ROZSUDOK SÚDNEHO DVORA (piata komora)
zo 16. novembra 2023 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Smernica (EÚ) 2016/680 – Článok 17 – Výkon práv dotknutej osoby prostredníctvom dozorného orgánu – Overenie zákonnosti spracúvania údajov – Článok 17 ods. 3 – Minimálna povinnosť poskytnúť dotknutej osobe informácie – Rozsah – Platnosť – Článok 53 – Právo podať účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu – Pojem ‚právne záväzné rozhodnutie‘ – Charta základných práv Európskej únie – Článok 8 ods. 3 – Kontrola nezávislým orgánom – Článok 47 – Právo na účinnú súdnu ochranu“
Vo veci C‑333/22,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Cour d’appel de Bruxelles (Odvolací súd Brusel, Belgicko) z 9. mája 2022 a doručený Súdnemu dvoru 20. mája 2022, ktorý súvisí s konaním:
Ligue des droits humains ASBL,
BA
proti
Organe de contrôle de l’information policière,
SÚDNY DVOR (piata komora),
v zložení: predseda piatej komory E. Regan, sudcovia Z. Csehi, M. Ilešič, I. Jarukaitis a D. Gratsias (spravodajca),
generálna advokátka: L. Medina,
tajomník: M. Siekierzyńska, referentka,
so zreteľom na písomnú časť konania a po pojednávaní z 29. marca 2023,
so zreteľom na pripomienky, ktoré predložili:
– Ligue des droits humains, v zastúpení: C. Forget, avocate,
– Organe de contrôle de l’information policière (OCIP), v zastúpení: J. Bosquet a J.‑F. De Bock, advocaten,
– belgická vláda, v zastúpení: P. Cottin, J.‑C. Halleux, C. Pochet a A. Van Baelen, splnomocnení zástupcovia, za právnej pomoci N. Cariat, C. Fischer, B. Lombaert a J. Simba, avocats,
– česká vláda, v zastúpení: O. Serdula, M. Smolek a J. Vláčil, splnomocnení zástupcovia,
– francúzska vláda, v zastúpení: J. Illouz, splnomocnený zástupca,
– Európsky parlament, v zastúpení: S. Alonso de León, O. Hrstková Šolcová, P. López‑Carceller a M. Thibault, splnomocnení zástupcovia,
– Európska komisia, v zastúpení: A. Bouchagiar, H. Kranenborg, A.‑C. Simon a F. Wilman, splnomocnení zástupcovia,
po vypočutí návrhov generálnej advokátky na pojednávaní 15. júna 2023,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka jednak výkladu článku 8 ods. 3 a článku 47 Charty základných práv Európskej únie (ďalej len „Charta“) a jednak platnosti článku 17 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV (Ú. v. EÚ L 119, 2016, s. 89) vzhľadom na uvedené ustanovenia Charty.
2 Tento návrh bol podaný v rámci sporu medzi Ligue des droits humains ASBL a BA na jednej strane a Organe de contrôle de l’information policière (OCIP) (Orgán pre dohľad nad policajnými informáciami, Belgicko) na druhej strane vo veci výkonu práv BA týkajúcich sa jeho osobných údajov, ktoré spracúvajú belgické policajné orgány a na základe ktorých Autorité nationale de sécurité (Národný bezpečnostný úrad, Belgicko) zamietol žiadosť o bezpečnostnú previerku predloženú touto osobou, prostredníctvom OCIP.
Právny rámec
Právo Únie
3 Odôvodnenia 7, 10, 43, 46, 48, 75, 82, 85 a 86 smernice 2016/680 uvádzajú:
„(7) V záujme zabezpečenia účinnej justičnej spolupráce v trestných veciach a policajnej spolupráce je kľúčové zaistiť konzistentnú ochranu osobných údajov fyzických osôb na vysokej úrovni a uľahčiť výmenu osobných údajov medzi príslušnými orgánmi členských štátov. Na uvedený účel by úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu mala byť rovnocenná vo všetkých členských štátoch. Účinná ochrana osobných údajov v rámci celej [Európskej únie] si vyžaduje posilnenie práv dotknutých osôb a povinností tých, ktorí osobné údaje spracúvajú, ako aj zodpovedajúcich právomocí na monitorovanie a zabezpečenie súladu s pravidlami ochrany osobných údajov v členských štátoch.
…
(10) Vo vyhlásení č. 21 o ochrane osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce, pripojenom k záverečnému aktu medzivládnej konferencie, na ktorej bola prijatá Lisabonská zmluva, konferencia uznala, že vzhľadom na osobitný charakter uvedených oblastí sa možno budú musieť prijať osobitné pravidlá o ochrane osobných údajov a o voľnom pohybe osobných údajov v oblastiach justičnej spolupráce v trestných veciach a policajnej spolupráce na základe článku 16 ZFEÚ.
…
(43) Fyzická osoba by mala mať právo na prístup k údajom, ktoré boli o nej získané, a toto právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. …
…
(46) Akékoľvek obmedzenie práv dotknutej osoby musí byť v súlade s chartou a [Európskym dohovorom o ochrane ľudských práv a základných slobôd, podpísaným v Ríme 4. novembra 1950], ako sa vykladajú v judikatúre Súdneho dvora a Európskym súdom pre ľudské práva, a predovšetkým musí rešpektovať podstatu uvedených práv a slobôd.
…
(48) Ak prevádzkovateľ dotknutej osobe odoprie jej právo na informácie, prístup alebo opravu či vymazanie osobných údajov alebo obmedzenie spracúvania, dotknutá osoba by mala mať právo požiadať vnútroštátny dozorný orgán, aby overil zákonnosť spracúvania. …
…
(75) Zriadenie dozorných orgánov v členských štátoch, ktoré majú možnosť vykonávať svoje funkcie úplne nezávisle, je zásadným prvkom ochrany fyzických osôb pri spracúvaní ich osobných údajov. Dozorné orgány by mali monitorovať uplatňovanie ustanovení prijatých podľa tejto smernice a mali by prispievať k ich konzistentnému uplatňovaniu v celej Únii v záujme ochrany fyzických osôb pri spracúvaní ich osobných údajov. …
…
(82) S cieľom zabezpečiť účinné, spoľahlivé a konzistentné monitorovanie súladu s touto smernicou a jej presadzovanie v celej Únii v súlade so ZFEÚ podľa výkladu Súdneho dvora by dozorné orgány mali mať vo všetkých členských štátoch rovnaké úlohy a účinné právomoci vrátane vyšetrovacích, nápravných a poradenských právomocí, ktoré predstavujú prostriedky potrebné na vykonávanie ich úloh. …
…
(85) Každá dotknutá osoba by mala mať právo podať sťažnosť na jednom dozornom orgáne a mať v súlade s článkom 47 charty právo na účinný súdny prostriedok nápravy, ak sa domnieva, že boli porušené jej práva podľa ustanovení prijatých podľa tejto smernice, alebo ak dozorný orgán nereaguje na sťažnosť, čiastočne alebo v plnom rozsahu ju zamietne, odmietne alebo nekoná v prípade, keď je takéto konanie nevyhnutné na ochranu práv dotknutej osoby. …
(86) Každá fyzická alebo právnická osoba by mala mať právo podať na príslušnom vnútroštátnom súde účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu, ktoré má voči tejto osobe právne účinky. Takéto rozhodnutie sa týka najmä výkonu vyšetrovacích, nápravných a povoľovacích právomocí dozorným orgánom alebo odmietnutia sťažností či nevyhovenia sťažnostiam. Uvedené právo však nezahŕňa ďalšie opatrenia dozorných orgánov, ktoré nie sú právne záväzné, ako napríklad stanoviská alebo poradenstvo, ktoré poskytol dozorný orgán. Návrh na začatie konania proti dozornému orgánu by sa mal podávať na súdoch členského štátu, v ktorom má dozorný orgán sídlo, pričom toto konanie by malo prebiehať v súlade s právom členského štátu. Uvedené súdy by mali vykonávať plnú právomoc, ktorá by mala zahŕňať právomoc preskúmať všetky skutkové a právne otázky, ktoré sú relevantné pre daný spor.“
4 Článok 1 tejto smernice, nazvaný „Predmet úpravy a ciele“, v odsekoch 1 a 2 stanovuje:
„1. Touto smernicou sa stanovujú pravidlá ochrany fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií, vrátane ochrany pred ohrozením verejnej bezpečnosti a predchádzania takémuto ohrozeniu.
2. Členské štáty v súlade s touto smernicou:
a) chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov, a
b) zabezpečia, aby výmena osobných údajov medzi príslušnými orgánmi v rámci Únie, ak sa takáto výmena vyžaduje podľa práva Únie alebo práva členského štátu, nebola obmedzená ani zakázaná z dôvodov súvisiacich s ochranou fyzických osôb pri spracúvaní osobných údajov.“
5 Uvedená smernica obsahuje kapitolu III, nazvanú „Práva dotknutej osoby“, ktorá obsahuje najmä články 13 až 17 tejto smernice. Článok 13 s názvom „Informácie, ktoré sa majú sprístupniť alebo poskytnúť dotknutej osobe“ v odseku 1 stanovuje povinnosť členských štátov zabezpečiť, aby prevádzkovateľ sprístupnil dotknutej osobe určité minimálne informácie, ako sú najmä totožnosť a kontaktné údaje prevádzkovateľa. Okrem toho vo svojom odseku 2 vymenúva dodatočné informácie, v prípade ktorých členské štáty musia na základe zákona stanoviť prevádzkovateľovi povinnosť poskytnúť ich dotknutej osobe, aby mohla vykonať svoje práva. Vo svojich odsekoch 3 a 4 uvádza:
„3. Členské štáty môžu prijať legislatívne opatrenia, ktorými sa poskytovanie informácií dotknutej osobe podľa odseku 2 odloží, obmedzí alebo sa od neho upustí v takom rozsahu a na tak dlho, ako toto opatrenie s náležitým zreteľom na základné práva a oprávnené záujmy danej fyzickej osoby predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s cieľom:
a) zabrániť mareniu úradného alebo súdneho zisťovania, vyšetrovania alebo konania;
b) zabrániť ohrozeniu predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií;
c) chrániť verejnú bezpečnosť;
d) chrániť národnú bezpečnosť;
e) chrániť práva a slobody iných.
4. Členské štáty môžu prijať legislatívne opatrenia, ktorými sa určia kategórie spracúvania, na ktoré sa môžu úplne alebo čiastočne vzťahovať ustanovenia ktoréhokoľvek z písmen odseku 3.“
6 Článok 14 tej istej smernice, nazvaný „Právo dotknutej osoby na prístup“, znie:
„S výhradou článku 15 členské štáty stanovia právo dotknutej osoby získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak sa spracúvajú, prístup k osobným údajom a tieto informácie…“
7 Podľa článku 15 uvedenej smernice 2016/680 s názvom „Obmedzenia práva na prístup“:
„1. Členské štáty môžu prijať legislatívne opatrenia, ktorými sa úplne alebo čiastočne obmedzuje právo dotknutej osoby na prístup v takom rozsahu a na tak dlho, ako toto čiastočné či úplné obmedzenie s náležitým ohľadom na základné práva a oprávnené záujmy danej fyzickej osoby predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s cieľom:
a) zabrániť mareniu úradného alebo súdneho zisťovania, vyšetrovania alebo konania;
b) zabrániť ohrozeniu predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií;
c) chrániť verejnú bezpečnosť;
d) chrániť národnú bezpečnosť;
e) chrániť práva a slobody iných.
2. Členské štáty môžu prijať legislatívne opatrenia, ktorými sa určia kategórie spracúvania, na ktoré sa môže úplne alebo čiastočne vzťahovať odsek 1 písm. a) až e).
3. Členské štáty v prípadoch uvedených v odsekoch 1 a 2 stanovia, že prevádzkovateľ bez zbytočného odkladu písomne informuje dotknutú osobu o akomkoľvek zamietnutí či obmedzení prístupu a o dôvodoch zamietnutia alebo obmedzenia. Od takéhoto informovania možno upustiť, ak by poskytnutie takýchto informácií ohrozilo účel uvedený v odseku 1. Členské štáty stanovia, že prevádzkovateľ informuje dotknutú osobu o možnosti podania sťažnosti dozornému orgánu alebo uplatnenia súdnych prostriedkov nápravy.
4. Členské štáty stanovia, že prevádzkovateľ zdokumentuje skutkové alebo právne dôvody, na ktorých sa rozhodnutie zakladá. Uvedené informácie sa sprístupnia dozorným orgánom.“
8 Článok 16 tejto smernice, nazvaný „Právo na opravu alebo vymazanie osobných údajov a obmedzenie spracúvania“, stanovuje:
1. Členské štáty stanovia, že dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú. So zreteľom na účely spracúvania členské štáty stanovia, že dotknutá osoba má právo na doplnenie neúplných osobných údajov,…
2. Členské štáty vyžadujú, aby prevádzkovateľ vymazal osobné údaje bez zbytočného odkladu a stanovia právo dotknutej osoby dosiahnuť od prevádzkovateľa vymazanie svojich osobných údajov bez zbytočného odkladu, ak je spracúvanie v rozpore s ustanoveniami prijatými podľa článku 4, 8 alebo 10, alebo ak sa osobné údaje musia vymazať, aby sa zabezpečil súlad so zákonnou povinnosťou, ktorá sa vzťahuje na prevádzkovateľa.
3. Namiesto vymazania prevádzkovateľ obmedzí spracúvanie, ak:
a) dotknutá osoba napadla správnosť osobných údajov a ich správnosť alebo nesprávnosť nemožno určiť, alebo
b) osobné údaje sa musia zachovať na účely dokazovania.
…
4. Členské štáty stanovia, že prevádzkovateľ písomne informuje dotknutú osobu o akomkoľvek zamietnutí opravy alebo vymazania osobných údajov či obmedzenia spracúvania a o dôvodoch zamietnutia. Členské štáty môžu prijať legislatívne opatrenia, ktorými sa úplne alebo čiastočne obmedzí povinnosť poskytovať takéto informácie v takom rozsahu, pokiaľ takéto obmedzenie predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s náležitým zreteľom na základné práva a oprávnené záujmy danej fyzickej osoby, s cieľom:
a) zabrániť mareniu úradného alebo súdneho zisťovania, vyšetrovania alebo konania;
b) zabrániť ohrozeniu predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií;
c) chrániť verejnú bezpečnosť;
d) chrániť národnú bezpečnosť;
e) chrániť práva a slobody iných.
Členské štáty stanovia, že prevádzkovateľ informuje dotknutú osobu o možnosti podania sťažnosti dozornému orgánu alebo uplatnenia súdnych prostriedkov nápravy.
…“
9 Článok 17 uvedenej smernice s názvom „Výkon práv dotknutou osobou a overenie dozorným orgánom“ stanovuje:
„1. V prípadoch uvedených v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4 prijmú členské štáty opatrenia, ktorými sa stanoví, že práva dotknutej osoby možno uplatniť aj prostredníctvom príslušného dozorného orgánu.
2. Členské štáty stanovia, že prevádzkovateľ informuje dotknutú osobu o možnosti uplatniť svoje práva prostredníctvom dozorného orgánu podľa odseku 1.
3. Ak sa uplatňuje právo uvedené v odseku 1, dozorný orgán informuje dotknutú osobu aspoň o tom, že vykonal všetky nevyhnutné overenia alebo preskúmanie. Dozorný orgán dotknutú osobu tiež informuje o jej práve na súdny prostriedok nápravy.“
10 Článok 42 tej istej smernice, nazvaný „Nezávislosť“, v odseku 1 stanovuje:
„Každý členský štát stanoví, že každý dozorný orgán koná pri plnení svojich úloh a výkone svojich právomocí v súlade s touto smernicou úplne nezávisle.“
11 Článok 46 smernice 2016/680 s názvom „Úlohy“ v odseku 1 stanovuje:
„Každý členský štát stanoví, že na jeho území každý dozorný orgán:
a) monitoruje a presadzuje uplatňovanie ustanovení prijatých podľa tejto smernice a jej vykonávacích opatrení;
…
f) vybavuje sťažnosti podané dotknutou osobou…, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote,…
g) preveruje zákonnosť spracúvania podľa článku 17 a informuje dotknutú osobu v primeranej lehote o výsledku tohto preverenia podľa odseku 3 uvedeného článku, alebo o dôvodoch, prečo k prevereniu nedošlo;
…“
12 Podľa článku 47 tejto smernice s názvom „Právomoci“:
„1. Každý členský štát prostredníctvom právnych predpisov stanoví, že každý dozorný orgán má účinné vyšetrovacie právomoci. Uvedené právomoci zahŕňajú aspoň právomoc získať od prevádzkovateľa a sprostredkovateľa prístup ku všetkým osobným údajom, ktoré sa spracúvajú, a všetkým informáciám potrebným na plnenie svojich úloh.
2. Každý členský štát prostredníctvom právnych predpisov stanoví, že každý dozorný orgán má účinné nápravné právomoci, napríklad:
a) upozorniť prevádzkovateľa alebo sprostredkovateľa na to, že plánované spracovateľské operácie pravdepodobne porušia ustanovenia prijaté podľa tejto smernice;
b) nariadiť prevádzkovateľovi alebo sprostredkovateľovi, aby svoje spracovateľské operácie zosúladil podľa potreby určeným spôsobom a v rámci určenej lehoty s ustanoveniami prijatými podľa tejto smernice, a to najmä prostredníctvom nariadenia opravy alebo vymazania osobných údajov alebo obmedzenia spracúvania podľa článku 16;
c) nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania.
…
4. Výkon právomocí udelených dozornému orgánu podľa tohto článku podlieha primeraným zárukám vrátane účinného súdneho prostriedku nápravy a riadneho procesu, stanoveným v práve Únie a v práve členského štátu v súlade s chartou.
…“
13 Článok 52 uvedenej smernice, nazvaný „Právo podať sťažnosť dozornému orgánu“, v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, členské štáty stanovia, že každá dotknutá osoba má právo podať sťažnosť dozornému orgánu, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s ustanoveniami prijatými podľa tejto smernice.“
14 Článok 53 tej istej smernice s názvom „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“ v odseku 1 stanovuje:
„Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, členské štáty stanovia právo fyzickej alebo právnickej osoby na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.“
15 Článok 54 smernice 2016/680, nazvaný „Právo na účinný súdny prostriedok nápravy voči prevádzkovateľovi alebo sprostredkovateľovi“, znie:
„Bez toho, aby bol dotknutý akýkoľvek dostupný správny alebo mimosúdny prostriedok nápravy vrátane práva na podanie sťažnosti dozornému orgánu podľa článku 52, členské štáty stanovia právo dotknutej osoby na účinný súdny prostriedok nápravy, ak sa domnieva, že v dôsledku spracúvania jej osobných údajov v rozpore s ustanoveniami prijatými podľa tejto smernice došlo k porušeniu jej práv stanovených v ustanoveniach prijatých podľa tejto smernice.“
Belgické právo
16 Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (zákon o ochrane fyzických osôb pri spracúvaní osobných údajov) z 30. júla 2018 (Moniteur belge z 5. septembra 2018, s. 68616, ďalej len „LPD“) preberá vo svojej hlave 2 smernicu 2016/680. Práva uvedené v článkoch 13 až 16 tejto smernice sú upravené v kapitole III uvedenej hlavy, konkrétne v článkoch 37 až 39 uvedeného zákona.
17 Článok 42 LPD stanovuje:
„Žiadosť o výkon práv uvedených v tejto kapitole vo vzťahu k policajným orgánom alebo Inspection générale de la police fédérale et de la police locale [(Generálny inšpektorát federálnej polície a miestnej polície, Belgicko)] sa predkladá dozornému orgánu uvedenému v článku 71.
V prípadoch uvedených v článku 37 ods. 2, článku 38 ods. 2 [a] článku 39 ods. 4… dozorný orgán uvedený v článku 71 oznámi dotknutej osobe iba to, že boli vykonané nevyhnutné overenia.
Bez ohľadu na odsek 2 môže dozorný orgán uvedený v článku 71 oznámiť dotknutej osobe určité kontextové informácie.
Kráľ na základe stanoviska dozorného orgánu uvedeného v článku 71 stanoví kategóriu kontextových informácií, ktoré môže dozorný orgán dotknutej osobe oznámiť.“
18 Podľa Cour d’appel de Bruxelles (Odvolací súd Brusel, Belgicko) nebolo prijaté žiadne kráľovské nariadenie na vykonanie článku 42 štvrtého odseku LPD.
19 Podľa článku 71 ods. 1 LPD:
„Pri snemovni reprezentantov bol zriadený nezávislý orgán pre dohľad nad policajnými informáciami s názvom Organe de contrôle de l’information policière [(Orgán pre dohľad nad policajnými informáciami)].
…
[Je] zodpovedný za:
1. dohľad nad uplatňovaním tejto hlavy…
2. kontrolu spracúvania informácií a osobných údajov uvedených v článkoch 44/1 až 44/11/13 loi du 5 août 1992 sur la fonction de police (zákon z 5. augusta 1992 o úlohách polície) vrátane tých, ktoré sú zahrnuté v databázach uvedených v článku 44/2 toho istého zákona;
3. akúkoľvek inú úlohu upravenú inými právnymi predpismi alebo na ich základe.“
20 Kapitola I hlavy 5 LPD je nazvaná „Žaloba o zdržanie sa konania“. Článok 209, ktorý sa nachádza v tejto kapitole, znie:
„Bez toho, aby boli dotknuté akékoľvek iné súdne, správne alebo mimosúdne prostriedky nápravy, v prípade, že predseda súdu prvého stupňa, ktorý rozhoduje o nariadení predbežného opatrenia, konštatuje, že spracúvanie údajov predstavuje porušenie zákonov alebo iných právnych predpisov o ochrane fyzických osôb pri spracúvaní ich osobných údajov, nariadi jeho ukončenie.
Predseda súdu prvého stupňa, ktorý rozhoduje o nariadení predbežného opatrenia, rozhodne o každom návrhu týkajúcom sa práva na získanie prístupu k osobným údajom, priznaného zákonom alebo podľa zákona, a o každej žiadosti o opravu, vymazanie alebo zákaze použitia akýchkoľvek osobných údajov, ktoré sú nesprávne alebo, so zreteľom na účel ich spracovania, neúplné alebo irelevantné, alebo ktorých zaznamenanie, oznámenie alebo uchovávanie je zakázané, alebo s ktorých spracovaním dotknutá osoba nesúhlasila alebo ktoré boli uchovávané po uplynutí povolenej doby.“
21 Článok 240 ods. 4 LPD stanovuje, že:
„[OCIP]
…
4° vybavuje sťažnosti, v nevyhnutnom rozsahu vyšetruje podstatu sťažnosti a v primeranej lehote informuje sťažovateľa o pokroku a výsledkoch vyšetrovania, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom…“
Spor vo veci samej a prejudiciálne otázky
22 V priebehu roka 2016 BA, v tom čase zamestnanec neziskového združenia pracujúci na čiastočný úväzok, požiadal Národný bezpečnostný úrad o bezpečnostnú previerku, aby sa mohol zúčastniť montáže a demontáže inštalácií desiateho ročníka „Európskych dní rozvoja“ v Bruseli (Belgicko).
23 Listom z 22. júna 2016 tento orgán odmietol vydať BA bezpečnostnú previerku z dôvodu, že z osobných údajov, ktoré mu boli poskytnuté, vyplýva, že táto osoba sa v období rokov 2007 až 2016 zúčastnila na desiatich demonštráciách a vzhľadom na tieto skutočnosti jej nebolo možné udeliť takúto previerku v rámci uplatniteľnej právnej úpravy, najmä z dôvodov bezpečnosti štátu a kontinuity demokratického ústavného poriadku. Proti tomuto rozhodnutiu nebol podaný žiadny opravný prostriedok.
24 Dňa 4. februára 2020 právny zástupca BA požiadal OCIP, aby identifikoval dotknutých prevádzkovateľov osobných údajov a uložil im povinnosť sprístupniť jeho klientovi všetky informácie, ktoré sa ho týkajú, aby mohol vykonať svoje práva v primeraných lehotách.
25 E‑mailom zo 6. februára 2020 OCIP potvrdil prijatie tejto žiadosti. Uviedol, že BA mal len právo na nepriamy prístup k týmto údajom, pričom poskytol ubezpečenie, že on sám overí zákonnosť prípadného spracúvania údajov v Banque de données nationale générale (Všeobecná národná banka údajov), teda v databáze používanej všetkými vnútroštátnymi policajnými orgánmi. Okrem toho spresnil, že má právomoc nariadiť polícii, aby v prípade, že to bude potrebné, údaje vymazala alebo upravila, a že po skončení kontroly údajov bude BA informovaný o tom, že boli vykonané nevyhnutné overenia.
26 E‑mailom z 22. júna 2020 OCIP oznámil právnemu zástupcovi BA:
„…
V súlade s článkom 42 [LPD] Vám oznamujem, že [OCIP] vykonal nevyhnutné overenia.
To znamená, že boli overené osobné údaje Vášho klienta nachádzajúce sa v policajných databázach, aby bola zaručená zákonnosť ich prípadného spracúvania.
Ak to bolo potrebné, osobné údaje boli upravené alebo vymazané.
Ako som už vysvetlil v e‑maile z 2. júna, článok 42 LPD neumožňuje [OCIP] poskytnúť viac informácií.“
27 Dňa 2. septembra 2020 Ligue des droits humains a BA podali na základe článku 209 druhého odseku LPD návrh na nariadenie predbežného opatrenia na Tribunal de première instance francophone de Bruxelles (Frankofónny súd prvej inštancie Brusel, Belgicko).
28 V prvom rade žalobcovia vo veci samej žiadali tento súd, aby vyhlásil ich návrh na nariadenie predbežného opatrenia za prípustný a subsidiárne položil Súdnemu dvoru otázku, či článok 47 ods. 4 smernice 2016/680 v spojení s odôvodneniami 85 a 86 tejto smernice a v spojení s článkom 8 ods. 3 a článkom 47 Charty bráni článkom 42 a 71 LPD, keďže tieto články neupravujú nijaký súdny prostriedok nápravy proti rozhodnutiam prijatým OCIP.
29 V druhom rade, pokiaľ ide o vec samu, žiadali prostredníctvom OCIP o prístup ku všetkým osobným údajom týkajúcim sa BA, pričom OCIP žiadali o identifikáciu prevádzkovateľov a prípadných príjemcov týchto údajov.
30 V prípade, že by konajúci súd konštatoval, že článok 42 ods. 2 LPD umožňuje systematicky obmedzovať prístup k osobným údajom spracúvaným policajnými orgánmi, subsidiárne žiadali, aby sa Súdny dvor v podstate zaoberal otázkou, či sa články 14, 15 a 17 smernice 2016/680 v spojení s článkami 8 a 47, ako aj článkom 52 ods. 1 Charty majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá umožňuje všeobecnú a systematickú výnimku z práva na prístup k osobným údajom, keďže na jednej strane sa toto právo vykonáva prostredníctvom dozorného orgánu a na druhej strane sa tento orgán môže obmedziť na informovanie dotknutej osoby, že vykonal všetky potrebné overenia, bez toho, aby ju informoval o osobných údajoch, ktoré sú predmetom spracúvania, ako aj o ich príjemcoch, a bez ohľadu na sledovaný účel.
31 Uznesením zo 17. mája 2021 Tribunal de première instance francophone de Bruxelles (Frankofónny súd prvej inštancie Brusel) vyhlásil, že „nemá právomoc“ rozhodovať o tomto návrhu na nariadenie predbežného opatrenia.
32 Návrhom z 15. júna 2021 podaným na Cour d’appel de Bruxelles (Odvolací súd Brusel) žalobcovia vo veci samej podali proti tomuto uzneseniu odvolanie. V podstate zopakovali návrhy, ktoré predložili v prvostupňovom konaní.
33 V tomto kontexte vnútroštátny súd v podstate najmä uvádza, že v prípade, ak osoba nemá právo osobne vykonávať práva stanovené v smernici 2016/680, žalobu o zdržanie sa konania upravenú v článku 209 a nasl. LPD nemožno uplatniť. Po prvé takáto žaloba totiž môže smerovať proti prevádzkovateľovi, ale nie proti samotnému dozornému orgánu. Po druhé táto osoba, v tomto prípade BA, ju nemôže uplatniť voči prevádzkovateľovi, pretože výkon jej práv je zverený uvedenému orgánu. Napokon osobitne stručná informácia, ktorú OCIP poskytol BA, neumožňuje ani BA, ani súdu posúdiť, či tento dozorný orgán správne vykonal práva uvedenej osoby. Dodáva, že hoci je v LPD stanovené, že táto žaloba o zdržanie sa konania nemá vplyv na akékoľvek iné súdne, správne alebo mimosúdne prostriedky nápravy, takýto akýkoľvek iný prostriedok nápravy, ktorý by chcel BA uplatniť, by sa podľa vnútroštátneho súdu stretol s rovnakými ťažkosťami.
34 Za týchto podmienok Cour d’appel de Bruxelles (Odvolací súd Brusel) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Ukladajú článok 47 a článok 8 ods. 3 [Charty] povinnosť stanoviť súdny prostriedok nápravy proti nezávislému dozornému orgánu, akým je [OCIP], pre prípad výkonu práv dotknutej osoby voči prevádzkovateľovi prostredníctvom tohto orgánu?
2. Je článok 17 smernice 2016/680 v súlade s článkom 47 a článkom 8 ods. 3 [Charty], ako ich vykladá Súdny dvor, v rozsahu, v akom dozornému orgánu – ktorý vykonáva práva dotknutej osoby voči prevádzkovateľovi – iba ukladá povinnosť informovať dotknutú osobu o tom, ‚že vykonal všetky nevyhnutné overenia alebo preskúmanie‘, a ‚o jej práve na súdny prostriedok nápravy‘, keďže informácie tohto typu neumožňujú žiadne následné preskúmanie postupu a posúdenia dozorného orgánu v súvislosti s údajmi dotknutej osoby a povinnosťami prevádzkovateľa?“
O prejudiciálnych otázkach
O prvej otázke
35 Na úvod z návrhu na začatie prejudiciálneho konania vyplýva, že otázky vnútroštátneho súdu sa týkajú existencie povinnosti členských štátov na základe článku 53 ods. 1 smernice 2016/680 v spojení s článkom 47 Charty, a to stanoviť právo na účinný súdny prostriedok nápravy proti príslušnému vnútroštátnemu dozornému orgánu pri vykonávaní ustanovenia vnútroštátneho práva, ktorým sa preberá článok 17 tejto smernice, podľa ktorého v prípadoch uvedených v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4 uvedenej smernice možno práva dotknutej osoby vykonávať prostredníctvom takéhoto dozorného orgánu.
36 Okrem toho treba uviesť, že odpoveď na túto otázku závisí od povahy a rozsahu úlohy, ako aj právomocí dozorného orgánu v rámci výkonu práv dotknutej osoby stanoveného v článku 17 smernice 2016/680. Tieto požiadavky sú pritom spresnené v článku 46 ods. 1 písm. g) a článku 47 ods. 1 a 2 tejto smernice a treba ich analyzovať vzhľadom na článok 8 ods. 3 Charty, ktorý vyžaduje, aby dodržiavanie pravidiel týkajúcich sa ochrany osobných údajov uvedených v odsekoch 1 a 2 tohto článku 8 podliehalo kontrole nezávislého orgánu.
37 Treba preto chápať, že svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 17 smernice 2016/680 v spojení s článkom 46 ods. 1 písm. g), článkom 47 ods. 1 a 2 a článkom 53 ods. 1 tejto smernice, ako aj s článkom 8 ods. 3 a článkom 47 Charty vykladať v tom zmysle, že ak boli práva osoby vykonané na základe uvedeného článku 17 prostredníctvom príslušného dozorného orgánu, táto osoba musí mať voči uvedenému orgánu účinný súdny prostriedok nápravy.
38 Na úvod treba pripomenúť, že podľa článku 53 ods. 1 smernice 2016/680 musia členské štáty stanoviť právo fyzickej alebo právnickej osoby na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.
39 Treba teda určiť, či dozorný orgán prijme takéto rozhodnutie, ak sa podľa článku 17 tejto smernice práva dotknutých osôb uvedené v uvedenej smernici vykonávajú prostredníctvom tohto dozorného orgánu.
40 V tejto súvislosti treba uviesť, že podľa článku 17 ods. 1 smernice 2016/680 „v prípadoch uvedených v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4“ tejto smernice sú členské štáty povinné prijať opatrenia, „ktorými sa stanoví, že práva dotknutej osoby možno uplatniť aj prostredníctvom príslušného dozorného orgánu“.
41 Ako naznačuje použitie častice „aj“ a ako v podstate uviedla generálna advokátka v bodoch 41 a 42 svojich návrhov, nepriamy výkon práv dotknutej osoby prostredníctvom príslušného dozorného orgánu stanovený v tomto ustanovení predstavuje pre túto osobu dodatočnú záruku, že jej osobné údaje sa spracúvajú zákonným spôsobom, ak vnútroštátne právne predpisy obmedzujú priamy výkon práva získať od prevádzkovateľa ďalšie informácie, stanoveného v článku 13 ods. 2 smernice 2016/680, práva získať od prevádzkovateľa prístup k týmto údajom, stanoveného v článku 14 tejto smernice, alebo práva dosiahnuť u prevádzkovateľa ich opravu, vymazanie alebo obmedzenie ich spracúvania za podmienok podľa článku 16 ods. 1 až 3 uvedenej smernice.
42 Vzhľadom na osobitnú povahu účelov, na ktoré sa spracúvanie údajov upravené v tej istej smernici vykonáva a ktoré sú zdôraznené v jej odôvodnení 10, článok 13 ods. 3 a článok 15 ods. 1 smernice 2016/680 oprávňujú vnútroštátneho zákonodarcu obmedziť priamy výkon jednak práva na informácie a jednak práva na prístup „v takom rozsahu a na tak dlho, ako toto opatrenie s náležitým zreteľom na základné práva a oprávnené záujmy danej fyzickej osoby predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti“, s cieľom „zabrániť mareniu úradného alebo súdneho zisťovania, vyšetrovania alebo konania“, „zabrániť ohrozeniu predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo výkonu trestných sankcií“, „chrániť verejnú bezpečnosť“, „chrániť národnú bezpečnosť“ alebo „chrániť práva a slobody iných“. Okrem toho článok 15 ods. 3 tejto smernice stanovuje, že prevádzkovateľ nemusí informovať dotknutú osobu o akomkoľvek zamietnutí alebo obmedzení prístupu a o dôvodoch zamietnutia alebo obmedzenia, ak by poskytnutie takýchto informácií mohlo ohroziť niektorý z uvedených cieľov verejného záujmu.
43 Rovnako článok 16 ods. 4 uvedenej smernice umožňuje vnútroštátnemu zákonodarcovi obmedziť povinnosť prevádzkovateľa „písomne inform[ovať] dotknutú osobu o akomkoľvek zamietnutí opravy alebo vymazania osobných údajov či obmedzenia spracúvania a o dôvodoch zamietnutia“ z dôvodu tých istých cieľov verejného záujmu, „pokiaľ takéto obmedzenie predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti s náležitým zreteľom na základné práva a oprávnené záujmy danej fyzickej osoby“.
44 Preto v tomto rámci, ako vyplýva z odôvodnenia 48 tej istej smernice, nepriamy výkon práv uvedených v bode 41 tohto rozsudku prostredníctvom príslušného dozorného orgánu sa musí považovať za nevyhnutný na ochranu týchto práv, keďže ich priamy výkon u prevádzkovateľa by bol sťažený alebo dokonca nemožný.
45 Na tento účel článok 46 ods. 1 písm. g) smernice 2016/680 vyžaduje, aby bol každý príslušný vnútroštátny orgán poverený úlohou overiť zákonnosť spracúvania podľa článku 17 tejto smernice, teda v nadväznosti na žiadosť založenú na tomto poslednom uvedenom ustanovení.
46 Okrem toho najmä z článku 47 ods. 1 a 2 uvedenej smernice vyplýva, že každý dozorný orgán musí mať podľa vnútroštátnej právnej úpravy nielen „účinné vyšetrovacie právomoci“, ale aj „účinné nápravné právomoci“.
47 Tieto ustanovenia treba vykladať s prihliadnutím na požiadavku uvedenú v článku 8 ods. 3 Charty, podľa ktorej dodržiavanie pravidiel, ktoré sa týkajú práva každej osoby na ochranu osobných údajov, uvedených v odsekoch 1 a 2 tohto článku musí „podlieha[ť] kontrole nezávislého orgánu“, a najmä požiadavku uvedenú v druhej vete uvedeného odseku 2, podľa ktorej „každý má právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú, a právo na ich opravu“. Ako totiž potvrdzuje ustálená judikatúra, zriadenie nezávislého dozorného orgánu má zabezpečiť účinnosť a spoľahlivosť dohľadu nad dodržiavaním pravidiel v oblasti ochrany fyzických osôb pri spracúvaní osobných údajov a musí sa vykladať s prihliadnutím na tento cieľ [pozri v tomto zmysle stanovisko 1/15 (Dohoda PNR medzi EÚ a Kanadou) z 26. júla 2017, EU:C:2017:592, bod 229 a citovanú judikatúru].
48 Ak teda takýto dozorný orgán koná s cieľom zabezpečiť výkon práv dotknutej osoby na základe článku 17 smernice 2016/680, jeho úloha je plne v súlade s definíciou jeho úlohy v primárnom práve Únie, keďže táto definícia zahŕňa najmä kontrolu dodržiavania práv dotknutej osoby na prístup a opravu. Z toho vyplýva, že pri plnení tejto osobitnej úlohy, ako aj v rámci akejkoľvek inej úlohy, dozorný orgán musí byť schopný vykonávať právomoci, ktoré sú mu zverené podľa článku 47 tejto smernice, tak, že bude konať úplne nezávisle, a to v súlade s Chartou a ako sa uvádza v odôvodnení 75 uvedenej smernice.
49 Okrem toho po preskúmaní zákonnosti spracúvania musí príslušný dozorný orgán podľa článku 17 ods. 3 prvej vety tej istej smernice „aspoň“ informovať dotknutú osobu „o tom, že vykonal všetky nevyhnutné overenia alebo preskúmanie“.
50 Ako v podstate uvádza generálna advokátka v bode 65 svojich návrhov, zo všetkých týchto ustanovení treba vyvodiť, že ak príslušný dozorný orgán informuje dotknutú osobu o výsledku vykonaných overení, oznámi jej rozhodnutie o ukončení postupu overovania, ktoré prijal vo vzťahu k nej a ktoré má nevyhnutne vplyv na jej právne postavenie. Toto rozhodnutie teda predstavuje vo vzťahu k tejto osobe „právne záväzné rozhodnutie“ v zmysle článku 53 ods. 1 smernice 2016/680 bez ohľadu na otázku, či a v akom rozsahu tento orgán konštatoval zákonnosť spracúvania údajov týkajúcich sa uvedenej osoby a prijal nápravné opatrenia.
51 Okrem toho odôvodnenie 86 tejto smernice uvádza, že pojem „právne záväzné rozhodnutie“ v zmysle uvedenej smernice treba chápať ako rozhodnutie, ktoré má právne účinky voči dotknutej osobe, najmä rozhodnutie týkajúce sa výkonu vyšetrovacích, nápravných a povoľovacích právomocí dozorným orgánom alebo odmietnutia sťažností či nevyhovenia sťažnostiam.
52 Dotknutá osoba preto musí mať možnosť dosiahnuť súdne preskúmanie dôvodnosti takéhoto rozhodnutia na základe článku 53 ods. 1 smernice 2016/680, a najmä spôsobu, akým si dozorný orgán splnil svoju povinnosť vyplývajúcu z článku 17 tejto smernice, na ktorú odkazuje článok 46 ods. 1 písm. g) uvedenej smernice, a to „vykona[ť] všetky nevyhnutné overenia“ a prípadne uplatniť svoje právomoci na prijatie nápravných opatrení.
53 Tento záver je napokon podporený odôvodnením 85 smernice 2016/680, z ktorého vyplýva, že každá dotknutá osoba by mala mať právo na účinný súdny prostriedok nápravy proti dozornému orgánu, ak tento orgán „nekoná v prípade, keď je takéto konanie nevyhnutné na ochranu práv dotknutej osoby“.
54 Napokon takýto výklad je v súlade s článkom 47 Charty, keďže ako vyplýva z ustálenej judikatúry, toto právo musí byť priznané každej osobe, ktorá sa odvoláva na práva alebo slobody zaručené právom Únie, proti rozhodnutiu, ktoré jej spôsobuje ujmu a ktoré môže porušiť tieto práva alebo slobody [pozri v tomto zmysle rozsudok z 26. januára 2023, Ministerstvo na vatrešnite raboti (Registrácia biometrických a genetických údajov políciou), C‑205/21, EU:C:2023:49, bod 87, ako aj citovanú judikatúru].
55 Vzhľadom na všetky predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 17 smernice 2016/680 v spojení s článkom 46 ods. 1 písm. g), článkom 47 ods. 1 a 2 a článkom 53 ods. 1 tejto smernice, ako aj s článkom 8 ods. 3 a článkom 47 Charty sa má vykladať v tom zmysle, že ak boli práva osoby vykonané na základe uvedeného článku 17 prostredníctvom príslušného dozorného orgánu a tento orgán informuje uvedenú osobu o výsledku vykonaných overení, musí mať táto osoba k dispozícii účinný súdny prostriedok nápravy proti rozhodnutiu uvedeného orgánu o ukončení postupu overovania.
O druhej otázke
56 Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či je článok 17 ods. 3 smernice 2016/680 platný vzhľadom na článok 8 ods. 3 a článok 47 Charty v rozsahu, v akom ukladá dozornému orgánu povinnosť informovať dotknutú osobu jednak o tom, že vykonal všetky nevyhnutné overenia alebo preskúmanie, a jednak o tom, že táto osoba má právo podať súdny prostriedok nápravy, keďže takéto informovanie neumožňuje súdne preskúmanie konania dozorného orgánu a jeho posúdení vzhľadom na spracúvané údaje a povinnosti prevádzkovateľa.
57 V tejto súvislosti treba na jednej strane pripomenúť, že podľa všeobecnej výkladovej zásady sa má akt Únie vykladať v čo najväčšom možnom rozsahu spôsobom, ktorý nespochybní jeho platnosť, a v súlade s celým primárnym právom, okrem iného s ustanoveniami Charty. Ak je teda text sekundárneho práva Únie možné vykladať viac ako jedným spôsobom, treba dať prednosť tomu výkladu, podľa ktorého je ustanovenie v súlade s primárnym právom, pred výkladom, ktorý vedie k zisteniu, že ustanovenie je s primárnym právom nezlučiteľné (rozsudok z 21. júna 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 86 a citovaná judikatúra).
58 Na druhej strane právo na účinný súdny prostriedok nápravy zaručené v článku 47 Charty v zásade vyžaduje, aby sa dotknutá osoba mohla oboznámiť s dôvodmi, na ktorých sa zakladá rozhodnutie prijaté voči nej, s cieľom umožniť jej brániť svoje práva za najlepších možných podmienok a pri plnej znalosti veci sa rozhodnúť, či je potrebné obrátiť sa na príslušný súd, a tiež umožniť tomuto súdu v plnom rozsahu preskúmať zákonnosť tohto rozhodnutia (pozri v tomto zmysle rozsudok zo 4. júna 2013, ZZ, C‑300/11, EU:C:2013:363, bod 53 a citovanú judikatúru).
59 Toto právo nie je absolútnou výsadou a v súlade s článkom 52 ods. 1 Charty ho možno obmedziť pod podmienkou, že tieto obmedzenia sú ustanovené zákonom, rešpektujú podstatu predmetných práv a slobôd a za predpokladu dodržiavania zásady proporcionality sú nevyhnutné a skutočne zodpovedajú cieľom všeobecného záujmu, ktoré sú uznané Úniou, alebo sú potrebné na ochranu práv a slobôd iných [rozsudok z 26. januára 2023, Ministerstvo na vatrešnite raboti (Registrácia biometrických a genetických údajov políciou), C‑205/21, EU:C:2023:49, bod 89, ako aj citovaná judikatúra].
60 V prejednávanej veci treba uviesť, že pokiaľ ide o rozhodnutie príslušného dozorného orgánu uvedené v bode 50 tohto rozsudku, článok 17 ods. 3 smernice 2016/680 zavádza vo vzťahu k tomuto dozornému orgánu minimálnu informačnú povinnosť, pričom stanovuje, že tento orgán informuje dotknutú osobu „aspoň“ o tom, že „vykonal všetky nevyhnutné overenia alebo preskúmanie“, a „o jej práve na súdny prostriedok nápravy“.
61 Z toho vyplýva, že toto ustanovenie, keďže nebráni tomu, aby v súlade s pravidlami prijatými vnútroštátnym zákonodarcom na jeho vykonanie mohol mať dozorný orgán v určitých prípadoch možnosť alebo dokonca povinnosť obmedziť sa na minimálne informácie uvedené v predchádzajúcom bode, bez ďalšieho spresnenia, najmä ak tieto pravidlá majú zabrániť ohrozeniu cieľov verejného záujmu uvedených v článku 13 ods. 3, článku 15 ods. 1 a článku 16 ods. 4 uvedenej smernice, ako je vysvetlené v bodoch 42 a 43 tohto rozsudku, môže viesť k obmedzeniu práva na účinný súdny prostriedok nápravy zaručeného článkom 47 Charty.
62 Vzhľadom na to treba v prvom rade konštatovať, že takéto obmedzenie je výslovne stanovené v smernici 2016/680, a tak rešpektuje podmienku stanovenú v článku 52 ods. 1 Charty, podľa ktorej akékoľvek obmedzenie výkonu základného práva musí byť „ustanovené zákonom“.
63 V druhom rade skutočnosť, že článok 17 ods. 3 smernice 2016/680 umožňuje členským štátom v určitých prípadoch obmedziť odôvodnenie tohto rozhodnutia na minimálne prvky uvedené v tomto ustanovení, neznamená, ako v podstate uvádza generálna advokátka v bode 89 svojich návrhov, že za každých okolností je možné obmedziť informácie, ktoré sa majú poskytnúť dotknutej osobe, len na tieto prvky.
64 Toto ustanovenie treba totiž vykladať s prihliadnutím na článok 52 ods. 1 Charty tak, aby ostatné kritériá, ktoré sú v ňom uvedené, boli splnené. To znamená, že vyžaduje, aby členské štáty zabezpečili, aby ustanovenia vnútroštátneho práva, ktorými sa toto ustanovenie vykonáva, jednak rešpektovali podstatu práva dotknutej osoby na účinnú súdnu ochranu a jednak vychádzali z vyváženia cieľov verejného záujmu, ktoré odôvodňujú obmedzenie týchto informácií, ako aj základných práv a legitímnych záujmov tejto osoby, a to v súlade so zásadami nevyhnutnosti a proporcionality, podobne ako v prípade vyváženia, ktoré musí vnútroštátny zákonodarca vykonať, keď uplatňuje obmedzenia stanovené v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4 uvedenej smernice.
65 Konkrétne, pokiaľ to na jednej strane vyžaduje ochrana práva dotknutej osoby na účinný súdny prostriedok nápravy proti rozhodnutiu o ukončení postupu overovania a na druhej strane ciele verejného záujmu uvedené v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4 smernice 2016/680 tomu nebránia, členským štátom prináleží stanoviť, že informovanie dotknutej osoby môže ísť nad rámec minimálnych informácií stanovených v článku 17 ods. 3 tejto smernice, aby sa jej umožnilo brániť svoje práva a s plnou znalosťou veci sa rozhodnúť, či je potrebné obrátiť sa na príslušný súd.
66 Rovnako vnútroštátne opatrenia vykonávajúce toto posledné uvedené ustanovenie musia v čo najväčšej miere ponechať príslušnému dozornému orgánu v súlade s nezávislosťou, ktorá ho charakterizuje na základe článku 8 ods. 3 Charty, určitú mieru voľnej úvahy na určenie toho, či rámec vymedzený vnútroštátnou právnou úpravou v súlade s požiadavkami uvedenými v bode 65 tohto rozsudku nebráni tomu, aby tejto osobe aspoň stručne oznámil výsledok svojich overení, ako aj prípadne nápravné opatrenia, ktoré prijal. V tejto súvislosti, ako v podstate uviedla generálna advokátka v bodoch 73 a 74 svojich návrhov, tomuto orgánu prináleží, aby pri dodržaní tohto vnútroštátneho legislatívneho rámca začal s prevádzkovateľom dôverný dialógu a po skončení tohto dialógu rozhodol, ktoré informácie potrebné na to, aby dotknutá osoba mohla uplatniť svoje právo na účinný súdny prostriedok nápravy, jej môže poskytnúť bez toho, aby boli ohrozené ciele verejného záujmu uvedené v bode 65 tohto rozsudku.
67 Okrem toho v prípadoch, keď uvedený rámec vyžaduje, aby sa informácie, ktoré poskytuje dozorný orgán, obmedzili na to, čo stanovuje článok 17 ods. 3 smernice 2016/680, členským štátom v rámci ich procesnej autonómie prináleží zaviesť opatrenia potrebné na to, aby sa v súlade s článkom 53 ods. 1 tejto smernice zabezpečilo účinné súdne preskúmanie tak existencie a dôvodnosti dôvodov na obmedzenie týchto informácií, ako aj toho, či dozorný orgán správne splnil svoju úlohu overenia zákonnosti spracúvania. V tejto súvislosti pojem „účinný súdny prostriedok nápravy“, ktorý sa nachádza v tomto poslednom uvedenom ustanovení, treba vykladať s prihliadnutím na odôvodnenie 86 uvedenej smernice, podľa ktorého súdy, na ktoré sa podávajú žaloby proti dozornému orgánu, „by mali vykonávať plnú právomoc, ktorá by mala zahŕňať právomoc preskúmať všetky skutkové a právne otázky, ktoré sú relevantné pre daný spor“.
68 Členské štáty musia predovšetkým dbať na to, aby príslušný súd mal k dispozícii a uplatnil procesnoprávne techniky a pravidlá umožňujúce zosúladiť na jednej strane legitímne hľadiská týkajúce sa cieľov verejného záujmu uvedených v článku 13 ods. 3, článku 15 ods. 3 a článku 16 ods. 4 smernice 2016/680, pričom tieto ciele boli zohľadnené vnútroštátnou právnou úpravou na účely obmedzenia informácií poskytovaných dotknutej osobe, a na druhej strane potrebu dostatočne zaručiť osobe podliehajúcej súdnej právomoci dodržiavanie jej procesných práv, ako je právo byť vypočutý a zásada kontradiktórnosti (pozri v tomto zmysle rozsudok zo 4. júna 2013, ZZ, C‑300/11, EU:C:2013:363, bod 57 a citovanú judikatúru).
69 V rámci súdneho preskúmania správneho uplatnenia článku 17 tejto smernice dozorným orgánom prináleží členským štátom stanoviť pravidlá, ktoré umožnia príslušnému súdu oboznámiť sa tak so všetkými dôvodmi, ako aj so súvisiacimi dôkazmi, na ktorých tento orgán v tomto rámci založil preskúmanie zákonnosti predmetného spracúvania údajov, ako aj závery, ktoré z toho vyvodil (pozri v tomto zmysle rozsudok zo 4. júna 2013, ZZ, C‑300/11, EU:C:2013:363, bod 59 a citovanú judikatúru).
70 V tejto súvislosti, ako uviedol Európsky parlament vo svojich pripomienkach, článok 15 ods. 4 smernice 2016/680 stanovuje, že prevádzkovateľ zdokumentuje skutkové alebo právne dôvody, na ktorých zakladá rozhodnutie, ktorým čiastočne alebo úplne obmedzil práva dotknutej osoby na prístup, a že tieto informácie sa sprístupnia dozorným orgánom. Ako táto inštitúcia naznačila, z tohto ustanovenia v spojení s článkami 17 a 53 tejto smernice, ako aj so zreteľom na článok 47 Charty, ako ho vykladá judikatúra pripomenutá v bodoch 68 a 69 tohto rozsudku, vyplýva, že tieto informácie musia byť poskytnuté aj súdu, ktorý rozhoduje o žalobe proti dozornému orgánu smerujúcej k preskúmaniu správneho uplatňovania uvedeného článku 17.
71 Z bodov 63 až 70 tohto rozsudku tak vyplýva, že obmedzenie stanovené v článku 17 smernice 2016/680 rešpektuje obsah práva dotknutej osoby na účinný súdny prostriedok nápravy proti rozhodnutiu dozorného orgánu o ukončení konania stanoveného v tomto ustanovení, ako aj zásady nevyhnutnosti a proporcionality v súlade s článkom 52 ods. 1 Charty.
72 Vzhľadom na všetky predchádzajúce úvahy treba prijať záver, že z preskúmania druhej otázky nevyplynula žiadna skutočnosť, ktorá by mohla ovplyvniť platnosť článku 17 ods. 3 smernice 2016/680.
O trovách
73 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (piata komora) rozhodol takto:
1. Článok 17 smernice Európskeho parlamentu a Rady (EÚ) 2016/680 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV v spojení s článkom 46 ods. 1 písm. g), článkom 47 ods. 1 a 2 a článkom 53 ods. 1 tejto smernice, ako aj s článkom 8 ods. 3 a článkom 47 Charty základných práv Európskej únie
sa má vykladať v tom zmysle, že:
ak boli práva osoby vykonané na základe uvedeného článku 17 prostredníctvom príslušného dozorného orgánu a tento orgán informuje uvedenú osobu o výsledku vykonaných overení, musí mať táto osoba k dispozícii účinný súdny prostriedok nápravy proti rozhodnutiu uvedeného orgánu o ukončení postupu overovania.
2. Z preskúmania druhej otázky nevyplynula žiadna skutočnosť, ktorá by mohla ovplyvniť platnosť článku 17 ods. 3 smernice 2016/680.
Podpisy