ROZSUDEK SOUDNÍHO DVORA (prvního senátu)
12. ledna 2023(*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 15 odst. 1 písm. c) – Právo subjektu údajů na přístup ke svým údajům – Informace o příjemcích nebo kategoriích příjemců, kterým osobní údaje byly nebo budou zpřístupněny – Omezení“
Ve věci C‑154/21,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Oberster Gerichtshof (Nejvyšší soud, Rakousko) ze dne 18. února 2021, došlým Soudnímu dvoru dne 9. března 2021, v řízení
RW
proti
Österreichische Post AG,
SOUDNÍ DVŮR (první senát),
ve složení A. Arabadžev, předseda senátu, L. Bay Larsen, místopředseda Soudního dvora vykonávající funkci soudce prvního senátu, P. G. Xuereb, A. Kumin a I. Ziemele (zpravodajka), soudci,
generální advokát: G. Pitruzzella,
vedoucí soudní kanceláře: A. Calot Escobar,
s přihlédnutím k písemné části řízení,
s ohledem na vyjádření předložená:
– za RW R. Hauptem, Rechtsanwalt,
– za Österreichische Post AG R. Markem, Rechtsanwalt,
– za rakouskou vládu G. Kunnertem, A. Poschem a J. Schmoll, jako zmocněnci,
– za českou vládu M. Smolkem a J. Vláčilem, jako zmocněnci,
– za italskou vládu G. Palmieri, jako zmocněnkyní, ve spolupráci s M. Russo, avvocato dello Stato,
– za lotyšskou vládu J. Davidoviča, I. Hūna a K. Pommere, jako zmocněnkyněmi,
– za rumunskou vládu L.-E. Baţagoi, E. Gane a A. Wellman, jako zmocněnkyněmi,
– za švédskou vládu H. Eklinder, J. Lundbergem, C. Meyer-Seitz, A. M. Runeskjöld, M. Salborn Hodgson, R. Shahsavan Eriksson, H. Shev a O. Simonssonem, jako zmocněnci,
– za Evropskou komisi F. Erlbacherem a H. Kranenborgem, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 9. června 2022,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 15 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1) (dále jen „ONOOÚ“).
2 Tato žádost byla předložena v rámci sporu mezi RW a společností Österreichische Post AG (dále jen „Österreichische Post“) ve věci žádosti o přístup k osobním údajům podle čl. 15 odst. 1 písm. c) ONOOÚ.
Právní rámec
3 Body 4, 9, 10, 39, 63 a 74 odůvodnění ONOOÚ zní následovně:
„(4) […] Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. […]
[…]
(9) Ačkoliv cíle a zásady směrnice [Evropského parlamentu a Rady] 95/46/ES [ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355)] nadále platí, nezabránilo to roztříštěnosti v provádění ochrany údajů v celé [Evropské] [u]nii, právní nejistotě ani rozšířenému pocitu veřejnosti, že v souvislosti s ochranou fyzických osob existují značná rizika, zejména pokud jde o činnosti prováděné online. Rozdíly v úrovni ochrany práv a svobod fyzických osob, zejména práva na ochranu osobních údajů, v souvislosti se zpracováním osobních údajů v členských státech mohou bránit volnému pohybu osobních údajů v rámci Unie. Tyto rozdíly proto mohou být překážkou pro výkon hospodářských činností na úrovni Unie, mohou narušovat hospodářskou soutěž a bránit orgánům veřejné moci ve výkonu povinností, které jim ukládají právní předpisy Unie. Tato rozdílná úroveň ochrany je způsobena rozdíly v provádění a uplatňování směrnice 95/46/ES.
(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. […]
[…]
(39) Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem. Pro fyzické osoby by mělo být transparentní, že osobní údaje, které se jich týkají, jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány, jakož i v jakém rozsahu tyto osobní údaje jsou či budou zpracovány. Zásada transparentnosti vyžaduje, aby všechny informace a všechna sdělení týkající se zpracování těchto osobních údajů byly snadno přístupné a srozumitelné a podávané za použití jasných a jednoduchých jazykových prostředků. […]
[…]
(63) Subjekt údajů by měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost. […] Každý subjekt údajů by proto měl mít právo vědět a být informován zejména o tom, za jakým účelem se osobní údaje zpracovávají, případně období, po které budou uchovávány, kdo jsou příjemci osobních údajů, v čem spočívá logika automatizovaného zpracování osobních údajů a jaké mohou být důsledky takového zpracování přinejmenším v případech, kdy je zpracování založeno na profilování. […] Tímto právem by neměla být nepříznivě dotčena práva ani svobody ostatních, například obchodní tajemství nebo duševní vlastnictví a zejména autorské právo chránící programové vybavení. Zohlednění těchto skutečností by ovšem nemělo vést k tomu, že by subjektu údajů bylo odepřeno poskytnutí všech informací. […]
[…]
(74) Měla by být stanovena odpovědnost správce za jakékoliv zpracování osobních údajů prováděné správcem nebo pro něj. Správce by měl být zejména povinen zavést vhodná a účinná opatření a být schopen doložit, že činnosti zpracování jsou v souladu s tímto nařízením, včetně účinnosti opatření. Tato opatření by měla zohledňovat povahu, rozsah, kontext a účely zpracování a riziko pro práva a svobody fyzických osob.“
4 Článek 1 ONOOÚ, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:
„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“
5 Článek 5 ONOOÚ, nadepsaný „Zásady zpracování osobních údajů“, stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
[…]
2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (,odpovědnost‘).“
6 Článek 12 ONOOÚ, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, stanoví:
„1. Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. Pokud si to subjekt údajů vyžádá, mohou být informace poskytnuty ústně, a to za předpokladu, že identita subjektu údajů je prokázána jinými způsoby.
2. Správce usnadňuje výkon práv subjektu údajů podle článků 15 až 22. V případech uvedených v čl. 11 odst. 2 správce neodmítne vyhovět žádosti subjektu údajů za účelem výkonu jeho práv podle článků 15 až 22, ledaže doloží, že nemůže zjistit totožnost subjektu údajů.
[…]
5. Informace podle článků 13 a 14 a veškerá sdělení se poskytují a veškerá opatření podle článků 15 až 22 a 34 se přijímají bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď:
a) uložit přiměřený poplatek zohledňující administrativní náklady spojené s poskytnutím požadovaných informací nebo sdělení nebo s přijetím požadovaných opatření; nebo
b) odmítnout žádosti vyhovět.
Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.
[…]“
7 Článek 13 ONOOÚ, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, v odstavci 1 stanoví:
„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[…]
e) případné příjemce nebo kategorie příjemců osobních údajů; […]
[…]“
8 Článek 14 ONOOÚ, nadepsaný „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, v odstavci 1 stanoví:
„Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:
[…]
e) případné příjemce nebo kategorie příjemců osobních údajů;
[…]“
9 Článek 15 ONOOÚ, nadepsaný „Právo subjektu údajů na přístup“, zní takto:
„1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
a) účely zpracování;
b) kategorie dotčených osobních údajů;
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích;
d) plánovaná doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá ke stanovení této doby;
e) existence práva požadovat od správce opravu nebo výmaz osobních údajů týkajících se subjektu údajů nebo omezení jejich zpracování a nebo vznést námitku proti tomuto zpracování;
f) právo podat stížnost u dozorového úřadu;
g) veškeré dostupné informace o zdroji osobních údajů, pokud nejsou získány od subjektu údajů;
h) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
2. Pokud se osobní údaje předávají do třetí země nebo mezinárodní organizaci, má subjekt údajů právo být informován o vhodných zárukách podle článku 46, které se vztahují na předání.
3. Správce poskytne kopii zpracovávaných osobních údajů. Za další kopie na žádost subjektu údajů může správce účtovat přiměřený poplatek na základě administrativních nákladů. Jestliže subjekt údajů podává žádost v elektronické formě, poskytnou se informace v elektronické formě, která se běžně používá, pokud subjekt údajů nepožádá o jiný způsob.
4. Právem získat kopii uvedenou v odstavci 3 nesmějí být nepříznivě dotčena práva a svobody jiných osob.“
10 Článek 16 ONOOÚ, nadepsaný „Právo na opravu“, stanoví:
„Subjekt údajů má právo na to, aby správce bez zbytečného odkladu opravil nepřesné osobní údaje, které se ho týkají. S přihlédnutím k účelům zpracování má subjekt údajů právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.“
11 Článek 17 ONOOÚ, nadepsaný „Právo na výmaz (,právo být zapomenut‘)“, zní takto:
„1. Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
b) subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
c) subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2;
d) osobní údaje byly zpracovány protiprávně;
e) osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje;
f) osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1.
2. Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.
[…]“
12 Článek 18 ONOOÚ, nadepsaný „Právo na omezení zpracování“, v odstavci 1 stanoví:
„Subjekt údajů má právo na to, aby správce omezil zpracování, v kterémkoli z těchto případů:
a) subjekt údajů popírá přesnost osobních údajů, a to na dobu potřebnou k tomu, aby správce mohl přesnost osobních údajů ověřit;
b) zpracování je protiprávní a subjekt údajů odmítá výmaz osobních údajů a žádá místo toho o omezení jejich použití;
c) správce již osobní údaje nepotřebuje pro účely zpracování, ale subjekt údajů je požaduje pro určení, výkon nebo obhajobu právních nároků;
d) subjekt údajů vznesl námitku proti zpracování podle čl. 21 odst. 1, dokud nebude ověřeno, zda oprávněné důvody správce převažují nad oprávněnými důvody subjektu údajů.
[…]“
13 Článek 19 ONOOÚ zní takto:
„Správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s článkem 16, čl. 17 odst. 1 a článkem 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí. Správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.“
14 Článek 21 ONOOÚ, nadepsaný „Právo vznést námitku“, zní takto:
„1. Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.
2. Pokud se osobní údaje zpracovávají pro účely přímého marketingu, má subjekt údajů právo vznést kdykoli námitku proti zpracování osobních údajů, které se ho týkají, pro tento marketing, což zahrnuje i profilování, pokud se týká tohoto přímého marketingu.
3. Pokud subjekt údajů vznese námitku proti zpracování pro účely přímého marketingu, nebudou již osobní údaje pro tyto účely zpracovávány.
4. Subjekt údajů je na právo uvedené v odstavcích 1 a 2 výslovně upozorněn a toto právo je uvedeno zřetelně a odděleně od jakýchkoli jiných informací, a to nejpozději v okamžiku první komunikace se subjektem údajů.
5. V souvislosti s využíváním služeb informační společnosti, a aniž je dotčena směrnice [Evropského parlamentu a Rady] 2002/58/ES [ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích) (Úř. věst. 2002, L 201, s. 37; Zvl. vyd. 13/029, s. 514)], může subjekt údajů uplatnit své právo vznést námitku automatizovanými prostředky pomocí technických specifikací.
6. Jsou-li osobní údaje zpracovávány pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, má subjekt údajů, z důvodů týkajících se jeho konkrétní situace, právo vznést námitku proti zpracování osobních údajů, které se ho týkají, ledaže je zpracování nezbytné pro splnění úkolu prováděného z důvodů veřejného zájmu.“
15 Článek 79 ONOOÚ, nadepsaný „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“, v odstavci 1 stanoví:
„Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením.“
16 Článek 82 ONOOÚ, nadepsaný „Právo na náhradu újmy a odpovědnost“, v odstavci 1 stanoví:
„Kdokoli, kdo v důsledku porušení tohoto nařízení utrpěl hmotnou či nehmotnou újmu, má právo obdržet od správce nebo zpracovatele náhradu utrpěné újmy.“
Spor v původním řízení a předběžná otázka
17 Dne 15. ledna 2019 se RW obrátil na Österreichische Post s cílem získat na základě článku 15 ONOOÚ přístup k osobním údajům, které o něm Österreichische Post uchovává nebo které uchovávala v minulosti, a v případě sdělení těchto údajů třetím osobám také k totožnosti příjemců těchto sdělení.
18 V odpovědi na tuto žádost se společnost Österreichische Post omezila na uvedení, že v rozsahu povoleném zákonem využívá údaje v rámci své činnosti jako správce databáze adres a tyto osobní údaje nabízí obchodním klientům pro marketingové účely. Pro podrobnější informace a další účely zpracování údajů rovněž odkázala na internetové stránky. Tato společnost nesdělila RW totožnost konkrétních příjemců údajů.
19 RW podal proti společnosti Österreichische Post k rakouským soudům žalobu, kterou se domáhal, aby byla posledně uvedené uložena povinnost sdělit RW zejména totožnost příjemce či příjemců jeho takto zpřístupněných osobních údajů.
20 V průběhu takto zahájeného soudního řízení Österreichische Post informovala RW, že jeho osobní údaje byly zpracovány k marketingovým účelům a předávány klientům, včetně inzerentů v zásilkovém obchodě a kamenných obchodech, IT podniků, správců databází adres a sdružení, jako jsou charitativní organizace, nevládní organizace nebo politické strany.
21 Soud prvního stupně a odvolací soud žalobu RW zamítly z důvodu, že čl. 15 odst. 1 písm. c) ONOOÚ v rozsahu, v němž odkazuje na „příjemce nebo kategorie příjemců“, přiznává správci možnost sdělit subjektu údajů pouze kategorie příjemců, aniž by musel jmenovitě uvádět konkrétní příjemce, kterým jsou osobní údaje předány.
22 RW podal opravný prostředek „Revision“ k Oberster Gerichtshof (Nejvyšší soud, Rakousko), který je předkládajícím soudem.
23 Tento soud si klade otázku ohledně výkladu čl. 15 odst. 1 písm. c) ONOOÚ, jelikož ze znění tohoto ustanovení není zřejmé, zda toto ustanovení přiznává subjektu údajů právo na přístup k informacím týkajícím se konkrétních příjemců poskytnutých údajů, nebo zda má správce možnost volby způsobu, jakým hodlá vyhovět žádosti o přístup k informacím o příjemcích.
24 Uvedený soud však poznamenává, že ratio legis uvedeného ustanovení svědčí spíše ve prospěch výkladu, že možnost volby požadovat informace o kategoriích příjemců nebo o konkrétních příjemcích svých osobních údajů má subjekt údajů. Podle jeho názoru by opačný výklad vážně narušil účinnost prostředků nápravy, které má subjekt údajů k dispozici na ochranu svých údajů. Pokud by totiž správci měli na výběr, zda budou subjekty údajů informovat o konkrétních příjemcích, nebo pouze o kategoriích příjemců, lze se obávat, že v praxi by informace o konkrétních příjemcích neposkytl téměř žádný z nich.
25 Mimoto na rozdíl od čl. 13 odst. 1 písm. e) a čl. 14 odst. 1 písm. e) ONOOÚ, které stanoví povinnost správce poskytnout informace, které jsou v nich uvedeny, čl. 15 odst. 1 tohoto nařízení klade důraz na rozsah práva subjektu údajů na přístup, což podle předkládajícího soudu rovněž naznačuje, že subjekt údajů má právo volby, zda bude požadovat informace o konkrétních příjemcích, nebo o kategoriích příjemců.
26 Konečně předkládající soud dodává, že právo na přístup stanovené v čl. 15 odst. 1 ONOOÚ se netýká pouze aktuálně zpracovávaných osobních údajů, ale také všech údajů zpracovávaných v minulosti. V tomto ohledu upřesňuje, že úvahy uvedené v rozsudku ze dne 7. května 2009, Rijkeboer (C‑553/07, EU:C:2009:293), založené na účelu práva na přístup stanoveného směrnicí 95/46, mohou být přeneseny na právo na přístup stanovené v článku 15 ONOOÚ, a to tím spíše, že z bodů 9 a 10 odůvodnění tohoto nařízení lze dovodit, že unijní normotvůrce neměl v úmyslu snížit úroveň ochrany oproti této směrnici.
27 Za těchto okolností se Oberster Gerichtshof (Nejvyšší soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:
„Je třeba čl. 15 odst. 1 písm. c) [ONOOÚ] vykládat v tom smyslu, že právo na přístup je omezeno na informace o kategoriích příjemců, pokud konkrétní příjemci nejsou v době zamýšleného sdělení ještě známi, ale že se nutně musí vztahovat i na informace o příjemcích těchto informací, pokud již byly údaje sděleny?“
K předběžné otázce
28 Podstatou předběžné otázky předkládajícího soudu je, zda čl. 15 odst. 1 písm. c) ONOOÚ musí být vykládán v tom smyslu, že právo subjektu údajů na přístup k osobním údajům, které se ho týkají, upravené tímto ustanovením, znamená v případě, že tyto údaje byly nebo budou zpřístupněny příjemcům, povinnost správce sdělit tomuto subjektu konkrétní totožnost těchto příjemců.
29 Úvodem je třeba připomenout, že podle ustálené judikatury platí, že výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen znění takového ustanovení, ale i kontext, do něhož je zasazeno, jakož i cíle a účel, které sleduje akt, jehož je součástí (rozsudek ze dne 15. března 2022, Autorité des marchés financiers, C‑302/20, EU:C:2022:190, bod 63). Mimoto, pokud lze ustanovení unijního práva vykládat několika způsoby, je třeba upřednostnit takový výklad, který zachovává jeho užitečný účinek (rozsudek ze dne 7. března 2018, Cristal Union, C‑31/17, EU:C:2018:168, bod 41 a citovaná judikatura).
30 Pokud jde nejprve o znění čl. 15 odst. 1 písm. c) ONOOÚ, je třeba připomenout, že toto ustanovení uvádí, že subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k uvedeným osobním údajům, jakož i k informacím o příjemcích nebo kategoriích příjemců, kterým tyto osobní údaje byly nebo budou zpřístupněny.
31 V tomto ohledu je třeba poznamenat, že výrazy „příjemci“ a „kategorie příjemců“ uvedené v tomto ustanovení jsou řazeny jeden vedle druhého, aniž je mezi nimi možné dovodit nějaké pořadí priority.
32 Je tak nutno konstatovat, že znění čl. 15 odst. 1 písm. c) ONOOÚ neumožňuje jednoznačně určit, zda má subjekt údajů právo být informován o konkrétní totožnosti příjemců údajů, pokud osobní údaje, které se ho týkají, byly nebo budou zpřístupněny.
33 Pokud jde dále o kontext čl. 15 odst. 1 písm. c) ONOOÚ, je třeba zaprvé připomenout, že bod 63 odůvodnění tohoto nařízení stanoví, že subjekt údajů musí mít právo vědět a být informován zejména o tom, kdo jsou příjemci těchto osobních údajů, a jak uvedl generální advokát v bodě 23 svého stanoviska, neupřesňuje, že toto právo může být omezeno na pouhé kategorie příjemců.
34 Zadruhé je třeba rovněž připomenout, že k dodržení práva na přístup musí být každé zpracování osobních údajů fyzických osob v souladu se zásadami stanovenými v článku 5 ONOOÚ (v tomto smyslu viz rozsudek ze dne 16. ledna 2019, Deutsche Post, C‑496/17, EU:C:2019:26, bod 57).
35 Mezi tyto zásady patří zásada transparentnosti uvedená v čl. 5 odst. 1 písm. a) ONOOÚ, která – jak vyplývá z bodu 39 odůvodnění tohoto nařízení – znamená, že subjektu údajů jsou poskytovány informace o tom, jak jsou jeho osobní údaje zpracovávány, a že tyto informace musí být snadno přístupné a srozumitelné.
36 Zatřetí je třeba uvést, jak zdůraznil generální advokát v bodě 21 svého stanoviska, že na rozdíl od článků 13 a 14 ONOOÚ, které stanoví povinnost správce poskytnout subjektu údajů informace týkající se kategorií příjemců nebo konkrétních příjemců osobních údajů, které se ho týkají, pokud tyto údaje jsou nebo nejsou získány od subjektu údajů, článek 15 ONOOÚ stanoví skutečné právo na přístup ve prospěch subjektu údajů, takže subjekt údajů musí mít na výběr, zda chce získat informace pokud možno o konkrétních příjemcích, kterým byly nebo budou uvedené údaje zpřístupněny, nebo informace o kategoriích příjemců.
37 Začtvrté Soudní dvůr již rozhodl, že výkon tohoto práva na přístup musí subjektu údajů umožnit ověřit nejen správnost osobních údajů, které se ho týkají, ale také to, že jsou zpracovávány zákonným způsobem (obdobně viz rozsudky ze dne 17. července 2014, YS a další, C‑141/12 a C‑372/12, EU:C:2014:2081, bod 44, jakož i ze dne 20. prosince 2017, Nowak, C‑434/16, EU:C:2017:994, bod 57), a zejména že byly zpřístupněny oprávněným příjemcům (obdobně viz rozsudek ze dne 7. května 2009, Rijkeboer, C‑553/07, EU:C:2009:293, bod 49).
38 Konkrétně je toto právo na přístup nezbytné k tomu, aby subjekt údajů mohl případně vykonat právo na opravu, právo na výmaz („právo být zapomenut“), právo na omezení zpracování, které mu přiznávají články 16, 17 a 18 ONOOÚ (v tomto smyslu a obdobně viz rozsudky ze dne 17. července 2014, YS a další, C‑141/12 a C‑372/12, EU:C:2014:2081, bod 44, jakož i ze dne 20. prosince 2017, Nowak, C‑434/16, EU:C:2017:994, bod 57), jakož i právo na námitku proti zpracování svých osobních údajů stanovené v článku 21 ONOOÚ a právo na soudní ochranu pro případ utrpěné škody, zakotvené v článcích 79 a 82 ONOOÚ (obdobně viz rozsudek ze dne 7. května 2009, Rijkeboer, C‑553/07, EU:C:2009:293, bod 52).
39 Aby byl zaručen užitečný účinek všech práv uvedených v předcházejícím bodě tohoto rozsudku, musí mít subjekt údajů zejména právo na sdělení totožnosti konkrétních příjemců, pokud již byly jeho osobní údaje zpřístupněny.
40 Takový výklad je zapáté a na posledním místě potvrzen zněním článku 19 ONOOÚ, který v první větě stanoví, že správce v zásadě oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování, a ve druhé větě, že tento správce informuje subjekt údajů o těchto příjemcích, pokud to subjekt údajů požaduje.
41 Článek 19 druhá věta ONOOÚ výslovně přiznává subjektu údajů právo na to, aby byl správcem informován o konkrétních příjemcích údajů, které se ho týkají, a to v rámci povinnosti správce informovat všechny příjemce o výkonu práv, která má tato osoba podle článku 16, čl. 17 odst. 1 a článku 18 ONOOÚ.
42 Z výše uvedené kontextuální analýzy vyplývá, že čl. 15 odst. 1 písm. c) ONOOÚ je jedním z ustanovení, jejichž cílem je zajistit transparentnost způsobů zpracování osobních údajů ve vztahu k subjektu údajů a umožňuje tomuto subjektu, jak uvedl generální advokát v bodě 33 svého stanoviska, vykonávat práva stanovená zejména v článcích 16 až 19, 21, 79 a 82 ONOOÚ.
43 Je tudíž třeba učinit závěr, že informace poskytované subjektu údajů na základě práva na přístup stanoveného v čl. 15 odst. 1 písm. c) GDPR musí být co možná nejpřesnější. Toto právo na přístup konkrétně znamená, že subjekt údajů musí mít možnost získat od správce informace o konkrétních příjemcích, kterým byly nebo budou údaje zpřístupněny, nebo si případně zvolit, že bude požadovat pouze informace týkající se kategorií příjemců.
44 Konečně, co se týče účelu, který sleduje ONOOÚ, je třeba podotknout, že cílem tohoto nařízení je, jak vyplývá z bodu 10 jeho odůvodnění, zejména zajistit vysokou úroveň ochrany fyzických osob v Unii (rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 207). V tomto ohledu, jak v podstatě uvedl generální advokát v bodě 14 svého stanoviska, obecný právní rámec vytvořený ONOOÚ provádí požadavky vyplývající ze základního práva na ochranu osobních údajů chráněného článkem 8 Listiny základních práv Evropské unie, zejména požadavky výslovně stanovené v odstavci 2 tohoto článku (v tomto smyslu viz rozsudek ze dne 9. března 2017, Manni, C‑398/15, EU:C:2017:197, bod 40).
45 Tento cíl přitom potvrzuje výklad čl. 15 odst. 1 ONOOÚ uvedený v bodě 43 tohoto rozsudku.
46 Z cíle sledovaného ONOOÚ tedy rovněž vyplývá, že subjekt údajů má právo získat od správce informace o konkrétních příjemcích, kterým byly nebo budou zpřístupněny osobní údaje, které se ho týkají.
47 Je však třeba zdůraznit, že jak vyplývá z bodu 4 odůvodnění ONOOÚ, právo na ochranu osobních údajů není absolutním právem. Toto právo totiž musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy, jak Soudní dvůr v podstatě potvrdil v bodě 172 rozsudku ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559).
48 Lze tudíž připustit, že za určitých okolností není možné poskytnout informace o konkrétních příjemcích. Právo na přístup tedy může být omezeno na informace o kategoriích příjemců, není-li možné sdělit totožnost konkrétních příjemců, zejména pokud ještě nejsou známi.
49 Mimoto je třeba připomenout, že podle čl. 12 odst. 5 písm. b) ONOOÚ může správce v souladu se zásadou odpovědnosti uvedenou v čl. 5 odst. 2 tohoto nařízení, jakož i v bodě 74 odůvodnění tohoto nařízení odmítnout vyhovět žádostem subjektu údajů, jsou-li tyto žádosti zjevně nedůvodné nebo nepřiměřené, přičemž je třeba upřesnit, že tomuto správci přísluší doložit zjevnou nedůvodnost nebo nepřiměřenost uvedených žádostí.
50 V projednávané věci ze žádosti o rozhodnutí o předběžné otázce vyplývá, že společnost Österreichische Post zamítla žádost podanou RW na základě čl. 15 odst. 1 ONOOÚ, aby mu sdělila totožnost příjemců, kterým poskytla jeho osobní údaje. Je na předkládajícím soudu, aby ověřil, zda s ohledem na okolnosti věci v původním řízení Österreichische Post doložila zjevnou nedůvodnost nebo nepřiměřenost této žádosti.
51 S ohledem na všechny výše uvedené úvahy je třeba na předběžnou otázku odpovědět tak, že čl. 15 odst. 1 písm. c) ONOOÚ musí být vykládán v tom smyslu, že právo subjektu údajů na přístup k osobním údajům, které se ho týkají, stanovené tímto ustanovením, znamená v případě, že tyto údaje byly nebo budou zpřístupněny příjemcům, povinnost správce sdělit tomuto subjektu totožnost těchto příjemců, ledaže je nemožné identifikovat tyto příjemce nebo uvedený správce doloží, že žádosti subjektu údajů o přístup jsou zjevně nedůvodné nebo nepřiměřené ve smyslu čl. 12 odst. 5 ONOOÚ, v kterýchžto případech může správce poskytnout subjektu údajů informace pouze o kategoriích dotčených příjemců.
K nákladům řízení
52 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:
Článek 15 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
právo subjektu údajů na přístup k osobním údajům, které se ho týkají, stanovené tímto ustanovením, znamená v případě, že tyto údaje byly nebo budou zpřístupněny příjemcům, povinnost správce sdělit tomuto subjektu totožnost těchto příjemců, ledaže je nemožné identifikovat tyto příjemce nebo uvedený správce doloží, že žádosti subjektu údajů o přístup jsou zjevně nedůvodné nebo nepřiměřené ve smyslu čl. 12 odst. 5 nařízení 2016/679, v kterýchžto případech může správce poskytnout subjektu údajů informace pouze o kategoriích dotčených příjemců.
Podpisy.