ROZSUDOK SÚDNEHO DVORA (ôsma komora)
z 20. októbra 2022 (*)
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Pôsobnosť – Článok 2 ods. 2 písm. a) – Pojem ‚činnosť, ktorá nepatrí do pôsobnosti práva Únie‘ – Vnútroštátne a európske voľby – Článok 6 ods. 1 písm. e) – Zákonnosť spracovania – Článok 58 – Akt prijatý dozornými orgánmi, ktorým sa obmedzuje alebo prípadne zakazuje nahrávanie videozáznamu zo sčítavania hlasov vo volebných miestnostiach“
Vo veci C‑306/21,
ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Vărchoven administrativen săd (Najvyšší správny súd, Bulharsko) z 23. apríla 2021 a doručený Súdnemu dvoru 12. mája 2021, ktorý súvisí s konaním:
Komisija za zaštita na ličnite danni,
Centralna isbiratelna komisija
proti
Koalicija „Demokratična Bălgarija – Obedinenie“,
SÚDNY DVOR (ôsma komora),
v zložení: sudca N. Piçarra, vykonávajúci funkciu predsedu ôsmej komory, sudcovia N. Jääskinen (spravodajca) a M. Gavalec,
generálny advokát: M. Campos Sánchez‑Bordona,
tajomník: A. Calot Escobar,
so zreteľom na písomnú časť konania,
so zreteľom na pripomienky, ktoré predložili:
– Komisija za zaštita na ličnite danni, v zastúpení: V. Karadžov, splnomocnený zástupca,
– rumunská vláda, v zastúpení: L.‑E. Baţagoi, E. Gane a A. Wellman, splnomocnené zástupkyne,
– Európska komisia, v zastúpení: A. Bouchagiar, C. Georgieva a H. Kranenborg, splnomocnení zástupcovia,
so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,
vyhlásil tento
Rozsudok
1 Návrh na začatie prejudiciálneho konania sa týka výkladu článku 2 ods. 2 písm. a) a článku 6 ods. 1 písm. e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „GDPR“).
2 Tento návrh bol podaný v rámci sporu, v ktorom na jednej strane vystupuje Komisija za zaštita na ličnite danni (Komisia na ochranu osobných údajov, Bulharsko) (ďalej len „KOOÚ“) a Centralna izbiratelna komisija (Ústredná volebná komisia, Bulharsko) (ďalej len „ÚVK“) a na druhej strane koalícia bulharských politických strán Koalicija „Demokratična Bălgarija – Obedinenie (ďalej len „Koalicija“) a ktorý sa týka pokynov na spracovanie a ochranu osobných údajov počas volebného procesu (ďalej len „sporné pokyny“), ktoré prijali KOOÚ a ÚVK.
Právny rámec
Právo Únie
3 Odôvodnenia 4, 16 a 129 GDPR znejú:
„(4) Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu. Právo na ochranu osobných údajov nie je absolútne právo; musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené s ostatnými základnými právami, a to v súlade so zásadou proporcionality. Toto nariadenie rešpektuje všetky základné práva a dodržiava slobody a zásady uznané v Charte [základných práv Európskej únie], ako sú zakotvené v zmluvách, najmä rešpektovanie súkromného a rodinného života, obydlia a komunikácie, ochrana osobných údajov, sloboda myslenia, svedomia a náboženského vyznania, sloboda prejavu a právo na informácie, sloboda podnikania, právo na účinný prostriedok nápravy a na spravodlivý proces, a kultúrna, náboženská a jazyková rozmanitosť.
…
(16) Toto nariadenie sa nevzťahuje na otázky ochrany základných práv a slobôd ani na voľný tok osobných údajov týkajúcich sa činností, ktoré nepatria do pôsobnosti práva Únie, ako sú činnosti týkajúce sa národnej bezpečnosti. Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov členskými štátmi pri vykonávaní činností v súvislosti so spoločnou zahraničnou a bezpečnostnou politikou [Európskej únie].
…
(129) S cieľom zabezpečiť konzistentné monitorovanie a presadzovanie tohto nariadenia v celej Únii by dozorné orgány mali mať vo všetkých členských štátoch rovnaké úlohy a účinné právomoci vrátane právomocí v oblasti vyšetrovania, nápravných opatrení a sankcií a právomocí v oblasti povoľovania a poradenstva… Takéto právomoci by mali tiež zahŕňať právomoc nariadiť dočasné alebo trvalé obmedzenie spracúvania, vrátane zákazu spracúvania. … Predovšetkým by každé opatrenie malo byť vhodné, potrebné a primerané vzhľadom na zabezpečenie súladu s týmto nariadením…“
4 Článok 2 tohto nariadenia, nazvaný „Vecná pôsobnosť“, stanovuje:
„1. Toto nariadenie sa vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.
2. Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov:
a) v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie;
b) členskými štátmi pri vykonávaní činností patriacich do rozsahu pôsobnosti kapitoly 2 hlavy V [Zmluvy o] EÚ;
…“
5 Článok 3 uvedeného nariadenia vymedzuje jeho územnú pôsobnosť. Podľa svojho odseku 1, GDPR „sa vzťahuje na spracúvanie osobných údajov v rámci činnosti prevádzky prevádzkovateľa alebo sprostredkovateľa v Únii, a to bez ohľadu na to, či sa spracúvanie vykonáva v Únii alebo nie“.
6 Podľa článku 4 GDPR:
„Na účely tohto nariadenia:
…
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…“
7 Článok 5 tohto nariadenia s názvom „Zásady spracúvania osobných údajov“ uvádza:
„1. Osobné údaje musia byť:
…
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…“
8 Článok 6 uvedeného nariadenia s názvom „Zákonnosť spracúvania“ v odsekoch 1 až 3 stanovuje:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
…
e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
…
2. Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účely, na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.“
9 Článok 58 toho istého nariadenia, nazvaný „Právomoci“, v odsekoch 2 až 4 stanovuje:
„2. Každý dozorný orgán má všetky tieto nápravné právomoci:
…
f) nariadiť dočasné alebo trvalé obmedzenie vrátane zákazu spracúvania;
…
3. Každý dozorný orgán má všetky tieto povoľovacie a poradné právomoci:
…
b) vydávať z vlastnej iniciatívy alebo na požiadanie stanoviská k akýmkoľvek otázkam súvisiacim s ochranou osobných údajov adresované národnému parlamentu, vláde členského štátu alebo v súlade s právom členského štátu iným inštitúciám a orgánom, ako aj verejnosti;
…
4. Výkon právomocí udelených dozornému orgánu podľa tohto článku podlieha primeraným zárukám vrátane účinného súdneho prostriedku nápravy a riadneho procesu, stanoveným v práve Únie a v práve členského štátu v súlade s [C]hartou [základných práv].“
10 Podľa článku 85 GDPR, nazvaného „Spracúvanie a sloboda prejavu a právo na informácie“:
„1. Členské štáty právnymi prepismi zosúladia právo na ochranu osobných údajov podľa tohto nariadenia s právom na slobodu prejavu a právom na informácie vrátane spracúvania na žurnalistické účely a na účely akademickej, umeleckej alebo literárnej tvorby.
2. Pokiaľ ide o spracúvanie vykonávané na žurnalistické účely alebo na účely akademickej, umeleckej alebo literárnej tvorby, členské štáty stanovia výnimky alebo odchýlky z kapitoly II (zásady), kapitoly III (práva dotknutej osoby), kapitoly IV (prevádzkovateľ a sprostredkovateľ), kapitoly V (prenos osobných údajov do tretích krajín alebo medzinárodným organizáciám), kapitoly VI (nezávislé dozorné orgány), kapitoly VII (spolupráca a konzistentnosť) a kapitoly IX (osobitné situácie spracúvania údajov), ak sú potrebné na zosúladenie práva na ochranu osobných údajov so slobodou prejavu a právom na informácie.
3. Každý členský štát oznámi Komisii ustanovenia svojich právnych predpisov, ktoré prijal podľa odseku 2, a bezodkladne oznámi aj všetky následné pozmeňujúce právne predpisy či zmeny, ktoré sa ich týkajú.“
Bulharské právo
11 Ustanovenie § 272 Izbornija kodeks (Volebný zákonník) v znení uplatňujúcom sa na spor vo veci samej stanovuje:
„Pri otvorení schránok s hlasovacími lístkami a zisťovaní výsledkov hlasovania môžu byť v priestoroch, kde sa konali voľby, prítomní kandidáti, aktivisti a zástupcovia politických strán, koalícií a iniciatívnych výborov… pozorovatelia…, nahlásení anketári agentúr na prieskum verejnej mienky a zástupcovia médií, pričom majú zaručenú možnosť zrakom priamo sledovať sčítanie hlasov.“
Spor vo veci samej a prejudiciálne otázky
12 Sporné pokyny boli prijaté rozhodnutím KOOÚ z 28. januára 2021 a rozhodnutím ÚVK z 8. februára 2021.
13 Pokiaľ ide o spracovanie osobných údajov prostredníctvom videozáznamov (záznam alebo vysielanie v priamom prenose) v rámci volebného procesu, sporné pokyny spresňujú, že cieľom takéhoto spracovania je zabezpečiť transparentnosť, objektivitu, legitimitu volebného procesu, rovnosť zaobchádzania s účastníkmi tohto procesu, ako aj slobodu prejavu a právo na informácie.
14 Pokiaľ ide o spôsoby spracovania osobných údajov prostredníctvom videozáznamu počas volebného procesu, sporné pokyny na jednej strane stanovujú, že médiá spracúvajú osobné údaje prostredníctvom videozáznamu len pri otvorení volebného dňa, jeho uzavretí, oznámení výsledkov volieb, ako aj losovaní poradových čísel hlasovacích lístkov.
15 Na druhej strane tieto pokyny spresňujú, že žiadny iný účastník volebného procesu nemôže spracovávať osobné údaje prostredníctvom videozáznamu z dôvodu nezlučiteľnosti ich úlohy v rámci volebného procesu.
16 Žalobou z 10. februára 2021 Koalicija napadla zákonnosť týchto pokynov na Administrativen săd Sofija (Správny súd Sofia, Bulharsko) v rozsahu, v akom sa uplatňujú na spracovanie osobných údajov prostredníctvom videozáznamu.
17 Rozsudkom z 15. marca 2021 tento súd zrušil:
– bod 2 oddielu I sporných pokynov, nazvaného „Všeobecné ustanovenia“, pokiaľ ide o prevádzkovateľov, sprostredkovateľov a osoby spracúvajúce osobné údaje v rámci volebného procesu v súlade s pokynmi prevádzkovateľa, v ktorom sa uvádza, že „ich práva a povinnosti z hľadiska spracovania osobných údajov sú obmedzené, pokiaľ sú ich práva a povinnosti v rámci volebného procesu stanovené vyčerpávajúcim a obmedzujúcim spôsobom“, že „prípady, v ktorých tieto osoby spracúvajú osobné údaje, sú výslovne vymedzené vo Volebnom zákonníku (právo priamo sledovať zisťovanie výsledkov hlasovania, právo dostať kópiu zápisnice okrskovej volebnej komisie atď.)“ a že „v prípade spracúvania osobných údajov tieto osoby nemôžu prekročiť práva a povinnosti stanovené Volebným zákonníkom“, a
– bod 9 oddielu II, nazvaného „Pokyny pre prevádzkovateľov spracúvajúcich osobné údaje“, v rozsahu, v akom tento bod stanovuje, že „žiadny iný účastník volebného procesu nesmie spracovávať osobné údaje prostredníctvom videozáznamu a/alebo rozširovania videozáznamu z dôvodu nezlučiteľnosti ich úlohy vo volebnom procese s účelom spracovania osobných údajov prostredníctvom videozáznamu v rámci volebného procesu“ a že „funkcie a úlohy týchto účastníkov volebného procesu sú výslovne a vyčerpávajúco stanovené vo Volebnom zákonníku“.
18 Podľa Administrativen săd Sofia (Správny súd Sofia) sa v súlade s článkom 2 ods. 2 písm. a) GDPR tento posledný uvedený článok neuplatňuje na činnosti, ktoré nepatria do pôsobnosti práva Únie, ako je činnosť, o ktorú ide vo veci samej, t. j. organizácia vnútroštátnych parlamentných volieb alebo volieb alebo miestnych samospráv členského štátu. V dôsledku toho sporné pokyny v rozsahu, v akom majú byť vykonávacími opatreniami GDPR, podľa neho nemajú právny základ.
19 Dňa 29. marca 2021 KOOÚ a ÚVK podali proti tomuto rozsudku odvolanie na Vărchoven administrativen săd (Najvyšší správny súd, Bulharsko), ktorý podal návrh na začatie prejudiciálneho konania.
20 KOOÚ, podporovaná ÚVK, podaním z 2. apríla 2021 navrhla, aby bol podaný návrh na začatie prejudiciálneho konania pred Súdnym dvorom vo veci uplatniteľnosti práva Únie vo veci samej.
21 Koalicija pred vnútroštátnym súdom tvrdí, že uvedený rozsudok musí byť potvrdený a že nie je potrebné predložiť Súdnemu dvoru návrh na začatie prejudiciálneho konania.
22 Vnútroštátny súd uvádza, že sporné pokyny predstavujú správny akt, ktorý počas volieb opakovane vyvoláva právne účinky. Zdôrazňuje, že sporné pokyny sa uplatňujú na všetky vnútroštátne, miestne a európske voľby organizované na území Bulharskej republiky.
23 Tento súd sa pýta najmä na uplatniteľnosť GDPR v kontexte organizácie volieb v členskom štáte a v prípade jeho uplatniteľnosti v tejto súvislosti na vplyv ustanovení GDPR na možnosť príslušných orgánov v oblasti ochrany osobných údajov obmedziť alebo prípadne zakázať spracovanie takýchto údajov v rámci volebného procesu.
24 Za týchto podmienok Vărchoven administrativen săd (Najvyšší správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:
„1. Má sa článok 2 ods. 2 písm. a) [GDPR] vykladať v tom zmysle, že bráni uplatneniu tohto nariadenia na zdanlivo rýdzo vnútroštátnu situáciu, akou je konanie volieb do Národného zhromaždenia, ak chráneným predmetom sú osobné údaje osôb – občanov Európskej únie – a procesy spracovania údajov sa neobmedzujú na zhromažďovanie údajov v rámci dotknutej činnosti?
2. V prípade kladnej odpovede na prvú otázku: Oslobodzuje skončenie konania volieb do Národného zhromaždenia, ktoré zdanlivo nepatria do oblasti pôsobnosti práva Únie, prevádzkovateľov, sprostredkovateľov a osoby ukladajúce osobné údaje od ich povinností z nariadenia ako jediného prostriedku na ochranu osobných údajov občanov Únie na úrovni Únie? Závisí uplatniteľnosť nariadenia výlučne od činnosti, na ktorú sa osobné údaje vytvárali, resp. získali, čo tiež vedie k záveru, že jeho neskoršia uplatniteľnosť je vylúčená?
3. V prípade zápornej odpovede na prvú otázku: Bránia článok 6 ods. 1 písm. e) [GDPR] a zásada proporcionality zakotvená v jeho odôvodneniach 4 a 129 vnútroštátnej právnej úprave, ktorou sa vykonáva nariadenie, ako je tá v tomto prípade, ktorá a priori vylučuje možnosť a obmedzuje, aby sa pri zhromažďovaní výsledkov volieb vo volebných miestnostiach robili akékoľvek videozáznamy, nepripúšťa rozlišovanie a úpravu jednotlivých komponentov procesu zaznamenávania a vylučuje možnosť dosiahnuť ciele nariadenia – ochranu osobných údajov – inými prostriedkami?
4. Alternatívne a v kontexte oblasti pôsobnosti práva Únie – v rámci vykonania komunálnych volieb a volieb do Európskeho parlamentu: Bránia článok 6 ods. 1 písm. e) [GDPR] a zásada proporcionality zakotvená v jeho odôvodneniach 4 a 129 vnútroštátnej právnej úprave, ktorou sa vykonáva nariadenie, ako je tá v tomto prípade, ktorá a priori vylučuje možnosť a obmedzuje, aby sa pri zhromažďovaní výsledkov volieb vo volebných miestnostiach robili akékoľvek videozáznamy, ani nerozlišuje a zvlášť nereguluje jednotlivé komponenty procesu zaznamenávania a ani ich len nepripúšťa a vylučuje možnosť dosiahnuť ciele nariadenia – ochranu osobných údajov – inými prostriedkami?
5. Bráni článok 6 ods. 1 písm. e) [GDPR] tomu, aby sa činnosti zisťovania riadneho priebehu a zhromažďovania výsledkov konaných volieb klasifikovali ako úloha vo verejnom záujme, ktorá odôvodňuje určitý zásah do osobných údajov osôb prítomných vo volebných miestnostiach, ktorý podlieha požiadavke proporcionality, ak tieto osoby plnia úradnú, verejnú, zákonom upravenú úlohu?
6. V prípade kladnej odpovede na predchádzajúcu otázku: Bráni ochrana osobných údajov zavedeniu vnútroštátneho zákonného zákazu získavania a spracovávania osobných údajov, ktorý obmedzuje možnosť vykonania sprievodných činností tvorby videozáznamu materiálov, objektov alebo predmetov, ktoré neobsahujú osobné údaje, keď počas procesu zaznamenávania potenciálne existuje možnosť, že počas procesu tvorby videozáznamu budú získané aj osobné údaje osôb prítomných vo volebnej miestnosti, ktoré v dotknutom čase vykonávajú činnosť vo verejnom záujme?“
O prípustnosti návrhu na začatie prejudiciálneho konania
25 Dňa 14. septembra 2021 Súdny dvor zaslal vnútroštátnemu súdu žiadosť o informácie, v ktorej ho vyzval, aby spresnil prípadný vplyv zmeny § 272 Volebného zákonníka, ku ktorej došlo po podaní návrhu na začatie prejudiciálneho konania, na relevantnosť položených otázok na vyriešenie sporu vo veci samej.
26 Vnútroštátny súd vo svojej odpovedi z 29. októbra 2021 uviedol, že podľa vnútroštátneho procesného práva musí posúdiť zákonnosť sporných pokynov nie ku dňu, keď došlo k uvedenej legislatívnej zmene, ale ku dňu prijatia sporných pokynov. Relevantnosť návrhu na začatie prejudiciálneho konania preto podľa neho nie je spochybnená touto legislatívnou zmenou, ku ktorej došlo po prijatí sporných pokynov.
27 V tejto súvislosti treba pripomenúť, že podľa ustálenej judikatúry pri otázkach týkajúcich sa výkladu práva Únie položených vnútroštátnym súdom v rámci právnej úpravy a skutkových okolností, ktoré tento súd vymedzí na svoju vlastnú zodpovednosť a ktorých správnosť Súdnemu dvoru neprináleží preverovať, platí prezumpcia relevantnosti. Súdny dvor môže odmietnuť rozhodovať o prejudiciálnej otázke položenej vnútroštátnym súdom v zmysle článku 267 ZFEÚ iba vtedy, ak najmä požiadavky na obsah návrhu na začatie prejudiciálneho konania uvedené v článku 94 Rokovacieho poriadku Súdneho dvora nie sú splnené, pokiaľ je zjavné, že výklad alebo posúdenie platnosti predpisu Únie, o ktoré žiada vnútroštátny súd, nemá žiadny vzťah k existencii alebo predmetu sporu vo veci samej, alebo pokiaľ ide o hypotetický problém (rozsudok z 25. marca 2021, Obala i lučice, C‑307/19, EU:C:2021:236, bod 48 a citovaná judikatúra).
28 V prejednávanej veci z vysvetlení poskytnutých vnútroštátnym súdom jednoznačne vyplýva, že sa domnieva, že odpoveď na položené otázky je nevyhnutná na účely rozhodnutia sporu, ktorý prejednáva.
29 Z toho vyplýva, že návrh na začatie prejudiciálneho konania je prípustný.
O prejudiciálnych otázkach
O prvej a druhej otázke
30 Svojou prvou a druhou otázkou, ktoré treba preskúmať spoločne, sa vnútroštátny súd v podstate pýta, či sa má článok 2 ods. 2 písm. a) GDPR vykladať v tom zmysle, že z pôsobnosti tohto nariadenia je vylúčené spracovanie osobných údajov v súvislosti s organizáciou volieb v členskom štáte.
31 Po prvé treba uviesť, že podľa článku 2 ods. 1 GDPR sa toto nariadenie vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému. Podľa článku 4 bodu 2 tohto nariadenia patrí pod pojem „spracúvanie“ okrem iného akákoľvek operácia s osobnými údajmi alebo súbormi osobných údajov vykonávaná automatizovanými alebo neautomatizovanými prostriedkami, napríklad okrem iného získavanie, zaznamenávanie, využívanie a poskytovanie prenosom, šírením alebo iným spôsobom.
32 Z toho vyplýva, že videozáznam fyzických osôb predstavuje spracovanie osobných údajov, ktoré v zásade patrí do vecnej pôsobnosti GDPR (pozri v tomto zmysle rozsudok z 11. decembra 2014, Ryneš, C‑212/13, EU:C:2014:2428, bod 35).
33 Po druhé treba zdôrazniť, že výnimky z vecnej pôsobnosti uvedeného nariadenia sú taxatívne stanovené v jeho článku 2 ods. 2 a 3.
34 V prejednávanej veci sa vnútroštátny súd pýta, či sa na spracovanie osobných údajov prostredníctvom videozáznamu počas organizovania tak európskych, ako aj vnútroštátnych volieb vzťahuje výnimka stanovená v článku 2 ods. 2 písm. a) GDPR, podľa ktorej sa toto nariadenie nevzťahuje na spracúvanie osobných údajov „v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie“.
35 Treba zdôrazniť, že túto výnimku z uplatniteľnosti GDPR treba rovnako ako ostatné výnimky stanovené v článku 2 ods. 2 tohto nariadenia vykladať reštriktívne [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62 a citovanú judikatúru].
36 Ako už rozhodol Súdny dvor, článok 2 ods. 2 písm. a) GDPR treba chápať v spojení s jeho článkom 2 ods. 2 písm. b) a jeho odôvodnením 16, ktoré spresňuje, že uvedené nariadenie sa nevzťahuje na spracúvanie osobných údajov v kontexte „činností, ktoré nepatria do pôsobnosti práva Únie, ako sú činnosti týkajúce sa národnej bezpečnosti“, ako aj „činnosti v súvislosti so spoločnou zahraničnou a bezpečnostnou politikou Únie“ [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 63].
37 Z toho vyplýva, že článok 2 ods. 2 písm. a) a b) GDPR čiastočne nadväzuje na článok 3 ods. 2 prvú zarážku smernice Európskeho parlamentu a Rady 95/46/EHS z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355). Z toho vyplýva, že článok 2 ods. 2 písm. a) a b) GDPR nemožno vykladať ako stanovujúci širší rozsah než výnimka vyplývajúca z článku 3 ods. 2 prvej zarážky smernice 95/46, ktorá už vylučovala z pôsobnosti tejto smernice najmä spracúvanie osobných údajov, ku ktorému dochádza v rámci „činností, ktoré sú mimo rozsahu zákona spoločenstva [pôsobnosti práva Spoločenstva – neoficiálny preklad], ako sú tie, ktoré sú uvedené v hlavách V a VI Zmluvy [o EÚ, v jej znení pred prijatím Lisabonskej zmluvy], a v žiadnom prípade sa neuplatňujú na operácie spracovania týkajúce sa verejnej bezpečnosti, obrany, bezpečnosti štátu…“ [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 64].
38 Z pôsobnosti uvedenej smernice však bolo vylúčené len spracovanie osobných údajov vykonávané v rámci činnosti, ktorá je vlastná štátu alebo štátnym orgánom a je výslovne uvedená v článku 3 ods. 2, alebo v rámci činnosti, ktorá môže byť zaradená do tej istej kategórie [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 65 a citovaná judikatúra].
39 Jediným cieľom článku 2 ods. 2 písm. a) GDPR v súlade s odôvodnením 16 tohto nariadenia je teda vylúčiť z pôsobnosti uvedeného nariadenia spracúvanie osobných údajov vykonávané štátnymi orgánmi v rámci činnosti, ktorými sa má zaručiť národná bezpečnosť alebo činnosť, ktorá môže byť zaradená do tej istej kategórie, v dôsledku čoho samotná skutočnosť, že určitá činnosť je vlastná štátu alebo orgánu verejnej moci, nestačí na to, aby táto výnimka bola automaticky uplatniteľná na takúto činnosť [rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 66 a citovaná judikatúra].
40 Činnosti, ktorých cieľom je chrániť národnú bezpečnosť, uvedené v článku 2 ods. 2 písm. a) GDPR, zahŕňajú najmä činnosti, ktorých cieľom je ochrana základných funkcií štátu a základných záujmov spoločnosti [pozri v tomto zmysle rozsudok z 22. júna 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 67].
41 Činnosti týkajúce sa organizácie volieb v členskom štáte však nesledujú takýto cieľ a v dôsledku toho nemôžu byť zaradené do kategórie činností, ktorých cieľom je ochrana národnej bezpečnosti, uvedených v článku 2 ods. 2 písm. a) GDPR.
42 Vzhľadom na už uvedené treba na prvú a druhú otázku odpovedať tak, že článok 2 ods. 2 písm. a) GDPR sa má vykladať v tom zmysle, že z pôsobnosti tohto nariadenia nie je vylúčené spracovanie osobných údajov v súvislosti s organizáciou volieb v členskom štáte.
O tretej až šiestej otázke
43 Najskôr je potrebné pripomenúť, že podľa ustálenej judikatúry v rámci konania na základe spolupráce medzi vnútroštátnymi súdmi a Súdnym dvorom, zakotveného v článku 267 ZFEÚ, prislúcha Súdnemu dvoru poskytnúť vnútroštátnemu súdu užitočnú odpoveď umožňujúcu mu rozhodnúť spor, ktorý mu bol predložený. Z tohto hľadiska Súdnemu dvoru prislúcha prípadne preformulovať otázky, ktoré mu boli položené [pozri v tomto zmysle rozsudok zo 7. júla 2022, Pensionsversicherungsanstalt (Obdobia výchovy detí v zahraničí), C‑576/20, EU:C:2022:525, bod 35 a citovanú judikatúru].
44 Na tieto účely môže Súdny dvor zo všetkých informácií, ktoré poskytol vnútroštátny súd, a najmä z odôvodnenia návrhu na začatie prejudiciálneho konania, vyvodiť prvky tohto práva, ktoré si vyžadujú výklad so zreteľom na predmet sporu vo veci samej (pozri v tomto zmysle rozsudok z 2. júna 2022, HK/Danmark a HK/Privat, C‑587/20, EU:C:2022:419, bod 18, ako aj citovanú judikatúru).
45 V prejednávanej veci z návrhu na začatie prejudiciálneho konania vyplýva, že spor vo veci samej sa týka hlavne otázky, či príslušné orgány v oblasti ochrany osobných údajov môžu obmedziť alebo zakázať spracovanie takýchto údajov, pokiaľ ide o možnosť filmovať volebný proces, a predovšetkým sčítanie hlasov.
46 Preto treba vychádzať z toho, že vnútroštátny súd sa svojou treťou až šiestou otázkou, ktoré treba preskúmať spoločne, v podstate pýta, či sa majú článok 6 ods. 1 písm. e) a článok 58 GDPR vykladať v tom zmysle, že bránia tomu, aby príslušné orgány členského štátu prijali všeobecne záväzný správny akt stanovujúci obmedzenie alebo prípadne zákaz nahrávania videozáznamu zo sčítavania hlasov vo volebných miestnostiach počas volieb v tomto členskom štáte.
47 V prvom rade treba uviesť, že článok 6 GDPR stanovuje podmienky zákonnosti spracovania osobných údajov.
48 Pokiaľ ide konkrétnejšie o článok 6 ods. 1 písm. e) GDPR, ktorého sa osobitne týka návrh na začatie prejudiciálneho konania, z tohto ustanovenia vyplýva, že spracovanie osobných údajov je zákonné, ak je nevyhnutné na plnenie úlohy vykonávanej vo verejnom záujme alebo na plnenie úlohy spojenej s výkonom verejnej moci zverenej prevádzkovateľovi.
49 Písm. e) odseku 1 článku 6 GDPR pritom treba vykladať v spojení s článkom 6 ods. 3 tohto nariadenia, ktorý spresňuje, že základ spracovania uvedený v tomto písm. e) je definovaný v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
50 Ustanovenia článku 6 ods. 1 písm. e) GDPR v spojení s článkom 6 ods. 3 tohto nariadenia teda umožňujú členským štátom prijať pravidlá, na základe ktorých môžu prevádzkovatelia spracúvať osobné údaje v rámci plnenia úlohy vykonávanej vo verejnom záujme alebo v rámci úlohy spojenej s výkonom verejnej moci.
51 V prejednávanej veci vnútroštátny súd v rámci svojej piatej otázky zrejme usudzuje, že niektorí z účastníkov prítomných vo volebných miestnostiach počas sčítavania hlasov by mohli plniť úlohu vo verejnom záujme v zmysle článku 6 ods. 1 písm. e) GDPR.
52 V tejto súvislosti treba zdôrazniť, že zákonné spracovanie osobných údajov takýmito účastníkmi na základe článku 6 ods. 1 písm. e) GDPR predpokladá nielen to, aby sa títo účastníci mohli považovať za plniacich úlohu vo verejnom záujme, ale aj to, aby spracovanie osobných údajov na účely plnenia takej úlohy vychádzalo z právneho základu uvedeného v článku 6 ods. 3 tohto nariadenia.
53 Ako správne uviedla Komisia vo svojich písomných pripomienkach, sporné pokyny prijaté príslušnými bulharskými dozornými orgánmi zrejme nepredstavujú takýto právny základ. Tieto pokyny naopak predstavujú opatrenie na účel ochrany osobných údajov osôb prítomných vo volebných miestnostiach tým, že v prípade zástupcov médií obmedzujú a v prípade iných subjektov prítomných vo volebných miestnostiach zakazujú spracovanie takýchto údajov prostredníctvom nahrávania videozáznamu počas osobitnej fázy volebného procesu, a to počas sčítavania hlasov.
54 V druhom rade treba pripomenúť, že právomoci dozorných orgánov sú stanovené v článku 58 GDPR.
55 Z článku 58 ods. 2 písm. f) GDPR v spojení s odôvodnením 129 tohto nariadenia vyplýva, že dozorné orgány majú najmä právomoc uložiť dočasné alebo trvalé obmedzenie spracovania osobných údajov, vrátane zákazu, a že táto právomoc sa musí vykonávať v súlade so zásadou proporcionality. Rovnako v súlade s článkom 58 ods. 3 písm. b) GDPR má každý dozorný orgán právomoc vydávať stanoviská, z vlastného podnetu alebo na žiadosť, v súlade s právom dotknutého členského štátu, určené iným inštitúciám, úradom a agentúram, ako je vnútroštátny parlament alebo vláda tohto členského štátu, ako aj verejnosti, ku všetkým otázkam týkajúcim sa ochrany osobných údajov. Napokon v súlade s článkom 58 ods. 4 tohto nariadenia výkon týchto právomocí podlieha primeraným zárukám, vrátane práva na účinné súdne preskúmanie.
56 Zhrnutie bulharského práva a sporných pokynov, ako vyplýva zo spisu, ktorý má Súdny dvor k dispozícii, však s výhradou overení, ktoré prislúcha vykonať vnútroštátnemu súdu, neumožňuje dospieť k záveru, že príslušné bulharské orgány prekročili právomoci, ktoré majú na základe článku 58 ods. 2 písm. f) a článku 58 ods. 3 písm. b) GDPR, a najmä, že sporné pokyny nerešpektujú zásadu proporcionality.
57 V tejto súvislosti vnútroštátny súd uvádza, že sporné pokyny obmedzujú, pokiaľ ide o zástupcov médií, a zakazujú, pokiaľ ide o ostatných účastníkov prítomných vo volebných miestnostiach, spracovanie osobných údajov prostredníctvom nahrávania videozáznamu počas osobitnej fázy volebného procesu, a to počas otvárania schránok a zisťovania výsledkov volieb. Naopak sa nezdá, že by tieto pokyny obmedzovali možnosť účastníkov prítomných vo volebných miestnostiach pri sčítavaní hlasov pozorovať otváranie schránok a zisťovanie výsledkov volieb, čo umožňuje zaručiť transparentnosť, objektivitu a legitímnosť volebného procesu, rovnosť zaobchádzania medzi účastníkmi procesu, ako aj slobodu prejavu a právo na informácie v súlade s cieľom uvedených pokynov.
58 Preto treba usudzovať, že sporné pokyny sú v súlade so zásadou minimalizácie údajov, ktorá je uvedená v článku 5 ods. 1 písm. c) GDPR, určené na minimalizáciu obmedzenia práva na ochranu osobných údajov spôsobeného nahrávaním videozáznamu z volebného procesu.
59 V treťom a poslednom rade treba ešte v každom prípade pripomenúť, že členské štáty môžu stanoviť výnimky a odchýlky od určitých ustanovení GDPR s cieľom zosúladiť právo na ochranu osobných údajov so slobodou prejavu a právom na informácie.
60 Podľa článku 85 ods. 1 nariadenia GDPR členské štáty zákonom zosúladia právo na ochranu osobných údajov podľa tohto nariadenia s právom na slobodu prejavu a právom na informácie vrátane spracúvania osobných údajov na novinárske účely. Podľa článku 85 ods. 2 uvedeného nariadenia členské štáty stanovia výnimky alebo odchýlky z niektorých kapitol tohto nariadenia vrátane kapitoly II, do ktorej patrí článok 6 tohto nariadenia. Tieto výnimky alebo odchýlky sa musia obmedziť na to, čo je nevyhnutné na zosúladenie práva na ochranu osobných údajov so slobodou prejavu a právom na informácie.
61 Vzhľadom na už uvedené treba na tretiu až šiestu otázku odpovedať tak, že článok 6 ods. 1 písm. e) a článok 58 GDPR sa majú vykladať v tom zmysle, že tieto ustanovenia nebránia tomu, aby príslušné orgány členského štátu prijali všeobecne záväzný správny akt stanovujúci obmedzenie alebo prípadne zákaz nahrávania videozáznamu zo sčítavania hlasov vo volebných miestnostiach počas volieb v tomto členskom štáte.
O trovách
62 Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.
Z týchto dôvodov Súdny dvor (ôsma komora) rozhodol takto:
1. Článok 2 ods. 2 písm. a) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
z pôsobnosti tohto nariadenia nie je vylúčené spracovanie osobných údajov v súvislosti s organizáciou volieb v členskom štáte.
2. Článok 6 ods. 1 písm. e) a článok 58 nariadenia 2016/679
sa majú vykladať v tom zmysle, že:
tieto ustanovenia nebránia tomu, aby príslušné orgány členského štátu prijali všeobecne záväzný správny akt stanovujúci obmedzenie alebo prípadne zákaz nahrávania videozáznamu zo sčítavania hlasov vo volebných miestnostiach počas volieb v tomto členskom štáte.
Podpisy