null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
PRIITA PIKAMÄEA
přednesené dne 22. února 2024(1)
Věc C‑693/22
I. sp. z o. o.
proti
M. W.
[žádost o rozhodnutí o předběžné otázce, kterou podal Sąd Rejonowy dla m.st. Warszawy w Warszawie (Okresní soud pro hlavní město Varšavu ve Varšavě, Polsko)]
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/1679 – Prodej databáze obsahující osobní údaje v rámci řízení – Článek 4 bod 7 – Pojem ‚správce‘ – Článek 5 odst. 1 písm. b) – Účelové omezení – Článek 6 odst. 1, 3, a 4 – Zákonnost zpracování – Splnění právní povinnosti uložené správci – Vykonání úkolu ve veřejném zájmu – Článek 23 odst. 1 písm. j) – Vymáhání občanskoprávních nároků – Nezbytné a přiměřené opatření“
1. Může být prodej databáze obsahující osobní údaje v rámci řízení o výkonu rozhodnutí v souladu s ustanoveními nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“)(2), pokud k takovému prodeji nedaly subjekty údajů souhlas?
2. To je hlavní otázka, kterou Soudnímu dvoru položil Okresní soud pro hlavní město Varšavu ve Varšavě (Sąd Rejonowy dla m. st. Warszawy w Warszawie, Polsko) v rámci této žádosti o rozhodnutí o předběžné otázce.
3. Soudní dvůr tak bude muset posoudit zvláštní případ z hlediska GDPR a zaujmout stanovisko k některým klíčovým prvkům tohoto nařízení, jako je pojem „správce“, zákonnost zpracování a rozsah zásady účelového omezení.
Právní rámec
Unijní právo
4. Článek 4 GDPR stanoví:
„Pro účely tohoto nařízení se rozumí:
1) ‚osobními údaji‘ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen ‚subjekt údajů‘); [...]
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[...]
7) ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;
[...]“
5. Článek 5 tohoto nařízení, nadepsaný „Zásady zpracování osobních údajů“, v odstavcích 1 a 2 stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; [...]
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[...]
2. Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“
6. Článek 6 uvedeného nařízení, nadepsaný „Zákonnost zpracování“, zní následovně:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
[...]
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
[...]
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
[...]
3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a) právem Unie nebo
b) právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. [...] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.
4. Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nezbytné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:
a) jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování;
b) okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem;
c) povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se odsouzení v trestních věcech a trestných činů podle článku 10;
d) možné důsledky zamýšleného dalšího zpracování pro subjekty údajů;
e) existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.“
7. Článek 23 GDPR, nadepsaný „Omezení“, v odstavci 1 stanoví:
„1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[...]
j) vymáhání občanskoprávních nároků.“
Polské právo
8. Článek 299 obchodního zákoníku (ustawa Kodeks spółek handlowych), ze dne 15. září 2000 (Dz. U. z roku 2022, č. 1467, dále jen „obchodní zákoník“) zní:
„§ 1. Pokud se soudní výkon rozhodnutí proti společnosti ukáže jako bezvýsledný, členové statutárního orgánu odpovídají za závazky společnosti společně a nerozdílně.
§ 2. Člen statutárního orgánu se zbaví odpovědnosti podle odstavce 1, prokáže-li, že byl včas podán insolvenční návrh nebo bylo v téže době vydáno rozhodnutí o zahájení řízení o restrukturalizaci nebo o povolení reorganizace v řízení o povolení reorganizace, nebo že insolvenční návrh nebyl podán nikoli jeho vinou, nebo že navzdory nepodání insolvenčního návrhu, nevydání rozhodnutí o zahájení řízení o restrukturalizaci nebo o povolení reorganizace v řízení o povolení reorganizace nevznikla věřiteli škoda.“
9. Článek 796 § 1 občanského soudního řádu (ustawa – Kodeks postępowania cywilnego), ze dne 17. listopadu 1964 (Dz. U. z roku 2021, č. 1805), ve znění pozdějších předpisů (dále jen „občanský soudní řád“) stanoví:
„Návrh na výkon rozhodnutí se podává podle příslušnosti soudu nebo soudnímu exekutorovi. U soudního exekutora lze podat návrh na úředním formuláři“.
10. Článek 799 § 1 první věta občanského soudního řádu stanoví:
„Návrh na výkon rozhodnutí nebo návrh na výkon rozhodnutí z moci úřední umožňuje provést výkon rozhodnutí všemi povolenými způsoby s výjimkou výkonu rozhodnutí na nemovitý majetek. [...]“
11. Článek 824 § 1 bod 3 tohoto řádu zní:
„Řízení o výkonu rozhodnutí se zcela nebo zčásti z moci úřední zastaví:
[…]
3) je-li zřejmé, že výkon rozhodnutí nepovede k získání částky převyšující náklady na jeho provedení.“
12. Článek 831 uvedeného řádu stanoví:
„§ 1. Výkonem rozhodnutí nelze postihnout:
[...]
3) nezcizitelná práva, ledaže možnost jejich zcizení byla vyloučena smlouvou a předmět plnění lze zároveň postihnout výkonem rozhodnutí nebo lze výkonem práva pověřit jinou osobu.“
13. Zákon o soudních exekutorech (ustawa o komornikach sądowych), ze dne 22. března 2018 (Dz. U. z roku 2022, č. 1168) ve znění pozdějších předpisů (dále jen „zákon o soudních exekutorech“), upravuje postavení a činnosti soudních exekutorů. Jeho čl. 3 odst. 1 a 3 stanoví:
„Soudní exekutor je orgánem veřejné moci při výkonu činností v rámci řízení o výkonu rozhodnutí a zajišťovacího řízení. Tyto činnosti provádí soudní exekutor až na výjimky stanovené zákonem.
[...]
Soudnímu exekutorovi jsou svěřeny tyto úkoly:
1) výkon soudních rozhodnutí ve věcech peněžitých a nepeněžitých pohledávek a zajištění pohledávek, včetně evropských příkazů k obstavení účtů, s výjimkami stanovenými [občanským soudním řádem];
[...]“
14. Článek 9 odst. 1 tohoto zákona stanoví:
„Soudní exekutor nesmí odmítnout přijetí návrhu
1) na výkon rozhodnutí,
[…]
k jejichž provedení je podle ustanovení [občanského soudního řádu] příslušný.“
15. Článek 31 odst. 1 první věta uvedeného zákona zní:
„Pohledávky vydobyté z bankovního účtu, účtu vedeného družstevní záložnou nebo účtu vedeného subjektem provozujícím zprostředkovatelskou činnost, získané v důsledku první úhrady zajištěné pohledávky povinným, převede soudní exekutor oprávněnému nejdříve sedmý den a nejpozději čtrnáctý den po jejich obdržení. […]
16. Zákon o ochraně databází (ustawa o ochronie baz danych), ze dne 27. července 2001 (Dz. U. z roku 2021, č. 386) (dále jen „zákon o ochraně databází“), v čl. 2 odst. 1 stanoví:
„Pro účely tohoto zákona se rozumí:
1) ‚databází‘ soubor údajů nebo jakýchkoli jiných podkladů a prvků systematicky nebo metodicky shromážděných a individuálně jakýmkoli způsobem přístupných, včetně přístupu elektronickými prostředky, přičemž pořízení, ověření nebo předvedení obsahu tohoto souboru představuje kvalitativně nebo kvantitativně podstatný vklad.“
17. Článek 6 odst. 1 zákona o ochraně databází stanoví:
„Pořizovatel databáze má výlučné a převoditelné právo na vytěžování a zužitkování celého obsahu databáze nebo jeho kvalitativně nebo kvantitativně podstatné části.“
Spor v původním řízení, předběžná otázka a řízení před Soudním dvorem
18. Společnost I. (dále jen „žalobkyně“ nebo „věřitelská společnost“), se sídlem v Polsku, má pohledávku potvrzenou konečným soudním rozhodnutím vůči společnosti NMW, která se specializuje na on-line prodej a jejímž členem statutárního orgánu je M. W.
19. Na návrh žalobkyně bylo proti společnosti NMW zahájeno řízení o výkonu rozhodnutí za účelem uspokojení této pohledávky. Toto řízení vedlo k rozhodnutí soudního exekutora o zastavení výkonu rozhodnutí z důvodu, že společnost NMW neměla aktiva, která by mohla být předmětem tohoto výkonu. Za těchto okolností podala žalobkyně proti M. W. žalobu k Okresnímu soudu pro hlavní město Varšavu ve Varšavě (Sąd Rejonowy dla m. st. Warszawy w Warszawie) na základě čl. 299 § 1 obchodního zákoníku, který stanoví majetkovou odpovědnost člena statutárního orgánu dlužnické společnosti v případě nemožnosti uspokojení pohledávky z majetku této společnosti.
20. M. W. navrhl zamítnutí této žaloby z důvodu, že společnost NMW vlastní aktiva, z nichž každé má větší hodnotu než pohledávka žalobkyně, konkrétně zdrojový kód programu sloužícího k nakupování on-line, s ním spojenou službu podobnou cashbacku (dále jen „platforma M.“) a také dvě databáze uživatelů této platformy.
21. Předkládající soud nicméně uvádí, že prodej samotné platformy M. bez těchto databází by na trhu nebyl tak přitažlivý jako prodej celého „balíčku“.
22. Podle uvedeného soudu je tedy nezbytné získat odpověď na otázku, zda databáze vytvořené společností NMW mohou být postoupeny v rámci řízení o soudním výkonu rozhodnutí. Kladná odpověď by totiž vedla k zamítnutí žaloby v původním řízení.
23. Předkládající soud v tomto ohledu soud upřesňuje, že ačkoli není vázán oceněním hodnoty dotčených aktiv, z něhož vycházel M. W. – a to tím spíše, že toto ocenění nebylo provedeno soudním znalcem – je odpověď na výše uvedenou otázku i nadále nezbytná pro řešení sporu v původním řízení, jelikož ustanovení upravující polské občanské soudní řízení neumožňují takový důkaz provést, aniž byla předem prokázána jeho relevance.
24. Uvedený soud má za to, že dotčené databáze spadají pod pojem „databáze“ ve smyslu článku 1 směrnice Evropského parlamentu a Rady 96/9/ES ze dne 11. března 1996 o právní ochraně databází(3), tudíž jejich vlastník, společnost NMW, má majetkové právo tyto databáze postoupit na základě článku 7 této směrnice. Řízení o výkonu rozhodnutí totiž mohou být vedena ve vztahu ke všem majetkovým právům, ledaže by některé ustanovení takovou možnost výslovně vylučovalo. Polský zákonodárce přitom nestanovil žádné pravidlo zakazující výkon rozhodnutí ve vztahu k takové databázi, jako je databáze dotčená v původním řízení.
25. Předkládající soud vyjadřuje pochybnosti ohledně toho, že takové databáze mohou být předmětem výkonu rozhodnutí, jelikož obsahují osobní údaje stovek tisíc uživatelů platformy M. a neexistuje žádný důkaz o tom, že by uživatelé této platformy souhlasili se zpracováním svých osobních údajů ve formě zpřístupnění těchto údajů třetím osobám mimo uvedenou platformu. V tomto ohledu upřesnil, že dotčené údaje nespadají do zvláštních kategorií osobních údajů ve smyslu článku 9 GDPR.
26. Uvedený soud si rovněž klade otázku ohledně vztahu mezi omezeními zpracování osobních údajů zavedenými GDPR a právem volně nakládat s databází vyplývajícím ze směrnice 96/9 a z vnitrostátního práva, které podle jeho názoru zahrnuje právo převést databázi v rámci řízení o výkonu rozhodnutí.
27. Za těchto okolností se Okresní soud pro hlavní město Varšavu ve Varšavě (Sąd Rejonowy dla m. st. Warszawy w Warszawie) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:
„Musí být ustanovení čl. 5 odst. 1 písm. a) ve spojení s ustanoveními čl. 6 odst. 1 písm. a), c) a e) a čl. 6 odst. 3 [GDPR] vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která umožňuje prodat v rámci řízení o výkonu rozhodnutí databázi ve smyslu čl. 1 odst. 2 [směrnice 96/9] obsahující osobní údaje, pokud subjekty těchto údajů k takovému prodeji nedaly souhlas?“
28. Polská vláda a Evropská komise předložily písemná vyjádření. Tytéž zúčastněné strany, jakož i společnost I. přednesly svá ústní vyjádření na jednání konaném dne 16. listopadu 2023.
Analýza
K přípustnosti
29. Nejprve je třeba se zabývat dvěma otázkami týkajícími se přípustnosti této předběžné otázky.
30. Zaprvé žalobkyně v původním řízení vyjádřila na jednání pochybnosti o relevanci této předběžné otázky. Podle této zúčastněné společnost NMW ukončila svou hospodářskou činnost již před několika lety. Přesněji řečeno, společnost již nemá statutární orgán ani vedení a od dubna 2019 neposkytuje uživatelům platformy M. žádné služby(4). Proto nutně ukončila veškeré zpracování osobních údajů související s výkonem své činnosti. Za těchto okolností vyžaduje zásada účelového omezení a zásada omezení uložení výmaz dotčených údajů, bez něhož by byla samotná existence databází dotčených v původním řízení nezákonná. Vzhledem k tomu není podle jejího názoru otázka předložená předkládajícím soudem, která se týká legality jejich prodeje v rámci řízení o výkonu rozhodnutí, relevantní pro řešení sporu v původním řízení.
31. Je třeba poznamenat, že podle čl. 5 odst. 1 písm. e) GDPR musí být osobní údaje(5) uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány. Z toho vyplývá, že i zpracování údajů, které bylo původně v souladu s právními předpisy, může být po určité době neslučitelné s GDPR, pokud již tyto údaje nejsou nezbytné pro dosažení takových účelů(6). V takovém případě musí být údaje vymazány(7). V projednávaném případě byly dotčené údaje zajisté shromažďovány pro účely činnosti on-line prodeje vykonávané společností NMW. Pokud společnost tuto činnost v dubnu 2019 zastavila, není pochyb o tom, že tyto údaje by již nebyly nezbytné k provádění této činnosti, a proto měly být vymazány. V případě, že vymazány nebyly, existence dotčených databází by nebyla v souladu s GDPR a irelevantnost této předběžné otázky pro řešení sporu v původním řízení by byla zjevná.
32. Je však třeba připomenout, že podle ustálené judikatury je Soudní dvůr oprávněn vyjadřovat se pouze k výkladu unijního práva ve skutkovém a právním rámci, který vnitrostátní soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru zpochybnit ani ověřovat(8).
33. Z žádného bodu předkládacího rozhodnutí přitom nevyplývá, že by společnost NMW ukončila svou činnost v dubnu 2019, jak tvrdí žalobkyně v původním řízení.
34. Zadruhé má předkládající soud pochybnosti o použitelnosti GDPR s ohledem na ustanovení směrnice 96/9.
35. Úvodem je třeba připomenout, že cíl směrnice 96/9 spočívá v odstranění – prostřednictvím sbližování vnitrostátních právních předpisů – rozdílů, které existovaly mezi těmito předpisy v oblasti právní ochrany databází a které měly nepříznivý účinek na fungování vnitřního trhu, volný pohyb zboží a služeb v Unii, jakož i na rozvoj informačního trhu uvnitř Unie(9). Podle čl. 1 odst. 1 této směrnice se tato směrnice vztahuje na právní ochranu databází nezávisle na jejich formě, přičemž odstavec 2 tohoto článku definuje „databázi“ jako „soubor děl, údajů nebo jiných nezávislých prvků, které jsou systematicky nebo metodicky uspořádány a které jsou jednotlivě přístupné elektronickými nebo jinými prostředky“.
36. Uvedená směrnice vyžaduje, aby všechny členské státy ve svém vnitrostátním právu stanovily ochranu databází prostřednictvím zvláštního práva. Konkrétně čl. 7 odst. 1 směrnice 96/9 vyhrazuje pořizovateli databáze, která si vyžádala kvalitativně a kvantitativně podstatný vklad, právo zabránit vytěžování nebo zužitkování celého obsahu databáze nebo jeho podstatné části. Podle čl. 7 odst. 3 této směrnice lze toto právo zcizit.
37. Podle předkládajícího soudu splňují databáze patřící společnosti NMW podmínky pro to, aby se na ně vztahovala ochrana zaručená zákonem o ochraně databází a směrnicí 96/9, přičemž uvedený zákon provádí směrnici do polského právního řádu. Článek 6 tohoto zákona mimo jiné stanoví, že pořizovatel má výlučné a převoditelné právo na vytěžování údajů a jejich zužitkování jako celku nebo v jejich podstatné části. Podle předkládajícího soudu se tedy jedná o majetkové právo, které má absolutní povahu a vyvolává účinky erga omnes. Podle polského práva může být jakékoli majetkové právo předmětem řízení o výkonu rozhodnutí, nestanoví-li zákon výslovně jinak. Polský zákonodárce přitom nestanovil žádné pravidlo zakazující výkon rozhodnutí ve vztahu k databázím dotčeným v původním řízení. Z toho vyplývá, že soudní exekutor je v projednávané věci nositelem práva postoupit databáze na účet věřitele, které je odvozeno od práva pořizovatele dotčeného řízením o výkonu rozhodnutí volně s databázemi nakládat. Uplatnění tohoto práva by mohlo bránit použití pravidel GDPR v takovém případě, jako je projednávaný případ, a projednávaná otázka by se tak stala nepřípustnou.
38. Nejprve je třeba poznamenat, že zvláštní právo přiznané v článku 7 této směrnice není předkládajícím soudem správně pochopeno. Ve skutečnosti se jedná o právo bránit jednáním spočívajícím zejména v obnově databáze nebo její podstatné části za zlomek nákladů potřebných k jejímu samostatnému vytvoření(10), přičemž cílem takto sledovaným unijním normotvůrcem je zaručit osobě, která vyvinula iniciativu a nesla riziko poskytnutím podstatného vkladu do pořízení, ověření nebo předvedení obsahu databáze, odměnu za její vklad tím, že bude chráněna proti nepovolenému přisvojování výsledků získaných z tohoto vkladu(11).
39. Kromě toho a především, pokud jde o vztah mezi směrnicí 96/9 a GDPR, vyplývá z článku této směrnice 13, že touto směrnicí nejsou dotčena ustanovení týkající se zejména ochrany osobních údajů a soukromí, a z bodu 48 odůvodnění uvedené směrnice, že jejími ustanoveními není dotčeno uplatňování pravidel o ochraně údajů stanovených ve směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů(12), kterou nahradilo GDPR(13).
40. Zastávám proto názor, že Soudní dvůr by měl rozhodnout ve věci samé.
K věci samé
41. Podstatou otázky předkládajícího soudu je, zda čl. 5 odst. 1 písm. a) a čl. 6 odst. 1 první pododstavec písm. a), c) a e) a čl. 6 odst. 3 GDPR musí být vykládány v tom smyslu, že brání vnitrostátní právní úpravě, která umožňuje soudnímu exekutorovi prodat v rámci řízení o výkonu rozhodnutí databázi obsahující osobní údaje, pokud subjekty těchto údajů k takovému prodeji nedaly souhlas.
42. Moje právní analýza bude provedena následovně. Pokud jde o GDPR, k otázce použitelnosti tohoto nařízení v projednávané věci a otázce týkající se určení dotčeného správce se vyjádřím předtím, než se zaměřím na výklad pravidel upravujících zákonnost takového zpracování.
43. Úvahy rozvedené v tomto stanovisku ukáží, že ustanovení unijního práva, která má Soudní dvůr zohlednit, se s ustanoveními uvedenými v předběžné otázce shodují pouze částečně. Navrhovaná odpověď se proto bude týkat těchto ustanovení(14).
K existenci zpracování a určení správce
44. Jak vyplývá z bodu 10 odůvodnění GDPR, cílem tohoto nařízení je zejména zajistit vysokou úroveň ochrany fyzických osob v rámci Unie, a za tímto účelem zajistit v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod těchto osob v souvislosti se zpracováním osobních údajů(15).
45. Podle čl. 2 odst. 1 tohoto nařízení se toto nařízení vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
46. Odstavec 2 tohoto článku stanoví řadu výjimek z působnosti uvedeného nařízení, a to na základě druhu činnosti, v jejímž rámci je zpracování prováděno. Z judikatury Soudního dvora vyplývá, že s ohledem na nutnost vykládat tyto výjimky restriktivně je nezbytné, aby tato činnost patřila mezi činnosti, které jsou výslovně uvedeny v čl. 2 odst. 2 GDPR, nebo které lze zařadit do téže kategorie jako tyto činnosti. Skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci tak nepostačuje k tomu, aby bylo možné mít za to, že je dotčené zpracování prováděno při výkonu činnosti, která nespadá do oblasti působnosti práva Unie ve smyslu výjimky uvedené v čl. 2 odst. 2 písm. a) GDPR(16).
47. Pro naše účely je důležité poznamenat, že zpracování prováděné v souvislosti s výkonem rozhodnutí týkajícího se občanskoprávního nároku spadá do oblasti působnosti tohoto nařízení.
48. Oblast působnosti GDPR je vymezena pojmem „zpracování“. Podle čl. 4 bodu 2 tohoto nařízení tento pojem zahrnuje jakoukoliv operaci prováděnou s osobními údaji nebo soubory osobních údajů pomocí automatizovaných postupů, jako je zejména „vyhledání“, „nahlédnutí“, „použití“ a „jakékoliv jiné zpřístupnění“ těchto údajů. Unijní normotvůrce tak zamýšlel přiznat uvedenému pojmu široký dosah(17).
49. Jedná se v projednávaném případě o zpracování osobních údajů?
50. Úvodem je třeba provést upřesnění. Operace týkající se osobních údajů prováděné společností NMW za účelem výkonu její činnosti prodeje on-line prostřednictvím platformy M. nespadají do okruhu otázky položené předkládajícím soudem. Tato otázka se týká výlučně řízení o výkonu rozhodnutí za účelem prodeje dotčených databází v rámci výkonu rozhodnutí. Podle předkládajícího soudu s sebou takové řízení nese zpracování ve smyslu GDPR, za které je odpovědný soudní exekutor.
51. Vysvětlení poskytnutá na jednání polskou vládou ohledně úkolu svěřeného soudnímu exekutorovi v rámci takového řízení o výkonu rozhodnutí podle mého názoru neponechávají žádný prostor pro pochybnosti o správnosti tohoto výkladu.
52. Tato vláda vysvětlila, že dotčené řízení začíná zabavením databáze, kterým soudní exekutor získá přístup k osobním údajům, které jsou v ní obsaženy, za účelem provedení odhadu hodnoty této databáze a jejího uvedení v protokolu o zabavení. Pro účely takového odhadu provede soudní exekutor řadu úkonů, včetně vyhledání údajů, nahlédnutí do nich a jejich použití(18). Řízení o výkonu rozhodnutí končí zcizením databáze prostřednictvím veřejné dražby. Jakmile se příklep stane konečným a je zaplacena celá cena, zpřístupní soudní exekutor tuto databázi nabyvateli.
53. Z toho vyplývá, že osobní údaje obsažené v takových databázích, jako jsou databáze dotčené ve věci v původním řízení, soudní exekutor přinejmenším vyhledal, nahlédnul do nich a použil je v rámci odhadu jejich hodnoty a následně je zpřístupnil nabyvateli. V tomto ohledu je třeba poznamenat, že zpracování osobních údajů může sestávat z více operací, přičemž každá z nich se týká jednoho z různých stadií, kterými může procházet zpracování(19). V projednávaném případě je tedy třeba tyto operace považovat za „zpracování“ ve smyslu GDPR.
54. Následně je třeba určit správce.
55. Připomínám, že podle čl. 4 bodu 7 GDPR zahrnuje pojem „správce“ fyzické nebo právnické osoby, orgány veřejné moci, agentury nebo jiné subjekty, které samy nebo společně s jinými určují účely a prostředky zpracování osobních údajů(20). Toto ustanovení rovněž stanoví, že jsou-li účely a prostředky tohoto zpracování určeny mimo jiné právem členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení. Takto široká definice pojmu „správce“ má podle ustálené judikatury zaručit, aby mohlo být skutečně dosaženo účinné a úplné ochrany subjektů údajů(21).
56. Pokud je určení účelů a prostředků zpracování provedeno vnitrostátním právem, je podle nejnovější judikatury třeba ověřit, zda toto právo určuje správce nebo stanoví zvláštní kritéria pro jeho určení. Určení správce vnitrostátním právem může být nejen explicitní, ale i implicitní. V posledně uvedeném případě se nicméně vyžaduje, aby toto určení dostatečně jasně vyplývalo z úlohy, poslání a pravomocí svěřených dotyčné osobě nebo dotyčnému subjektu(22).
57. V projednávané věci z čl. 3 odst. 1 zákona o soudních exekutorech vyplývá, že soudní exekutor je orgánem veřejné moci, který až na výjimky stanovené zákonem provádí úkony zejména v rámci řízení o výkonu rozhodnutí. Kromě toho, jak bylo uvedeno výše, ze skutečností obsažených ve spise vyplývá, že pokud se výkon rozhodnutí týká databází, spočívají tyto úkony zejména ve vyhledání, nahlédnutí, použití osobních údajů v nich obsažených v rámci odhadu hodnoty těchto databází za účelem zcizení prostřednictvím veřejné dražby, jakož i v jejich zpřístupnění nabyvateli, jakmile se příklep stane konečným. Mám za to, že polské právo tak přinejmenším implicitně určilo účely a prostředky zpracování osobních údajů prováděného soudním exekutorem.
58. Z toho vyplývá, že v projednávaném případě lze mít za to, že soudní exekutor jakožto orgán veřejné moci pověřený vedením všech řízení o výkonu rozhodnutí, včetně takového, jehož předmětem je databáze, je správcem osobních údajů, které jsou v ní obsaženy, ve smyslu čl. 4 bodu 7 GDPR.
59. Předkládající soud nezmiňuje žádné ustanovení polského práva, které by ukládalo dlužnické společnosti NMW povinnosti spolupracovat se soudním exekutorem s cílem umožnit mu odhadnout hodnotu dotčených databází za účelem prodeje těchto databází v rámci výkonu rozhodnutí.
60. Nelze vyloučit, že takové povinnosti by znamenaly provádění jiného zpracování ve smyslu GDPR, za které by byla tato společnost odpovědná. V tomto ohledu je třeba připomenout, že v rozsudku Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) Soudní dvůr rozhodl, že sdělení a zpřístupnění osobních údajů, které daňová správa členského státu požaduje od hospodářského subjektu a které je tento hospodářský subjekt podle práva povinen poskytnout, představuje takové zpracování, které se připojuje ke zpracování prováděnému daňovou správou prostřednictvím žádosti, kterou požádala o sdělení a zpřístupnění těchto údajů(23).
61. Méně pravděpodobné, třebaže teoreticky představitelné je to, že soudní exekutor a dlužnická společnost NMW mohou být společně odpovědné za zpracování dotčených osobních údajů pro účely prodeje v rámci výkonu rozhodnutí. Tento závěr je podle rozsudku État belge (Osobní údaje zpracovávané v úředním věstníku) možný tehdy, pokud jsou jednotlivé operace zpracování spojeny účely a prostředky určenými vnitrostátním právem a toto právo vymezuje příslušné povinnosti každého ze společných správců(24).
62. Následující analýza však s ohledem na skutkové okolnosti projednávaného případu vychází z předpokladu, podle něhož je soudní exekutor jediným správcem dotčeným ve věci v původním řízení.
63. Jako správce je soudní exekutor nejen odpovědný za dodržování zásad, jimiž se řídí zpracování osobních údajů(25), ale má rovněž značné množství povinností, kterým odpovídají práva subjektů údajů(26). Tyto povinnosti může vnitrostátní zákonodárce omezit pouze za podmínek stanovených v článku 23 GDPR. Polská vláda, která byla na jednání dotázána na existenci takových právních ustanovení ve vnitrostátním právu, uvedla pouze článek 4 zákona o ochraně údajů. Tento článek však omezuje pouze rozsah povinností správce vykonávajícího veřejný úkol vyplývajících z čl. 14 odst. 1, 2 a 4 GDPR („Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“).
K zákonnosti zpracování dotčených osobních údajů
64. Jak Soudní dvůr opakovaně rozhodl, každé zpracování osobních údajů musí být mimo jiné v souladu se zásadami zpracování údajů stanovenými v čl. 5 odst. 1 GDPR a, z hlediska zásady zákonnosti zpracování, splňovat podmínky zákonnosti zpracování, které jsou vyjmenovány v článku 6 tohoto nařízení(27).
65. Článek 6 odst. 1 první pododstavec uvedeného nařízení stanoví taxativní a omezený výčet případů, kdy lze zpracování osobních údajů kvalifikovat jako zákonné. Taková kvalifikace vyžaduje, aby zpracování spadalo pod jeden z těchto případů. Je přitom třeba připomenout, že dotčené zpracování nesplňuje hlavní předpoklad stanovený tímto ustanovením, a sice ten, že subjekt údajů udělil souhlas se zpracováním pro jeden či více konkrétních účelů(28). Jak vyplývá z předkládacího rozhodnutí, v původním řízení nebyl předložen žádný důkaz umožňující konstatovat, že subjekty osobních údajů shromážděných v dotčených databázích daly souhlas k tomu, aby jejich údaje byly předány třetím osobám mimo činnost související s platformou M., zejména pak aby byly prodány v řízení o výkonu rozhodnutí.
66. Podle předkládajícího soudu by zpracování soudním exekutorem mohlo spadat pod čl. 6 odst. 1 první pododstavec písm. c) GDPR (zpracování nezbytné pro splnění právní povinnosti, která se na správce vztahuje), nebo pod čl. 6 odst. 1 první pododstavec písm. e) tohoto nařízení (zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce zpracování)(29).
67. Jak poznamenává předkládající soud, článek 3 zákona o soudních exekutorech přiznává soudnímu exekutorovi postavení orgánu veřejné moci. Podle mého názoru by bylo obtížné tvrdit, že úkony, které jsou mu svěřeny v rámci provádění výkonu rozhodnutí, jež směřuje k uspokojení věřitele, nejsou plněním úkolu prováděným při výkonu veřejné moci, jež je tomuto exekutorovi svěřena.
68. Naproti tomu nelze mít tak snadno za to, že případ uvedený v čl. 6 odst. 1 prvním pododstavci písm. c) GDPR se použije na situaci v projednávané věci. V tomto ohledu je třeba poznamenat, že působnost tohoto ustanovení je striktně vymezena. Jak totiž vyplývá ze stanoviska 6/2014 pracovní skupiny „Článek 29“(30), právní povinnost, která se na správce vztahuje, musí být dostatečně jasná, pokud jde o zpracování osobních údajů, které vyžaduje. To předpokládá zvláště existenci právních ustanovení, která výslovně uvádějí povahu a předmět zpracování(31).
69. Nedomnívám se, že v projednávané věci by ustanovení uváděná předkládajícím soudem, a sice čl. 3 odst. 1, čl. 9 odst. 1 bod 1 a čl. 31 odst. 1 první věta zákona o soudních exekutorech, jakož i čl. 796 § 1 a čl. 799 § 1 první věta občanského soudního řádu, mohla být jako taková kvalifikována, jelikož z těchto ustanovení vyplývá pouze to, že soudní exekutor je jakožto orgán veřejné moci povinen vyhovět všem žádostem, jejichž předmětem je provedení výkonu rozhodnutí, a to za použití všech povolených způsobů. Konkrétněji řečeno, nezdá se, že by polské právo ukládalo soudnímu exekutorovi zákonnou povinnost provést v rámci výkonu rozhodnutí prodej databáze obsahující osobní údaje. V tomto ohledu je třeba uvést, že čl. 831 § 1 bod 3 občanského soudního řádu vylučuje z výkonu rozhodnutí „nezcizitelná práva“, což by mohlo být chápáno jako zákaz postoupení databáze v případě, že by bylo neslučitelné s GDPR.
70. V každém případě nelze vyloučit, že posledně uvedený případ je v projednávané věci rovněž relevantní. Ačkoli postačuje, aby byl naplněn jediný důvod zákonnosti, jak potvrzuje znění čl. 6 odst. 1 prvního pododstavce GDPR, Soudní dvůr připustil, že jedno a totéž zpracování může naplňovat několik důvodů zákonnosti(32).
71. Dotčené zpracování tedy podle mého názoru spadá pod důvod zákonnosti uvedený v čl. 6 odst. 1 prvním pododstavci písm. e) GDPR.
72. Je třeba podotknout, že tento důvod vyžaduje zohlednění další podmínky zákonnosti zpracování. Článek 6 odst. 3 GDPR totiž upřesňuje, že základ pro zpracování podle čl. 6 odst. 1 prvního pododstavce písm. e) tohoto nařízení musí být stanoven právem Unie nebo právem členského státu, které se na správce vztahuje, musí splňovat cíl veřejného zájmu a musí být přiměřený sledovanému legitimnímu cíli(33).
73. Ustanovení čl. 6 odst. 1 prvního pododstavce písm. e) ve spojení s čl. 6 odst. 3 GDPR proto vyžadují, aby mimo jiné ve vnitrostátním právu existoval právní základ pro zpracování osobních údajů správci, kteří jednají v rámci plnění takového úkolu při výkonu veřejné moci, jako jsou úkoly vykonávané soudními exekutory v rámci výkonu rozhodnutí týkajícího se aktiv společnosti(34).
74. Mám za to, že tento právní základ je tvořen všemi ustanoveními polského práva uvedenými v první větě bodu 69 tohoto stanoviska, z nichž vyplývá, že soudní exekutor je jakožto orgán veřejné moci povinen vyhovět všem žádostem, jejichž předmětem je provedení výkonu rozhodnutí, a to za použití všech povolených způsobů.
75. Otázka, zda je dotčené zpracování v souladu s GDPR, konečně vyžaduje zabývat se další právní problematikou, která je jádrem projednávané věci.
76. Podotýkám totiž, že účel zpracování osobních údajů soudním exekutorem, a sice prodej databází uživatelů platformy M. za účelem uspokojení věřitelů společnosti NMW v rámci výkonu rozhodnutí, se liší od původního účelu zpracování osobních údajů touto společností, kterým je umožnit používání platformy M. pro potřeby uskutečňování on-line prodeje uvedenou společností.
77. V tomto ohledu je třeba připomenout, že podle čl. 5 odst. 1 písm. b) GDPR, který zakotvuje zásadu „účelového omezení“, musí být osobní údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Toto ustanovení nicméně neobsahuje informace o podmínkách, za kterých lze další zpracování osobních údajů považovat za slučitelné s účely původního shromáždění těchto údajů(35).
78. Z článku 6 odst. 4 GDPR vykládaného ve světle bodu 50 odůvodnění tohoto nařízení(36) vyplývá, že posouzení takové slučitelnosti vyžaduje zohlednění řady kritérií, která jsou v něm demonstrativně vyjmenována.
79. Je zřejmé, že zohlednění těchto kritérií v projednávané věci nemůže vést ke kladné odpovědi, pokud jde o slučitelnost dotčených účelů. Jak nedávno uvedl Soudní dvůr, tato kritéria vyjadřují potřebu konkrétní, logické a dostatečně úzké vazby mezi účely původního shromáždění osobních údajů a dalším zpracováním těchto údajů a umožňují zajistit, aby se toto další zpracování neodchylovalo od legitimních očekávání subjektů údajů, pokud jde o následné použití jejich údajů(37). Taková vazba však v projednávané věci nemůže být prokázána.
80. V každém případě z první věty čl. 6 odst. 4 GDPR vyplývá, že posouzení slučitelnosti účelů je nezbytné pouze tehdy, „pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1 [GDPR]“.
81. V projednávané věci je nesporné, že uživatelé platformy M. neudělili souhlas se zpracováním pro jiný účel, než pro který byly jejich osobní údaje shromážděny. Je tedy třeba položit si otázku, zda je takové zpracování založeno na vnitrostátním nebo unijním právu a zda může být považováno za nutné a přiměřené opatření v demokratické společnosti k dosažení některého z cílů uvedených v čl. 23 odst. 1 GDPR.
82. V tomto ohledu považuji za nezbytné upřesnit, že tento případ byl Soudním dvorem vyložen tak, že představuje skutečnou výjimku ze zásady účelového omezení. Na základě bodu 50 odůvodnění GDPR Soudní dvůr uvedl, že za účelem ochrany důležitých cílů obecného veřejného zájmu uvedených v čl. 23 odst. 1 GDPR může správce provádět další zpracování dotčených údajů bez ohledu na slučitelnost tohoto zpracování s účely, pro které byly osobní údaje původně shromážděny. Dospěl tak k závěru, že čl. 6 odst. 4 první věta tohoto nařízení se použije na situaci, kdy má být na příkaz soudu v rámci občanskoprávního řízení předložen jako důkaz dokument obsahující osobní údaje třetích osob, které jsou shromažďovány především pro účely daňové kontroly(38).
83. Ačkoli s tímto výkladem mohou být nespokojeni ti, kteří mají za to, že právo na ochranu osobních údajů by mělo být omezeno pouze vnitrostátními právními předpisy, je tento výklad podle mého názoru plně v souladu se záměry unijního normotvůrce. Je totiž třeba připomenout, že důvodová zpráva týkající se postoje Rady v přípravných pracích k GDPR vyjadřuje, možná ještě jasněji než bod 50 odůvodnění tohoto nařízení, rozhodnutí poskytnout správci pečlivě vymezený prostor pro zpracování, které je neslučitelné s účely uvedenými v okamžiku shromažďování osobních údajů, které jsou předmětem tohoto zpracování(39).
84. Vzhledem k tomu, že existence právního základu, který slouží jako základ pro zpracování dotčené v projednávaném případě, již byla prokázána, je následně třeba určit, zda účelem tohoto zpracování je zaručit cíle uvedené v článku 23 GDPR.
85. Podotýkám, že mezi tyto cíle patří podle odst. 1 písm. j) tohoto ustanovení „vymáhání občanskoprávních nároků“. Mám za to, že dotčené zpracování osobních údajů je způsobilé zaručit dosažení tohoto cíle. V tomto ohledu je třeba poznamenat, že podle předkládajícího soudu vyplývá účel tohoto zpracování z článku 911 občanského soudního řádu ve spojení s čl. 31 odst. 1 první větou zákona o soudních exekutorech, které opravňují soudního exekutora k prodeji databáze a následně k převodu částky získané tímto prodejem věřiteli.
86. Otázka, zda zpracování prováděné soudním exekutorem v rámci řízení o výkonu rozhodnutí představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit vymáhání občanskoprávních nároků, spadá do pravomoci předkládajícího soudu. Soudnímu dvoru však přísluší poskytnout předkládajícímu soudu na základě dostupných informací nezbytná vodítka s ohledem na unijní právo(40).
87. Pokud jde o nezbytnost, je nesporné, že opatření je nezbytné, pokud sledovaného legitimního cíle nelze dosáhnout prostřednictvím stejně vhodného, ale méně omezujícího opatření. Jinak řečeno, je možné vymáhat pohledávku věřitelské společnosti jinými prostředky, které jsou stejně účinné, ale méně zasahují do práva uživatelů platformy M. na soukromí a ochranu osobních údajů? V tomto ohledu pouze podotýkám, že podle předkládajícího soudu není možné uspokojit věřitelskou společnost z majetku dlužnické společnosti, aniž by se přistoupilo k prodeji dotčených databází v rámci výkonu rozhodnutí.
88. Pokud jde o přiměřenost, posouzení této podmínky vyžaduje zvážení protichůdných zájmů v závislosti na konkrétních okolnostech posuzovaného případu.
89. V projednávaném případě spočívá první z těchto zájmů, který je základním právem zakotveným v čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen „Listina“) a v článku 16 SFEU, v ochraně uživatelů platformy M. v souvislosti se zpracováním osobních údajů. S tímto právem je úzce spjato právo na respektování soukromého a rodinného života zakotvené v článku 7 Listiny. Jak uvádí bod 4 odůvodnění GDPR, právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Jedním z těchto práv je právo na vlastnictví zakotvené v článku 17 Listiny. Prodej databáze patřící dlužníkovi v rámci řízení o výkonu rozhodnutí přitom podle mého názoru přispívá k respektování vlastnického práva držitele pohledávky přiznané soudem.
90. V tomto ohledu je třeba připomenout, že článek 17 Listiny odpovídá článku 1 dodatkového protokolu k Evropské úmluvě o ochraně lidských práv a základních svobod podepsané v Římě dne 4. listopadu 1950 (dále jen „EÚLP“), takže jeho smysl a rozsah jsou podle čl. 52 odst. 3 Listiny stejné jako ty, které EÚLP přikládá tomuto článku 1.
91. Právo na vlastnictví s sebou podle judikatury Evropského soudu pro lidská práva (ESLP) nese pozitivní povinnost států zavést systém výkonu soudních rozhodnutí, který bude prakticky i právně účinný a který umožní zajistit, aby řízení, která právní úprava zavedla pro výkon pravomocných soudních rozhodnutí, byla prováděna bez zbytečného odkladu(41). Je-li věřitelem soukromý subjekt, je stát povinen poskytnout věřitelům nezbytnou pomoc při výkonu dotčených soudních rozhodnutí, například prostřednictvím soudních exekutorů(42). V tomto kontextu, pokud jsou orgány povinny konat za účelem výkonu rozsudku a nekonají, může jejich nečinnost založit odpovědnost státu zejména na základě článku 1 dodatkového protokolu č. 1 k EÚLP(43).
92. V rámci tohoto vyvažování práva na vlastnictví na jedné straně a práva na ochranu osobních údajů a na soukromí na straně druhé lze podle mého názoru zohlednit specifickou skutečnost vyplývající ze spisu.
93. Podle předkládacího rozhodnutí žádné ustanovení polského práva nezavádí z hlediska subjektu žádná omezení, pokud jde o nabyvatele databáze, jelikož jedinou podmínkou je svéprávnost, přičemž tato mezera znamená, že třetí osoba, která je nabyvatelem, může být rovněž subjektem usazeným mimo Evropskou unii, který není jako takový povinen dodržovat pravidla v oblasti zpracování osobních údajů stanovená GDPR.
94. V takové situaci mám za to, že dotčené zpracování by nadměrně zasáhlo do práva na ochranu osobních údajů, a nemohlo by tak být považováno za přiměřené opatření. Takovému výsledku by bylo možné předejít například vnitrostátní právní normou, která by soudnímu exekutorovi ukládala povinnost zahrnout do specifikací vypracovaných pro účely dražby doložku, jež by nabyvateli jakožto třetí osobě ukládala dodržování pravidel GDPR.
Závěry
95. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžnou otázku položenou Okresním soudem pro hlavní město Varšavu ve Varšavě (Sąd Rejonowy dla m. st. Warszawy w Warszawie, Polsko) následovně:
„Článek 6 odst. 1 první pododstavec písm. e), čl. 6 odst. 3 a čl. 6 odst. 4 první věta nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů),
musí být vykládány v tom smyslu, že
nebrání vnitrostátní právní úpravě, která umožňuje soudnímu exekutorovi prodat v rámci řízení o výkonu rozhodnutí databázi obsahující osobní údaje, pokud subjekty těchto údajů nedaly k takovému prodeji souhlas, a to pod podmínkou, že zpracování uvedených údajů tímto soudním exekutorem představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit vymáhání občanskoprávních nároků.“