ROZSUDEK SOUDNÍHO DVORA (pátého senátu)
16. listopadu 2023(*)
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice (EU) 2016/680 – Článek 17 – Výkon práv subjektu údajů prostřednictvím dozorového úřadu – Ověření zákonnosti zpracování údajů – Článek 17 odst. 3 – Minimální povinnost informovat subjekt údajů – Rozsah – Platnost – Článek 53 – Právo na účinnou soudní ochranu vůči dozorovému úřadu – Pojem ‚právně závazné rozhodnutí‘ – Listina základních práv Evropské unie – Článek 8 odst. 3 – Dohled nezávislého orgánu – Článek 47 – Právo na účinnou soudní ochranu“
Ve věci C‑333/22,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím cour d’appel de Bruxelles (odvolací soud v Bruselu, Belgie) ze dne 9. května 2022, došlým Soudnímu dvoru dne 20. května 2022, v řízení
Ligue des droits humains ASBL,
BA
proti
Organe de contrôle de l’information policière,
SOUDNÍ DVŮR (pátý senát),
ve složení: E. Regan, předseda senátu, Z. Csehi, M. Ilešič, I. Jarukaitis a D. Gratsias (zpravodaj), soudci,
generální advokátka: L. Medina,
za soudní kancelář: M. Siekierzyńska, radová,
s přihlédnutím k písemné části řízení a po jednání konaném dne 29. března 2023,
s ohledem na vyjádření, která předložili:
– za Ligue des droits humains ASBL a BA: C. Forget, avocate,
– za Organe de contrôle de l’information policière (OCIP): J. Bosquet a J.-F. De Bock, advocaten,
– za belgickou vládu: P. Cottin, J.-C. Halleux, C. Pochet a A. Van Baelen, jako zmocněnci, ve spolupráci s: N. Cariat, C. Fischer, B. Lombaert a J. Simba, avocats,
– za českou vládu: O. Serdula, M. Smolek a J. Vláčil, jako zmocněnci,
– za francouzskou vládu: J. Illouz, jako zmocněnec,
– za Evropský parlament: S. Alonso de León, O. Hrstková Šolcová, P. López-Carceller a M. Thibault, jako zmocněnci,
– za Evropskou komisi: A. Bouchagiar, H. Kranenborg, A.-C. Simon a F. Wilman, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 15. června 2023,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 8 odst. 3 a článku 47 Listiny základních práv Evropské unie (dále jen „Listina“) a platnosti článku 17 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89) s ohledem na uvedená ustanovení Listiny.
2 Tato žádost byla předložena v rámci sporu mezi Ligue des droits humains ASBL a BA na straně jedné a Organe de contrôle de l’information policière (OCIP) (Orgán pro kontrolu policejních informací, Belgie) na straně druhé ve věci výkonu práv BA týkajících se jeho osobních údajů zpracovávaných belgickými policejními orgány, na základě kterých Autorité nationale de sécurité (Národní bezpečnostní úřad, Belgie) zamítl žádost této osoby o bezpečnostní prověrku, prostřednictvím OCIP.
Právní rámec
Unijní právo
3 V bodech 7, 10, 43, 46, 48, 75, 82, 85 a 86 odůvodnění směrnice 2016/680 se uvádí:
„(7) Pro zajištění účinné justiční spolupráce v trestních věcech a policejní spolupráce má zásadní význam zajištění jednotné a vysoké úrovně ochrany osobních údajů fyzických osob a usnadnění výměny osobních údajů mezi příslušnými orgány členských států. Proto by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení, ve všech členských státech rovnocenná. Účinná ochrana osobních údajů v celé [Evropské unii] vyžaduje nejen posílení práv subjektů údajů a povinností těch, kdo osobní údaje zpracovávají, ale také rovnocenné pravomoci pro monitorování a zajišťování souladu s pravidly ochrany osobních údajů v členských státech.
[…]
(10) V prohlášení č. 21 o ochraně osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce, připojeném k závěrečnému aktu mezivládní konference, která přijala Lisabonskou smlouvu, konference uznala, že zvláštní pravidla pro ochranu osobních údajů a volný pohyb osobních údajů v oblastech justiční spolupráce v trestních věcech a policejní spolupráce, založená na článku 16 Smlouvy o fungování EU, by se mohla vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytná.
[…]
(43) Fyzická osoba by měla mít právo na přístup ke shromážděným osobním údajům, které se jí týkají, a měla by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byla o jejich zpracování informována a mohla si ověřit jeho zákonnost. […]
[…]
(46) Jakékoli omezení práv subjektu údajů musí být v souladu s Listinou a [Evropskou úmluvou o ochraně lidských práv a základních svobod, podepsanou v Římě dne 4. listopadu 1950], jak je vykládá judikatura Soudního dvora a Evropského soudu pro lidská práva, a především dodržovat podstatu těchto práv a svobod.
[…]
(48) Pokud správce odepře subjektu údajů jeho právo na informace, přístup k osobním údajům, jejich opravu nebo výmaz anebo omezení zpracování, měl by mít subjekt údajů právo požadovat, aby vnitrostátní dozorový úřad ověřil zákonnost zpracování. […]
[…]
(75) Zásadním prvkem ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů je zřízení dozorových úřadů, jež mohou v členských státech plnit své úkoly zcela nezávisle. Dozorové úřady by měly sledovat uplatňování předpisů přijatých na základě této směrnice a přispívat k jejímu soudržnému uplatňování v celé Unii s cílem chránit fyzické osoby v souvislosti se zpracováním jejich osobních údajů. […]
[…]
(82) Aby se zajistilo účinné, spolehlivé a soudržné monitorování dodržování a prosazování této směrnice v celé Unii na základě Smlouvy o [FEU], jak je vykládána Soudním dvorem, měly by mít dozorové úřady v každém členském státě tytéž úkoly a účinné pravomoci, včetně pravomocí provádět šetření, ukládat nápravná opatření a poskytovat poradenství, které jsou nezbytnými prostředky k plnění jejich úkolů. […]
[…]
(85) Každý subjekt údajů by měl mít právo podat stížnost u jediného dozorového úřadu a právo na účinnou soudní ochranu v souladu s článkem 47 Listiny, jestliže se domnívá, že byla porušena jeho práva vyplývající z předpisů přijatých na základě této směrnice, nebo pokud dozorový úřad na stížnost nereaguje, stížnost zcela či částečně zamítne či odmítne, nebo pokud nekoná, přestože je to nutné z důvodu ochrany práv subjektu údajů. […]
(86) Každá fyzická nebo právnická osoba by měla mít právo podat u příslušného vnitrostátního soudu účinný prostředek nápravy proti rozhodnutí dozorového úřadu, které vůči ní zakládá právní účinky. Takové rozhodnutí se týká zejména výkonu šetřicích, nápravných a povolovacích pravomocí dozorovým úřadem nebo odmítnutí či zamítnutí stížností. Toto právo se však nevztahuje na další opatření dozorových úřadů, která nejsou právně závazná, jako jsou stanoviska vydávaná dozorovým úřadem nebo poradenství jím poskytované. Řízení proti dozorovému úřadu by mělo být zahájeno u soudů toho členského státu, v němž je daný dozorový úřad zřízen, a mělo by probíhat podle práva tohoto členského státu. Tyto soudy by měly vykonávat soudní pravomoc v plném rozsahu, která by měla zahrnovat pravomoc řešit všechny skutkové a právní otázky, které jsou pro jimi projednávaný spor relevantní.“
4 Článek 1 této směrnice, nadepsaný „Předmět a cíle“, v odstavcích 1 a 2 stanoví:
„1. Tato směrnice stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.
2. Členské státy v souladu s touto směrnicí:
a) chrání základní práva a svobody fyzických osob, zejména jejich právo na ochranu osobních údajů, a
b) zajišťují, aby výměna osobních údajů příslušnými orgány uvnitř Unie, pokud je vyžadována právem Unie nebo členského státu, nebyla omezována ani zakazována z důvodů ochrany fyzických osob v souvislosti se zpracováním osobních údajů.“
5 Uvedená směrnice obsahuje kapitolu III, nadepsanou „Práva subjektu údajů“, která zahrnuje mimo jiné články 13 až 17 této směrnice. Tento článek 13, nadepsaný „Informace poskytované subjektu údajů“, v odstavci 1 uvádí povinnost členských států stanovit, že správce musí subjektu údajů poskytovat určité minimální informace, jako jsou zejména údaje o totožnosti a kontaktní údaje správce. Kromě toho v odstavci 2 vyjmenovává další informace, které musí členské státy právním předpisem uložit správci, aby subjektu údajů poskytl s cílem umožnit výkon jeho práv. V odstavcích 3 a 4 uvádí:
„3. Členské státy mohou přijmout legislativní opatření, aby poskytnutí informací subjektu údajů podle odstavce 2 odložily, omezily či od něho upustily, v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c) chránit veřejnou bezpečnost;
d) chránit národní bezpečnost;
e) chránit práva a svobody druhých.
4. Členské státy mohou přijmout legislativní opatření s cílem určit kategorie zpracování, na něž se může plně nebo částečně vztahovat některé z písmen uvedených v odstavci 3.“
6 Článek 14 téže směrnice, nadepsaný „Právo subjektu údajů na přístup k osobním údajům“, zní takto:
„S výhradou článku 15 členské státy stanoví, že subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům […]“
7 Článek 15 směrnice 2016/680, nadepsaný „Omezení práva na přístup“, stanoví:
„1. Členské státy mohou přijmout legislativní opatření, která přístup subjektů údajů k informacím úplně nebo částečně omezují v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c) chránit veřejnou bezpečnost;
d) chránit národní bezpečnost;
e) chránit práva a svobody druhých.
2. Členské státy mohou přijmout legislativní opatření s cílem určit kategorie zpracování, na něž se mohou plně nebo částečně vztahovat výjimky podle odstavce 1.
3. V případech uvedených v odstavcích 1 a 2 členské státy zajistí, aby správce bez zbytečného odkladu písemně informoval subjekt údajů o jakémkoli odmítnutí nebo omezení přístupu a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo některý z účelů podle odstavce 1. Členské státy stanoví, že správce informuje subjekty údajů o možnosti podat stížnost u dozorového úřadu nebo žádat soudní ochranu.
4. Členské státy stanoví, že správce zdokumentuje věcné či právní důvody, na nichž se rozhodnutí zakládá. Tyto informace se zpřístupní dozorovým úřadům.“
8 Článek 16 této směrnice, nadepsaný „Právo na opravu nebo výmaz osobních údajů a omezení zpracování“, uvádí:
„1. Členské státy stanoví, že subjekt údajů má právo požadovat na správci opravu nepřesných osobních údajů, které se ho týkají, a to bez zbytečného odkladu. S přihlédnutím k účelům zpracování členské státy stanoví, že subjekt údajů má právo na doplnění neúplných osobních údajů, […]
2. Členské státy vyžadují po správci, aby vymazal osobní údaje bez zbytečného odkladu, a stanoví právo subjektu údajů požadovat po správci, aby bez zbytečného odkladu vymazal osobní údaje, které se ho týkají, jestliže zpracování porušuje předpisy přijaté na základě článku 4, 8 nebo 10 nebo jestliže osobní údaje musí být vymazány ke splnění právní povinnosti správce.
3. Namísto výmazu osobních údajů správce omezí zpracování:
a) zpochybňuje-li subjekt údajů přesnost osobního údaje a nelze-li ji ověřit; nebo
b) musí-li být dané osobní údaje uchovány pro účely dokazování.
[…]
4. Členské státy stanoví, že správce informuje subjekt údajů písemně o jakémkoli odmítnutí opravy či výmazu osobních údajů nebo omezení zpracování a o důvodech tohoto odmítnutí. Členské státy mohou přijmout legislativní opatření, která povinnost poskytnout tyto informace úplně nebo částečně omezují v takovém rozsahu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem:
a) zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů;
b) zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů;
c) chránit veřejnou bezpečnost;
d) chránit národní bezpečnost;
e) chránit práva a svobody druhých.
Členské státy stanoví, že správce informuje subjekty údajů o možnosti podat stížnost u dozorového úřadu nebo žádat soudní ochranu.
[…]“
9 Článek 17 uvedené směrnice, nadepsaný „Výkon práv subjektem údajů a ověřování prováděná dozorovým úřadem“, stanoví:
„1. V případech uvedených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 členské státy přijmou opatření, která zajistí, aby práva subjektu údajů bylo možné vykonávat rovněž prostřednictvím příslušného dozorového úřadu.
2. Členské státy stanoví, že správce informuje subjekt údajů o možnosti vykonávat svá práva prostřednictvím dozorového úřadu podle odstavce 1.
3. V případě výkonu práva podle odstavce 1 informuje dozorový úřad subjekt údajů přinejmenším o tom, že provedl veškerá nezbytná ověření nebo přezkum. Dozorový úřad rovněž subjekt údajů informuje o jeho právu žádat soudní ochranu.“
10 Článek 42 téže směrnice, nazvaný „Nezávislost“, v odstavci 1 stanoví:
„Každý členský stát stanoví, že každý dozorový úřad jedná při plnění svých úkolů a při výkonu svých pravomocí podle této směrnice zcela nezávisle.“
11 Článek 46 směrnice 2016/680, nadepsaný „Úkoly“, v odstavci 1 stanoví:
„Každý členský stát stanoví, že každý dozorový úřad na jeho území:
a) monitoruje a vymáhá uplatňování této směrnice a prováděcích opatření k ní;
[…]
f) vyřizuje stížnosti, které mu podá subjekt údajů […], a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, […]
g) ověřuje zákonnost zpracování podle článku 17 a v přiměřené lhůtě informuje subjekt údajů o výsledku daného ověření podle odstavce 3 uvedeného článku nebo o důvodech, proč ověření nebylo provedeno;
[…]“
12 Článek 47 této směrnice, nadepsaný „Pravomoci“, zní:
„1. Každý členský stát právním předpisem stanoví, že každý dozorový úřad má účinné vyšetřovací pravomoci. Tyto pravomoci zahrnují přinejmenším pravomoc získat od správce a zpracovatele přístup ke všem zpracovávaným osobním údajům a k veškerým informacím, které potřebuje k plnění svých úkolů.
2. Každý členský stát právním předpisem stanoví, že každý dozorový úřad má účinné nápravné pravomoci, jako je například pravomoc:
a) upozornit správce či zpracovatele, že zamýšlené operace zpracování pravděpodobně porušují předpisy přijaté na základě této směrnice;
b) nařídit správci či zpracovateli, aby uvedl operace zpracování do souladu s předpisy přijatými na základě této směrnice, a to případně předepsaným způsobem a ve stanovené lhůtě, zejména tím, že nařídí opravu nebo výmaz osobních údajů či omezení zpracování podle článku 16;
c) uložit dočasné nebo trvalé omezení zpracování, včetně jeho zákazu.
[…]
4. Výkon pravomocí svěřených podle tohoto článku dozorovému úřadu podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, stanoveným v právu Unie a členského státu v souladu s Listinou.
[…]“
13 Článek 52 uvedené směrnice, nadepsaný „Právo podat stížnost u dozorových úřadů“, v odstavci 1 stanoví:
„Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, stanoví členské státy, že každý subjekt údajů má právo podat stížnost u jediného dozorového úřadu, pokud se domnívá, že zpracováním jeho osobních údajů jsou porušeny předpisy přijaté na základě této směrnice.“
14 Článek 53 téže směrnice, nadepsaný „Právo na účinnou soudní ochranu vůči dozorovému úřadu“, v odstavci 1 stanoví:
„Aniž je dotčena jakákoliv jiná správní nebo mimosoudní ochrana, stanoví členské státy právo fyzické nebo právnické osoby na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.“
15 Článek 54 směrnice 2016/680, nadepsaný „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“, zní takto:
„Aniž je dotčena jakákoli dostupná správní nebo mimosoudní ochrana, včetně práva podat stížnost u dozorového úřadu podle článku 52, stanoví členské státy právo subjektu údajů na účinnou soudní ochranu, pokud má za to, že práva mu přiznaná předpisy přijatými na základě této směrnice byla porušena v důsledku zpracování jeho osobních údajů v rozporu s uvedenými předpisy.“
Belgické právo
16 Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (Zákon o ochraně fyzických osob při zpracování osobních údajů) ze dne 30. července 2018 (Moniteur belge, 5. září 2018, s. 68616, dále jen „LPD“) provádí v hlavě 2 směrnici 2016/680. Práva uvedená v článcích 13 až 16 této směrnice jsou stanovena v kapitole III uvedené hlavy, konkrétně v článcích 37 až 39 uvedeného zákona.
17 Článek 42 LPD stanoví:
„Žádost o výkon práv uvedených v této kapitole ve vztahu k policejním složkám […] nebo inspection générale de la police fédérale et de la police locale (generální inspekce federální a místní policie) se podává dozorovému úřadu uvedenému v článku 71.
V případech uvedených v čl. 37 odst. 2, čl. 38 odst. 2 [a] čl. 39 odst. 4 […] dozorový úřad uvedený v článku 71 sdělí subjektu údajů pouze to, že byla provedena nezbytná ověření.
Bez ohledu na odstavec 2 může dozorový úřad uvedený v článku 71 sdělit dotčené osobě určité kontextuální informace.
Kategorii kontextuálních informací, které může dozorový úřad dotčené osobě sdělit, určí král na základě stanoviska tohoto úřadu uvedeného v článku 71.“
18 Podle cour d’appel de Bruxelles (odvolací soud v Bruselu) nebylo přijato žádné královské nařízení k provedení čl. 42 čtvrtého pododstavce LPD.
19 Článek 71 odst. 1 LPD stanoví:
„Při Chambre des représentants (Poslanecká sněmovna, Belgie) se zřizuje nezávislý úřad pro dozor nad policejními informacemi, nazvaný Orgán pro kontrolu policejních informací.
[…]
Tento úřad je […] pověřený:
1. dozorem nad uplatňováním ustanovení podle této hlavy […]
2. monitorováním zpracování informací a osobních údajů uvedených v článcích 44/1 až 44/11/13 zákona ze dne 5. srpna 1992 o policii včetně údajů zahrnutých do databází uvedených v článku 44/2 téhož zákona;
3. jakýmkoli jiným úkolem stanoveným jinými právními předpisy nebo na základě jiných právních předpisů.“
20 Kapitola I hlavy 5 LPD je nadepsána „Žaloba na zdržení se jednání“. V této kapitole obsažený článek 209 zní takto:
„Aniž jsou dotčeny jakékoli jiné soudní, správní nebo mimosoudní prostředky nápravy, rozhoduje předseda tribunal de première instance (soud prvního stupně) postupem jako v řízení o předběžném opatření o existenci zpracování zakládajícího porušení právních nebo správních předpisů o ochraně fyzických osob se zřetelem na zpracování jejich osobních údajů a nařídí jeho zastavení.
Předseda tribunal de première instance (soud prvního stupně) postupem jako v řízení o předběžném opatření rozhoduje o každé žádosti týkající se práva na sdělení osobních údajů přiznaného zákonem nebo na jeho základě a o každé žádosti o opravu, výmaz nebo zákaz použití jakéhokoli osobního údaje, který je nepřesný nebo s ohledem na účel zpracování neúplný nebo irelevantní nebo jehož zaznamenávání, sdělování nebo uchovávání je zakázáno, proti jehož zpracování subjekt údajů vznesl námitku nebo který byl uchováván po uplynutí povolené doby.“
21 Článek 240 odst. 4 LPD stanoví, že:
„[OCIP]
[…]
4. vyřizuje stížnosti, v nezbytném rozsahu prošetřuje předmět stížností a v přiměřené lhůtě informuje stěžovatele o průběhu a výsledku šetření, a to zejména tehdy, je-li nutné další šetření nebo koordinace s jiným dozorovým úřadem. […]“
Spor v původním řízení a předběžné otázky
22 V roce 2016 požádal BA, který byl tehdy zaměstnán na částečný úvazek u neziskového sdružení, o bezpečnostní prověrku u Národního bezpečnostního úřadu, aby se mohl podílet na montáži a demontáži instalací desátého ročníku „Evropských rozvojových dnů“ v Bruselu (Belgie).
23 Dopisem ze dne 22. června 2016 tento orgán odmítl vydat účastníkovi BA bezpečnostní prověrku z důvodu, že z osobních údajů, které mu byly poskytnuty, vyplývá, že se tato osoba účastnila deseti manifestací v letech 2007 až 2016 a že tyto skutečnosti neumožňovaly udělit jí takovou prověrku v rámci použitelné právní úpravy, zejména z důvodů bezpečnosti státu a zachování ústavního demokratického pořádku. Proti tomuto rozhodnutí nebyl podán žádný opravný prostředek.
24 Dne 4. února 2020 požádal právní zástupce účastníka BA orgán OCIP, aby zjistil správce zpracování dotčených osobních údajů a nařídil jim, aby poskytli jeho klientovi přístup ke všem informacím, které se ho týkají, s cílem umožnit mu uplatnit jeho práva v přiměřené lhůtě.
25 E-mailem ze dne 6. února 2020 OCIP potvrdil přijetí této žádosti. Uvedl, že BA má pouze právo na nepřímý přístup k těmto údajům, přičemž ujistil, že sám ověří zákonnost případného zpracování údajů v Banque de données nationale générale [Všeobecná národní databáze], tedy v databázi používané všemi složkami státní policie. Kromě toho uvedl, že má pravomoc nařídit policii, aby v případě potřeby údaje vymazala nebo změnila, a že na závěr této kontroly informuje BA o tom, že byla provedena nezbytná ověření.
26 E-mailem ze dne 22. června 2020 OCIP oznámil právnímu zástupci účastníka BA:
„[…]
v souladu s článkem 42 [LPD] vás informuji, že [OCIP] provedl nezbytná ověření.
To znamená, že osobní údaje Vašeho klienta byly v policejních databázích ověřeny, aby byla zaručena zákonnost veškerého zpracování.
Bylo-li to nezbytné, byly osobní údaje změněny nebo vymazány.
Jak jsem Vám vysvětlil v e-mailu z [2.] června, článek 42 LPD neumožňuje [OCIP] poskytnout více informací.“
27 Dne 2. září 2020 podali Ligue des droits humains a BA na základě čl. 209 druhého pododstavce LPD návrh na předběžné opatření k tribunal de première instance francophone de Bruxelles (Frankofonní soud prvního stupně v Bruselu, Belgie).
28 V první řadě žalobci v původním řízení navrhovali, aby tento soud prohlásil jejich návrh na předběžné opatření za přípustný, a podpůrně, aby se Soudního dvora dotázal, zda čl. 47 odst. 4 směrnice 2016/680 vykládaný ve světle bodů 85 a 86 odůvodnění této směrnice a ve spojení s čl. 8 odst. 3 a článkem 47 Listiny, brání článkům 42 a 71 LPD v rozsahu, v němž tyto články nestanoví žádnou soudní ochranu proti rozhodnutím přijatým OCIP.
29 V druhé řadě v podstatě žádali OCIP o přístup ke všem osobním údajům týkajícím se BA a o zjištění správců a případných příjemců těchto údajů.
30 Pro případ, že by měl soud, jemuž byla věc předložena, za to, že čl. 42 odst. 2 LPD umožňuje systematické omezování přístupu k osobním údajům zpracovávaným policejními orgány, podpůrně požádali, aby byla věc předložena Soudnímu dvoru, pokud jde v podstatě o otázku, zda články 14, 15 a 17 směrnice 2016/680 ve spojení s články 8 a 47, jakož i čl. 52 odst. 1 Listiny musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která připouští obecnou a systematickou výjimku z práva na přístup k osobním údajům, pokud je toto právo vykonáváno prostřednictvím dozorového úřadu, a dále pokud se tento úřad může omezit na oznámení subjektu údajů, že provedl veškerá nezbytná ověření, aniž by jej informoval o osobních údajích, které jsou předmětem zpracování, jakož i o příjemcích, a to bez ohledu na sledovaný cíl.
31 Tribunal de première instance francophone de Bruxelles (Frankofonní soud prvního stupně v Bruselu) usnesením ze dne 17. května 2021 prohlásil, že „není příslušný“ k rozhodnutí o tomto návrhu na předběžné opatření.
32 Návrhem ze dne 15. června 2021 ke cour d’appel de Bruxelles (odvolací soud v Bruselu), který je předkládajícím soudem, podali žalobci v původním řízení proti tomuto usnesení odvolání. Zopakovali v podstatě návrhy, které předložili v prvním stupni.
33 V tomto kontextu předkládající soud zejména uvádí, že v případě, kdy osoba nemá právo osobně vykonávat práva stanovená směrnicí 2016/680, nelze žalobu na zdržení se jednání podle článku 209 a následujících LPD podat. Předně totiž může být taková žaloba podána proti správci, ale nikoli proti samotnému dozorovému úřadu. Dále nemůže být touto osobou, v projednávaném případě BA, uplatněna ani vůči správci, neboť výkon jejích práv je svěřen uvedenému orgánu. Konečně zvláště stručná informace, kterou OCIP poskytl BA, neumožňuje této osobě ani soudu posoudit, zda tento dozorový úřad řádně vykonal práva uvedené osoby. Dodává, že pokud LPD stanoví, že touto žalobou na zdržení se jednání nejsou dotčeny žádné jiné soudní, správní nebo mimosoudní prostředky ochrany práv, naráží takový jiný prostředek ochrany podaný BA na stejné obtíže.
34 Za těchto podmínek se cour d’appel de Bruxelles (odvolací soud v Bruselu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Ukládají článek 47 a čl. 8 odst. 3 [Listiny] povinnost zakotvit soudní ochranu práv vůči nezávislému dozorovému úřadu, jakým je [OCIP], vykonává-li práva subjektu údajů ve vztahu ke správci?
2) Je článek 17 směrnice 2016/680 v souladu s článkem 47 a čl. 8 odst. 3 [Listiny], jak jsou vykládány Soudním dvorem, v tom, že dozorovému úřadu, jenž vykonává práva subjektu údajů ve vztahu ke správci, ukládá pouze povinnost tuto osobu informovat o tom, že ‚provedl veškerá nezbytná ověření nebo přezkum‘, a o ‚jeho právu žádat soudní ochranu‘, ač tatáž informace neumožňuje následný dohled nad činností a posouzením dozorového úřadu s ohledem na subjekt údajů a povinnosti, které nese správce?“
K předběžným otázkám
K první otázce
35 Úvodem z žádosti o rozhodnutí o předběžné otázce vyplývá, že otázky předkládajícího soudu se týkají existence povinnosti členských států na základě čl. 53 odst. 1 směrnice 2016/680 ve spojení s článkem 47 Listiny stanovit právo na účinnou soudní ochranu vůči příslušnému vnitrostátnímu dozorovému úřadu při provádění ustanovení vnitrostátního práva provádějícího článek 17 této směrnice, podle něhož v případech uvedených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 uvedené směrnice mohou být práva subjektu údajů vykonávána prostřednictvím takového dozorového úřadu.
36 Kromě toho je třeba uvést, že odpověď na tuto otázku závisí na povaze a rozsahu úkolů a pravomocí dozorového úřadu v rámci výkonu práv subjektu údajů stanovených v článku 17 směrnice 2016/680. Tyto úkoly a pravomoci jsou přitom upřesněny v čl. 46 odst. 1 písm. g) a čl. 47 odst. 1 a 2 této směrnice a musí být analyzovány ve světle čl. 8 odst. 3 Listiny, který vyžaduje, aby dodržování pravidel ochrany osobních údajů stanovených v odstavcích 1 a 2 tohoto článku 8 podléhalo dozoru nezávislého orgánu.
37 Je tedy třeba mít za to, že podstatou první otázky předkládajícího soudu je, zda musí být článek 17 směrnice 2016/680 ve spojení s čl. 46 odst. 1 písm. g), čl. 47 odst. 1 a 2 a čl. 53 odst. 1 této směrnice, jakož i s čl. 8 odst. 3 a článkem 47 Listiny vykládán v tom smyslu, že pokud byla práva určité osoby vykonána na základě uvedeného článku 17 prostřednictvím příslušného dozorového úřadu, musí mít tato osoba právo na účinnou soudní ochranu vůči uvedenému úřadu.
38 Úvodem je třeba připomenout, že podle čl. 53 odst. 1 směrnice 2016/680 musí členské státy stanovit právo fyzické nebo právnické osoby na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.
39 Je tedy třeba určit, zda dozorový úřad přijímá takové rozhodnutí, pokud jsou na základě článku 17 této směrnice práva subjektů údajů stanovená uvedenou směrnicí vykonávána prostřednictvím tohoto dozorového úřadu.
40 V tomto ohledu je třeba uvést, že podle čl. 17 odst. 1 směrnice 2016/680 „v případech uvedených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4“ této směrnice mají členské státy povinnost přijmout opatření, „která zajistí, aby práva subjektu údajů bylo možné vykonávat rovněž prostřednictvím příslušného dozorového úřadu“.
41 Jak naznačuje použití příslovce „rovněž“ a jak v podstatě uvedla generální advokátka v bodech 41 a 42 svého stanoviska, nepřímý výkon práv subjektu údajů prostřednictvím příslušného dozorového úřadu stanovený v tomto ustanovení představuje dodatečnou záruku poskytnutou tomuto subjektu, že jeho osobní údaje jsou zpracovávány zákonným způsobem, pokud vnitrostátní právní předpisy omezují vykonávat přímo u správce právo na obdržení dalších informací podle čl. 13 odst. 2 směrnice 2016/680, právo na přístup k těmto údajům uvedené v článku 14 této směrnice nebo právo na jejich opravu, jejich výmaz či omezení zpracování za podmínek čl. 16 odst. 1 až 3 uvedené směrnice.
42 S ohledem na zvláštní povahu účelů, pro které jsou zpracovávány údaje, na něž se vztahuje tatáž směrnice, a jež jsou zdůrazněny zejména v bodě 10 odůvodnění této směrnice, opravňuje čl. 13 odst. 3 a čl. 15 odst. 1 směrnice 2016/680 totiž vnitrostátního zákonodárce k tomu, aby omezil přímý výkon práva na informace a práva na přístup „v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené“, s cílem „zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů“, „zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů“, „chránit veřejnou bezpečnost“, „chránit národní bezpečnost“ nebo „chránit práva a svobody jiných“. Kromě toho čl. 15 odst. 3 této směrnice stanoví, že správce nemusí subjekt údajů informovat o každém odmítnutí nebo omezení přístupu, jakož i o důvodech tohoto odmítnutí nebo omezení, pokud by poskytnutí těchto informací ohrožovalo některý z výše uvedených cílů veřejného zájmu.
43 Stejně tak čl. 16 odst. 4 uvedené směrnice umožňuje vnitrostátnímu zákonodárci omezit povinnost správce „inform[ovat] subjekt údajů písemně o jakémkoli odmítnutí opravy či výmazu osobních údajů nebo omezení zpracování a o důvodech tohoto odmítnutí“ z důvodu týchž cílů veřejného zájmu, „v takovém rozsahu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené“.
44 V tomto rámci, jak vyplývá z bodu 48 odůvodnění téže směrnice, musí být tedy nepřímý výkon práv uvedených v bodě 41 tohoto rozsudku prostřednictvím příslušného dozorového úřadu považován za nezbytný pro ochranu těchto práv vzhledem k tomu, že je jejich přímý výkon u správce obtížný, nebo dokonce nemožný.
45 Za tímto účelem čl. 46 odst. 1 písm. g) směrnice 2016/680 vyžaduje, aby měl každý příslušný vnitrostátní orgán za úkol ověřovat zákonnost zpracování podle článku 17 této směrnice, a sice na základě žádosti založené na posledně uvedeném ustanovení.
46 Kromě toho zejména z čl. 47 odst. 1 a 2 uvedené směrnice vyplývá, že každý dozorový úřad musí mít podle vnitrostátních právních předpisů nejen „účinné vyšetřovací pravomoci“, ale také „účinné nápravné pravomoci“.
47 Tato ustanovení je třeba vykládat ve světle požadavku uvedeného v čl. 8 odst. 3 Listiny, podle kterého na dodržování pravidel týkajících se práva každého na ochranu osobních údajů stanovených v odstavcích 1 a 2 tohoto článku „dohlíží nezávislý orgán“, a zejména požadavku uvedeného v druhé větě uvedeného odstavce 2, podle něhož má „každý […] právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu“. Jak totiž potvrzuje ustálená judikatura, zřízení nezávislého dozorového úřadu má zajistit účinnost a spolehlivost dohledu nad dodržováním pravidel v oblasti ochrany fyzických osob v souvislosti se zpracováním osobních údajů a musí být vykládána ve světle tohoto cíle [v tomto smyslu viz posudek 1/15 (Dohoda PNR EU-Kanada) ze dne 26. července 2017, EU:C:2017:592, bod 229 a citovaná judikatura].
48 Pokud tedy takový dozorový úřad jedná za účelem zajištění výkonu práv subjektu údajů na základě článku 17 směrnice 2016/680, jeho úkol je plně v souladu s definicí jeho úlohy v primárním unijním právu, jelikož tato definice zahrnuje zejména dohled nad dodržováním práv subjektu údajů na přístup a opravu. Z toho vyplývá, že při plnění tohoto zvláštního úkolu, stejně jako v rámci jakéhokoli jiného úkolu, musí být dozorový úřad schopen vykonávat pravomoci, které jsou mu svěřeny na základě článku 47 této směrnice, přičemž bude jednat zcela nezávisle, a to v souladu s Listinou a jak uvádí bod 75 odůvodnění uvedené směrnice.
49 Kromě toho po ověření zákonnosti zpracování musí příslušný dozorový úřad podle čl. 17 odst. 3 první věty téže směrnice informovat subjekt údajů „přinejmenším“ o tom, „že provedl veškerá nezbytná ověření nebo přezkum“.
50 Jak v podstatě uvádí generální advokátka v bodě 65 svého stanoviska, ze všech těchto ustanovení je třeba vyvodit, že pokud příslušný dozorový úřad informuje subjekt údajů o výsledku provedených ověření, uvědomí jej o rozhodnutí, které vůči němu přijal, o ukončení procesu ověřování, které se nutně dotýká právního postavení tohoto subjektu. Toto rozhodnutí tedy ve vztahu k němu představuje „právně závazné rozhodnutí“ ve smyslu čl. 53 odst. 1 směrnice 2016/680 bez ohledu na to, zda a v jakém rozsahu tento úřad konstatoval zákonnost zpracování osobních údajů tohoto subjektu a přijal nápravná opatření.
51 Bod 86 odůvodnění této směrnice ostatně uvádí, že pojmem „právně závazné rozhodnutí“ ve smyslu uvedené směrnice je třeba rozumět rozhodnutí, které má právní účinky vůči subjektu údajů, zejména rozhodnutí týkající se výkonu šetřicích, nápravných a povolovacích pravomocí dozorovým úřadem nebo týkající se odmítnutí či zamítnutí stížností.
52 Subjekt údajů tedy musí mít možnost domoci se soudního přezkumu opodstatněnosti takového rozhodnutí na základě čl. 53 odst. 1 směrnice 2016/680, a zejména způsobu, jakým dozorový úřad splnil povinnost vyplývající z článku 17 této směrnice, na kterou odkazuje čl. 46 odst. 1 písm. g) uvedené směrnice, „prov[ést] veškerá nezbytná ověření“, a případně výkonu jeho nápravných pravomocí.
53 Tento závěr je ostatně potvrzen bodem 85 odůvodnění směrnice 2016/680, z něhož vyplývá, že každý subjekt údajů by měl mít právo na účinnou soudní ochranu vůči dozorovému úřadu, pokud „nekoná, přestože je to nutné z důvodu ochrany práv subjektu údajů“.
54 Konečně je takový výklad v souladu s článkem 47 Listiny, jelikož jak vyplývá z ustálené judikatury, toto právo musí být přiznáno každému, kdo se dovolává práv nebo svobod zaručených unijním právem proti rozhodnutí nepříznivě zasahujícímu do jeho právního postavení, které může zasáhnout do těchto práv nebo svobod [v tomto smyslu viz rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboti (Registrace biometrických a genetických údajů policií), C‑205/21, EU:C:2023:49, bod 87 a citovaná judikatura].
55 S ohledem na všechny výše uvedené úvahy je třeba na první otázku odpovědět tak, že článek 17 směrnice 2016/680 ve spojení s čl. 46 odst. 1 písm. g), čl. 47 odst. 1 a 2 a čl. 53 odst. 1 této směrnice, jakož i s čl. 8 odst. 3 a článkem 47 Listiny musí být vykládán v tom smyslu, že pokud byla práva určité osoby vykonána na základě uvedeného článku 17 prostřednictvím příslušného dozorového úřadu a tento úřad informuje uvedenou osobu o výsledku provedených ověření, musí mít tato osoba právo na účinnou soudní ochranu proti rozhodnutí uvedeného úřadu o ukončení procesu ověřování.
K druhé otázce
56 Druhou otázkou se předkládající soud v podstatě táže, zda je čl. 17 odst. 3 směrnice 2016/680 platný s ohledem na čl. 8 odst. 3 a článek 47 Listiny v rozsahu, v němž ukládá dozorovému úřadu povinnost informovat subjekt údajů pouze o tom, že provedl veškerá nezbytná ověření nebo přezkum a že tato osoba má právo žádat soudní ochranu, pokud taková informace neumožňuje soudní přezkum kroků a posouzení dozorového úřadu s ohledem na zpracovávané údaje a povinnosti správce.
57 V tomto ohledu je třeba připomenout, že podle obecné interpretační zásady musí být předpis unijního práva vykládán v co největším možném rozsahu způsobem, který nezpochybní jeho platnost, a v souladu s veškerým primárním právem, zejména s ustanoveními Listiny. Je-li tedy možný více než jeden výklad znění předpisu sekundárního unijního práva, je třeba dát přednost výkladu, v rámci něhož je ustanovení v souladu s primárním právem, před výkladem, který vede ke zjištění, že ustanovení je s primárním právem neslučitelné (rozsudek ze dne 21. června 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 86 a citovaná judikatura).
58 Dále právo na účinnou soudní ochranu zaručené článkem 47 Listiny v zásadě vyžaduje, aby měl dotyčný možnost seznámit se s důvody přijatého rozhodnutí, které se ho týká, aby mu bylo umožněno hájit svá práva za co nejpříznivějších podmínek a rozhodnout se s plnou znalostí věci, zda je účelné obrátit se na příslušný soud, jakož i k tomu, aby byl tento soud plně schopen provést přezkum legality tohoto rozhodnutí (v tomto smyslu viz rozsudek ze dne 4. června 2013, ZZ, C‑300/11, EU:C:2013:363, bod 53 a citovaná judikatura).
59 I když toto právo nepředstavuje absolutní výsadu a v souladu s čl. 52 odst. 1 Listiny jej lze omezit, platí to za podmínky, že jsou tato omezení stanovena zákonem, respektují podstatu dotčených práv a svobod a jsou při dodržení zásady proporcionality nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého [rozsudek ze dne 26. ledna 2023, Ministerstvo na vatrešnite raboti (Registrace biometrických a genetických údajů policií) C‑205/21, EU:C:2023:49, bod 89, jakož i citovaná judikatura].
60 V projednávané věci je třeba uvést, že pokud jde o rozhodnutí příslušného dozorového úřadu uvedené v bodě 50 tohoto rozsudku, čl. 17 odst. 3 směrnice 2016/680 zavádí ve vztahu k tomuto dozorovému úřadu minimální povinnost informovat, když stanoví, že tento úřad informuje subjekt údajů „přinejmenším“ o tom, „že provedl veškerá nezbytná ověření nebo přezkum“, a o „jeho právu žádat soudní ochranu“.
61 Z toho vyplývá, že vzhledem k tomu, že toto ustanovení nebrání tomu, aby v určitých případech mohl mít dozorový úřad v souladu s pravidly přijatými vnitrostátním zákonodárcem k jeho provedení možnost, či dokonce povinnost omezit se bez dalšího upřesnění na minimální informace uvedené v předchozím bodě, zejména pokud mají tato pravidla za cíl zabránit ohrožení cílů veřejného zájmu uvedených v čl. 13 odst. 3, čl. 15 odst. 1 a čl. 16 odst. 4 uvedené směrnice, jak je uvedeno v bodech 42 a 43 tohoto rozsudku, může toto ustanovení vést k omezení práva na účinnou soudní ochranu zaručeného v článku 47 Listiny.
62 V první řadě je však třeba konstatovat, že takové omezení je výslovně stanoveno směrnicí 2016/680, a splňuje tedy podmínku uvedenou v čl. 52 odst. 1 Listiny, podle níž každé omezení výkonu základního práva musí být „stanoveno zákonem“.
63 V druhé řadě skutečnost, že čl. 17 odst. 3 směrnice 2016/680 umožňuje členským státům omezit v určitých případech odůvodnění tohoto rozhodnutí na minimální informace uvedené v tomto ustanovení, neznamená, jak v podstatě uvádí generální advokátka v bodě 89 svého stanoviska, že je za všech okolností možné omezit informování subjektu údajů pouze na tyto informace.
64 Toto ustanovení je totiž třeba vykládat ve světle čl. 52 odst. 1 Listiny tak, aby ostatní kritéria v něm uvedená byla splněna. To znamená mít za to, že toto ustanovení vyžaduje, aby členské státy zajistily, aby ustanovení vnitrostátního práva, která jej provádějí, respektovala podstatu jeho práva na účinnou soudní ochranu a spočívala na vážení cílů veřejného zájmu, které odůvodňují omezení těchto informací, jakož i základních práv a oprávněných zájmů této osoby, při dodržení zásad nezbytnosti a proporcionality, podobně jako vážení, které musí provést vnitrostátní zákonodárce při úpravě omezení stanovených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 uvedené směrnice.
65 Konkrétně pokud to vyžaduje ochrana práva dotyčné osoby na účinnou soudní ochranu proti rozhodnutí o ukončení procesu ověřování a pokud tomu cíle veřejného zájmu uvedené v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 směrnice 2016/680 nebrání, členským státům přísluší stanovit, že informování subjektu údajů může jít nad rámec minimálních informací stanovených v čl. 17 odst. 3 této směrnice tak, aby tento subjekt mohl hájit svá práva a rozhodnout se s plnou znalostí věci, zda je účelné obrátit se na příslušný soud.
66 Stejně tak vnitrostátní opatření provádějící posledně zmíněné ustanovení musí v co největším možném rozsahu ponechat příslušnému dozorovému úřadu v souladu s nezávislostí, která ho charakterizuje podle čl. 8 odst. 3 Listiny, určitý prostor pro uvážení při určování, zda rámec vymezený vnitrostátními právními předpisy v souladu s požadavky uvedenými v bodě 65 tohoto rozsudku nebrání tomu, aby tento úřad tomuto subjektu údajů sdělil přinejmenším stručně výsledek svých ověření, jakož i případně nápravná opatření, která učinil. V tomto ohledu, jak v podstatě uvádí generální advokátka v bodech 73 a 74 svého stanoviska, přísluší tomuto úřadu, aby při dodržení tohoto vnitrostátního právního rámce zahájil se správcem důvěrný dialog a po skončení tohoto dialogu rozhodl, jaké informace nezbytné k tomu, aby subjekt údajů mohl uplatnit své právo na účinnou soudní ochranu, mu tento úřad může sdělit, aniž by tím byly ohroženy cíle veřejného zájmu uvedené v bodě 65 tohoto rozsudku.
67 Kromě toho v případech, kdy uvedený rámec ukládá, aby byly informace poskytnuté dozorovým úřadem omezeny na to, co stanoví čl. 17 odst. 3 směrnice 2016/680, je nicméně na členských státech, aby v rámci své procesní autonomie přijaly opatření nezbytná k tomu, aby v souladu s čl. 53 odst. 1 této směrnice zajistily účinný soudní přezkum jak existence a opodstatněnosti důvodů, které odůvodňovaly omezení těchto informací, tak řádného výkonu úlohy dozorového úřadu spočívající v ověření zákonnosti zpracování. V tomto ohledu musí být pojem „účinná soudní ochrana“ uvedený v posledně uvedeném ustanovení vykládán ve světle bodu 86 odůvodnění uvedené směrnice, podle kterého by soudy, u nichž je podána žaloba proti dozorovému úřadu, „měly vykonávat soudní pravomoc v plném rozsahu, která by měla zahrnovat pravomoc řešit všechny skutkové a právní otázky, které jsou pro jimi projednávaný spor relevantní“.
68 Členské státy musí zejména zajistit, aby měl příslušný soud k dispozici techniky a procesněprávní pravidla, které umožňují skloubit jednak legitimní úvahy týkající se cílů veřejného zájmu uvedených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 směrnice 2016/680, k nimž bylo přihlíženo vnitrostátními právními předpisy za účelem omezení informací poskytovaných subjektu údajů, a jednak nutnost poskytnout jednotlivcům v dostatečné míře možnost využít procesních práv, jako je právo být vyslechnut či zásada kontradiktornosti, a uplatnil je (v tomto smyslu viz rozsudek ze dne 4. června 2013, ZZ, C‑300/11, EU:C:2013:363, bod 57 a citovaná judikatura).
69 V rámci soudního přezkumu správného uplatňování článku 17 této směrnice dozorovým úřadem musí členské státy stanovit pravidla umožňující příslušnému soudu seznámit se s veškerými odůvodněními i souvisejícími důkazy, na nichž tento úřad v tomto rámci založil ověření zákonnosti dotčeného zpracování údajů, jakož i závěry, které z něj vyvodil (v tomto smyslu viz rozsudek ze dne 4. června 2013, ZZ, C‑300/11, EU:C:2013:363, bod 59 a citovaná judikatura).
70 V tomto ohledu, jak uvedl Evropský parlament ve svém vyjádření, čl. 15 odst. 4 směrnice 2016/680 stanoví, že správce zdokumentuje věcné či právní důvody, na nichž založil rozhodnutí, kterým zcela nebo zčásti omezil práva subjektu údajů na přístup, a že se tyto informace zpřístupní dozorovým úřadům. Jak tento orgán navrhl, toto ustanovení ve spojení s články 17 a 53 této směrnice, jakož i ve světle článku 47 Listiny, jak je vykládán judikaturou připomenutou v bodech 68 a 69 tohoto rozsudku, znamená, že tyto informace musí být rovněž zpřístupněny soudu, kterému byla předložena žaloba proti dozorovému úřadu směřující ke kontrole správného uplatňování uvedeného článku 17.
71 Z bodů 63 až 70 tohoto rozsudku vyplývá, že omezení stanovené v článku 17 směrnice 2016/680 respektuje obsah práva subjektu údajů na účinnou soudní ochranu proti rozhodnutí dozorového úřadu o ukončení procesu stanoveného tímto ustanovením, jakož i zásady nezbytnosti a proporcionality v souladu s čl. 52 odst. 1 Listiny.
72 Vzhledem ke všem výše uvedeným úvahám je třeba konstatovat, že přezkum druhé otázky neodhalil žádnou skutečnost, kterou by mohla být dotčena platnost čl. 17 odst. 3 směrnice 2016/680.
K nákladům řízení
73 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto:
1) Článek 17 směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV ve spojení s čl. 46 odst. 1 písm. g), čl. 47 odst. 1 a 2 a čl. 53 odst. 1 této směrnice, jakož i s čl. 8 odst. 3 a článkem 47 Listiny základní práv Evropské unie
musí být vykládán v tom smyslu, že
pokud byla práva určité osoby vykonána na základě uvedeného článku 17 prostřednictvím příslušného dozorového úřadu a tento úřad informuje uvedenou osobu o výsledku provedených ověření, musí mít tato osoba právo na účinnou soudní ochranu proti rozhodnutí uvedeného úřadu o ukončení procesu ověřování.
2) Přezkum druhé otázky neodhalil žádnou skutečnost, kterou by mohla být dotčena platnost čl. 17 odst. 3 směrnice 2016/680.
Podpisy