STANOVISKO GENERÁLNÍHO ADVOKÁTA
PRIITA PIKAMÄEA
přednesené dne 9. prosince 2021(1)
Věc C-184/20
OT
proti
Vyriausioji tarnybinės etikos komisija,
za účasti
Fondas „Nevyriausybinių organizacijų informacijos ir paramos centras“
[žádost o rozhodnutí o předběžné otázce podaná Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46/CE – Nařízení (EU) 2016/679 – Vnitrostátní právní úprava, která stanoví zveřejňování osobních údajů obsažených v prohlášeních o zájmech – Transparentnost používání veřejných prostředků – Předcházení střetu zájmů a korupci ve veřejném sektoru – Základní práva na respektování soukromého života a ochranu osobních údajů – Články 7 a 8 Listiny základních práv Evropské unie – Pojem ‚zvláštní kategorie osobních údajů‘ “
1. Anglický filozof Jeremy Bentham, známý jako autor architektonického návrhu věznice označovaného jako Panoptikon, který měl umožnit dozorci stojícímu ve věži uprostřed objektu kontrolovat všechny vězně uzavřené v celách rozmístěných po obvodu, aniž by vězni věděli, zda jsou právě pozorováni, vztahoval zájem o zajištění transparentnosti i na život veřejný: tvrdil, že „pohled veřejnosti činí státníka ctnostným“(2). Soudě podle velkého počtu právních úprav v Evropské unii, které nyní vyžadují zveřejňování obsahu prohlášení o zájmech a majetku veřejných činitelů, nebo alespoň jejich části, lze tato jeho slova jistě označit za prorocká, přinejmenším pokud jde o navrhovaný mechanismus.
2. Všechny tyto texty se snaží nalézt rovnováhu mezi zveřejněním a ochranou soukromí dotčených osob. Projednávaná věc se týká právě souladu zpracování osobních údajů spočívajícího ve zveřejňování části obsahu prohlášení o zájmech na internetových stránkách orgánu veřejné moci odpovědného za jejich shromažďování a kontrolu, s unijním právem. Její význam spočívá rovněž v tom, že poskytuje Soudnímu dvoru příležitost upřesnit dosah pojmu zvláštní kategorie údajů označovaných jako „citlivé údaje“.
I. Právní rámec
A. Unijní právo
3. Kromě některých ustanovení primárního práva, konkrétně článků 7, 8 a čl. 51 odst. 2 Listiny základních práv Evropské unie (dále jen „Listina“), jsou v kontextu projednávané věci relevantní články 3 a 6 až 8 směrnice 95/46/ES(3) a články 2, 5, 6 a 9 nařízení (EU) 2016/679(4).
B. Litevské právo
4. Lietuvos Respublikos viešųjų ir privačių interesų derinimo įstatymas Nr. VIII-371 (zákon Litevské republiky č. VIII-371 o sladění veřejných a soukromých zájmů ve veřejné službě) ze dne 2. července 1997 (Žin., 1997, č. 67-1659), ve znění účinném v době rozhodné z hlediska skutkového stavu v původním řízení(5) (dále jen „zákon o sladění zájmů“) v článku 1 stanovil, že jeho účelem je sladit soukromé zájmy osob pracujících ve veřejné službě s veřejnými zájmy společnosti, zajistit upřednostnění veřejného zájmu při rozhodování, zaručit nestrannost vydaných rozhodnutí a předcházet vzniku a nárůstu korupce ve veřejné službě(6).
5. Článek 6 uvedeného zákona, nadepsaný „Obsah prohlášení“, stanoví:
„1. Osoba povinná podat prohlášení ve svém prohlášení uvede následující údaje o sobě a svém manželovi, spolužijící osobě či partnerovi:
1) jméno, příjmení, osobní identifikační číslo, číslo sociálního pojištění, zaměstnavatel(é) a funkce;
2) právnická osoba, jejímž je osoba povinná podat prohlášení nebo její manžel, spolužijící osoba či partner akcionářem nebo společníkem;
3) samostatná výdělečná činnost, jak je definována v zákoně Litevské republiky o dani z příjmů;
4) členství v podnicích, institucích, sdruženích nebo fondech a funkce v nich vykonávané, s výjimkou členství v politických stranách a odborech;
5) dary (jiné než od příbuzných) přijaté během posledních dvanácti kalendářních měsíců, pokud jejich hodnota přesahuje 150 eur;
6) informace o transakcích uzavřených v posledních dvanácti kalendářních měsících a jiných probíhajících transakcích, pokud hodnota transakce přesahuje 3 000 eur;
7) osoby blízké nebo jiné osoby či údaje, které jsou osobě povinné podat prohlášení známy a mohly by vést ke střetu zájmů.
2. Osoba povinná podat prohlášení nemusí uvést údaje o svém manželovi, spolužijící osobě či partnerovi, pokud žijí odděleně, nežijí ve společné domácnosti, a tudíž jí tyto údaje nejsou známy.“
6. Článek 10 zákona o sladění zájmů, nadepsaný „Zveřejňování údajů týkajících se soukromých zájmů“, stanovil:
„1. Údaje obsažené v prohlášeních následujících osob jsou veřejné a jsou zveřejňovány na internetových stránkách Hlavní komise v souladu s postupy stanovenými touto komisí: volení zástupci a osoby zastávající politické funkce, státní úředníci a státní zaměstnanci, soudci, ředitelé a zástupci ředitelů státních orgánů nebo orgánů územní samosprávy, úředníci a zaměstnanci vyznačující se (osobní) politickou důvěrou, státní zaměstnanci vykonávající funkci ředitelů a zástupců ředitelů útvarů institucí nebo organizací, ředitelé a zástupci ředitelů státních podniků a rozpočtových orgánů státu nebo územní samosprávy, ředitelé a zástupci ředitelů veřejnoprávních sdružení nebo organizací financovaných ze státního rozpočtu, státních fondů nebo z rozpočtu či fondů územní samosprávy, zaměstnanci Litevské národní banky, kterým jsou svěřeny pravomoci v oblasti veřejné správy (pověření výkonem dohledu nad finančními trhy, mimosoudním řešením sporů mezi spotřebiteli a účastníky finančního trhu a výkonem jiných funkcí ve veřejné správě), členové dozorčí nebo správní rady či představenstva a jednatelé a zástupci jednatelů akciových společností nebo společností s ručením omezeným, v nichž stát nebo územní samosprávný celek vlastní akcie či podíly, s nimiž je spojena nadpoloviční většina hlasovacích práv na valné hromadě, členové správní rady či představenstva státních podniků nebo podniků zřizovaných územními samosprávnými celky, předsedové a místopředsedové politických stran, neplacení konzultanti, asistenti a poradci volených zástupců a osob zastávajících politické funkce, znalci jmenovaní výbory Parlamentu Litevské republiky, členové kolegií ministrů, členové Rady pro povinné zdravotní pojištění, neplacení poradci Rady pro povinné zdravotní pojištění, členové Národní zdravotní rady, lékaři, zubní lékaři a farmaceuti pracující v rozpočtových nebo veřejných orgánech státu nebo územní samosprávy, ve státních podnicích a veřejných podnicích zřizovaných územními samosprávnými celky nebo v podnicích, v nichž stát nebo územní samosprávný celek vlastní akcie či podíly, s nimiž je spojena nadpoloviční většina hlasovacích práv na valné hromadě, držitelé licence k provozu zdravotnického zařízení nebo lékárny, jakož i členové výběrových komisí pro zadávání veřejných zakázek, osoby pověřené ředitelem veřejného zadavatele zadáváním zakázek ve zjednodušeném řízení a znalci podílející se na zadávání veřejných zakázek [vyjma údajů obsažených v prohlášeních osob, jejichž údaje jsou ze zákona předmětem utajení nebo které působí ve zpravodajských službách, kontrarozvědných službách nebo v orgánech činných v trestním řízení]. Pozbude-li osoba, jejíž údaje jsou veřejné, postavení osoby povinné podat prohlášení, odstraní Hlavní komise na žádost dotyčné osoby její prohlášení ze svých internetových stránek.
2. Zveřejněny nesmí být tyto údaje uvedené v prohlášení: osobní identifikační číslo, číslo sociálního pojištění, zvláštní osobní údaje a jiné informace, jejichž zveřejnění je zákonem zakázáno. Krom toho se nezveřejňují údaje o druhé straně transakce, pokud je jí fyzická osoba.“
II. Spor v původním řízení a předběžné otázky
7. Vyriausioji tarnybinės etikos komisija (Hlavní komise pro předcházení střetu zájmů ve veřejné službě, dále jen „Hlavní komise“) je orgán veřejné moci pověřený dohledem nad uplatňováním zákona o sladění zájmů, konkrétně shromažďováním prohlášení o zájmech a jejich kontrolou.
8. OT zastává funkci ředitele QP, litevské veřejnoprávní organizace zabývající se ochranou životního prostředí.
9. Rozhodnutím ze dne 7. února 2018 Hlavní komise určila, že OT porušil čl. 3 odst. 2 a čl. 4 odst. 1 zákona o sladění zájmů tím, že k ní nepodal prohlášení o soukromých zájmech, jak je vyžadováno podle tohoto zákona.
10. Dne 6. března 2018 podal OT k předkládajícímu soudu žalobu na neplatnost tohoto rozhodnutí. Tvrdí zaprvé, že nepatří mezi osoby, na které se vztahuje povinnost učinit prohlášení o soukromých zájmech stanovená v čl. 2 odst. 1 zákona o sladění zájmů, a zadruhé, že by zveřejněním obsahu jeho prohlášení na internetových stránkách Hlavní komise bylo porušeno jak jeho právo na respektování soukromého života, tak totéž právo dalších osob, které by případně musel ve svém prohlášení uvést.
11. Hlavní komise tvrdí, že OT byl povinen podat prohlášení o soukromých zájmech jako osoba, které jsou svěřeny řídicí pravomoci v QP, což je veřejnoprávní organizace financovaná ze strukturálních fondů Unie a státního rozpočtu Litevské republiky. Tato komise připouští, že zveřejnění takového prohlášení může představovat zásah do soukromého života dotyčného a jeho manželky, avšak je stanoveno zákonem o sladění zájmů.
12. Předkládající soud má za to, že osobní údaje obsažené v prohlášení o soukromých zájmech podle čl. 6 odst. 1 zákona o sladění zájmů tvoří nedílnou součást soukromého života osoby povinné podat prohlášení a dalších dotyčných osob a že jejich zpřístupnění by mohlo těmto osobám způsobit značné obtíže, pokud jde o zvláště citlivé údaje, jako je rodinný stav nebo sexuální orientace. Výjimky stanovené v článku 10 tohoto zákona nejsou podle uvedeného soudu dostatečné k zajištění ochrany těchto údajů. Krom toho podle něj zveřejnění údajů o okolnostech, které by mohly ovlivnit rozhodování při výkonu veřejných funkcí, na internetu není nezbytné k dosažení cíle sledovaného tímto zákonem, kterým je uplatňování zásady transparentnosti ve veřejné službě. Sdělení osobních údajů obsažených v dotčeném prohlášení Hlavní komisi a výkon dohledu, kterým jsou pověřeny orgány uvedené v článku 22 téhož zákona, jsou podle předkládajícího soudu dostatečnými opatřeními k zajištění dosažení tohoto cíle.
13. Vzhledem k pochybnostem ohledně slučitelnosti režimu stanoveného v zákoně o sladění zájmů s ustanoveními nařízení GDPR se Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva) rozhodl přerušit řízení a položit Soudnímu dvoru následující otázky:
„1) Musí být podmínka stanovená v čl. 6 odst. 1 písm. e) nařízení [GDPR], že zpracování [osobních údajů] je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, s ohledem na požadavky stanovené v čl. 6 odst. 3 nařízení [GDPR], včetně požadavku, že právo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli, a rovněž s ohledem na články 7 a 8 [Listiny], vykládána v tom smyslu, že vnitrostátní právo nesmí vyžadovat sdělení údajů obsažených v prohlášení o soukromých zájmech a jejich zveřejnění na stránkách správce – [Hlavní komise] –, a tedy zpřístupnění těchto údajů všem jednotlivcům, kteří mají přístup k internetu?
2) Musí být zákaz zpracování zvláštních kategorií osobních údajů stanovený v čl. 9 odst. 1 nařízení [GDPR] s ohledem na podmínky stanovené v čl. 9 odst. 2 nařízení [GDPR], včetně podmínky stanovené [pod písm. g) uvedeného ustanovení], že zpracování musí být nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které musí být přiměřené sledovanému cíli, musí dodržovat podstatu práva na ochranu údajů a musí poskytovat vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů, jakož i s ohledem na články 7 a 8 Listiny, vykládán v tom smyslu, že vnitrostátní právo nesmí vyžadovat sdělení údajů obsažených v prohlášeních o soukromých zájmech, které by mohly odhalovat osobní údaje včetně údajů, na jejichž základě je možné zjistit politické názory osoby, její členství v odborech, sexuální orientaci a jiné osobní informace, a jejich zveřejnění na stránkách správce – [Hlavní komise] –, a tedy zpřístupnění těchto údajů všem jednotlivcům, kteří mají přístup k internetu?“
III. Řízení před Soudním dvorem
14. Soudní dvůr zaslal předkládajícímu soudu žádost o vysvětlení podle článku 101 jednacího řádu Soudního dvora, na niž předkládající soud odpověděl dopisem ze dne 12. května 2021. Písemná vyjádření předložily Evropská komise, jakož i litevská, italská a finská vláda. Litevská vláda odpověděla na písemné otázky Soudního dvora ve spise účastníka řízení ze dne 30. července 2021.
IV. Analýza
A. K přípustnosti
15. Ze znění a systematiky článku 267 SFEU vyplývá, že řízení o předběžné otázce předpokládá, že před vnitrostátními soudy skutečně probíhá spor, v jehož rámci mají vnitrostátní soudy vydat rozhodnutí, které může zohlednit rozsudek Soudního dvora vydaný v rámci řízení o předběžné otázce. Soudní dvůr může tudíž otázku, zda v původním řízení nadále existuje spor, ověřit i bez návrhu(7).
16. V odpovědi na otázku Soudního dvora týkající se zjevné skutečnosti, že žalobce v původním řízení nespadá ratione personae do působnosti zákona o sladění zájmů, ve znění pozměněném dne 1. ledna 2020, předkládající soud uvedl, že pro rozhodnutí sporu v původním řízení je odpověď Soudního dvora nezbytná s ohledem na vnitrostátní právní úpravu platnou ke dni přijetí napadeného rozhodnutí Hlavní komise. Předkládající soud dodal, že dotyčný může spadat i mezi osoby, na něž se vztahuje uvedený zákon v platném znění.
17. Tentýž soud vysvětlil, rovněž na výzvu Soudního dvora, že rozsudek litevského Ústavního soudu ze dne 20. září 2018, kterým byl jeho návrh na posouzení ústavnosti článku 10 zákona o sladění zájmů prohlášen za nepřípustný z důvodu nepoužitelnosti tohoto ustanovení na spor v původním řízení, je pro účely vedení řízení o předběžné otázce irelevantní. Předkládající soud uvedl, že ačkoli otázkou, o níž je třeba rozhodnout, je skutečně – jak uvedl Ústavní soud – otázka možného porušení čl. 3 odst. 2 a čl. 4 odst. 1 tohoto zákona z důvodu nesplnění povinnosti žalobce v původním řízení podat prohlášení o zájmech, je v rámci posouzení legality napadeného rozhodnutí nutné přihlédnout rovněž k důsledkům takového podání, které vyplývají z uplatnění článku 10 uvedeného zákona, tedy zveřejňování některých údajů obsažených v tomto prohlášení na internetových stránkách Hlavní komise.
18. S ohledem na informace poskytnuté předkládajícím soudem je třeba mít za to, že spor v původním řízení stále před předkládajícím soudem probíhá a odpověď Soudního dvora na položené otázky je i nadále užitečná pro řešení tohoto sporu. Krom toho připomínám, že Soudnímu dvoru nepřísluší, aby se v rámci řízení o předběžné otázce vyjadřoval k výkladu vnitrostátních ustanovení(8) a že na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti, se vztahuje domněnka relevance. V projednávané věci není zjevné, že by požadovaný výklad unijního práva neměl vztah k realitě nebo předmětu sporu v původním řízení, ani že by otázky položené Soudnímu dvoru byly hypotetické(9).
19. V tomto ohledu je podle mého názoru nepodložené tvrzení litevské vlády, že druhá předběžná otázka je „teoretická“ z důvodu nemožnosti identifikace citlivých údajů dotčených zveřejněním, jelikož žalobce v původním řízení prohlášení o zájmech nepodal. K tomu uvádím, že vnitrostátní právní rámec předložený předkládajícím soudem umožňuje určit povahu údajů, jež musí být v tomto prohlášení uvedeny, a poměrně přesně určit ty údaje, které nepodléhají zveřejnění na internetových stránkách Hlavní komise. Soudní dvůr má podle mého názoru k dispozici všechny skutkové a právní poznatky nezbytné k tomu, aby poskytl užitečnou odpověď pro účely účinného řešení sporu.
B. K právnímu rámci analýzy
20. Ze žádosti o rozhodnutí o předběžné otázce vyplývá, že vnitrostátní soud zjevně považuje za dané, že sporná vnitrostátní právní úprava spadá do působnosti nařízení GDPR, a to jak z hlediska ratione materiae, tak z hlediska ratione temporis, k čemuž považuji za potřebné uvést několik připomínek.
1. K použitelnosti nařízení GDPR ratione materiae
21. Podle čl. 2 odst. 1 nařízení GDPR se toto nařízení vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny, a má tedy stejnou oblast působnosti jako směrnice 95/46, která byla tímto nařízením zrušena a nahrazena.
22. Úvodem je třeba uvést, že údaje obsažené v prohlášení o zájmech, které se zveřejňují na internetových stránkách Hlavní komise, tedy mimo jiné jména některých fyzických osob, představují „osobní údaje“ ve smyslu čl. 4 odst. 1 nařízení GDPR nebo čl. 2 písm. a) směrnice 95/46, jelikož jsou to „informace o identifikované nebo identifikovatelné fyzické osobě“, přičemž okolnost, že určitá informace spadá do kontextu profesní činnosti, nemůže znamenat, že nebude kvalifikována jako „osobní údaj“(10). Jak jejich shromažďování tímto veřejným subjektem, tak jejich sdělování formou uvedení na internetových stránkách tedy představuje „zpracování osobních údajů“ ve smyslu čl. 4 odst. 2 tohoto nařízení nebo čl. 2 písm. b) této směrnice(11).
23. Je třeba zdůraznit, že ačkoli nařízení GDPR představuje s ohledem na velmi široce vymezenou oblast své působnosti jistým způsobem společné právo ochrany osobních údajů v rámci Unie, byly přijaty i další odvětvové normy, které jej upřesňují a doplňují a působí tak jako lex specialis. Tak je tomu v případě směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV(12).
24. V tomto ohledu čl. 2 odst. 2 písm. d) nařízení GDPR stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“. Tato výjimka z použitelnosti nařízení GDPR musí být, podobně jako ostatní výjimky stanovené v jeho čl. 2 odst. 2, vykládána restriktivně. Jak vyplývá z bodu 19 odůvodnění uvedeného nařízení, tato výjimka je odůvodněna tím, že na zpracování osobních údajů, které provádí příslušné orgány za takovými účely, se vztahuje konkrétnější unijní akt, a sice směrnice 2016/680(13).
25. Tato posledně uvedená směrnice, přijatá stejný den jako nařízení GDPR, v čl. 3 odst. 7 definuje pojem „příslušný orgán“, přičemž tato definice se obdobně použije na čl. 2 odst. 2 písm. d) uvedeného nařízení. V tomto ohledu Soudní dvůr rozhodl, že z bodu 10 odůvodnění směrnice 2016/680 vyplývá, že pojem „příslušný orgán“ musí být vykládán v souvislosti s ochranou osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce s přihlédnutím k úpravám, které se v tomto ohledu mohou vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytné(14). V bodě 11 odůvodnění této směrnice je kromě toho upřesněno, že se nařízení GDPR použije na zpracování osobních údajů prováděné „příslušným orgánem“ ve smyslu čl. 3 odst. 7 zmíněné směrnice, ale pro jiné účely, než jsou účely uvedené v této směrnici(15).
26. Ve věci v původním řízení je přitom podle informací poskytnutých vnitrostátním soudem a litevskou vládou cílem sledovaným dotčenou vnitrostátní právní úpravou sladit soukromé zájmy osob pracujících ve veřejné službě s veřejnými zájmy společnosti, zajistit upřednostnění veřejného zájmu při rozhodování, zaručit nestrannost vydaných rozhodnutí a „předcházet vzniku a nárůstu korupce ve veřejné službě“. Korupce může mimo jiné spočívat v jednání osoby vykonávající veřejnou funkci, která žádá nebo přijme výhodu, aby učinila nebo neučinila určitý akt při výkonu své funkce(16), přičemž toto jednání může naplňovat znaky pojmu „trestný čin“ ve smyslu čl. 2 odst. 2 písm. d) nařízení GDPR.
27. Hlavní komise v souladu se svým obecným úkolem spočívajícím v dohledu nad řádným uplatňováním zákona o sladění zájmů shromažďuje prohlášení o zájmech od osob pracujících ve veřejném sektoru a zveřejňuje některé informace v nich obsažené na svých internetových stránkách. Článek 22 zákona o sladění zájmů stanoví, že pokud existují podložené informace o tom, že určitá osoba nedodržuje zákonné požadavky, má Hlavní komise pravomoc prošetřit jednání dotyčné osoby, zajistit nápravu výsledků šetření, provést vlastní šetření a přijmout rozhodnutí. Vzhledem k chybějícím upřesňujícím informacím ve spise předloženém Soudnímu dvoru není zřejmá přesná povaha rozhodnutí, která je Hlavní komise oprávněna vydat, přičemž z věci v původním řízení vyplývá, že tento orgán má přinejmenším pravomoc rozhodnout, že určitá osoba nepodala v rozporu se zákonem prohlášení o zájmech, z čehož nutně vyplývá povinnost dotyčné osoby zjednat nápravu.
28. S ohledem na tyto skutečnosti, které odrážejí čistě vnitrostátní povahu právního rámce a vnitrostátní dosah zpracování prováděného Hlavní komisí, jehož hlavním cílem je předcházet protiprávnímu jednání osob pracujících v litevském veřejném sektoru v souvislosti s výkonem jejich funkcí, se nezdá, že by bylo možné tento subjekt považovat za „příslušný orgán“ ve smyslu čl. 3 odst. 7 směrnice (EU) 2016/680, a že by se na jeho činnost tedy vztahovala výjimka stanovená v čl. 2 odst. 2 písm. d) nařízení GDPR. Z uvedeného vyplývá, že zveřejnění osobních údajů obsažených v prohlášeních o zájmech osob pracujících ve veřejném sektoru ze strany Hlavní komise na jejích internetových stránkách skutečně spadá do věcné působnosti nařízení GDPR.
29. Jak bude vysvětleno níže, k tomu, aby Soudní dvůr poskytl užitečnou odpověď na předběžné otázky, je nutné, aby se tato odpověď týkala jak nařízení GDPR, tak směrnice 95/46. V tomto ohledu uvádím, že čl. 2 odst. 2 písm. d) nařízení GDPR částečně navazuje na čl. 3 odst. 2 první odrážku směrnice 95/46, podle kterého se tato směrnice nevztahuje na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva, přičemž tato výjimka musí být vykládána restriktivně. Podle mého názoru je zřejmé, že se zpracování osobních údajů ze strany Hlavní komise netýká veřejné bezpečnosti, obrany, bezpečnosti státu. Mimoto, i když se nezdá vyloučené, že by uvedené údaje mohly být použity v rámci trestních stíhání, která by mohla být vedena v případě trestného činu přijetí úplatku nebo uplácení proti osobám povinným podat prohlášení, nezdá se, že by údaje dotčené ve věci v původním řízení byly shromažďovány s konkrétním cílem výkonu takových trestních stíhání nebo v rámci činností státu v oblasti trestního práva(17).
2. K použitelnosti ratione temporis
30. Je třeba uvést, že se obě otázky položené Soudnímu dvoru týkají výkladu ustanovení nařízení GDPR, které se stalo použitelným dne 25. května 2018 a s účinkem od téhož dne jím byla zrušena směrnice 95/46(18). Rozhodnutí dotčené ve věci v původním řízení bylo přijato dne 7. února 2018, a tudíž před 25. květnem 2018, z čehož by měl vyplývat závěr, že na původní řízení je ratione temporis použitelná uvedená směrnice.
31. Ze spisu předloženého Soudnímu dvoru však rovněž vyplývá, že Hlavní komise ve svém rozhodnutí uvedla, že žalobce v původním řízení porušil zákon o sladění zájmů tím, že nepodal prohlášení o zájmech, což znamená, že na základě jejího rozhodnutí je uvedený žalobce povinen toto prohlášení podat. Vzhledem k tomu, že z žádných informací obsažených ve spise nevyplývá, že by takové prohlášení bylo před 25. květnem 2018 skutečně podáno, nelze vyloučit, že v projednávané věci je ratione temporis použitelné nařízení GDPR. Za účelem poskytnutí užitečných odpovědí na otázky položené předkládajícím soudem je za těchto podmínek třeba, aby Soudní dvůr na tyto otázky odpověděl na základě jak směrnice 95/46, tak nařízení GDPR(19). Připomínám, že jelikož nařízení GDPR zrušilo a nahradilo směrnici 95/46 a příslušná ustanovení tohoto nařízení mají v podstatě totožný obsah jako relevantní ustanovení této směrnice, je judikatura Soudního dvora týkající se uvedené směrnice v zásadě použitelná i na uvedené nařízení(20).
C. K předběžným otázkám
1. K dosahu žádosti o rozhodnutí o předběžné otázce
32. Předkládací rozhodnutí, v němž jsou vyjádřeny pochybnosti vnitrostátního soudu o slučitelnosti zpracování osobních údajů prováděného Hlavní komisí s unijním právem, obsahuje dvě různé předběžné otázky, kterými předkládající soud žádá Soudní dvůr o poskytnutí výkladu čl. 6 odst. 1 a čl. 9 odst. 1 nařízení GDPR. Podle mého názoru není namístě tyto dvě předběžné otázky posoudit společně, a to z důvodu zvláštního předmětu druhé předběžné otázky. Ta se týká problematiky určení dosahu pojmu „zvláštní kategorie osobních údajů“ ve smyslu čl. 9 odst. 1 nařízení GDPR a čl. 8 odst. 1 směrnice 96/46 v kontextu vnitrostátní právní úpravy, která výslovně zakazuje zveřejňování údajů spadajících do těchto kategorií.
33. Toto posouzení je tedy odlišné od posouzení zákonnosti dotčeného zpracování(21), které je předmětem první předběžné otázky, týkající se výkladu čl. 6 odst. 1 nařízení GDPR, který přebírá v pozměněném znění článek 7 směrnice 95/46. V tomto ohledu ze žádosti o rozhodnutí o předběžné otázce vyplývá, že předkládající soud chce v obecnější rovině zjistit, zda lze zpracování osobních údajů dotčené ve věci v původním řízení považovat za zákonné s ohledem na všechny zásady zpracování osobních údajů, a zejména s ohledem na zásadu proporcionality. Z toho vyplývá, že v odpovědi, která bude uvedenému soudu poskytnuta, je třeba přihlédnout rovněž k dalším zásadám zakotveným v čl. 5 odst. 1 uvedeného nařízení a čl. 6 odst. 1 uvedené směrnice, a to zejména k zásadě „minimalizace údajů“, podle níž musí být osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, a která uvedenou zásadu proporcionality vyjadřuje(22).
2. K první předběžné otázce
34. Podstatou první předběžné otázky položené předkládajícím soudem je, zda články 5 a 6 nařízení GDPR ve spojení s články 7 a 8 Listiny musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která stanoví povinnost zveřejňovat některé osobní údaje obsažené v prohlášení o zájmech, které musí podat každý vedoucí veřejnoprávní organizace financované z veřejných prostředků, na internetových stránkách státního orgánu pověřeného shromažďováním těchto prohlášení a kontrolou jejich obsahu.
a) K podmínkám zákonnosti zpracování osobních údajů
35. Podle bodu 10 odůvodnění a článku 1 směrnice 95/46, jakož i z bodu 4 odůvodnění a článku 1 nařízení GDPR je předmětem těchto dvou norem zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů, které se jich týkají(23). Tato práva, zakotvená v článcích 7 a 8 Listiny, z nichž to druhé je úzce spojeno s prvním, nejsou absolutními výsadami, ale musí být nahlížena v souvislosti s jejich funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Článek 8 odst. 2 Listiny tak umožňuje zpracování osobních údajů, pokud jsou splněny určité podmínky, konkrétně že osobní údaje „musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem“. Kromě toho čl. 52 odst. 1 Listiny připouští, že výkon takových práv, jako jsou práva zakotvená v jejích článcích 7 a 8, může být omezen za předpokladu, že tato omezení jsou stanovena zákonem, respektují podstatu uvedených práv a svobod a za dodržení zásady přiměřenosti jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Musí být činěna v mezích toho, co je nezbytně nutné, a právní úprava, která s sebou přináší dotčený zásah, musí stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření(24).
36. Jak vyplývá zejména z účelu nařízení GDPR a směrnice 95/46, pokud jsou splněny podmínky zákonného zpracování osobních údajů stanovené těmito normami, má se za to, že toto zpracování splňuje rovněž požadavky stanovené v článcích 7 a 8 Listiny. Některé z požadavků stanovených v odstavci 2 posledně uvedeného článku jsou provedeny zejména články 6 a 7 směrnice 95/46 a články 5 a 6 nařízení GDPR(25). V tomto ohledu je třeba připomenout, že s výhradou odchylek přípustných na základě článku 13 uvedené směrnice a článku 23 uvedeného nařízení musí být každé zpracování osobních údajů zaprvé v souladu se zásadami pro kvalitu údajů uvedenými v článku 6 směrnice 95/46 nebo článku 5 nařízení GDPR a zadruhé musí odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 této směrnice nebo v článku 6 tohoto nařízení, přičemž posledně uvedená ustanovení stanoví taxativní výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné(26).
37. Konkrétně osobní údaje musí být, podle čl. 6 odst. 1 písm. b) a c) směrnice 95/46 nebo čl. 5 odst. 1 písm. b) a c) nařízení GDPR, na jedné straně shromažďovány pro určité, výslovně vyjádřené, legitimní účely a přiměřené účely a nesmějí být dále zpracovávány způsobem neslučitelným s těmito účely, a na druhé straně musí být relevantní a omezené na rozsah nezbytný ve vztahu k těmto účelům. Krom toho je podle čl. 7 písm. c) a e) uvedené směrnice a čl. 6 odst. 1 písm. c) a e) uvedeného nařízení zpracování osobních údajů zákonné, pokud „je nezbytné pro splnění právní povinnosti, která se na správce vztahuje“ nebo „je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce nebo třetí osoba, které jsou údaje sdělovány“(27).
38. Je třeba zdůraznit, že jak nařízení GDPR, tak směrnice 95/46 stanoví, že se členské státy mohou odchýlit mimo jiné od článku 5 prvně uvedeného aktu, respektive od čl. 6 odst. 1 druhého uvedeného aktu, pokud je to nezbytné k ochraně určitých důležitých cílů obecného veřejného zájmu, mezi nimiž je z pohledu projednávané věci relevantní prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení. Článek 23 odst. 1 písm. d) nařízení GDPR, který přebírá v pozměněném znění ustanovení dříve obsažené v čl. 13 odst. 1 písm. d) směrnice 95/46, totiž stanoví, že právo Unie nebo členského státu může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v tomto nařízení, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit určité důležité cíle obecného veřejného zájmu, jako je cíl uvedený výše(28).
39. Článek 23 nařízení GDPR a článek 13 směrnice 95/46 tedy nelze vykládat tak, že by mohl členské státy oprávnit k zásahu do respektování soukromého života v rozporu s článkem 7 Listiny nebo do jiných záruk stanovených v této Listině. Konkrétně, podobně jako v případě čl. 13 odst. 1 směrnice 95/46 může být pravomoc, kterou členským státům přiznává čl. 23 odst. 1 nařízení GDPR, vykonávána pouze při dodržení požadavku proporcionality, podle kterého výjimky z ochrany osobních údajů a její omezení musí být činěny v mezích toho, co je naprosto nezbytné(29).
40. Podotýkám, že z obsahu předkládacího rozhodnutí podle mého názoru nelze určit, zda se ustanoveními zákona o sladění zájmů provádí článek 13 směrnice 95/46, nebo článek 23 nařízení GDPR. Za těchto okolností je třeba zákonnost dotčeného zpracování posoudit s ohledem na články 5 a 6 nařízení GDPR i články 6 a 7 směrnice 95/46, přičemž uvádím, že následující úvahy jsou stejně relevantní jak v případě vnitrostátní právní úpravy přijaté k provedení článku 23 nařízení GDPR, tak v případě vnitrostátní právní úpravy přijaté k provedení článku 13 směrnice 95/46.
b) K právnímu základu dotčeného zpracování
1) Zpracování na základě právní povinnosti
41. Požadavek, že každé zpracování osobních údajů musí být provedeno zákonným způsobem, stanovený v čl. 6 odst. 1 směrnice 95/46 a v čl. 5 odst. 1 nařízení GDPR, je konkretizován v článku 7 uvedené směrnice a článku 6 uvedeného nařízení, v nichž jsou vyjmenovány různé možné právní důvody, které tuto zákonnost zaručují.
42. Podle čl. 7 písm. c) této směrnice nebo čl. 6 odst. 1 písm. c) tohoto nařízení je tak zpracování údajů zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje. V tomto ohledu mám za to, že zveřejnění těchto údajů na internetových stránkách Hlavní komise jednoznačně spadá do působnosti tohoto ustanovení, a nikoli do působnosti čl. 7 písm. e) uvedené směrnice nebo čl. 6 odst. 1 písm. e) uvedeného nařízení, na něž odkazuje předkládající soud.
43. Sdělením části údajů obsažených ve shromážděných prohlášeních o zájmech široké veřejnosti jejich zveřejněním na svých internetových stránkách plní Hlavní komise, jako správce, zvláštní povinnost, kterou jí ukládá čl. 10 odst. 1 zákona o sladění zájmů. Jak zdůrazňuje litevská vláda ve svém vyjádření, tato povinnost je obsažena v kogentní právní normě, která ukládá Hlavní komisi zvláštní způsob zpracování, aniž by tato komise měla možnost volby, zda tuto povinnost splní, či nikoli. Tato situace se liší od situace upravené v čl. 7 písm. e) směrnice 95/46 nebo čl. 6 odst. 1 písm. e) nařízení GDPR, kdy se nevyžaduje, aby správce jednal na základě právní povinnosti(30). V každém případě, ačkoli stačí, jak potvrzuje znění čl. 6 odst. 1 nařízení GDPR, kterým byl nahrazen článek 7 směrnice 95/46, aby byl použitelný jen jeden oprávněný důvod, Soudní dvůr uznal, že jedno zpracování může naplňovat několik důvodů oprávněnosti(31).
2) Zpracování v legitimním veřejném zájmu
44. V souladu s čl. 6 odst. 1 písm. b) směrnice 95/46 nebo čl. 5 odst. 1 písm. b) nařízení GDPR musí být osobní údaje zpracovávány pro legitimní účely. Je třeba zdůraznit, že nařízením GDPR bylo upřesněno, že právní základ pro zpracování takových údajů týkající se splnění povinnosti, která se vztahuje na správce, musí být stanoven právem Unie nebo právem dotyčného členského státu, které musí „splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli“(32).
45. Jak bylo uvedeno výše, zveřejňování části osobních údajů obsažených v prohlášeních o zájmech ze strany Hlavní komise je nezbytné pro splnění právní povinnosti, která se na tento orgán vztahuje. Tato povinnost sleduje obecný účel definovaný v článku 1 zákona o sladění zájmů, jehož legitimita se jeví objektivně nesporná. Zajištění přednosti veřejného zájmu při rozhodování osob pracujících ve veřejné službě, zaručení nestrannosti těchto rozhodnutí a předcházení střetu zájmů, jakož i předcházení vzniku a nárůstu úplatkářství ve veřejné službě jsou totiž cíle veřejného zájmu, které jsou zjevně legitimní(33) ve smyslu čl. 6 odst. 3 nařízení GDPR, a mohou tudíž odůvodňovat omezení výkonu práv zaručených články 7 a 8 Listiny.
3) Zpracování vycházející z jasného a přesného právního základu
46. Je nesporné, že vzhledem k tomu, že shromažďování a zveřejňování osobních údajů obsažených v prohlášeních o zájmech je stanoveno zákonem o sladění zájmů, je třeba mít za to, že zásah do práva na respektování soukromého života, který toto shromažďování a sdělování představuje, je nutno považovat za formálně stanovený zákonem ve smyslu čl. 8 odst. 2 a čl. 52 odst. 1 Listiny. Nicméně podle čl. 52 odst. 3 Listiny musí být požadavku na stanovení zákonem přiznán stejný smysl a rozsah, jaký mu přiznává Evropský soud pro lidská práva v rámci svého výkladu čl. 8 odst. 2 Úmluvy o ochraně lidských práv a základních svobod, podepsané v Římě dne 4. listopadu 1950, který se vztahuje na mezery nebo nepřesnosti v zákoně(34).
47. V tomto ohledu uvádím, že podle bodu 41 odůvodnění nařízení GDPR musí být právní základ pro zpracování či legislativní opatření, které jej definuje, jasné a přesné a jejich použití musí být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora Evropské unie a Evropského soudu pro lidská práva. Judikatura Soudního dvora(35) skutečně odráží tento požadavek předvídatelnosti, jehož cílem je mimo jiné zajistit, aby pravidla pro rozsah a použití předmětného opatření byla dostatečně jasná a přesná(36), tak, aby subjekt údajů mohl pochopit, jaký druh údajů bude zpracováván, jakým způsobem a za jakým účelem(37).
48. V projednávané věci dotčená vnitrostátní právní úprava sice podle mého názoru zřejmě splňuje požadavek předvídatelnosti, pokud jde o definování druhu prováděného zpracování a jeho účelů, avšak mám pochybnosti, pokud jde o definování údajů, kterých se toto zpracování týká. Toto určení vyžaduje výklad článku 6 zákona o sladění zájmů, v němž je popsán obsah prohlášení o zájmech, ve spojení s článkem 10 tohoto zákona, v němž je uvedeno, které údaje „poskytnuté v tomto prohlášení“ nelze zveřejňovat na internetových stránkách Hlavní komise. Krom toho, že byla zvolena legislativní technika, kdy nejsou vyjmenovány údaje obsažené v uvedeném prohlášení, které musí být zveřejněny, uvádím, že posouzení přesného dosahu článku 10 uvedeného zákona vyvolává skutečné obtíže. S výjimkou toho, že v jeho odstavci 2 je výslovně uvedeno identifikační číslo a číslo sociálního pojištění, je totiž použit obecný odkaz na „zvláštní osobní údaje“ a na „jiné informace, jejichž zveřejnění je zákonem zakázáno“(38).
49. Na žádost Soudního dvora předkládající soud upřesnil, že zvláštními údaji jsou a priori údaje uvedené v čl. 2 odst. 8 litevského zákona o právní ochraně osobních údajů, konkrétně údaje týkající se rasového nebo etnického původu, politického, náboženského, filozofického nebo jiného přesvědčení, členství v odborech, zdravotního stavu, sexuální orientace osoby, jakož i informace týkající se odsouzení této osoby v trestním řízení, což je obdobné vymezení, jaké je stanoveno v unijním právu(39). Tento soud rovněž uvedl, že litevská právní úprava zakazuje zveřejňování nezanedbatelné řady informací, a odkázal na několik ustanovení výše uvedeného zákona, která zakazují zveřejnění různých typů údajů, z nichž některé jsou již uvedeny v čl. 10 odst. 2 zákona o sladění zájmů, a jiné, které nejsou a priori poskytovány v prohlášení o zájmech, jež musí být podáno k Hlavní komisi. Sám předkládající soud si klade otázku, zda pojem „jiné informace, jejichž zveřejnění je zákonem zakázáno“ neodkazuje v konečném důsledku pouze na informace obsažené v prohlášeních osob, jejichž údaje jsou ze zákona předmětem utajení nebo které působí ve zpravodajských službách, kontrarozvědných službách nebo v orgánech činných v trestním řízení, uvedené v čl. 10 odst. 1 zákona o sladění zájmů(40).
50. Zdá se tak, že osoba pracující v litevském veřejném sektoru, která je povinna podat k Hlavní komisi prohlášení o zájmech, je nucena analyzovat a zkoumat, aby se pokusila zjistit, jaké výjimky jsou stanoveny v článku 10 zákona o sladění zájmů, a tedy jaké údaje jsou v konečném důsledku „sdělitelné“, aniž by měla jakoukoli jistotu ohledně výsledku svého posouzení.
51. S ohledem na požadavek předvídatelnosti považuji za sporný i čl. 6 odst. 1 zákona o sladění zájmů, který vyžaduje, aby osoba povinná podat prohlášení v tomto prohlášení uvedla „osoby blízké nebo jiné osoby či údaje, které jsou [jí] známy a mohly by vést ke střetu zájmů“. Osoba povinná podat prohlášení tak stojí před nemožným nebo přinejmenším nebezpečným úkolem, kdy musí podle svého nejlepšího vědomí a svědomí určit, co je podle jejího názoru a priori takové povahy, že to může nebo by zřejmě mohlo ovlivnit nezávislý a objektivní výkon její funkce, a to s vědomím, že jakékoli opomenutí v tomto ohledu by jí mohlo být následně vytýkáno. Toto určení, jaká situace zakládá možný střet zájmů, přísluší výhradně zákonodárci, a v žádném případě nikoliv dotyčnému občanovi.
52. V této souvislosti je třeba připomenout, že z ochrany základního práva na respektování soukromého života vyplývá zejména možnost jakékoli fyzické osoby ujistit se, že osobní údaje, které se jí týkají, jsou přesné a jsou zpracovávány dovoleným způsobem(41). Účelem požadavku předvídatelnosti je zejména umožnit této osobě pochopit přesný rozsah zpracování jejích údajů a případně uplatnit svá práva podat stížnost u dozorového úřadu nebo se domáhat soudní ochrany proti správci, pokud se domnívá, že zpracování údajů, které se jí týkají, je v rozporu s nařízením GDPR(42). Vnitrostátnímu soudu přísluší ověřit s ohledem na vnitrostátní právo, zda dotčený právní základ pro zpracování splňuje požadavek předvídatelnosti(43).
c) K zásadě proporcionality
1) Úvodní poznámky
53. Považuji za nutné zmínit vyjádření litevské a finské vlády, jež zdůrazňují prostor pro uvážení ponechaný členským státům při určení zpracování osobních údajů, který je výslovně uznán v čl. 6 odst. 3 nařízení GDPR. Je pravda, že posledně uvedené ustanovení nesporně umožňuje, aby vnitrostátní právní úprava obsahovala konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, která se mohou se týkat mimo jiné obecných podmínek, kterými se řídí zákonnost zpracování, typů osobních údajů, které mají být zpracovány, a dotčených subjektů údajů. Nicméně čl. 6 odst. 3 uvedeného nařízení stanoví, že pokud jsou takové údaje zpracovávány na základě právní povinnosti, která se vztahuje na správce, musí právo dotyčného členského státu sloužit veřejnému zájmu a být přiměřené sledovanému legitimnímu cíli. Krom toho Soudní dvůr jednoznačně rozhodl, že k tomu, aby bylo zákonné, musí jakékoli zpracování osobních údajů splňovat dva požadavky, a to odpovídat některé ze zásad pro oprávněné zpracování údajů uvedených v článku 7 směrnice 95/46 nebo v článku 6 nařízení GDPR, avšak zároveň být v souladu se zásadami pro kvalitu údajů uvedenými v článku 6 této směrnice nebo článku 5 tohoto nařízení, které vyjadřují uvedenou zásadu proporcionality(44).
54. Aby byly splněny podmínky stanovené ve výše uvedených ustanoveních, je nezbytné, aby zveřejnění části informací obsažených v prohlášeních o zájmech na internetových stránkách Hlavní komise skutečně odpovídalo cíli obecného zájmu definovanému v článku 1 zákona o sladění zájmů a nepřekračovalo přitom meze toho, co je k dosažení tohoto cíle nezbytné. Jak je zdůrazněno v bodě 39 odůvodnění nařízení GDPR, tento požadavek nezbytnosti není naplněn, pokud lze sledovaného cíle obecného zájmu přiměřeně dosáhnout stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv subjektů údajů, zejména pak do práva na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny; výjimky ze zásady ochrany takových údajů a její omezení přitom musí být činěny v mezích toho, co je naprosto nezbytné(45). Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy a zájmy(46).
2) K přiměřenosti dotčeného opatření
55. Požadavek proporcionality vyjadřuje vztah mezi sledovanými cíli a prostředky použitými k jejich dosažení, z čehož vyplývá nutnost jasného a přesného definování těchto cílů(47). Jak vnitrostátní soud, tak zúčastnění tvrdí, že cílem dotčené vnitrostátní právní úpravy je zajistit transparentnost při správě veřejné služby za účelem posílení důvěry občanů ve veřejnou správu a umožnit jim účinnou kontrolu nad tím, jak orgány s rozhodovací pravomocí nakládají se státními prostředky, které jim byly dány k dispozici.
56. Jak bylo uvedeno výše, cíle dotčeného opatření jsou definovány v článku 1 zákona o sladění zájmů a spočívají v předcházení situacím představujícím střet zájmů a korupci ve veřejném sektoru posílením bezúhonnosti a nestrannosti jeho úředníků. Podle informací uvedených v předkládacím rozhodnutí tedy cíl zajištění transparentnosti v tomto ustanovení výslovně zmíněn není(48). Vyvstává tudíž otázka, zda je zveřejňování jmenovitých údajů týkajících se obsahu prohlášení o zájmech na internetu prostředkem, který je skutečně způsobilý splňovat pouze účely oficiálně uvedené v dané vnitrostátní právní úpravě, jelikož účinnost společenské kontroly ze strany široké veřejnosti, již toto plošné zveřejňování umožňuje, je podle mého názoru sporná(49).
57. Přesto nicméně považuji za důvodné se domnívat, že obecný účel transparentnosti, jak je popsán v předchozích bodech tohoto stanoviska, je v tomto případě souvisejícím cílem, který z článku 1 zákona o sladění zájmů vyplývá sice pouze implicitně, avšak nutně(50). Připomínám, že zásada transparentnosti je zakotvena v článcích 1 a 10 SEU a v článku 15 SFEU a že mimo jiné zaručuje, že správní orgány budou mít ve vztahu k občanům v demokratickém systému větší legitimitu, účinnost a odpovědnost. V případě, kdy byl v právní úpravě výslovně uveden cíl zvýšení transparentnosti, pokud jde o využívání finančních prostředků Společenství a zlepšení řádného finančního řízení těchto prostředků posilováním veřejné kontroly použitých prostředků, Soudní dvůr rozhodl, že zveřejnění jmenovitých údajů o dotčených příjemcích, jakož i přesných částek, které obdrželi, prostřednictvím internetu je způsobilé zvýšit transparentnost využívání dotčených zemědělských podpor. Soudní dvůr dále uvedl, že takové informace poskytnuté k dispozici občanům posilují veřejnou kontrolu užívání dotčených částek a přispívají k optimálnímu využití veřejných prostředků(51).
3) K nezbytnosti dotčeného opatření
58. Opatření je nezbytné, jestliže by sledovaného legitimního cíle nebylo možno dosáhnout pomocí mírnějšího, stejně vhodného prostředku. Jinými slovy, je možné dosáhnout cílů sledovaných zveřejňováním v elektronické podobě, které ukládá zákon o sladění zájmů, jinými prostředky, které jsou stejně účinné, avšak představují menší zásah do práv osob povinných podat prohlášení na respektování soukromého života a na ochranu osobních údajů? Odpověď na tuto otázku musí být podle mého názoru kladná, a to z několika důvodů.
59. Zaprvé sdílím názor předkládajícího soudu, že podávání prohlášení o zájmech k Hlavní komisi a kontrola, kterou má tento orgán provádět, představují vhodné prostředky, které jsou dostatečné k dosažení cíle sledovaného zákonem o sladění zájmů. Jsem si vědom, že se v tomto ohledu odchyluji od převládajícího mínění, pokud jde o požadavek transparentnosti, který se stal sám sobě cílem a absolutní demokratickou kardinální ctností, a bylo by jej tak možno označit až za „neodolatelný“ či „neurotický“(52). Osobně se domnívám, že veřejný zájem se nemusí nutně shodovat se zájmem veřejnosti(53) a že zajištění řádného fungování veřejné správy předcházením střetu zájmů a korupci spadá v zásadě do odpovědnosti státu, který nemůže ve jménu dogmatu transparentnosti přenášet na občany kontrolu nad právní úpravou, která má zajistit bezúhonnost a nestrannost veřejných činitelů.
60. Konkrétně je třeba zdůraznit, že dotčená vnitrostátní úprava sleduje primárně preventivní cíl. V tomto kontextu povinnost podávat prohlášení o zájmech k orgánu veřejné moci pověřenému jejich kontrolou je sama o sobě způsobilá zajistit požadovaný odrazující účinek ve vztahu k veřejným činitelům, na které se vztahuje, a to nezávisle na jakémkoli plošném zveřejňování části obsahu těchto prohlášení.
61. Krom toho, ačkoli povinnost podávat prohlášení o zájmech je již vyjádřením transparentnosti, tato transparentnost by se zvýšila obnovením veřejného a pravidelného výkonu činnosti nezávislého správního orgánu, který by byl, obdobně jako Hlavní komise, pověřen dohledem nad řádným uplatňováním mechanismu prohlášení o zájmech. Možnost zveřejnit zprávu uvádějící zjištěné případy střetu zájmů, nepodání prohlášení a prohlášení obsahujících nepravdivé informace, jakož i následná opatření přijatá v těchto situacích jsou způsobilé posílit důvěru občanů ve veřejnou správu stejně dobře, ne-li lépe, jako informace v podobě neutrálních údajů z prohlášení zveřejněných na internetu.
62. Je třeba rovněž připomenout, že podle článku 86 nařízení GDPR osobní údaje v úředních dokumentech, které jsou v držení orgánu veřejné moci, může tento orgán zpřístupnit v souladu s právem Unie nebo členského státu, kterému podléhá. Za těchto okolností se zdá relevantní přihlédnout k tomu, jaké informace může veřejnost získat od Hlavní komise jakožto orgánu veřejné moci, který uchovává úřední dokumenty, kterými jsou prohlášení o zájmech, na základě vnitrostátních pravidel týkajících se přístupu veřejnosti k dokumentům, přičemž tento přístup musí být v souladu se základními právy na respektování soukromého života a na ochranu osobních údajů, jak ostatně výslovně vyžaduje zmíněný článek 86(54).
63. Tento přístup, podle kterého lze dosažení legitimního cíle sledovaného vnitrostátní právní úpravou přímo zajistit prověřováním prohlášení o zájmech ze strany Hlavní komise, vyžaduje, aby měla Hlavní komise k dispozici lidské, materiální a právní zdroje, které jí budou umožňovat účinné plnění jejího úkolu(55). Otázka přiměřenosti se podle mého názoru týká především prostředků, které mají orgány veřejné moci k dispozici pro účely kontroly situace osob povinných podat prohlášení s ohledem na jejich počet. Za těchto okolností přísluší předkládajícímu soudu ověřit s ohledem na výše uvedené úvahy, zda nemohlo být cíle sledovaného vnitrostátní právní úpravou dotčenou ve věci v původním řízení stejně účinně dosaženo pouze povinným podáváním prohlášení o zájmech Hlavní komisi a prověřováním těchto prohlášení a obecněji této právní úpravy ze strany tohoto orgánu.
64. Pokud to možné není, podotýkám zadruhé, že vyvstává otázka přiměřenosti dotčeného zpracování s ohledem na typ zveřejňovaných údajů. V tomto ohledu je třeba připomenout, že podmínka spočívající v nezbytnosti zpracování údajů musí být zkoumána společně se zásadou „minimalizace údajů“ zakotvenou v čl. 6 odst. 1 písm. c) směrnice 95/46 a čl. 5 odst. 1 písm. c) nařízení GDPR, podle které musí být osobní údaje „přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou shromažďovány a/nebo dále zpracovávány“(56).
65. Jak je uvedeno výše v tomto stanovisku, předmětem zveřejnění v elektronické podobě v souladu s článkem 10 dotčené vnitrostátní právní úpravy je pouze část osobních údajů obsažených v prohlášeních o zájmech. S výhradou výkladu tohoto ustanovení ze strany předkládajícího soudu mohou být na internetu zveřejněny mimo jiné jméno a příjmení manžela, spolužijící osoby nebo partnera osoby povinné podat prohlášení, jakož i označení „osob blízkých nebo jiných osob či údajů, které jsou osobě povinné podat prohlášení známy a mohly by vést ke střetu zájmů“.
66. Ačkoli je v rámci cíle předcházení střetu zájmů a korupci ve veřejném sektoru relevantní požadovat jako součást obsahu oznámení o zájmech informace týkající se situace a činnosti manžela, spolužijící osoby nebo partnera osoby povinné podat prohlášení, mám za to, že zpřístupnění jmenovitých údajů týkajících se těchto osob, jakož i označení „osob blízkých nebo jiných osob či údajů, které jsou osobě povinné podat prohlášení známy a mohly by vést ke střetu zájmů“, široké veřejnosti přesahuje meze toho, co je naprosto nezbytné(57). Cíle veřejného zájmu sledovaného dotčenou litevskou právní úpravou by podle mého názoru mohlo být dosaženo tím, že by se v prohlášení o zájmech uváděl pouze obecný pojem manžel, spolužijící osoba nebo případně partner ve spojení s označením zájmů, které posledně uvedené osoby mají v souvislosti se svou činností.
67. Krom toho připomínám, že článek 25 nařízení GDPR ukládá správcům, aby jak v době určení prostředků pro zpracování, tak v době zpracování samotného zavedli vhodná technická a organizační opatření, jako je pseudonymizace(58), jejichž účelem je provádět zásady ochrany údajů, jako je minimalizace údajů, účinným způsobem a začlenit do zpracování nezbytné záruky ke splnění požadavků tohoto nařízení a ochraně práv subjektů údajů. Pseudonymizace by mohla být zavedena, pokud jde o označení manžela, spolužijící osoby nebo partnera.
68. Meze toho, co je naprosto nezbytné, podle mého názoru přesahuje i zveřejňování darů přijatých za posledních dvanáct kalendářních měsíců, jejichž hodnota přesahuje 150 eur, jakož i informací o transakcích uzavřených v tomtéž období nebo probíhajících transakcích, pokud jejich hodnota přesahuje 3 000 eur, pokud tyto údaje zahrnují informace o povaze darů a předmětu dotyčné transakce. Toto zpracování se jeví jako nepřiměřené, neboť vede k plošnému zveřejňování údajů o majetku v držení osoby povinné podat prohlášení a jejích osob blízkých, který může mít značnou hodnotu (umělecká díla, šperky apod.), a vystavuje tak dotyčné osoby nebezpečí, že se stanou obětí trestného činu(59). I v tomto případě se může jevit jako dostačující k dosažení sledovaného cíle pouhá zmínka o darech nebo druhé straně transakce, kromě fyzických osob, které jsou již vyloučeny podle čl. 10 odst. 2 zákona o sladění zájmů.
69. Zatřetí je třeba posoudit přiměřenost dotčeného opatření z hlediska určení osob povinných podat prohlášení, na které se vztahuje povinnost zveřejnění údajů, které se jich týkají, na internetu.
70. Je důležité zdůraznit, že v souladu s dotčenou vnitrostátní právní úpravou neodpovídá seznam osob, na které se vztahuje povinnost podat prohlášení o zájmech, omezenějšímu seznamu osob, jejichž údaje obsažené v prohlášení jsou následně zveřejňovány na internetu. Do této druhé kategorie spadají podle zákona o sladění zájmů ve znění platném v době přijetí napadeného rozhodnutí v původním řízení ředitelé a zástupci ředitelů veřejnoprávních sdružení nebo organizací financovaných ze státního rozpočtu, státních fondů nebo z rozpočtu nebo fondů územního samosprávného celku. Právě s ohledem na tento status, na jehož základě je považován za osobu v obdobném postavení jako veřejný činitel, byl žalobce v původním řízení považován za osobu spadající do působnosti tohoto zákona ratione personae.
71. Na základě této skutečnosti je dotyčný postaven na roveň voleným zástupcům, státním úředníkům a státním zaměstnancům, soudcům, členům statutárního orgánu akciových společností nebo společností s ručením omezeným, v nichž stát nebo územní samosprávný celek vlastní akcie nebo podíly, s nimiž je spojen nadpoloviční počet hlasovacích práv, členům správní rady či představenstva státních podniků nebo podniků zřizovaných územními samosprávnými celky nebo předsedům a místopředsedům politických stran. Taková situace může podle mého názoru zakládat nepřiměřené – jelikož je nerozlišující – zacházení s aktéry veřejné správy v širším slova smyslu, kteří nejsou vystaveni nebezpečí střetu zájmů nebo korupce ve stejném rozsahu, ani nejsou ve stejně úzkém vztahu s veřejností, jejíž důvěra ve veřejné činitele má být zachována a případně posílena.
72. Pouze existence vážného nebezpečí střetu zájmů nebo korupce při správě věcí veřejných, které jsou v zájmu široké veřejnosti, může odůvodňovat, aby byly osobní údaje osob povinných podat prohlášení, které jsou z titulu své volené funkce nebo povolání takovému nebezpečí vystaveny, zveřejňovány na internetu. Cíl zvýšit záruky bezúhonnosti a nestrannosti ostatních osob povinných podat prohlášení, předcházet střetu zájmů a korupci ve veřejném sektoru a posílit důvěru veřejnosti ve veřejné činitele je přímo zajištěn kontrolou prohlášení o zájmech ze strany Hlavní komise. Vzhledem k obrovské rozmanitosti situací, které mohou nastat, považuji za nemožné určit vyčerpávající objektivní kritéria, která by umožnila určit existenci tohoto nebezpečí nebo provést systematicky relevantní kategorizaci veřejných činitelů s rozhodovací pravomocí(60).
73. Předkládajícímu soudu tedy přísluší ověřit, zda za okolností věci v původním řízení, zahrnujících zejména povahu a rozsah činnosti dotčené veřejnoprávní organizace ve vztahu k veřejnosti, rozhodovací pravomoc žalobce v původním řízení v oblasti používání nebo správy veřejných prostředků, jakož i výši těchto prostředků přidělených a vykázaných v rozpočtu této organizace, lze mít za to, že dotyčný je s ohledem na své funkce vystaven vážnému nebezpečí střetu zájmů a korupci, které mohou mít závažný dopad na společnost(61).
74. S ohledem na výše uvedené úvahy se podle mého názoru nezdá, že by cílů předcházení střetu zájmů a korupci ve veřejném sektoru, zvýšení záruk bezúhonnosti a nestrannosti veřejných činitelů a posílení důvěry občanů ve veřejnou správu nemohlo být přiměřeně dosaženo stejně účinným způsobem jinými prostředky, které by do základních práv zasahovaly méně. Nelze tedy považovat za prokázané, že zveřejňování osobních údajů osob povinných podat prohlášení na internetu je pro dosažení tohoto cíle nezbytné(62).
4) K vážení dotčených práv a zájmů
75. I kdybychom vycházeli z předpokladu, že dotčené zpracování může být považováno za vhodné a nezbytné (což neplatí) k dosažení sledovaných cílů, nemohlo by být ani tak považováno za zákonné. I v takovém případě by bylo třeba ověřit, zda před oprávněným zájmem sledovaným správcem údajů nemají přednost základní práva osoby, na kterou se vztahuje ochrana údajů, přičemž posouzení této podmínky vyžaduje vyvažování práv a zájmů stojících v daném případě proti sobě, které v zásadě závisí na konkrétních okolnostech jednotlivých případů a v jehož rámci musí být zohledněna důležitost práv subjektu údajů vyplývajících z článků 7 a 8 Listiny(63). V tomto ohledu Soudní dvůr upřesnil, že cíli transparentnosti nelze přiznat automatickou přednost před právem na ochranu osobních údajů(64).
76. Kritérium týkající se závažnosti zásahu do práv a svobod subjektu údajů je podstatným prvkem pro provedení vážení nebo poměření případ od případu. V tomto ohledu je třeba zohlednit zejména povahu dotčených osobních údajů, konkrétně případně citlivou povahu těchto údajů, jakož i povahu a konkrétní způsoby zpracování dotčených údajů, konkrétně počet osob, které mají přístup k těmto údajům, a podmínky pro přístup k těmto údajům. Pro toto vážení jsou relevantní i rozumná očekávání subjektu údajů, že jeho osobní údaje nebudou zpracovány, pokud za okolností projednávané věci tento subjekt nemůže rozumně očekávat další zpracování osobních údajů. Konečně musí být tyto skutečnosti poměřeny s významem oprávněného zájmu, který v projednávané věci sleduje dotčená vnitrostátní úprava, pro společnost, jelikož jejím hlavním cílem je zaručit bezúhonnost a nestrannost aktérů působících ve veřejném sektoru a předcházet střetu zájmů a korupci v tomto sektoru(65).
77. Pokud jde o závažnost zásahu do práv, je třeba předně zdůraznit, že se dotčené zpracování netýká pouze osoby povinné podat prohlášení, která je individuálně a přímo dotčena z titulu svého postavení veřejného činitele s rozhodovací pravomocí, ale rovněž jejího manžela, partnera nebo spolužijící osoby a případně i osob blízkých nebo jiných osob, které jsou osobě povinné podat prohlášení známy a mohly by vést ke střetu zájmů ve smyslu čl. 6 odst. 1 zákona o sladění zájmů. Lze si velmi dobře představit, že by pojem „osoby blízké“ mohl zahrnovat mimo jiné děti a rodiče osoby povinné podat prohlášení, což znamená, že by mohly být na internetu zveřejněny jmenovité údajů všech členů rodiny spolu s přesnými informacemi o činnosti dotyčných osob.
78. Dále je nesporné, že dotčené zpracování vede k tomu, že osobní údaje výše uvedených osob jsou zpřístupněny blíže neurčenému počtu osob. Jakmile jsou tyto údaje zveřejněny na internetových stránkách Hlavní komise, mohou do nich uživatelé internetu volně nahlížet a případně je i ukládat nebo je šířit. Uspořádávání a seskupování informací zveřejněných na internetu, jež provádí vyhledávače s cílem ulehčit svým uživatelům přístup k těmto informacím, může navíc – jestliže je vyhledávání uvedených informací prováděno na základě jména fyzické osoby – vést k tomu, že daní uživatelé v seznamu výsledků vyhledávání obdrží strukturovaný přehled informací týkajících se této osoby, které lze nalézt na internetu, a které jim umožní sestavit více či méně podrobný profil dotyčné osoby(66). Takový režim zpřístupňování může vést k situaci, kdy se tyto údaje zpřístupní osobám, které se z důvodů, jež nesouvisejí s cílem obecného zájmu spočívajícím v předcházení střetu zájmů a korupci ve veřejném sektoru, snaží získat informace o majetkové situaci osoby povinné podat prohlášení a členech její rodiny, ať již jde o vlastnictví akcií či podílů, finanční investice, movitý nebo nemovitý majetek, což jsou informace, které mohou být uvedeny v prohlášeních o zájmech, která musí být zveřejněna(67). Toto zpřístupňování tak může dotyčné osoby vystavit opakované cílené reklamě, obchodním nabídkám nebo případně nebezpečí, že se stanou obětí trestného činu.
79. Za těchto okolností mám za to, že dotčené zpracování představuje závažný zásah do základních práv na respektování soukromého života a ochranu osobních údajů subjektů údajů. Toto zjištění může odůvodňovat závěr, že dotyčná vnitrostátní právní úprava a priori nezajišťuje spravedlivou rovnováhu, pokud jde o zohlednění dotčených práv a zájmů. Nicméně litevská vláda správně zdůrazňuje, že při vyvažování dotčených práv a zájmů je nutné zohlednit míru korupce zjištěné ve veřejném sektoru, která odůvodňuje, aby každý členský stát přijal prostředky, které považuje za nejvhodnější za účelem boje proti tomuto jevu. Je totiž třeba konstatovat, že zájem veřejnosti na přístupu k informacím se i v rámci Unie může v jednotlivých členských státech lišit, takže poměřování tohoto významu na straně jedné s právem subjektu údajů na respektování soukromého života a na ochranu osobních údajů na straně druhé nepovede nutně ke stejnému výsledku pro všechny členské státy(68). Pokud jde o projednávanou věc, mám za to, že skutečný stav a rozsah korupce ve veřejné službě představují konkrétní okolnosti věci v původním řízení, které musí posoudit předkládající soud(69).
3. Ke druhé předběžné otázce
80. Je třeba připomenout, že čl. 10 odst. 2 zákona o sladění zájmů stanoví obecný zákaz zveřejňování osobních údajů spadajících do zvláštní kategorie údajů, přičemž tento zákaz není nijak omezen. Podle předkládajícího soudu vyvolává provádění tohoto ustanovení obtíže, a z tohoto důvodu uvedený soud položil Soudnímu dvoru otázku, kterou se v podstatě táže na dosah pojmu „zvláštní kategorie osobních údajů“ uvedeného v čl. 9 odst. 1 nařízení GDPR v unijním právu.
81. Tento článek, který s několika změnami přebírá čl. 8 odst. 1 směrnice 95/46, stanoví, že se zakazuje zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby(70).
82. Předkládající soud má za to, že ačkoli údaje, které stricto sensu spadají do zvláštní kategorie osobních údajů, nejsou zveřejňovány na internetových stránkách Hlavní komise, může uživatel internetu z některých údajů, jejichž zveřejnění je podle čl. 10 odst. 1 zákona o sladění zájmů povinné, dovodit citlivé informace, jako jsou politické názory, členství v odborech nebo sexuální orientace osoby povinné podat prohlášení(71). V tomto ohledu je totiž nesporné, že i když jmenovité údaje týkající se manžela, spolužijící osoby nebo partnera osoby povinné podat prohlášení samy o sobě nepředstavují citlivé údaje, jejich zveřejnění na internetu může veřejnosti odhalit informace o sexuálním životě nebo sexuální orientaci osoby povinné podat prohlášení, jakož i jeho manžela, spolužijící osoby nebo partnera.
83. Vyvstává tedy otázka, zda čl. 9 odst. 1 nařízení GDPR nebo čl. 8 odst. 1 směrnice 95/46 musí být vykládány v tom smyslu, že se vztahují i na zpracování osobních údajů, které a priori nejsou citlivé, avšak z nichž lze myšlenkovým spojením souvislostí nebo dedukcí nepřímo zjistit údaje, které mají takovou povahu. Litevská vláda se brání takovému výkladu, jelikož by podle ní podstatně ztížil, ne-li znemožnil, zpracování některých údajů, a tím i dosažení sledovaného legitimního cíle, jako je zveřejňování údajů týkajících se manžela, spolužijící osoby nebo partnera za účelem předcházení střetu zájmů a korupci ve veřejném sektoru. Podle uvedené vlády se čl. 9 odst. 1 nařízení GDPR nebo čl. 8 odst. 1 směrnice 95/46 vztahuje pouze na zpracování, jehož jasným účelem je zpracovávat osobní údaje, které svou podstatou spadají do zvláštních kategorií údajů(72), které je podle ní v projednávané věci vyloučeno s ohledem na zákaz zveřejňování citlivých údajů obsažený v čl. 10 odst. 2 zákona o sladění zájmů.
84. Podle ustálené judikatury je pro výklad ustanovení unijního práva třeba vzít v úvahu nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí(73).
85. Zaprvé ze znění čl. 9 odst. 1 nařízení GDPR vyplývá, že toto nařízení rozlišuje tři druhy zpracování podle typu dotyčných údajů: i) zpracování osobních údajů, které „vypovídají“ o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, ii) zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, a iii) zpracování údajů „o“ zdravotním stavu či „o“ sexuálním životě nebo sexuální orientaci fyzické osoby. Toto znění částečně přebírá znění čl. 8 odst. 1 směrnice 95/46, podle kterého členské státy zakáží zpracování osobních údajů, které „odhalují“ rasový či etnický původ, politické názory, náboženské nebo filozofické přesvědčení, odborovou příslušnost, jakož i zpracování údajů „týkajících se“ zdraví a sexuálního života. Použití slovesa „vypovídat o“, případně „odhalovat“, je v souladu se zohledněním zpracování, které se netýká pouze údajů, jež jsou ze své podstaty citlivé, ale rovněž nepřímo umožňuje zpřístupnění na základě myšlenkového pochodu spočívajícího v dedukci nebo spojení souvislostí. To samé neplatí podle mého názoru pro výraz „o“, který je ekvivalentem výrazu „týkající se,“ jenž vyžaduje přímější a bezprostřednější vazbu mezi zpracováním a dotyčnými údaji, posuzovanými z hlediska jejich vnitřní podstaty(74). Taková exegetická analýza by nás zřejmě měla vést k závěru, že zpracování zvláštních kategorií osobních údajů je definováno různě, v závislosti na typu dotyčných citlivých údajů, což podle mého názoru není žádoucí(75).
86. Dále uvádím, že přinejmenším pokud jde o biometrické údaje, unijní normotvůrce v bodě 51 odůvodnění a v čl. 9 odst. 1 nařízení GDPR upřesnil, že zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky „za účelem“ jedinečné identifikace fyzické osoby. Účelový přístup, který uplatňuje litevská vláda, je zde zřejmě stanoven pouze pro biometrické údaje.
87. Zadruhé považuji rovněž za vhodné spojit otázku určení zvláštních kategorií osobních údajů s otázkou definice pojmu „identifikovatelná fyzická osoba“, tedy fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby(76). Evropský normotvůrce tak zvolil realistický přístup, když zohlednil možnost rekonstruovat informace na základě spojení souvislostí a agregování jednotlivých informací.
88. Zatřetí je třeba připomenout, že – jak vyplývá z článku 1 a bodu 10 odůvodnění směrnice 95/46, jakož i z článku 1 a bodu 4 odůvodnění nařízení GDPR – je předmětem těchto dvou norem zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů(77). V případě zpracování citlivých údajů se jedná o specifický a posílený cíl ochrany, s ohledem na závažná rizika pro základní práva a svobody, která jsou s tímto druhem zpracování spojena(78). Řešení přijatá Soudním dvorem v jeho rozsudcích vydaných v řízení o předběžné otázce jsou výrazem zohlednění tohoto cíle.
89. Na otázku položenou jedním předkládajícím soudem, zda údaj o tom, že se určitá osoba zranila na noze a čerpá částečné volno z důvodu nemoci, je osobním údajem týkajícím se zdraví ve smyslu čl. 8 odst. 1 směrnice 95/46, Soudní dvůr odpověděl kladně a uvedl, že s ohledem na předmět této směrnice je třeba výraz „údaje týkající se zdraví“, použitý v jejím čl. 8 odst. 1, vykládat široce, tedy tak, že zahrnuje informace týkající se všech stránek zdraví člověka, ať fyzických či duševních(79).
90. Soudní dvůr rozhodl, že by výklad čl. 8 odst. 1 a 5 směrnice 95/46 nebo čl. 9 odst. 1 a článku 10 nařízení GDPR, který by a priori obecně na provozování vyhledávače nevztahoval zvláštní požadavky, které tato ustanovení stanoví pro zpracování zvláštních kategorií údajů ve smyslu těchto ustanovení, byl i v rozporu s účelem uvedených ustanovení, kterým je zajistit „zvýšenou ochranu“ z důvodu zvláštní citlivosti těchto údajů při takovém zpracování, které může – jak rovněž vyplývá z bodu 33 odůvodnění této směrnice a bodu 51 odůvodnění tohoto nařízení – zvláště závažným způsobem zasáhnout do základního práva na respektování soukromého života a základního práva na ochranu osobních údajů zaručených články 7 a 8 Listiny(80).
91. Za těchto podmínek nelze přijmout, aby zpracování osobních údajů, které může vést k nepřímému zpřístupnění citlivých údajů subjektu údajů, nepodléhalo povinnostem a zárukám stanoveným směrnicí 95/46 a nařízením GDPR, což by ohrozilo užitečný účinek těchto aktů a účinnou a úplnou ochranu základních svobod a práv fyzických osob, kterou mají zajistit, zejména práva na respektování soukromého života v souvislosti se zpracováním osobních údajů, kterému tyto akty připisují zvláštní důležitost, jak potvrzují zejména čl. 1 odst. 1 a body 2 a 10 odůvodnění této směrnice a čl. 1 odst. 2 a body 1 a 4 odůvodnění nařízení GDPR(81). Jinými slovy, skutečnost, že se široká veřejnost nepřímo dozví informaci týkající se mimo jiné života nebo sexuální orientace osoby povinné podat prohlášení a jejího manžela, spolužijící osoby nebo partnera, nelze považovat za politováníhodnou vedlejší újmu, která je však přijatelná s ohledem na účel zpracování, jehož předmětem nejsou primárně citlivé údaje, případně které použití takových údajů výslovně zakazuje, jako je tomu v projednávané věci.
92. Toto řešení je podle mého názoru v souladu s přístupem Soudního dvora, který nad rámec zjevných formálních rysů provádí věcnou analýzu dotyčného zpracování s cílem ověřit jeho skutečný dosah, pokud jde o typ zpracovávaných údajů. V rámci posouzení přiměřenosti vnitrostátní právní úpravy, která umožňuje státnímu orgánu uložit poskytovatelům služeb elektronických komunikací – pro účely zajištění národní bezpečnosti – povinnost plošného a nerozlišujícího předávání provozních a lokalizačních údajů bezpečnostním a zpravodajským službám, dospěl Soudní dvůr k závěru, že zásah do práva zakotveného v článku 7 Listiny musí být považován za zvlášť závažný, zejména s ohledem „na citlivost informací, které z těchto údajů mohou vyplynout“(82).
93. Ve svém posudku k otázce slučitelnosti zamýšlené dohody mezi Kanadou a Evropskou unií o předávání a zpracovávání údajů jmenné evidence cestujících(83) s článkem 16 SFEU, jakož i s články 7, 8 a čl. 52 odst. 1 Listiny, Soudní dvůr analyzoval existenci zásahu do základního práva na ochranu osobních údajů zaručeného článkem 8 Listiny. V tomto ohledu Soudní dvůr uvedl, že i když některé z údajů PNR patrně samy o sobě nemohou být důležitými informacemi o soukromém životě dotčených osob, přesto platí, že tyto údaje jako celek mohou mimo jiné odhalit kompletní cestovní trasu, cestovní návyky, vztahy mezi dvěma či více osobami a informace o finanční situaci cestujících v letecké dopravě, o jejich stravovacích návycích nebo jejich zdravotním stavu, a „mohly by dokonce poskytnout takové citlivé informace o těchto cestujících“. Při posuzování nezbytnosti zásahů způsobených zamýšlenou dohodou, pokud jde o údaje cestujících v letecké dopravě, na které se tato dohoda vztahuje, Soudní dvůr zdůraznil, že ačkoli žádná z 19 rubrik obsažených v příloze této dohody citlivé údaje výslovně neuvádí, mohly by tyto údaje přesto spadat pod některou z těchto rubrik.
94. Je pravda, že takový přístup je poněkud složitější. Určení účelů a především prostředků zpracování tak musí být předmětem zvlášť pečlivého posouzení, včetně možného zpracování citlivých údajů (které je ve věci v původním řízení snadno identifikovatelné). Nejde nicméně o nic jiného než o záměrnou ochranu údajů, kterou vyžaduje již článek 25 nařízení GDPR. Krom toho je podle mého chybné dovolávat se – jak činí litevská vláda – nepříznivých důsledků vyplývajících z nemožnosti provádět některá zpracování, jako je zpracování dotčené ve věci v původním řízení. Je třeba zdůraznit, že zákaz zpracování týkajícího se zvláštních kategorií osobních údajů je relativní, jelikož jsou z něj stanoveny určité výjimky a odchylky v čl. 8 odst. 2 až 4 směrnice 95/46 a v čl. 9 odst. 2 nařízení GDPR, přičemž v posledně uvedeném ustanovení je vyjmenováno dokonce deset případů zákonného zpracování citlivých údajů. V tomto ohledu podotýkám, že dotčené zpracování mohlo být zcela dobře založeno na čl. 8 odst. 4 směrnice 95/46, který byl s určitými změnami převzat do čl. 9 odst. 2 písm. g) nařízení GDPR(84), pokud by se litevský zákonodárce nerozhodl zakázat zveřejňování citlivých údajů(85).
V. Závěry
95. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl Vilniaus apygardos administracinis teismas (Krajský správní soud ve Vilniusu, Litva) následovně:
1) Články 6 a 7 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a články 5 a 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), ve spojení s články 7 a 8 Listiny základních práv Evropské unie, musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, podle které některé osobní údaje obsažené v prohlášení o zájmech, které musí podat každý ředitel veřejnoprávní organizace, jež je příjemcem veřejných prostředků, podléhají povinnému zveřejnění na internetových stránkách orgánu veřejné moci pověřeného shromažďováním těchto prohlášení a kontrolou jejich obsahu, pokud takové opatření není vhodné a nezbytné k dosažení cílů předcházení střetu zájmů a korupci ve veřejném sektoru, zvýšení záruk bezúhonnosti a nestrannosti veřejných činitelů a posílení důvěry občanů ve veřejnou správu.
2) Článek 8 odst. 1 směrnice 95/46 a čl. 9 odst. 1 nařízení 2016/679 ve spojení s články 7 a 8 Listiny základních práv musí být vykládány v tom smyslu, že zveřejňování obsahu prohlášení o zájmech na internetových stránkách orgánu veřejné moci pověřeného jejich shromažďováním a kontrolou jejich obsahu, které je způsobilé nepřímo zpřístupnit citlivé údaje, na které se vztahují první dva uvedené články, představuje zpracování zvláštních kategorií osobních údajů.