Predbežné znenie
NÁVRHY GENERÁLNEHO ADVOKÁTA
JEAN RICHARD DE LA TOUR
prednesené 25. januára 2024(1)
Vec C‑757/22
Meta Platforms Ireland Limited
proti
Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V.
[návrh na začatie prejudiciálneho konania, ktorý podal Bundesgerichtshof (Spolkový súdny dvor, Nemecko)]
„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb vo vzťahu k spracúvaniu osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 12 ods. 1 prvá veta – Transparentnosť informácií – Článok 13 ods. 1 písm. c) a e) – Informačná povinnosť prevádzkovateľa – Článok 80 ods. 2 – Zastúpenie dotknutých osôb združením na obranu záujmov spotrebiteľov – Žaloba v zastúpení podaná bez poverenia a nezávisle od porušenia konkrétnych práv dotknutej osoby – Žaloba založená na porušení informačnej povinnosti prevádzkovateľa – Pojem ‚porušenie práv dotknutej osoby ‚v dôsledku spracúvania‘“
I. Okolnosti predchádzajúce predmetnej veci, skutkové okolnosti sporu vo veci samej a nová prejudiciálna otázka
1. V prejednávanej veci Bundesgericht (Spolkový súdny dvor, Nemecko) znovu položil prejudiciálnu otázku, ktorá sa týka výkladu článku 80 ods. 2 druhej vety nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)(2).
2. V súlade s týmto ustanovením môžu členské štáty stanoviť, že akýkoľvek subjekt, organizácia alebo združenie má v predmetnom členskom štáte nezávisle od poverenia dotknutej osoby právo podať sťažnosť dozornému orgánu podľa článku 77 tohto nariadenia a uplatňovať práva uvedené v článkoch 78 a 79 tohto nariadenia, ak sa domnieva, že boli porušené práva dotknutej osoby stanovené v uvedenom nariadení v dôsledku spracúvania osobných údajov.
3. Návrh na začatie prejudiciálneho konania bol podaný v rámci sporu medzi spoločnosťou Meta Platforms Ireland Limited, predtým Facebook Ireland Limited, ktorej sídlo sa nachádza v Írsku, a Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Spolková únia spotrebiteľských centier a združení, Nemecko, ďalej len „Spolková únia“), v súvislosti s tým, či Meta Platforms Ireland Limited porušila nemecké právne predpisy týkajúce sa ochrany osobných údajov, čo zároveň predstavuje nekalú obchodnú praktiku, porušenie zákona v oblasti ochrany spotrebiteľov a porušenie zákazu používania neúčinných všeobecných obchodných podmienok.
4. Ide o ten istý spor, ktorý viedol k rozsudku z 28. apríla 2022, Meta Platforms Ireland(3), a jeho skutkový stav možno zhrnúť takto.(4)
5. Meta Platforms Ireland, ktorá spravuje ponuku služieb internetovej sociálnej siete Facebook v Európskej únii, je prevádzkovateľ, ktorý spracúva osobné údaje používateľov tejto sociálnej siete v Únii. Spoločnosť Facebook Germany GmbH, ktorá má sídlo v Nemecku, na internetovej adrese www.facebook.de podporuje predaj reklamného priestoru. Internetová platforma Facebook obsahuje, najmä na internetovej adrese www.facebook.de, priestor nazvaný „App‑Zentrum“ (Centrum aplikácií), v ktorom Meta Platforms Ireland poskytuje používateľom bezplatné hry dodané tretími osobami. Pri nahliadnutí do Centra aplikácií niektorých z týchto hier používateľ vidí informáciu, že použitie danej aplikácie umožňuje spoločnosti poskytujúcej hry získať určitý počet osobných údajov a povoľuje jej zverejniť v mene tohto používateľa napríklad jeho skóre a iné informácie. Dôsledkom tohto použitia je, že uvedený používateľ prijíma všeobecné podmienky aplikácie a jej politiku v oblasti ochrany údajov. Okrem toho sa v prípade danej hry uvádza, že aplikácia je oprávnená uverejniť status, fotografie a iné informácie v mene tohto používateľa.
6. Spolková únia, ktorá má aktívnu legitimáciu podľa § 4 Gesetz über Unterlassungsklagen bei Verbraucherrechts‑ und anderen Verstößen (Unterlassungsklagengesetz – UKlaG) (zákon o žalobách na zdržanie sa konania v prípade porušenia práva spotrebiteľov a iných porušení) z 26. novembra 2001(5), tvrdí že informácie poskytnuté dotknutými hrami v Centre aplikácií sú nekalé, a to najmä z hľadiska nedodržania zákonných podmienok, ktoré sa uplatňujú na získanie platného súhlasu používateľa podľa predpisov upravujúcich ochranu údajov. Okrem toho sa domnieva, že informácia, že aplikácia je oprávnená zverejniť v mene používateľa niektoré jeho osobné údaje, predstavuje všeobecnú podmienku, ktorá používateľa neoprávnene znevýhodňuje.
7. V tomto kontexte Spolková únia podala na Landgericht Berlin (Krajinský súd Berlín, Nemecko) proti spoločnosti Meta Platforms Ireland žalobu na zdržanie sa konania podľa § 3a Gesetz gegen den unlauteren Wettbewerb (zákon proti nekalej súťaži) z 3. júla 2004(6), § 2 ods. 2 prvej vety bodu 11 zákona o žalobách na zdržanie sa konania, ako aj podľa Bürgerliches Gesetzbuch (Občiansky zákonník). Táto žaloba bola podaná nezávisle od konkrétneho porušenia práva dotknutej osoby na ochranu údajov a bez poverenia takejto osoby.
8. Landgericht Berlin (Krajinský súd Berlín) rozhodol v neprospech spoločnosti Meta Platforms Ireland v súlade s návrhmi Spolkovej únie. Odvolanie, ktoré Meta Platforms Ireland podala na Kammergericht Berlin (Vyšší krajinský súd Berlín, Nemecko), bolo zamietnuté. Meta Platforms Ireland následne podala na vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, opravný prostriedok „Revision“ proti zamietavému rozhodnutiu odvolacieho súdu.
9. V rámci riešenia tohto opravného prostriedku vnútroštátny súd usúdil, že žaloba Spolkovej únie je dôvodná, keďže Meta Platforms Ireland porušila § 3a zákona proti nekalej súťaži, ako aj § 2 ods. 2 prvú vetu bod 11 zákona o žalobách na zdržanie sa konania a použila neúčinnú všeobecnú podmienku v zmysle § 1 zákona o žalobách na zdržanie sa konania.
10. Tento súd má však pochybnosti o prípustnosti žaloby Spolkovej únie. Predovšetkým sa pýta, či aktívna legitimácia Spolkovej únie môže vyplývať z článku 80 ods. 2 GDPR. Preto sa obrátil na Súdny dvor s prejudiciálnou otázkou, aby získal výklad tohto ustanovenia.
11. V odpovedi na túto otázku Súdny dvor vo svojom rozsudku Meta Platforms Ireland rozhodol, že článok 80 ods. 2 GDPR sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá umožňuje združeniu na ochranu záujmov spotrebiteľov podať v prípade neexistencie poverenia, ktoré by mu bolo udelené na tento účel, a nezávisle od porušenia konkrétnych práv dotknutých osôb žalobu na súd proti predpokladanému pôvodcovi zásahu do ochrany osobných údajov s poukázaním na porušenie zákazu nekalých obchodných praktík, zákona v oblasti ochrany spotrebiteľov alebo zákazu používania neúčinných všeobecných obchodných podmienok, pokiaľ predmetné spracovanie údajov môže ovplyvniť práva, ktoré identifikovaným alebo identifikovateľným fyzickým osobám vyplývajú z tohto nariadenia.(7)
12. Súdny dvor tak spresnil vecnú pôsobnosť mechanizmu žalôb alebo iných úkonov v zastúpení proti predpokladanému pôvodcovi zásahu do ochrany osobných údajov uvedený v článku 80 ods. 2 GDPR.
13. Konkrétne Súdny dvor rozhodol, že na účely podania takejto žaloby v zastúpení nemožno od subjektu, ktorý spĺňa podmienky uvedené v článku 80 ods. 1 GDPR, požadovať, aby vykonal predchádzajúcu individuálnu identifikáciu osoby osobitne dotknutej spracovaním údajov, ktoré je údajne v rozpore s ustanoveniami tohto nariadenia.(8) Preto aj označenie kategórie alebo skupiny osôb dotknutých takýmto spracovaním tak môže byť dostatočné na účely podania takejto žaloby alebo iného úkonu v zastúpení.(9)
14. Súdny dvor tiež rozhodol, že podľa článku 80 ods. 2 GDPR výkon žaloby alebo iného úkonu v zastúpení nie je podmienený existenciou konkrétneho porušenia práv, ktoré osobe vyplývajú z pravidiel v oblasti ochrany údajov.(10) Podľa Súdneho dvora totiž podanie žaloby alebo iného úkonu v zastúpení predpokladá len to, že subjekt uvedený v tomto ustanovení „sa domnieva“, že práva dotknutej osoby uvedené v tomto nariadení boli porušené spracovaním jej osobných údajov, a teda tvrdí, že došlo k spracovaniu údajov v rozpore s ustanoveniami uvedeného nariadenia.(11) Z toho vyplýva, že na to, aby sa takémuto subjektu priznala aktívna legitimácia na základe článku 80 ods. 2 GDPR, stačí uviesť, že dotknuté spracovanie údajov môže mať vplyv na práva, ktoré identifikovaným alebo identifikovateľným fyzickým osobám vyplývajú z tohto nariadenia, pričom nie je potrebné preukázať skutočnú ujmu, ktorú dotknutá osoba utrpela v určitej situácii v dôsledku zásahu do jej práv.(12)
15. Hoci vnútroštátny súd už od Súdneho dvora získal pokyny, aby mohol určiť, či možno žalobu na zdržanie sa konania podanú Spolkovou úniou považovať za prípustnú vzhľadom na podmienky stanovené v článku 80 ods. 2 GDPR, domnieva sa, že je ešte potrebné rozptýliť pochybnosti, pokiaľ ide o výklad tohto ustanovenia. Tento súd totiž zdôrazňuje, že aktívna legitimácia Spolkovej únie závisí od toho, či v zmysle uvedeného ustanovenia tento subjekt svojou žalobou namieta, že práva dotknutej osoby podľa tohto nariadenia boli porušené „v dôsledku spracúvania“.
16. Podľa vnútroštátneho súdu nie je zrejmé, či je táto požiadavka týkajúca sa vecnej pôsobnosti článku 80 ods. 2 GDPR za okolností prejednávanej veci splnená.
17. Tento súd totiž uvádza, že Spolková únia na podporu svojej žaloby namieta porušenie informačnej povinnosti stanovenej v článku 12 ods. 1 prvej vete GDPR v spojení s článkom 13 ods. 1 písm. c) a e) tohto nariadenia, pokiaľ ide o účel spracovania údajov a príjemcu osobných údajov. Podľa tohto súdu treba určiť, či teda Spolková únia môže namietať porušenie práv „v dôsledku spracúvania“ v zmysle článku 80 ods. 2 uvedeného nariadenia.
18. Konkrétne sa vnútroštátny súd na jednej strane domnieva, že pretrváva neistota, či sa v prejednávanej veci na porušenie povinnosti vyplývajúcej z článku 12 ods. 1 prvej vety a z článku 13 ods. 1 písm. c) a e) GDPR vzťahuje pojem „spracúvanie“ v zmysle jeho článku 4 bodu 2 a či tento pojem zahŕňa aj situácie, ktoré predchádzajú začiatku zhromažďovania osobných údajov.(13)
19. Na druhej strane sa tento súd domnieva, že nie je jasné, či v takom prípade, o aký ide vo veci samej, došlo k porušeniu informačnej povinnosti „v dôsledku“ spracúvania osobných údajov v zmysle článku 80 ods. 2 GDPR. Uvedený súd v tejto súvislosti pripomína, že formulácia „v dôsledku“ by mohla znamenať, že aby bola táto žaloba prípustná, subjekt podávajúci žalobu v zastúpení musí namietať porušenie práv dotknutej osoby podľa tohto nariadenia, ktoré vyplýva z operácie spracovania údajov v zmysle článku 4 ods. 2 tohto nariadenia a ku ktorému teda došlo až po takejto operácii.(14)
20. Za týchto okolností Bundesgerichtshof (Spolkový súdny dvor) rozhodol opäť prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:
„Ide o uplatnenie porušenia [práv dotknutej osoby] ‚v dôsledku spracúvania‘ v zmysle článku 80 ods. 2 GDPR, ak združenie na ochranu záujmov spotrebiteľov zakladá svoju žalobu na skutočnosti, že práva dotknutej osoby boli porušené, pretože neboli dodržané informačné povinnosti o účeloch spracúvania údajov a príjemcoch osobných údajov podľa článku 12 ods. 1 prvej vety GDPR v spojení s článkom 13 ods. 1 písm. c) a e) GDPR?“
21. Písomné pripomienky predložili Meta Platforms Ireland, Spolková únia, nemecká a portugalská vláda, ako aj Európska komisia.
22. Ústne pojednávanie sa konalo 23. novembra 2023 za účasti Meta Platforms Ireland, nemeckej vlády a Komisie.
II. Analýza
23. Ako som už uviedol, vnútroštátny súd má pochybnosti o tom, či za okolností prejednávanej veci žaloba v zastúpení podaná Spolkovou úniou spĺňa podmienku stanovenú v článku 80 ods. 2 GDPR, podľa ktorej sa subjekt podávajúci takúto žalobu musí domnievať, že práva dotknutej osoby stanovené v tomto nariadení boli porušené „v dôsledku spracúvania“ osobných údajov.
24. Na správne pochopenie kontextu, v ktorom tento súd žiada Súdny dvor o ďalšie spresnenie vecnej pôsobnosti tohto ustanovenia, treba pripomenúť, že na podporu svojej žaloby sa Spolková únia dovoláva porušenia informačnej povinnosti spoločnosťou Meta Platforms Ireland, ktorá sa týka informácií o účele a rozsahu súhlasu používateľa so spracovaním jeho osobných údajov. Konkrétne je predmetom sporu prezentácia hier v Centre aplikácií na internetovej platforme spoločnosti Meta Platforms Ireland a vyhlásenie, že každá aplikácia je oprávnená zverejňovať určité osobné informácie používateľa vo svojom mene. Spolková únia podala túto žalobu nezávisle od porušenia konkrétnych práv dotknutej osoby a bez toho, aby ju takáto osoba poverila, čo je v súlade s uvedeným ustanovením, ako Súdny dvor uznal v rozsudku Meta Platforms Ireland.(15)
25. Rozdiely v názoroch na otázku, či má Spolková únia aktívnu legitimáciu podať žalobu podľa článku 80 ods. 2 GDPR, sa teraz zameriavajú na zistenie vnútroštátneho súdu, že žaloba podaná týmto subjektom v zastúpení sa netýka toho, či Meta Platforms Ireland porušuje práva používateľa v okamihu, keď v Centre aplikácií stlačí tlačidlo „ihneď hrať“ alebo „hrať hru“, a tým prípadne spustí spracúvanie svojich osobných údajov. Okrem toho naďalej platí, že predmetom žaloby podanej Spolkovou úniou nie je ani to, či automatizované spracovanie osobných údajov používateľa, ktoré sa uskutoční po stlačení takéhoto tlačidla, porušuje práva používateľa na ochranu údajov.
26. Ak to zhrniem, spor sa sústreďuje na otázku, či na to, aby takéto združenie malo aktívnu legitimáciu podať žalobu podľa článku 80 ods. 2 GDPR, stačí, aby sa odvolávalo na porušenie povinnosti poskytovať informácie bez toho, aby kritizovalo spracúvanie údajov, ktoré vyplýva zo stlačenia tlačidla „ihneď hrať“ alebo „hrať hru“, ako také, pričom v tomto ustanovení sa vyžaduje, aby boli práva dotknutej osoby porušené „v dôsledku spracúvania“.
27. Preto sa otázky vnútroštátneho súdu zameriavajú na dva aspekty, a to na jednej strane na rozsah pojmu „spracúvanie“ a na druhej strane na význam slovného spojenia „v dôsledku spracúvania“ použitého v uvedenom ustanovení.
28. Tento súd sa preto pýta, či povinnosť oznámiť dotknutej osobe presnou, transparentnou, zrozumiteľnou a ľahko prístupnou formou a v jednoduchom jazyku informácie o účele spracúvania osobných údajov a o príjemcovi týchto údajov, ktorá vyplýva z článku 12 ods. 1 prvej vety a článku 13 ods. 1 písm. c) a e) GDPR, spadá pod pojem „spracúvanie“ v zmysle článku 4 ods. 2 tohto nariadenia.
29. Podľa článku 4 ods. 2 tohto nariadenia je pojem „spracúvanie“ vymedzený ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.
30. Zo znenia tohto ustanovenia, najmä z výrazu „akákoľvek operácia“, vyplýva, že normotvorca Únie zamýšľal, aby bol pojem „spracúvanie“ široký. Tento výklad potvrdzuje demonštratívna povaha operácií uvedených v danom ustanovení, ktorá je vyjadrená slovným spojením „napríklad“(16). Podľa Súdneho dvora je to v súlade s cieľom zabezpečiť účinnosť základného práva na ochranu fyzických osôb pri spracúvaní osobných údajov, uvedeným v odôvodnení 1 nariadenia GDPR, ktorým sa riadi uplatňovanie tohto nariadenia.(17)
31. Na podporu tvrdenia, že informačná povinnosť vyplývajúca z článku 12 ods. 1 prvej vety a článku 13 ods. 1 písm. c) a e) GDPR by mohla spadať pod pojem „spracúvanie“ v zmysle článku 4 ods. 2 tohto nariadenia, vnútroštátny súd uvádza obsah rozsudku Súdneho dvora z 24. februára 2022, Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely)(18).
32. Vo veci, ktorej sa tento rozsudok týka, Valsts ieņēmumu dienests (daňová správa, Lotyšsko) od dotknutého hospodárskeho subjektu vyžadovala, aby obnovil prístup tejto daňovej správy k číslam karosérií vozidiel, ktoré boli predmetom inzerátov uverejnených na jeho internetovom portáli, ako aj k telefónnym číslam predávajúcich a aby jej poskytol informácie o inzerátoch uverejnených na tomto portáli.
33. V tomto kontexte dospel Súdny dvor k záveru, že takouto žiadosťou, ktorou daňová správa členského štátu požaduje od hospodárskeho subjektu prenos a sprístupnenie osobných údajov, ktoré je tento hospodársky subjekt povinný poskytnúť a sprístupniť jej na základe vnútroštátnej právnej úpravy daného členského štátu, sa začína proces „získavania“ týchto údajov v zmysle článku 4 bodu 2 GDPR.(19) Vnútroštátny súd z toho vyvodil záver, že pojem „spracúvanie“ v zmysle tohto ustanovenia zahŕňa operácie, ktoré len „spúšťajú“ zhromažďovanie osobných údajov, a teda operácie, ktoré predchádzajú operácii, ktorú normotvorca Únie výslovne považoval za príklad spracúvania, a to na základe porovnania so situáciou, o ktorú ide vo veci samej.
34. Domnievam sa však, že táto situácia sa výrazne líši od situácie, ktorá viedla k vydaniu rozsudku z 24. februára 2022, Valsts ieņēmumu dienests (Spracúvanie osobných údajov na daňové účely)(20). V tomto prípade totiž nejde o pripojenie operácie, ktorá umožňuje spustiť proces spracúvania, k tomuto procesu, ale skôr o identifikáciu prepojenia medzi informačnou povinnosťou, ako je povinnosť vyplývajúca z článku 12 ods. 1 prvej vety a článku 13 ods. 1 písm. c) a e) GDPR, a daným spracovaním.
35. V tejto súvislosti sa domnievam, že nech je rozsah pojmu „spracúvanie“ v zmysle článku 4 ods. 2 GDPR akýkoľvek, nemožno ho rozšíriť tak, aby zahŕňal takúto informačnú povinnosť. S touto povinnosťou totiž nie je spojené žiadne priame ani nepriame nakladanie s osobnými údajmi. Táto povinnosť predstavuje skôr podmienku zákonnosti spracúvania takýchto údajov.
36. Je namieste zdôrazniť, že v článku 12 tohto nariadenia sa stanovujú všeobecné povinnosti prevádzkovateľa, pokiaľ ide o transparentnosť informácií a komunikácie, ako aj postupy výkonu práv dotknutej osoby.
37. Konkrétne sa v článku 12 ods. 1 prvej vete uvedeného nariadenia stanovuje, že „prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho, a to najmä v prípade informácií určených osobitne dieťaťu“.
38. V článku 13 GDPR s názvom „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ sa v odseku 1 písm. c) a e) stanovuje:
„V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:
…
c) účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;
…
e) príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú.…“
39. Treba pripomenúť, že článok 6 ods. 1 prvý pododsek GDPR upravuje taxatívny a obmedzujúci zoznam prípadov, v ktorých možno spracúvanie osobných údajov považovať za zákonné. Aby sa teda spracúvanie mohlo považovať za legitímne, musí sa naň vzťahovať jeden z prípadov stanovených v tomto ustanovení.(21)
40. Podľa článku 6 ods. 1 prvého pododseku písm. a) tohto nariadenia je spracúvanie osobných údajov zákonné iba vtedy a iba rozsahu, v akom s ním dotknutá osoba súhlasila na jeden alebo viacero konkrétnych účelov.(22)
41. V prípade neexistencie takéhoto súhlasu alebo v prípade, že tento súhlas nebol daný slobodne, konkrétne, informovane a jednoznačne v zmysle článku 4 bodu 11 GDPR, a ak predmetné spracúvanie nespĺňa niektorú z požiadaviek nevyhnutnosti uvedených v článku 6 ods. 1 prvom pododseku písm. b) až f) tohto nariadenia, takéto spracúvanie je nezákonné.(23)
42. Pokiaľ ide o požiadavku vyplývajúcu z článku 4 bodu 11 GDPR, podľa ktorej musí byť súhlas „informovaný“, touto požiadavkou v súlade s článkom 13 tohto nariadenia v spojení s jeho odôvodnením 42 sa vyžaduje, aby prevádzkovateľ poskytol dotknutej osobe informáciu, ktorá sa týka všetkých okolností súvisiacich so spracúvaním údajov v zrozumiteľnej a ľahko dostupnej forme, ktorá je formulovaná jasne a jednoducho, pričom táto osoba musí najmä vedieť, aké údaje sa budú spracovávať, poznať identitu prevádzkovateľa, trvanie a spôsoby tohto spracúvania, ako aj si byť vedomá účelov, ktoré sleduje. Takáto informácia musí uvedenej osobe umožniť jednoducho určiť následky súhlasu, ktorý môže poskytnúť, a zabezpečiť, že bude poskytnutý informovaný súhlas.(24)
43. Konštatujem pritom však, ako uvádza aj vnútroštátny súd,(25) že Spolková únia namieta prezentáciu informácií uvedených pod tlačidlom „ihneď hrať“ v Centre aplikácií ako nekalú, pretože ich považuje za nekalé okrem iného z hľadiska porušenia zákona v dôsledku nesplnenia zákonných požiadaviek na získanie účinného súhlasu používateľa so spracovaním osobných údajov.
44. Inými slovami žaloba podaná Spolkovou úniou je založená na tom, že vzhľadom na chybnú prezentáciu v Centre aplikácií, na ktorú sa tento subjekt odvoláva, by osoba mohla stlačiť tlačidlo „ihneď hrať“ bez toho, aby mala k dispozícii potrebné informácie, ktoré by jej umožnili ľahko určiť dôsledky súhlasu, ktorý by mohla udeliť so spracúvaním svojich osobných údajov po stlačení tohto tlačidla, a bez toho, aby bolo zaručené, že tento súhlas bude udelený s úplnou znalosťou veci.
45. Za týchto okolností sa domnievam, že Spolková únia vo svojej žalobe v súlade s článkom 80 ods. 2 všeobecného nariadenia o ochrane údajov tvrdí, že „boli porušené práva dotknutej osoby uvedené v tomto nariadení v dôsledku spracúvania“.
46. Na jednej strane totiž článok 12 aj článok 13 GDPR sú súčasťou kapitoly III tohto nariadenia s názvom „Práva dotknutej osoby“. Vzhľadom na informačnú povinnosť prevádzkovateľa podľa týchto článkov patria z toho vyplývajúce práva dotknutých osôb medzi tie, ktoré má žaloba v zastúpení stanovená v článku 80 ods. 2 uvedeného nariadenia chrániť.
47. Na druhej strane údajné porušenie práva dotknutých osôb byť dostatočne informované o všetkých okolnostiach spracúvania osobných údajov, najmä o jeho účele a o príjemcovi týchto údajov, je pravdepodobne prekážkou toho, aby poskytli „informovaný“ súhlas v zmysle článku 4 bodu 11 GDPR, čo môže spôsobiť nezákonnosť tohto spracúvania.
48. Na účely podania žaloby v zastúpení podľa článku 80 ods. 2 uvedeného nariadenia preto postačuje, ak subjekt namieta porušenie informačnej povinnosti prevádzkovateľa s uvedením dotknutej spracovateľskej operácie, ktorou je v tomto prípade operácia, ku ktorej dochádza, keď osoba stlačí tlačidlo „ihneď hrať“. Musí ísť o spracúvanie údajov, ktoré môže mať vplyv na práva, ktoré identifikovaným alebo identifikovateľným fyzickým osobám vyplývajú z uvedeného nariadenia,(26) čo znamená, že spracúvanie musí existovať a nesmie byť čisto hypotetické.
49. Okrem toho je podľa môjho názoru nepodstatné, že sa tento subjekt odvoláva na porušenie povinnosti, ktorá spracúvaniu osobných údajov predchádza. Tak je to v prípade informačnej povinnosti, ktorá musí byť splnená najneskôr v okamihu zberu údajov, v súlade s ustanoveniami článku 13 ods. 1 GDPR.
50. Formulácia „v dôsledku spracúvania“ uvedená v článku 80 ods. 2 tohto nariadenia teda v žiadnom prípade neznamená, že právo, ktorého porušenie sa má na základe žaloby podľa tohto článku konštatovať, by sa malo nevyhnutne týkať fázy nasledujúcej po operácii, ktorá predstavuje „spracúvanie“ v zmysle článku 4 bodu 2 uvedeného nariadenia. Inými slovami, táto formulácia by sa nemala chápať tak, že sa ňou akýmkoľvek spôsobom vyžaduje časová postupnosť, ktorá by znamenala, že k porušeniu práv dotknutej osoby podľa GDPR by muselo dôjsť vo fáze nasledujúcej po takomto spracúvaní.
51. Dôležité je skôr to, aby existovalo prepojenie medzi dodržiavaním predmetných práv a dotknutým spracúvaním. To platí v prípade, keď porušenie týchto práv vedie k nezákonnosti tohto spracúvania. Nezákonnosť spracúvania vyplýva z porušenia informačnej povinnosti. Tieto dve skutočnosti sú neoddeliteľné.
52. Z toho vyplýva, že požiadavka, podľa ktorej subjekt môže podať žalobu v zastúpení podľa článku 80 ods. 2 GDPR, ak sa domnieva, že práva dotknutej osoby podľa tohto nariadenia boli porušené „v dôsledku spracúvania“, podľa môjho názoru sa nevyžaduje, aby sa tento subjekt odvolával na porušenie týchto práv, ktoré vyplýva z operácie spracúvania údajov v zmysle článku 4 ods. 2 tohto nariadenia a ktoré teda nasleduje po takejto operácii. Stačí, ak preukáže, že existuje súvislosť medzi spracúvaním osobných údajov a porušením práv, ktoré GDPR chráni.
53. V prejednávanej veci tak nie je dôležité, že sa Spolková únia dovoláva porušenia informačnej povinnosti nezávisle od toho, či dotknutá osoba tlačidlo „ihneď hrať“ v Centre aplikácií stlačí alebo nie, pretože takáto povinnosť, pokiaľ môže ovplyvniť podmienky zákonnosti spracúvania vyplývajúce z aktivácie tohto tlačidla, má nepochybne súvislosť s týmto spracúvaním.
54. Tento výklad je v súlade nielen s preventívnou funkciou žaloby v zastúpení stanovenej v článku 80 ods. 2 GDPR(27), ale v miere, v akej pomáha posilniť práva dotknutých osôb(28), aj s cieľom tohto nariadenia, ktorý vyplýva z jeho odôvodnenia 10 a ktorým je zabezpečiť v Únii vysokú úroveň ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov.(29)
55. Dodávam, že podľa môjho názoru by bolo nekonzistentné prijať reštriktívny výklad vecnej pôsobnosti článku 80 ods. 2 uvedeného nariadenia, keď sa v článku 79 ods. 1 GDPR stanovuje podobnými slovami právo každej dotknutej osoby na účinný súdny prostriedok nápravy a keď neexistuje žiaden dôvod vylúčiť z vecnej pôsobnosti takéhoto prostriedku nápravy práva, ktoré vyplývajú z informačnej povinnosti stanovenej v článku 12 ods. 1 prvej vete tohto nariadenia v spojení s článkom 13 ods. 1 písm. c) a e) uvedeného nariadenia.
56. Preto sa domnievam, že článok 80 ods. 2 GDPR sa má vykladať v tom zmysle, že podmienka, podľa ktorej oprávnený subjekt na to, aby mohol podať žalobu v zastúpení podľa tohto ustanovenia, musí tvrdiť, že sa domnieva, že práva dotknutej osoby podľa tohto nariadenia boli porušené v dôsledku spracúvania, predpokladá, že tento subjekt poukazuje na existenciu spracúvania osobných údajov, ako aj súvislosť medzi porušením týchto práv a týmto spracúvaním. Takáto podmienka je splnená, ak je žaloba v súvislosti so spracúvaním osobných údajov založená na porušení informačnej povinnosti prevádzkovateľa stanovenej v článku 12 ods. 1 prvej vete uvedeného nariadenia v spojení s článkom 13 ods. 1 písm. c) a e) toho istého nariadenia, pokiaľ toto porušenie môže mať za následok nezákonnosť tohto spracúvania.
III. Návrh
57. Vzhľadom na všetky predchádzajúce úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálnu otázku, ktorú položil Bundesgerichtshof (Spolkový súdny dvor, Nemecko), takto:
Článok 80 ods. 2 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že:
podmienka, podľa ktorej oprávnený subjekt na to, aby mohol podať žalobu v zastúpení podľa tohto ustanovenia, musí tvrdiť, že sa domnieva, že práva dotknutej osoby podľa tohto nariadenia boli porušené v dôsledku spracúvania, predpokladá, že tento subjekt poukazuje na existenciu spracúvania osobných údajov, ako aj súvislosť medzi porušením týchto práv a týmto spracúvaním. Takáto podmienka je splnená, ak je žaloba v súvislosti so spracúvaním osobných údajov založená na porušení informačnej povinnosti prevádzkovateľa stanovenej v článku 12 ods. 1 prvej vete uvedeného nariadenia v spojení s článkom 13 ods. 1 písm. c) a e) toho istého nariadenia, pokiaľ toto porušenie môže mať za následok nezákonnosť tohto spracúvania.