STANOVISKO GENERÁLNÍHO ADVOKÁTA
GIOVANNIHO PITRUZZELLY
přednesené dne 9. června 2022(1)
Věc C‑154/21
RW
proti
Österreichische Post AG
[žádost o rozhodnutí o předběžné otázce podaná Oberster Gerichtshof (Nejvyšší soud, Rakousko)]
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 15 odst. 1 písm. c) – Právo subjektu údajů na přístup k osobním údajům – Informace o konkrétním příjemci nebo kategoriích příjemců, kterým byly osobní údaje zpřístupněny“
1. Pokud si osoba, jejíž osobní údaje jsou zpracovávány, přeje získat od správce informace o třetích osobách, kterým jsou tyto údaje zpřístupněny, znamená její právo na přístup k osobním údajům nutně to, že obdrží informace o konkrétních příjemcích sdělení týkajících se jejích osobních údajů, nebo se správce může omezit na poskytnutí informací pouze o kategoriích příjemců těchto sdělení?
2. Taková je podstata otázky, která byla Soudnímu dvoru položena v rámci této žádosti o rozhodnutí o předběžné otázce, kterou podal Oberster Gerichtshof (Nejvyšší soud, Rakousko), která se týká výkladu čl. 15 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)(2) (dále jen „GDPR“).
3. Otázka předložená předkládajícím soudem vyvstala v rámci sporu mezi RW, fyzickou osobou, a Österreichische Post, hlavním provozovatelem poštovních a logistických služeb v Rakousku, který RW na jeho žádost o přístup k jeho osobním údajům nesdělil informace o konkrétních příjemcích sdělení týkajících se jeho osobních údajů.
I. Právní rámec
4. Článek 15 GDPR, nadepsaný „Právo subjektu údajů na přístup k osobním údajům“, ve svém odst. 1 písm. c) stanoví následující:
„1. Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:
[…]
c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích;
[…]“.
II. Skutkový stav, původní řízení a předběžná otázka
5. Dne 15. ledna 2019 se RW, navrhovatel u předkládajícího soudu, obrátil na Österreichische Post s cílem získat na základě článku 15 GDPR mimo jiné přístup k osobním údajům, které o něm Österreichische Post uchovává nebo které uchovávala v minulosti, a v případě sdělení těchto údajů třetím osobám také k totožnosti příjemců těchto sdělení.
6. V odpovědi Österreichische Post sdělila, že používá údaje v rozsahu, který je povolen právními předpisy, v rámci své činnosti jako správce databáze adres a nabízí tyto adresy obchodním klientům pro marketingové účely. Poté odkázala na internetovou stránku, z níž bylo možné vyčíst obecné informace o účelu zpracování osobních údajů RW, a která odkazovala na další internetovou stránku. Tato druhá internetová stránka obsahovala obecná upozornění o ochraně údajů a umožňovala také obecně určit určité kategorie příjemců, kterým Österreichische Post sdělovala osobní údaje. Österreichische Post však nikdy nesdělila RW konkrétní příjemce sdělení týkajících se jeho osobních údajů.
7. RW podal žalobu, kterou se domáhal, aby byla společnosti Österreichische Post uložena povinnost sdělit mu více informací podle článku 15 GDPR ohledně případného předání jeho osobních údajů třetím osobám, a v případě, že k takovému předání skutečně došlo, ohledně konkrétního příjemce nebo příjemců, kterým byly nebo budou jeho osobní údaje zpřístupněny. RW tvrdí, že informace poskytnuté společností Österreichische Post nesplňují zákonné požadavky článku 15 GDPR, neboť z nich není zřejmé, zda společnost Österreichische Post předala jeho osobní údaje třetím osobám, a v případě, že k předání údajů skutečně došlo, kdo jsou příjemci těchto sdělení.
8. Soud prvního stupně a odvolací soud žalobu RW zamítly, přičemž v podstatě uvedly, že vzhledem k tomu, že čl. 15 odst. 1 písm. c) GDPR odkazuje na příjemce nebo kategorie příjemců, dává toto ustanovení správci možnost volby sdělit subjektu údajů pouze kategorie příjemců, aniž by musel jmenovitě uvádět konkrétní příjemce sdělení týkajících se osobních údajů subjektu údajů.
9. RW trval na svých tvrzeních v rámci řízení o kasačním opravném prostředku podaném k předkládajícímu soudu.
10. V průběhu řízení u předkládajícího soudu Österreichische Post sdělila RW, že jeho údaje byly zpracovávány v rámci databáze adres k marketingovým účelům a byly dále předávány obchodním klientům – čímž je třeba chápat inzerenty v zásilkovém obchodě a kamenném obchodě, IT podniky, databáze adres a sdružení dárcovských organizacích, nevládní organizace nebo politické strany. Neuvedla však konkrétní příjemce sdělení týkajících se osobních údajů RW.
11. V této souvislosti má předkládající soud pochybnosti o výkladu článku 15 GDPR přijatém soudy ve věci samé, a proto se rozhodl přerušit řízení a předložit Soudnímu dvoru následující předběžnou otázku:
„Je třeba vykládat čl. 15 odst. 1 písm. c) [GDPR] v tom smyslu, že právo subjektu údajů na přístup je omezeno na informace o kategoriích příjemců, pokud konkrétní příjemci u plánovaných zpřístupnění jeho osobních údajů ještě neexistují, avšak takové právo se musí povinně rozšířit na uvedení příjemců těchto zpřístupnění, pokud údaje již byly zpřístupněny?“
III. Právní analýza
12. Svou předběžnou otázkou se předkládající soud táže Soudního dvora na výklad čl. 15 odst. 1 písm. c) GDPR pokud jde o rozsah v něm stanoveného práva subjektu údajů získat od správce informace o příjemcích nebo kategoriích příjemců, kterým byly nebo budou jeho osobní údaje zpřístupněny.
13. Předkládající soud si klade otázku, zda musí být toto ustanovení vykládáno v tom smyslu, že rozsah práva subjektu údajů na přístup k osobním údajům musí být rozlišován podle toho, zda údaje již byly zpřístupněny – v takovém případě by se toto právo mělo rozšířit na konkrétní příjemce těchto sdělení – nebo zda konkrétní příjemci budoucích sdělení ještě nebyli určeni – v takovém případě by se toto právo mělo považovat za omezené na informace týkající se kategorií příjemců.
14. V této souvislosti je třeba nejprve uvést, že článek 15 GDPR upravuje právo subjektu údajů vůči správci na přístup k osobním údajům, které se ho týkají a které jsou předmětem zpracování, jakož i na celou řadu informací týkajících se zejména samotného zpracování. Toto ustanovení konkretizuje a upřesňuje právo každého jednotlivce na přístup k osobním údajům, které se ho týkají, zakotvené v čl. 8 odst. 2 druhé větě Listiny základních práv Evropské unie(3).
15. Konkrétně má subjekt údajů podle čl. 15 odst. 1 GDPR v první řadě právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány. Pokud dochází ke zpracování, má subjekt údajů právo na přístup ke zpracovávaným osobním údajům, jakož i k různým dalším informacím, které jsou uvedeny v písmenech a) až h) tohoto ustanovení. V této souvislosti má subjekt údajů podle čl. 15 odst. 1 písm. c) GDPR právo na přístup k informacím týkajícím se „příjemc[e] nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích“.
16. Předběžná otázka položená předkládajícím soudem vyžaduje výklad čl. 15 odst. 1 písm. c) GDPR, aby bylo možné určit přesný rozsah v něm stanoveného práva subjektu údajů získat informace o příjemcích sdělení jeho osobních údajů.
17. V tomto ohledu je třeba připomenout, že podle ustálené judikatury výklad ustanovení unijního práva vyžaduje, aby bylo zohledněno nejen znění takového ustanovení, ale i kontext, do něhož spadá, jakož i cíle a účel, které sleduje akt, jehož je součástí(4).
18. Kromě toho, vzhledem k tomu, že ustanovení GDPR upravují zpracování osobních údajů, které může představovat zásah do základních svobod, a zejména práva na soukromí, musí být nutně vykládána ve světle základních práv zaručených Listinou(5).
19. Z ustálené judikatury rovněž vyplývá, že pokud lze ustanovení unijního práva vykládat několika způsoby, je třeba upřednostnit takový výklad, který zachovává jeho užitečný účinek(6).
20. Pokud jde především o znění dotčeného ustanovení, jak uvedl sám předkládající soud, jakož i někteří účastnící řízení, kteří vstoupili do řízení před Soudním dvorem, znění ustanovení čl. 15 odst. 1 písm. c) GDPR neumožňuje jednoznačně odpovědět na otázku, zda právo subjektu údajů na přístup k osobním údajům, které je v něm stanoveno, musí být nutně považováno za zahrnující přístup k informacím ohledně konkrétních příjemců sdělení týkající se osobních údajů, které se ho týkají, nebo může být omezeno pouze na přístup k informacím týkajícím se kategorií příjemců. V tomto ustanovení jsou totiž pojmy „příjemci“ a „kategorie příjemců“ použity neutrálně za sebou, aniž by mezi nimi bylo možné dovodit pořadí priority. Toto ustanovení dokonce ani výslovně neuvádí, zda je možné provést volbu mezi dvěma možnými kategoriemi stanovených informací (tedy „příjemci“ nebo „kategorie příjemců“), ani to, komu (tedy subjektu údajů nebo správci) případně může náležet volba, který typ informací má být zpřístupněn.
21. Nicméně, jak opět zdůraznil předkládající soud, samotná struktura čl. 15 odst. 1 GDPR vede podle mého názoru k upřednostnění výkladu tohoto ustanovení v tom smyslu, že je na subjektu údajů (a tedy nikoli na správci, jak v projednávané věci stanovily oba vnitrostátní soudy rozhodující ve věci samé), aby si vybral mezi dvěma alternativami, které jsou v něm stanoveny. Na rozdíl od jiných ustanovení GDPR, jako jsou články 13 a 14(7), které jsou strukturovány ve smyslu stanovení informační povinnosti správce, toto ustanovení stanoví skutečné právo na přístup k osobním údajům ve prospěch subjektu údajů. Uplatnění tohoto práva subjektu údajů na přístup k osobním údajům logicky předpokládá, že držitel tohoto práva má možnost volby, zda chce získat přístup k informacím týkajícím se pokud možno konkrétních příjemců, kterým byly nebo budou údaje zpřístupněny, nebo zda se případně omezí na žádost o informace týkající se kategorií příjemců.
22. Výklad ustanovení čl. 15 odst. 1 písm. c) GDPR v tom smyslu, že stanoví právo subjektu údajů požadovat, pokud je to možné, přístup k informacím o konkrétních příjemcích sdělení jeho osobních údajů, je navíc potvrzen analýzou kontextu, do něhož je zasazeno, i účelu samotného ustanovení ve světle cílů a obecné systematiky GDPR.
23. V tomto ohledu především uvádím, že bod 63 odůvodnění GDPR výslovně stanoví, že subjekt údajů musí „mít právo vědět a být informován zejména o tom […] kdo jsou příjemci osobních údajů“. Tento bod odůvodnění, v jehož světle musí být dotčené ustanovení vykládáno, odkazuje na právo subjektu údajů na přístup ke konkrétním příjemcům sdělení jeho osobních údajů a vůbec nezmiňuje skutečnost, že toto právo může být podle uvážení správce omezeno na pouhé kategorie příjemců.
24. Z judikatury dále výslovně vyplývá, že cílem GDPR je, jak vyplývá z bodu 10 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v Unii, a za tím účelem zajistit v celé Unii jednotné a soudržné uplatňování pravidel ochrany základních práv a svobod těchto osob v souvislosti se zpracováváním osobních údajů(8).
25. Za tímto účelem musí být každé zpracování osobních údajů v souladu se zásadami stanovenými v článku 5 uvedeného nařízení(9). Z článku 5 odst. 1 písm. a) GDPR zejména vyplývá, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány transparentním způsobem(10). V této souvislosti je článek 15 GDPR, který upravuje právo subjektu údajů na přístup k osobním údajům, klíčové ustanovení pro to, aby bylo zajištěno, že způsoby zpracování údajů jsou pro subjekty údajů transparentní.
26. Jak vyplývá z bodu 63 odůvodnění GDPR(11), účelem tohoto práva na přístup je zaprvé umožnit subjektu údajů, aby byl informován o zpracování svých osobních údajů a mohl si ověřit jeho zákonnost(12). Uplatnění tohoto práva na přístup musí zejména umožnit subjektu údajů ověřit nejen správnost osobních údajů, které se ho týkají, ale také to, že byly zpřístupněny oprávněným příjemcům(13). To v zásadě předpokládá, že jsou poskytovány co nejpřesnější informace.
27. V této souvislosti souhlasím s Komisí, že popírat, že právo subjektu údajů na přístup stanovené v čl. 15 odst. 1 písm. c) GDPR zahrnuje konkrétní příjemce, a omezovat toto právo na pouhé kategorie příjemců, by znamenalo bránit subjektu údajů v tom, aby mohl plně ověřit zákonnost zpracování prováděného správcem a zejména ověřit zákonnost již provedených sdělení osobních údajů. Takový výklad dotčeného ustanovení by v rozporu s požadavky uvedenými v předchozím bodě neumožnil subjektu údajů ověřit, že jeho údaje byly předány pouze oprávněným příjemcům.
28. Zadruhé, a ve vztahu k prvnímu cíli, je toto právo na přístup nezbytné, jak již Soudní dvůr zdůraznil, aby subjekt údajů mohl uplatnit právo na opravu, právo na výmaz („právo být zapomenut“) a právo na omezení zpracování, která mu přiznávají články 16, 17 a 18 GDPR(14). Soudní dvůr také objasnil, že právo na přístup je nutné též k tomu, aby byl subjektu údajů umožněn výkon práva na námitku proti zpracování jeho osobních údajů podle článku 21 GDPR nebo práva na soudní ochranu pro případ utrpěné škody a práva na náhradu újmy podle článků 79 a 82 GDPR(15).
29. Výklad dotčeného ustanovení, který by subjektu údajů odepřel možnost získat informace o konkrétních příjemcích sdělení jeho osobních údajů, by měl za následek, že bez znalosti totožnosti těchto příjemců by subjekt údajů vůči nim nemohl uplatnit práva, která mu přiznávají výše uvedená ustanovení GDPR, nebo by je mohl uplatnit pouze s nepřiměřeným úsilím(16). Takový výklad by tedy v těchto situacích zbavil tato ustanovení a práva jimi přiznaná užitečného účinku.
30. Z kontextuálního hlediska je výše uvedený výklad čl. 15 odst. 1 písm. c) GDPR navíc potvrzen i ustanovením článku 19 téhož nařízení. Toto ustanovení stanoví, že „správce oznamuje jednotlivým příjemcům, jimž byly osobní údaje zpřístupněny, veškeré opravy nebo výmazy osobních údajů nebo omezení zpracování provedené v souladu s článkem 16, čl. 17 odst. 1 a článkem 18, s výjimkou případů, kdy se to ukáže jako nemožné nebo to vyžaduje nepřiměřené úsilí“.
31. Článek 19 GDPR tedy ukládá správci povinnost informovat všechny příjemce, kterým předal osobní údaje, o každé žádosti o opravu, výmaz nebo omezení zpracování těchto údajů, které musí vyhovět. Takto informovaní příjemci jsou pak povinni neprodleně přistoupit k opravě, výmazu nebo omezení zpracování, pokud dané osobní údaje stále zpracovávají. V souvislosti se sledováním cíle zajištění vysoké úrovně ochrany uvedeného v bodě 24 výše je cílem článku 19 GDPR v tomto smyslu zbavit subjekt údajů břemene – poté, co si vyžádal informace podle čl. 15 odst. 1 písm. c) GDPR – zasílat dotčeným příjemcům další žádosti o opravu, výmaz nebo omezení zpracování. Subjekt údajů však musí mít možnost ověřit, zda oprava, výmaz nebo omezení byly po oznámení správcem skutečně provedeny. Z tohoto hlediska tedy článek 19 GDPR stanoví, že správce musí subjekt údajů o těchto příjemcích informovat, pokud o to subjekt údajů požádá.
32. Článek 19 GDPR potvrzuje, že pro zajištění účinnosti práv subjektu údajů na výmaz, opravu nebo omezení zpracování stanovených v článcích 16, 17 a 18 GDPR musí mít subjekt údajů v zásadě právo na sdělení totožnosti konkrétních příjemců, pokud již byly jeho osobní údaje zpřístupněny. Pouze tímto způsobem se totiž může subjekt údajů domáhat svých práv vůči nim.
33. Z výše uvedených úvah vyplývá, že právo na přístup podle čl. 15 odst. 1 písm. c) GDPR zastává funkční a pomocnou roli ve vztahu k výkonu ostatních práv subjektu údajů stanovených v GDPR. Z toho vyplývá, že za účelem zajištění užitečného účinku všech výše uvedených ustanovení GDPR musí být toto ustanovení vykládáno v tom smyslu, že právo na přístup k osobním údajům stanovené v tomto ustanovení se musí v zásadě povinně vztahovat na možnost získat od správce informace o konkrétních příjemcích sdělení týkajících se osobních údajů subjektu údajů.
34. Rozšíření práva na přístup podle čl. 15 odst. 1 písm. c) GDPR na konkrétní příjemce takových sdělení je však podle mého názoru omezeno přinejmenším ve dvou případech.
35. Zaprvé v případě, kdy je věcně nemožné poskytnout informace o konkrétních příjemcích, například proto, že dosud nebyli skutečně identifikováni, nelze logicky očekávat, že správce sdělí informace, které dosud neexistují. Proto se v této situaci, která je výslovně stanovena v předběžné otázce, může právo subjektu údajů na přístup k osobním údajům vztahovat pouze na kategorie příjemců.
36. Zadruhé, jak zdůraznila italská vláda, uplatnění práva subjektu údajů na přístup k osobním údajům a splnění odpovídající povinnosti ze strany správce musí být posuzovány v souladu se zásadami spravedlnosti a proporcionality.
37. V tomto ohledu je třeba připomenout, jak vyplývá z judikatury Soudního dvora, že práva zakotvená v článcích 7 a 8 Listiny se neprojevují jako absolutní výsady, ale musí být nahlížena ve vztahu k jejich společenské funkci(17).
38. V této souvislosti zaprvé z čl. 12 odst. 5, který se výslovně vztahuje i na ustanovení, jež je předmětem této předběžné otázky, výslovně vyplývá, že žádost subjektu údajů nesmí být zjevně nedůvodná nebo nepřiměřená a že v takovém případě může správce rovněž odmítnout žádosti vyhovět. Z téhož ustanovení navíc jasně vyplývá, že je na správci, aby doložil „zjevnou nedůvodnost nebo nepřiměřenost žádosti“.
39. Zadruhé sám Soudní dvůr již jasně uvedl, že je třeba nalézt spravedlivou rovnováhu mezi jednak zájmem subjektu údajů na ochraně jeho soukromí, zejména uplatněním práv stanovených v kapitole III GDPR a možností soudní ochrany, a jednak zátěží pro správce(18). Tato spravedlivá rovnováha se promítá ve prospěch většího důrazu na ochranu osobních údajů a soukromí subjektu údajů, jak je zřejmé z požadavku, že aby žádosti subjektu údajů o přístup k osobním údajům nebylo vyhověno, musí být prokázána zjevná nedůvodnost a nepřiměřenost žádosti.
IV. Závěry
40. S ohledem na všechny výše uvedené úvahy Soudnímu dvoru navrhuji, aby na předběžnou otázku položenou Oberster Gerichtshof (Nejvyšší soud, Rakousko) odpověděl následovně:
„Článek 15 odst. 1 písm. c) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) musí být vykládán v tom smyslu, že v něm stanovené právo subjektu údajů na přístup k osobním údajům se musí povinně rozšířit, pokud o to subjekt údajů požádá, na uvedení konkrétních příjemců sdělení týkajících se jeho osobních údajů. Toto právo na přístup může být omezeno pouze na uvedení kategorií příjemců, pokud je věcně nemožné určit konkrétní příjemce sdělení týkajících se osobních údajů subjektu údajů nebo pokud správce prokáže, že žádosti subjektu údajů jsou zjevně nedůvodné nebo nepřiměřené ve smyslu čl. 12 odst. 5 nařízení (EU) 2016/679“.