědí zkoušeného, je třeba konstatovat, že stejně jako odpovědi uvedené zkoušeným při zkoušce představují tyto poznámky informace týkající se tohoto zkoušeného.
43 Obsah těchto korekturních poznámek tedy odráží názor nebo hodnocení zkoušejícího týkající se individuálního výkonu zkoušeného při zkoušce, a zejména jeho znalostí a schopností v dotyčné oblasti. Uvedené korekturní poznámky mají mimoto za cíl zdokumentovat hodnocení zkoušejícího týkající se výkonu zkoušeného a tyto poznámky mohou mít pro zkoušeného důsledky, jak je uvedeno v bodě 39 tohoto rozsudku.
44 Konstatování, že korekturní poznámky zkoušejícího týkající se odpovědí zkoušeného představují informace, které z důvodu svého obsahu, účelu a účinku souvisí s tímto zkoušeným, není vyvráceno skutečností, že tyto korekturní poznámky představují také informace týkající se zkoušejícího.
45 Tatáž informace se totiž může týkat více fyzických osob a tak pro ně představovat, pod podmínkou, že tyto osoby jsou identifikovány nebo identifikovatelné, osobní údaj ve smyslu čl. 2 písm. a) směrnice 95/46.
46 Kromě toho kvalifikace písemných odpovědí zkoušeného při odborné zkoušce a případných korekturních poznámek zkoušejícího týkajících se těchto odpovědí jako osobních údajů nemůže – na rozdíl od toho, co tvrdí komisař pro ochranu údajů a irská vláda – být ovlivněno okolností, že na základě této kvalifikace v zásadě tomuto zkoušenému vzniká právo na přístup a opravu podle čl. 12 písm. a) a b) směrnice 95/46.
47 V tomto ohledu je třeba nejprve připomenout, jak uvedla Komise na jednání, že mnohé zásady a záruky stanovené směrnicí 95/46 s touto kvalifikací souvisejí a jsou na ní závislé.
48 Z bodu 25 odůvodnění směrnice 95/46 totiž vyplývá, že zásady ochrany se odrážejí jednak v povinnostech osob odpovědných za zpracování údajů týkajících se zejména kvality údajů, technického zabezpečení, oznamování okolností, za jakých může být zpracování provedeno, orgánu dozoru a jednak v právu poskytnutému osobám, jejichž údaje jsou zpracovávány, být informován o tom, že jsou zpracovávány, právu přístupu k údajům, právu žádat jejich opravu a právu odmítnout za určitých okolností zpracování.
49 Pokud by se tedy označení za „osobní údaje“ nepřiznalo informacím týkajícím se zkoušeného obsaženým v jeho odpovědích při odborné zkoušce a v korekturních poznámkách zkoušejícího, které se k nim pojí, mělo by to za následek celkové vynětí těchto informací z povinnosti dodržování zásad a záruk v oblasti ochrany osobních údajů a zejména zásad týkajících se kvality takových údajů a legitimace k jejich zpracování, stanovených v článcích 6 a 7 směrnice 95/46, jakož i práv subjektu údajů na přístup, opravu a na námitku, které jsou zakotveny v článcích 12 a 14 této směrnice, a z dozoru vykonávaného orgánem dozoru podle článku 28 uvedené směrnice.
50 Jak uvedla generální advokátka v bodě 26 svého stanoviska, je nesporné, že zkoušený má oprávněný zájem vycházející z ochrany svého soukromého života na tom, aby se mohl bránit zpracování svých odpovědí daných při této zkoušce a korekturních poznámek zkoušejícího pojících se k těnto odpovědím mimo zkušební řízení, a zvláště proti tomu, aby byly poskytnuty třetím osobám, či dokonce zveřejněny bez jeho souhlasu. Stejně tak je subjekt organizující zkoušku, jakožto správce údajů, povinen zajistit, aby byly tyto odpovědi a korekturní poznámky uchovávány tak, aby byl vyloučen protiprávní přístup k nim ze strany třetích osob.
51 Dále je třeba konstatovat, že práva na přístup a opravu stanovená v čl. 12 písm. a) a b) směrnice 95/46 lze rovněž odůvodnit ve vztahu k písemným odpovědím poskytnutým zkoušeným při odborné zkoušce a k případným korekturním poznámkám zkoušejícího, které se k nim pojí.
52 Právo na opravu, stanovené v čl. 12 písm. b) směrnice 95/46, zajisté nemůže zkoušenému umožnit „opravit“ a posteriori „nesprávné“ odpovědi.
53 Z článku 6 odst. 1 písm. d) směrnice 95/46 totiž vyplývá, že přesnost a úplnost osobních údajů se musí posoudit s ohledem na účely, pro které byly shromažďovány. Tento účel spočívá, pokud jde o odpovědi zkoušeného, v možnosti zhodnotit úroveň znalostí a schopností tohoto zkoušeného ke dni zkoušky. Tato úroveň se přesně odráží v případných chybách v těchto odpovědích. Tyto chyby proto vůbec nepředstavují nepřesnost ve smyslu směrnice 95/46, na jejímž základě by vzniklo právo na opravu podle čl. 12 písm. b) této směrnice.
54 Naproti tomu je možné, že vzniknou situace, ve kterých se odpovědi zkoušeného a korekturní poznámky zkoušejícího pojící se k těmto odpovědím ukážou jako nepřesné, ve smyslu čl. 6 odst. 1 písm. d) směrnice 95/46, například z důvodu, že odpovědi na zkušební otázky byly omylem zaměněny, takže odpovědi jiného účastníka zkoušky byly přiřazeny dotyčnému zkoušenému, nebo že část listů obsahujících odpovědi tohoto zkoušeného se ztratila, takže uvedené odpovědi nejsou úplné, nebo také, že případné korekturní poznámky zkoušejícího správně nezachycují hodnocení, které zkoušející učinil ohledně odpovědí dotyčného zkoušeného.
55 Kromě toho, jak uvedla generální advokátka v bodě 37 svého stanoviska, nelze vyloučit, že zkoušený má podle článku 12 písm. b) směrnice 95/46 právo požadovat od správce údajů, aby byly jeho odpovědi na zkoušce a korekturní poznámky zkoušejícího, které se k nim pojí, po určité době vymazány, čili zničeny. Podle čl. 6 odst. 1 písm. e) této směrnice totiž osobní údaje mohou v zásadě být uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro dosažení cílů, pro které jsou shromažďovány nebo dále zpracovávány. Vzhledem k účelu odpovědí poskytnutých zkoušeným a korekturních poznámek zkoušejícího týkajících se těchto odpovědí se jejich uchovávání ve formě umožňující identifikaci zkoušeného již nejeví a priori jako nezbytné poté, co bylo zkušební řízení s konečnou platností ukončeno a nelze ho zpochybnit, takže tyto odpovědi a poznámky ztratily jakoukoli důkazní hodnotu.
56 Vzhledem k tomu, že písemné odpovědi zkoušeného při odborné zkoušce a případné korekturní poznámky zkoušejícího, které se k nim pojí, tedy lze podrobit ověření, zejména pokud jde o jejich přesnost a nutnost jejich uchovávání ve smyslu čl. 6 odst. 1 písm. d) a e) směrnice 95/46, a lze je opravit nebo vymazat na základě čl. 12 písm. b) této směrnice, je třeba mít za to, že přiznání zkoušenému práva na přístup k těmto odpovědím a korekturním poznámkám, podle čl. 12 písm. a) této směrnice, slouží cíli této směrnice spočívajícího v zajištění ochrany práva tohoto zkoušeného na soukromí, pokud jde o zpracování údajů, které se ho týkají (viz a contrario rozsudek ze dne 17. července 2014, YS a další, C‑141/12 a C‑372/12, EU:C:2014:2081, body 45 a 46), a to nezávisle na otázce, zda uvedený zkoušený má nebo nemá takové právo přístupu i podle vnitrostátní právní úpravy použitelné na zkušební řízení.
57 V této souvislosti je třeba připomenout, že z ochrany základního práva na soukromí vyplývá zejména možnost jakékoli fyzické osoby ujistit se, že osobní údaje, které se jí týkají, jsou přesné a jsou zpracovávány dovoleným způsobem. Jak vyplývá z bodu 41 odůvodnění směrnice 95/46, subjekt údajů má za účelem provedení potřebných ověření na základě jejího čl. 12 písm. a) právo na přístup k údajům, jež se ho týkají a jsou předmětem zpracovávání. Toto právo na přístup je nutné zejména k tomu, aby subjekt údajů případně mohl u správce dosáhnout opravy, výmazu nebo zablokování těchto údajů, a tedy naplnění práva uvedeného v čl. 12 písm. b) uvedené směrnice (rozsudek ze dne 17. července 2014, YS a další, C‑141/12 a C‑372/12, EU:C:2014:2081, bod 44 a citovaná judikatura).
58 Konečně je třeba zaprvé konstatovat, že práva na přístup a opravu podle čl. 12 písm. a) a b) směrnice 95/46 se nevztahují na zkušební otázky, které jako takové nepředstavují osobní údaje zkoušeného.
59 Na druhé straně jak směrnice 95/46, tak i nařízení 2016/679, které ji nahrazuje, stanoví určitá omezení těchto práv.
60 Podle čl. 13 odst. 1 písm. g) směrnice 95/46 tak členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1 a v článku 12 této směrnice, pokud toto omezení představuje opatření nezbytné pro zachování práv a svobod druhých.
61 Článek 23 odst. 1 písm. e) nařízení 2016/679 rozšiřuje výčet důvodů omezení, který je v současnosti uveden v čl. 13 odst. 1 směrnice 95/46, a to o „jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu“. Kromě toho článek 15 nařízení 2016/679 týkající se práva subjektu údajů na přístup k osobním údajům ve svém odstavci 4 stanoví, že právem získat kopii osobních údajů nesmějí být nepříznivě dotčena práva a svobody jiných osob.
62 S ohledem na výše uvedené je třeba na položené otázky odpovědět tak, že čl. 2 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že za takových podmínek, jako jsou podmínky ve věci v původním řízení, představují písemné odpovědi uvedené zkoušeným při odborné zkoušce a případné korekturní poznámky zkoušejícího pojící se k těmto odpovědím osobní údaje ve smyslu tohoto ustanovení.
K nákladům řízení
63 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (druhý senát) rozhodl takto:
Článek 2 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že za takových podmínek, jako jsou podmínky ve věci v původním řízení, představují písemné odpovědi uvedené zkoušeným při odborné zkoušce a případné korekturní poznámky zkoušejícího pojící se k těmto odpovědím osobní údaje ve smyslu tohoto ustanovení.
Podpisy.