null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
JEANA RICHARDA DE LA TOUR
přednesené dne 25. ledna 2024(1)
Věc C‑757/22
Meta Platforms Ireland Limited
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[žádost o rozhodnutí o předběžné otázce, kterou podal Bundesgerichtshof (Spolkový soudní dvůr, Německo)]
„Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 12 odst. 1 první věta – Transparentní informace – Článek 13 odst. 1 písm. c) a e) – Informační povinnost správce – Článek 80 odst. 2 – Zastupování subjektů údajů sdružením na ochranu zájmů spotřebitelů – Zástupná žaloba podaná v případě neexistence pověření a nezávisle na porušení konkrétních práv subjektu údajů – Žaloba založená na porušení informační povinnosti správce – Pojem ‚porušení práv subjektu údajů v důsledku zpracování‘ “
I. Skutečnosti předcházející věci, skutkový stav v původním řízení a nová předběžná otázka
1. V projednávané věci Bundesgerichtshof (Spolkový soudní dvůr, Německo) pokládá znovu předběžnou otázku týkající se výkladu čl. 80 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně údajů)(2).
2. V souladu s tímto ustanovením členské státy mohou stanovit, že jakýkoliv subjekt, organizace nebo sdružení má bez ohledu na pověření od subjektu údajů právo podat v daném členském státě stížnost u dozorového úřadu podle článku 77 tohoto nařízení a vykonávat práva uvedená v článcích 78 a 79 tohoto nařízení, pokud se domnívá, že v důsledku zpracování byla porušena práva subjektu údajů podle uvedeného nařízení.
3. Žádost o rozhodnutí o předběžné otázce byla podána ve sporu mezi společností Meta Platforms Ireland Limited, dříve Facebook Ireland Limited, jejíž sídlo se nachází v Irsku, a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Spolková unie center a sdružení na ochranu zájmů spotřebitelů, Německo) (dále jen „Spolková unie“) ohledně údajného porušení německých právních předpisů v oblasti ochrany osobních údajů ze strany společnosti Meta Platforms Ireland, což současně představuje nekalou obchodní praktiku, porušení zákona v oblasti ochrany spotřebitelů a porušení zákazu používání neplatných všeobecných obchodních podmínek.
4. Jedná se o tentýž spor, který je základem věci, v níž byl vydán rozsudek ze dne 28. dubna 2022, Meta Platforms Ireland(3), jehož skutkový stav lze shrnout následovně(4).
5. Společnost Meta Platforms Ireland, která spravuje nabídku služeb internetové sociální sítě Facebook v Evropské unii, je správcem osobních údajů uživatelů této sociální sítě v Unii. Společnost Facebook Germany GmbH, která má sídlo v Německu, propaguje na adrese www.facebook.de prodej reklamního prostoru. Internetová platforma Facebook obsahuje zejména na internetové adrese www.facebook.de prostor nazvaný „App-Zentrum“ (Centrum aplikací), na kterém společnost Meta Platforms Ireland poskytuje uživatelům bezplatné hry poskytované třetími osobami. Při spuštění některých z uvedených her v Centru aplikací se uživatelům zobrazí informace, podle které použití dotčené aplikace opravňuje společnost, která tyto hry poskytla, k získání určitých osobních údajů, jakož i k tomu, aby je jménem tohoto uživatele zveřejňovala, například bodové skóre uživatele a další informace. Důsledkem tohoto použití je to, že uvedený uživatel přijímá všeobecné obchodní podmínky a pravidla zmíněné společnosti v oblasti ochrany údajů. V případě jedné konkrétní hry bylo navíc uvedeno, že aplikace může jménem téhož uživatele zveřejňovat oznámení o statusu, fotografie a další informace.
6. Spolková unie, která je aktivně legitimována podle ustanovení § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts- und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (zákon o žalobách na zdržení se jednání v oblasti porušování spotřebitelského práva a jiného protiprávního jednání) ze dne 26. listopadu 2001(5), má za to, že informace poskytnuté dotčenými hrami v prostoru Centrum aplikací jsou nekalé, zejména z hlediska nesplnění zákonných podmínek, které platí pro získání platného souhlasu uživatele na základě ustanovení upravujících ochranu údajů. Kromě toho má za to, že informace, podle které se aplikaci povoluje zveřejnit jménem uživatele určité jeho osobní informace, představuje obecnou podmínku, která uživatele nepřiměřeně znevýhodňuje.
7. V této souvislosti podala Spolková unie k Landgericht Berlin (zemský soud v Berlíně, Německo) žalobu na zdržení se jednání proti společnosti Meta Platforms Ireland na základě ustanovení § 3a Gesetz gegen den unlauteren Wettbewerb (zákon o zákazu nekalé soutěže) ze dne 3. července 2004(6), ustanovení § 2 odst. 2 první věty bodu 11 zákona o žalobách na zdržení se jednání, jakož i na základě Bürgerliches Gesetzbuch (občanský zákoník). Tato žaloba byla podána nezávisle na konkrétním porušení práva na ochranu osobních údajů určitého subjektu údajů a bez pověření uděleného takovým subjektem.
8. V rozhodnutí přijatém proti společnosti Meta Platforms Ireland vyhověl Landgericht Berlin (zemský soud v Berlíně) návrhovým žádáním, jež vznesla Spolková unie. Odvolání, které podala společnost Meta Platforms Ireland ke Kammergericht Berlin (Vrchní zemský soud v Berlíně, Německo), bylo zamítnuto. Společnost Meta Platforms Ireland tedy podala proti zamítavému rozhodnutí odvolacího soudu k předkládajícímu soudu opravný prostředek „Revision“.
9. V rámci řízení o tomto opravném prostředku měl předkládající soud za to, že žaloba Spolkové unie je opodstatněná, jelikož společnost Meta Platforms Ireland porušila ustanovení § 3a zákona o zákazu nekalé soutěže, jakož i ustanovení § 2 odst. 2 první větu bod 11 zákona o žalobách na zdržení se jednání, a použila neplatnou všeobecnou podmínku ve smyslu ustanovení § 1 zákona o žalobách na zdržení se jednání.
10. Tento soud měl však pochybnosti o přípustnosti žaloby Spolkové unie. Zabýval se zejména tím, zda aktivní legitimace Spolkové unie mohla vyplývat z ustanovení čl. 80 odst. 2 GDPR. Proto položil Soudnímu dvoru předběžnou otázku, aby získal výklad tohoto ustanovení.
11. V odpovědi na tuto otázku Soudní dvůr rozhodl ve svém rozsudku Meta Platforms Ireland tak, že čl. 80 odst. 2 GDPR musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, která umožňuje sdružení na ochranu zájmů spotřebitelů podat žalobu při neexistenci zmocnění, které by mu bylo uděleno za tím účelem, a bez ohledu na porušení konkrétních práv subjektů údajů, proti údajnému původci porušení ochrany osobních údajů, a tvrdit, že byl porušen zákaz nekalých obchodních praktik, zákon na ochranu spotřebitele nebo zákaz používání neplatných všeobecných obchodních podmínek, pokud se dané zpracování údajů může dotknout práv, která identifikovaným nebo identifikovatelným fyzickým osobám vyplývají z tohoto nařízení(7).
12. Soudní dvůr tak objasnil věcnou působnost mechanismu zástupné žaloby proti údajnému původci porušení ochrany osobních údajů, který je stanoven v čl. 80 odst. 2 GDPR.
13. Soudní dvůr konkrétně rozhodl, že pro účely podání takové zástupné žaloby nelze po subjektu, který splňuje podmínky uvedené v čl. 80 odst. 1 GDPR, požadovat, aby provedl předchozí individuální identifikaci subjektu konkrétně dotčeného zpracováním údajů, které je údajně v rozporu s ustanoveními tohoto nařízení(8). Tudíž označení kategorie nebo skupiny osob dotčených takovým zpracováním může být rovněž dostačující pro účely podání takové zástupné žaloby(9).
14. Soudní dvůr rovněž rozhodl, že podle čl. 80 odst. 2 GDPR není výkon zástupné žaloby podmíněn ani existencí konkrétního porušení práv, která osobě vyplývají z pravidel v oblasti ochrany údajů(10). Podle Soudního dvora totiž podání zástupné žaloby předpokládá pouze to, že subjekt uvedený v tomto ustanovení „má za to“, že práva subjektu údajů stanovená v uvedeném nařízení byla porušena v důsledku zpracování jeho osobních údajů, a poukazuje tedy na existenci zpracování údajů, které je v rozporu s ustanoveními uvedeného nařízení(11). Z toho vyplývá, že k tomu, aby byla takovému subjektu přiznána aktivní legitimace na základě čl. 80 odst. 2 GDPR, stačí uvést, že dotčené zpracování údajů může ovlivnit práva, která pro identifikované nebo identifikovatelné fyzické osoby vyplývají z uvedeného nařízení, aniž je nezbytné prokazovat skutečnou újmu způsobenou subjektu údajů v určité situaci zásahem do jeho práv(12).
15. Ačkoli předkládající soud již tedy získal od Soudního dvora vodítka, aby mohl určit, zda lze žalobu na zdržení se jednání podanou Spolkovou unií považovat za přípustnou s ohledem na podmínky stanovené v čl. 80 odst. 2 RGPD, domnívá se, že je třeba ještě odstranit pochybnosti ohledně výkladu, který je třeba tomuto ustanovení přiznat. Tento soud totiž zdůrazňuje, že aktivní legitimace Spolkové unie závisí na tom, zda tento subjekt ve smyslu uvedeného ustanovení ve své žalobě tvrdí, že práva subjektu údajů podle tohoto nařízení byla porušena „v důsledku zpracování“.
16. Podle předkládajícího soudu není zřejmé, zda je tento požadavek týkající se věcné působnosti čl. 80 odst. 2 RGPD za okolností projednávané věci splněn.
17. Tento soud totiž uvádí, že se Spolková unie na podporu své žaloby dovolává porušení informační povinnosti stanovené v čl. 12 odst. 1 první větě GDPR ve spojení s čl. 13 odst. 1 písm. c) a e) tohoto nařízení, pokud jde o účel zpracování údajů a příjemce osobních údajů. Podle tohoto soudu je třeba určit, zda se tedy lze domnívat, že se Spolková unie dovolává porušení práv „v důsledku zpracování“ ve smyslu čl. 80 odst. 2 uvedeného nařízení.
18. Předkládající soud se konkrétně domnívá, že zaprvé přetrvává nejistota ohledně toho, zda v projednávané věci porušení informační povinnosti vyplývající z čl. 12 odst. 1 věty první a čl. 13 odst. 1 písm. c) a e) GDPR spadá pod pojem „zpracování“ ve smyslu čl. 4 bodu 2 tohoto nařízení a zda tento pojem zahrnuje i situace, které předcházejí zahájení shromažďování osobních údajů(13).
19. Zadruhé se tento soud domnívá, že není jasně prokázáno, zda v takové věci, jako je věc v původním řízení, došlo k porušení informační povinnosti „v důsledku“ zpracování osobních údajů ve smyslu čl. 80 odst. 2 GDPR. Tento soud v tomto ohledu zdůrazňuje, že formulace „v důsledku“ by mohla znamenat, že subjekt podávající zástupnou žalobu se musí pro její přípustnost dovolávat porušení práv subjektu údajů podle tohoto nařízení, které vyplývá z operace zpracování údajů ve smyslu čl. 4 bodu 2 tohoto nařízení, a které tedy následuje po takové operaci(14).
20. Za těchto podmínek se Bundesgerichtshof (Spolkový soudní dvůr) rozhodl opět přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:
„Jedná se o uplatnění porušení [práv subjektu údajů] ‚v důsledku zpracování‘ ve smyslu čl. 80 odst. 2 GDPR, pokud sdružení na ochranu zájmů spotřebitelů vychází ve své žalobě z toho, že byla porušena práva subjektu údajů, protože nebyly dodrženy informační povinnosti stanovené v čl. 12 odst. 1 první větě GDPR ve spojení s čl. 13 odst. 1 písm. c) a e) GDPR týkající se účelu zpracování údajů a příjemce osobních údajů?“
21. Písemné vyjádření předložily společnost Meta Platforms Ireland, Spolková unie, německá a portugalská vláda, jakož i Evropská komise.
22. Dne 23. listopadu 2023 se konalo jednání k přednesu řečí za přítomnosti společnosti Meta Platforms Ireland, německé vlády a Komise.
II. Analýza
23. Jak jsem již uvedl, předkládající soud má pochybnosti o tom, zda za okolností projednávané věci splňuje zástupná žaloba podaná Spolkovou unií podmínku stanovenou v čl. 80 odst. 2 GDPR, podle níž se subjekt, který takovou žalobu podává, domnívá, že práva subjektu údajů stanovená v tomto nařízení byla porušena „v důsledku zpracování“ osobních údajů.
24. Pro správné pochopení kontextu, v němž tento soud žádá Soudní dvůr o další objasnění věcné působnosti tohoto ustanovení, je třeba připomenout, že Spolková unie na podporu své žaloby tvrdí, že společnost Meta Platforms Ireland porušila svou informační povinnost týkající se účelu a rozsahu souhlasu uživatele se zpracováním jeho osobních údajů. Předmětem sporu je konkrétně prezentace her v Centru aplikací na internetové platformě společnosti Meta Platforms Ireland a prohlášení, že každá aplikace je oprávněna zveřejnit určité osobní údaje o uživateli jeho jménem. Spolková unie podala tuto žalobu nezávisle na porušení konkrétních práv subjektu údajů, a aniž byla takovou osobou zmocněna, což je v souladu s uvedeným ustanovením, jak Soudní dvůr připustil ve svém rozsudku Meta Platforms Ireland(15).
25. Rozdílné názory ohledně této otázky, jejímž cílem je určení, zda má Spolková unie aktivní legitimaci podle čl. 80 odst. 2 GDPR, se nyní soustředí na zjištění předkládajícího soudu, že zástupná žaloba podaná tímto subjektem se netýká otázky, zda společnost Meta Platforms Ireland porušuje práva uživatele na ochranu údajů v okamžiku, kdy uživatel stiskne tlačítko „Hrát teď“ nebo „Hrát hru“ v Centru aplikací, a tím případně spustí zpracování svých osobních údajů. Kromě toho je nesporné, že otázka, zda automatizované operace týkající se osobních údajů uživatele, k nimž dochází po stisknutí takového tlačítka, porušují jeho práva na ochranu údajů, není rovněž předmětem žaloby podané Spolkovou unií.
26. Stručně řečeno, spor je zaměřen na otázku, zda pro aktivní legitimaci takového sdružení podle čl. 80 odst. 2 GDPR postačuje, aby se domáhalo porušení informační povinnosti, aniž by kritizovalo jako takové zpracování údajů, které je výsledkem operace spočívající ve stisknutí tlačítka „Hrát teď“ nebo „Hrát hru“, i když toto ustanovení vyžaduje porušení práv subjektu údajů „v důsledku zpracování“.
27. Proto se otázky předkládajícího soudu zaměřují na dva aspekty, a to jednak na rozsah pojmu „zpracování“ a jednak na význam slovního spojení „v důsledku zpracování“ obsaženého v tomto ustanovení.
28. Tento soud se tedy zabývá tím, zda povinnost sdělit subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků informace týkající se účelu zpracování osobních údajů a příjemce těchto údajů, která vyplývá z čl. 12 odst. 1 první věty a čl. 13 odst. 1 písm. c) a e) GDPR, spadá pod pojem „zpracování“ ve smyslu čl. 4 bodu 2 tohoto nařízení.
29. Podle článku 4 bodu 2 uvedeného nařízení je „zpracování“ vymezeno jako „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.
30. Ze znění tohoto ustanovení, zejména z výrazu „jakákoli operace“, vyplývá, že unijní normotvůrce zamýšlel přiznat pojmu „zpracování“ široký dosah. Tento výklad je potvrzen demonstrativní povahou výčtu operací uvedených v tomto ustanovení, vyjádřenou slovním spojením „jako je“(16). Podle Soudního dvora je to v souladu s cílem zajistit účinnost základního práva na ochranu fyzických osob v souvislosti se zpracováním osobních údajů uvedeného v bodě 1 odůvodnění nařízení GDPR, kterýmžto cílem je vedeno použití tohoto nařízení(17).
31. Na podporu názoru, že by informační povinnost vyplývající z čl. 12 odst. 1 první věty a čl. 13 odst. 1 písm. c) a e) GDPR mohla spadat pod pojem „zpracování“ ve smyslu čl. 4 bodu 2 tohoto nařízení, předkládající soud uvádí, co Soudní dvůr rozhodl ve svém rozsudku ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely)(18).
32. Ve věci, v níž byl vydán tento rozsudek, Valsts ieņēmumu dienests (daňová správa, Lotyšsko) vyzvala dotčený hospodářský subjekt, aby obnovil přístup útvarů této správy k identifikačním číslům vozidel, kterých se týkal inzerát zveřejněný na jeho internetovém portálu, jakož i k telefonním číslům prodejců, a aby jí poskytl informace o inzerátech zveřejněných na tomto portálu.
33. V této souvislosti Soudní dvůr rozhodl, že taková žádost, kterou daňová správa členského státu požaduje od hospodářského subjektu sdělení a zpřístupnění osobních údajů, které je podle vnitrostátní právní úpravy tohoto členského státu tento hospodářský subjekt povinen poskytnout a zpřístupnit, zahajuje proces „shromáždění“ těchto údajů ve smyslu čl. 4 bodu 2 GDPR(19). Předkládající soud z toho vyvozuje, že pojem „zpracování“ ve smyslu tohoto ustanovení zahrnuje operace, které pouze „zahajují“ shromažďování osobních údajů, a tedy operace, které předcházejí operaci, kterou unijní normotvůrce výslovně považuje za příklad zpracování, čímž tuto situaci srovnává se situací dotčenou v původním řízení.
34. Domnívám se však, že tato situace se jasně liší od situace, v níž byl vydán rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely)(20). V projednávané věci se totiž nejedná o to, aby se k procesu zpracování připojila operace, která umožňuje jeho zahájení, ale spíše o to, aby se určila souvislost mezi takovou informační povinností, jako je povinnost, která vyplývá z čl. 12 odst. 1 první věty a čl. 13 odst. 1 písm. c) a e) GDPR, a daným zpracováním.
35. V tomto ohledu se domnívám, že rozsah pojmu „zpracování“ ve smyslu čl. 4 bodu 2 GDPR, jakkoli široký, nelze vztáhnout na takovou informační povinnost. Tato povinnost totiž neznamená žádnou přímou ani nepřímou činnost ohledně osobních údajů. Tato povinnost představuje spíše podmínku zákonnosti zpracování těchto údajů.
36. Je třeba zdůraznit, že článek 12 tohoto nařízení stanoví obecné povinnosti správce, pokud jde o transparentní informace, sdělení a postupy pro výkon práv subjektu údajů.
37. Konkrétně čl. 12 odst. 1 první věta uvedeného nařízení stanoví, že „[s]právce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, zejména pokud se jedná o informace určené konkrétně dítěti“.
38. Článek 13 GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví v odst. 1 písm. c) a e):
„Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
[...]
c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
[...]
e) případné příjemce nebo kategorie příjemců osobních údajů [...]“
39. Je třeba připomenout, že čl. 6 odst. 1 první pododstavec GDPR stanoví taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby mohlo být zpracování považováno za oprávněné, musí tedy jít o některý z případů stanovených v tomto ustanovení(21).
40. Podle článku 6 odst. 1 prvního pododstavce písm. a) tohoto nařízení je zpracování osobních údajů zákonné, pokud subjekt údajů udělil souhlas pro jeden či více konkrétních účelů a pouze v odpovídajícím rozsahu(22).
41. Bez takového souhlasu, nebo pokud tento souhlas nebyl udělen svobodně, konkrétně, informovaným a jednoznačným způsobem ve smyslu čl. 4 bodu 11 GDPR, a pokud dotčené zpracování nesplňuje některý z požadavků nezbytnosti uvedených v čl. 6 odst. 1 prvním pododstavci písm. b) až f) tohoto nařízení, je takové zpracování protiprávní(23).
42. Pokud jde o požadavek vyplývající z čl. 4 bodu 11 GDPR, podle kterého musí být souhlas „informovaný“, tento požadavek v souladu s článkem 13 tohoto nařízení, vykládaným ve spojení s bodem 42 odůvodnění tohoto nařízení, předpokládá, že správce poskytne subjektu údajů informace o všech okolnostech, jež souvisí se zpracováním údajů, ve srozumitelné a snadno přístupné formě za použití jasného a jednoduchého jazyka, přičemž tato osoba musí zejména znát typ údajů, které mají být zpracovány, totožnost správce, dobu trvání a metody tohoto zpracování, jakož i účely, které se tímto zpracováním sledují. Tyto informace musí uvedené osobě umožnit jednoduše rozpoznat důsledky souhlasu, který případně udělí, a zajistit, aby byl takový souhlas udělen s plnou znalostí věci(24).
43. Podotýkám přitom, že jak uvádí předkládající soud(25), Spolková unie zpochybňuje prezentaci údajů uvedených pod tlačítkem „Hrát teď“ v Centru aplikací s odůvodněním, že jsou v rozporu s právem mimo jiné z hlediska nedodržení zákonných podmínek, které se uplatní na získání platného souhlasu uživatele podle právních předpisů, které upravují ochranu osobních údajů.
44. Jinými slovy, žaloba podaná Spolkovou unií spočívá na tom, že vzhledem k vadné prezentaci v Centru aplikací, na kterou se tento subjekt odvolává, by osoba mohla stisknout tlačítko „Hrát teď“, aniž by měla k dispozici nezbytné informace, které by jí umožnily snadno určit důsledky souhlasu, jejž by mohla udělit se zpracováním svých osobních údajů po stisknutí tohoto tlačítka, aniž by bylo zajištěno, že tento souhlas byl udělen s plnou znalostí věci.
45. Za těchto podmínek se domnívám, že Spolková unie ve své žalobě v souladu s čl. 80 odst. 2 GDPR tvrdí, že „v důsledku zpracování byla porušena práva subjektu údajů podle [tohoto] nařízení“.
46. Zaprvé článek 12 i článek 13 GDPR jsou totiž součástí kapitoly III tohoto nařízení, nadepsané „Práva subjektu údajů“. Vzhledem k informační povinnosti správce podle těchto článků patří práva, která z nich subjektům údajů vyplývají, mezi práva, která má chránit zástupná žaloba upravená v čl. 80 odst. 2 uvedeného nařízení.
47. Zadruhé údajné porušení práva subjektů údajů být dostatečně informován o všech okolnostech zpracování osobních údajů, zejména o účelu zpracování a příjemci těchto údajů, pravděpodobně brání vyjádření „informovaného“ souhlasu ve smyslu čl. 4 bodu 11 GDPR, což může mít za následek protiprávnost tohoto zpracování.
48. Pro účely podání zástupné žaloby podle čl. 80 odst. 2 tohoto nařízení proto postačuje, aby subjekt tvrdil porušení informační povinnosti správcem a uvedl příslušné zpracování, kterým je v projednávané věci zpracování, k němuž dochází, když osoba stiskne tlačítko „Hrát teď“. Musí se jednat o zpracování údajů, které se může dotknout práv, která identifikovaným nebo identifikovatelným fyzickým osobám vyplývají z uvedeného nařízení(26), což znamená, že toto zpracování musí existovat, a nesmí být tedy pouze hypotetické.
49. Navíc je podle mého názoru irelevantní, že se tento subjekt dovolává porušení povinnosti, která zpracování osobních údajů předchází. Tak je tomu v případě informační povinnosti, která musí být v souladu s čl. 13 odst. 1 GDPR provedena nejpozději v okamžiku shromažďování údajů.
50. Z výrazu „v důsledku zpracování“ v čl. 80 odst. 2 tohoto nařízení tedy v žádném případě nevyplývá, že by se právo, jehož porušení má žaloba stanovená v tomto článku určit, muselo nutně vztahovat k fázi následující po operaci, která představuje „zpracování“ ve smyslu čl. 4 bodu 2 uvedeného nařízení. Jinými slovy, v tomto výrazu by neměl být spatřován žádný požadavek časové posloupnosti, která by znamenala, že k porušení práv subjektu údajů podle GDPR by muselo dojít ve fázi následující po takovém zpracování.
51. Důležité je spíše to, aby existovala souvislost mezi dodržováním daných práv a příslušným zpracováním. Tak je tomu v případě, kdy porušení těchto práv má za důsledek, že je toto zpracování protiprávní. Protiprávnost zpracování vyplývá z porušení informační povinnosti. Obě tyto skutečnosti jsou neoddělitelné.
52. Z toho vyplývá, že požadavek, že subjekt může podat zástupnou žalobu podle čl. 80 odst. 2 GDPR, pokud se domnívá, že práva subjektu údajů stanovená v tomto nařízení byla porušena „v důsledku zpracování“, podle mého názoru nevyžaduje, aby se tento subjekt dovolával porušení těchto práv, které vyplývá z operace zpracování údajů ve smyslu čl. 4 bodu 2 tohoto nařízení, a které tedy následuje po takové operaci. Postačí, když prokáže, že existuje souvislost mezi zpracováním osobních údajů a porušením práv chráněných GDPR.
53. V projednávané věci tedy nezáleží na tom, zda Spolková unie tvrdí porušení informační povinnosti nezávisle na tom, zda subjekt údajů stiskne tlačítko „Hrát teď“ v Centru aplikací, neboť taková povinnost, jelikož může ovlivnit podmínky zákonnosti zpracování vyplývající ze stisknutí tohoto tlačítka, má nepochybně souvislost s tímto zpracováním.
54. Tento výklad je v souladu nejen s preventivní funkcí zástupné žaloby podle čl. 80 odst. 2 GDPR(27), ale také, jelikož přispívá k posílení práv subjektů údajů(28), s cílem tohoto nařízení, který vyplývá z bodu 10 odůvodnění a spočívá v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů v Unii(29).
55. Dodávám, že podle mého názoru by bylo nekonzistentní přijmout restriktivní výklad věcné působnosti čl. 80 odst. 2 uvedeného nařízení, když čl. 79 odst. 1 GDPR stanoví obdobně právo každého subjektu údajů na účinnou soudní ochranu a neexistuje žádný důvod vyloučit z věcné působnosti takové ochrany práva, která vyplývají z informační povinnosti stanovené v čl. 12 odst. 1 první větě tohoto nařízení, ve spojení s čl. 13 odst. 1 písm. c) a e) uvedeného nařízení.
56. V důsledku toho se domnívám, že čl. 80 odst. 2 GDPR musí být vykládán v tom smyslu, že podmínka, že oprávněný subjekt proto, aby mohl podat zástupnou žalobu podle tohoto ustanovení, musí tvrdit, že se domnívá, že v důsledku zpracování byla porušena práva subjektu údajů stanovená v tomto nařízení, předpokládá, že tento subjekt tvrdí existenci zpracování osobních údajů, jakož i souvislost mezi porušením těchto práv a tímto zpracováním. Tato podmínka je splněna, pokud je žaloba v souvislosti se zpracováním osobních údajů založena na porušení informační povinnosti stanovené v čl. 12 odst. 1 první větě uvedeného nařízení ve spojení s čl. 13 odst. 1 písm. c) a e) téhož nařízení správcem, pokud toto porušení může mít za následek protiprávnost tohoto zpracování.
III. Závěry
57. S ohledem na všechny výše uvedené úvahy navrhuji odpovědět na předběžnou otázku položenou Bundesgerichtshof (Spolkový soudní dvůr, Německo) takto:
„Článek 80 odst. 2 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
podmínka, že oprávněný subjekt proto, aby mohl podat zástupnou žalobu podle tohoto ustanovení, musí tvrdit, že se domnívá, že v důsledku zpracování byla porušena práva subjektu údajů stanovená v tomto nařízení, předpokládá, že tento subjekt tvrdí existenci zpracování osobních údajů, jakož i souvislost mezi porušením těchto práv a tímto zpracováním. Tato podmínka je splněna, pokud je žaloba v souvislosti se zpracováním osobních údajů založena na porušení informační povinnosti stanovené v čl. 12 odst. 1 první větě uvedeného nařízení ve spojení s čl. 13 odst. 1 písm. c) a e) téhož nařízení správcem, pokud toto porušení může mít za následek protiprávnost tohoto zpracování.“