Predbežné znenie
NÁVRHY GENERÁLNEHO ADVOKÁTA
PRIIT PIKAMÄE
prednesené 22. februára 2024(1)
Vec C‑693/22
I. sp. z o. o.
proti
M. W.
[návrh na začatie prejudiciálneho konania, ktorý podal Sąd Rejonowy dla m. st. Warszawy w Warszawie (Okresný súd mesta Varšava, Poľsko)]
„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Predaj databázy obsahujúcej osobné údaje v rámci exekučného konania – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Článok 5 ods. 1 písm. b) – Obmedzenie účelu – Článok 6 ods. 1, 3 a 4 – Zákonnosť spracúvania – Splnenie zákonnej povinnosti prevádzkovateľa – Plnenie úlohy realizovanej vo verejnom záujme – Článok 23 ods. 1 písm. j) – Vymáhanie občianskoprávnych nárokov – Nevyhnutné a primerané opatrenie“
1. Môže byť predaj databázy obsahujúcej osobné údaje v rámci exekučného konania v súlade s ustanoveniam nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej len „GDPR“)(2), ak dotknuté osoby neudelili súhlas na takýto predaj?
2. To je hlavná otázka, ktorú Súdnemu dvoru položil Sąd Rejonowy dla m. st. Warszawy w Warszawie (Okresný súd mesta Varšava, Poľsko) v rámci tohto prejudiciálneho konania.
3. Súdny dvor tak bude musieť preskúmať konkrétny prípad z hľadiska GDPR a zaujať stanovisko k určitým kľúčovým prvkom tohto nariadenia, ako sú pojem „prevádzkovateľ“, zákonnosť spracúvania a rozsah zásady obmedzenia účelu.
Právny rámec
Právo Únie
4. Článok 4 GDPR stanovuje:
„Na účely tohto nariadenia:
1. ‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…
2. ‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;
…
7. ‚prevádzkovateľ‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo spoločne s inými určí účely a prostriedky spracúvania osobných údajov; v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve Únie alebo v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá na jeho určenie určiť v práve Únie alebo v práve členského štátu;
…“
5. Článok 5 tohto nariadenia, nazvaný „Zásady spracúvania osobných údajov“, v odsekoch 1 a 2 stanovuje:
„1. Osobné údaje musia byť:
a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);
b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi;…
c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);
…
2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“
6. Článok 6 uvedeného nariadenia, nazvaný „Zákonnosť spracúvania“, znie:
„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:
a) dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely;
…
c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;
…
e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;
…
3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:
a) v práve Únie alebo
b) v práve členského štátu vzťahujúcom sa na prevádzkovateľa.
Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. … Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.
4. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:
a) akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;
b) okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;
c) povahu osobných údajov, najmä či sa spracúvajú osobitné kategórie osobných údajov podľa článku 9 alebo osobné údaje týkajúce sa uznania viny za trestné činy a priestupky podľa článku 10;
d) možné následky zamýšľaného ďalšieho spracúvania pre dotknuté osoby;
e) existenciu primeraných záruk, ktoré môžu zahŕňať šifrovanie alebo pseudonymizáciu.“
7. Článok 23 GDPR, nazvaný „Obmedzenia“, v odseku 1 stanovuje:
„1. V práve Únie alebo práve členského štátu, ktorému prevádzkovateľ alebo sprostredkovateľ podliehajú, sa prostredníctvom legislatívneho opatrenia môže obmedziť rozsah povinností a práv ustanovených v článkoch 12 až 22 a v článku 34, ako aj v článku 5, pokiaľ jeho ustanovenia zodpovedajú právam a povinnostiam ustanoveným v článkoch 12 až 22, ak takéto obmedzenie rešpektuje podstatu základných práv a slobôd a je nevyhnutným a primeraným opatrením v demokratickej spoločnosti s cieľom zaistiť:
…
j) vymáhanie občianskoprávnych nárokov.“
Poľské právo
8. § 299 ustawa Kodeks spółek handlowych (Zákonník obchodných spoločností) z 15. septembra 2000 (Dz. U. z roku 2022, položka 1467, ďalej len „Zákonník obchodných spoločností“) znie:
„(1) Ak sa exekúcia voči spoločnosti ukáže ako neúčinná, členovia správnej rady ručia za jej záväzky spoločne a nerozdielne.
(2) Člen správnej rady sa môže zbaviť zodpovednosti uvedenej v odseku 1, ak preukáže, že návrh na vyhlásenie konkurzu bol podaný včas, alebo že bolo súčasne vydané rozhodnutie o začatí reštrukturalizačného konania alebo o povolení vyrovnania v konaní o povolenie vyrovnania, alebo že nepodanie návrhu na vyhlásenie konkurzu nebolo spôsobené jeho zavinením, alebo že napriek nepodaniu návrhu na vyhlásenie konkurzu a nevydaniu rozhodnutia o začatí reštrukturalizačného konania alebo nepovoleniu vyrovnania v konaní o povolenie vyrovnania veriteľovi nevznikla žiadna škoda.“
9. Podľa § 796 ods. 1 ustawa Kodeks postępowania cywilnego (Občiansky súdny poriadok) zo 17. novembra 1964 (Dz. U. z roku 2021, položka 1805) v znení neskorších predpisov (ďalej len „Občiansky súdny poriadok“):
„Návrh na vykonanie exekúcie sa podáva príslušnému súdu alebo súdnemu exekútorovi. Návrh podaný súdnemu exekútorovi možno podať na úradnom formulári.“
10. § 799 ods. 1 prvá veta Občianskeho súdneho poriadku stanovuje:
„Návrh na vykonanie exekúcie alebo návrh na vykonanie exekúcie ex offo umožňuje vykonať exekúciu všetkými povolenými spôsobmi s výnimkou exekúcie na nehnuteľný majetok. …“
11. § 824 ods. 1 bod 3 tohto poriadku znie:
„Súdne exekučné konanie sa v celom rozsahu alebo v časti zastaví ex offo:
…
3. ak je zrejmé, že exekúciou sa nezíska suma vyššia ako sú náklady na jej vykonanie.“
12. § 831 uvedeného poriadku stanovuje:
„(1) Exekúcii nepodliehajú:
…
3. nescudziteľné práva s výnimkou prípadov, keď ich scudziteľnosť bola vylúčená zmluvou a predmet plnenia je možné postihnúť exekúciou alebo keď výkon práva možno zveriť inej osobe.“
13. Ustawa o komornikach sądowych (zákon o súdnych exekútoroch) z 22. marca 2018 (Dz. U. z roku 2022, položka 1168) v znení neskorších predpisov (ďalej len „zákon o súdnych exekútoroch“) upravuje postavenie a činnosť súdnych exekútorov. Podľa § 3 ods. 1 a 3 tohto zákona:
„Súdny exekútor je orgánom verejnej moci, ktorý vykonáva úkony v rámci exekučného a zabezpečovacieho konania. Tieto úkony vykonáva súdny exekútor s výhradou výnimiek stanovených zákonom.
…
Súdny exekútor je poverený týmito úlohami:
1. výkon súdnych rozhodnutí vo veciach peňažných a nepeňažných pohľadávok a zábezpek vrátane európskych príkazov na zablokovanie účtov, s výhradou výnimiek stanovených [Občianskym súdnym poriadkom];
…“.
14. § 9 ods. 1 tohto zákona stanovuje:
„Súdny exekútor nemôže odmietnuť prijatie návrhu na:
1. vykonanie exekúcie,
…
na vykonanie ktorých je príslušný v súlade s ustanoveniami [Občianskeho súdneho poriadku].
15. § 31 ods. 1 prvá veta uvedeného zákona znie:
„Sumy zaistené z bankového účtu, účtu vedeného družstevnou sporiteľňou alebo účtu vedeného subjektom vykonávajúcim sprostredkovateľskú činnosť, získané po prvej úhrade zaistenej pohľadávky dlžníkom, prevedie súdny exekútor veriteľovi najskôr na siedmy deň a najneskôr na štrnásty deň odo dňa ich prijatia. …“
16. Ustawa o ochronie baz danych (zákon o ochrane databáz) z 27. júla 2001 (Dz. U. z roku 2021, položka 386) (ďalej len „zákon o ochrane databáz“) v § 2 ods. 1 bode 1 stanovuje:
„Na účely tohto zákona:
1. ‚databáza‘ je súbor údajov alebo akýchkoľvek iných materiálov a prvkov zhromaždených podľa špecifického systému alebo metódy, individuálne prístupných akýmkoľvek spôsobom vrátane elektronických prostriedkov, ktoré si vyžadujú kvalitatívne alebo kvantitatívne podstatný vklad do získania, overenia alebo prezentácie jej obsahu.“
17. § 6 ods. 1 zákona o ochrane databáz stanovuje:
„Zostavovateľ databázy má výhradné a prevoditeľné právo na extrakciu údajov a ich reutilizáciu vcelku alebo v ich kvalitatívne či kvantitatívne vyhodnotenej podstatnej časti.“
Spor vo veci samej, prejudiciálna otázka a konanie na Súdnom dvore
18. Spoločnosť I. (ďalej len „žalobkyňa“ alebo „veriteľská spoločnosť“) so sídlom v Poľsku má pohľadávku potvrdenú právoplatným súdnym rozhodnutím voči spoločnosti NMW, ktorá sa špecializuje na on‑line predaj a ktorej členom správnej rady je M. W.
19. Na návrh žalobkyne bolo voči spoločnosti NMW začaté exekučné konanie s cieľom uspokojiť túto pohľadávku. Výsledkom tohto konania bolo rozhodnutie súdneho exekútora o zastavení exekúcie z dôvodu, že spoločnosť NMW nemá majetok, ktorý by mohol byť predmetom exekúcie. Za týchto podmienok žalobkyňa podala žalobu proti M. W. na Sąd Rejonowy dla m. st. Warszawy w Warszawie (Okresný súd mesta Varšava) na základe § 299 ods. 1 Zákonníka obchodných spoločností, ktorý stanovuje majetkovú zodpovednosť člena správnej rady spoločnosti, ktorá je dlžníkom, v prípade nemožnosti vymôcť pohľadávku z majetku tejto spoločnosti.
20. M. W. navrhol zamietnuť túto žalobu z dôvodu, že spoločnosť NMW vlastní majetok, ktorého jednotlivé zložky majú každá hodnotu prevyšujúcu výšku pohľadávky žalobkyne, a to konkrétne zdrojový kód softvéru na on‑line nakupovanie v spojení so službou kvázi cashback (ďalej len „platforma M.“) a dve databázy používateľov tejto platformy.
21. Vnútroštátny súd však uvádza, že predaj samotnej platformy M. bez týchto databáz by nebol na trhu taký atraktívny ako predaj celého „balíka“.
22. Tento súd preto považuje za potrebné získať odpoveď na otázku, či databázy vytvorené spoločnosťou NMW možno previesť v rámci súdneho exekučného konania. Kladná odpoveď by totiž viedla k zamietnutiu žaloby vo veci samej.
23. Vnútroštátny súd v tejto súvislosti spresňuje, že síce nie je viazaný ocenením hodnoty predmetného majetku, z ktorého vychádzal M. W. – a to tým viac, že toto ocenenie nevykonal súdny znalec –, odpoveď na túto otázku je však stále potrebná na rozhodnutie sporu vo veci samej, lebo ustanovenia upravujúce poľské občianske súdne konanie neumožňujú vykonať takýto dôkaz bez toho, aby bola vopred preukázaná jeho relevantnosť.
24. Tento súd zastáva názor, že dotknuté databázy spadajú pod pojem „databáza“ v zmysle článku 1 smernice Európskeho parlamentu a Rady 96/9/ES z 11. marca 1996 o právnej ochrane databáz(3), takže ich majiteľ, spoločnosť NMW, má majetkové právo na prevod týchto databáz podľa článku 7 tejto smernice. Exekučné konania sa totiž môžu viesť na všetky majetkové práva, pokiaľ určité ustanovenie takúto možnosť výslovne nevylučuje. Poľský zákonodarca pritom nestanovil nijaké pravidlo, ktoré by zakazovalo exekúciu databázy, o akú ide v konaní vo veci samej.
25. Vnútroštátny súd vyjadruje pochybnosti o tom, že takéto databázy môžu byť predmetom súdnej exekúcie, keďže obsahujú osobné údaje stoviek tisícov používateľov platformy M. a neexistuje nijaký dôkaz o tom, že používatelia tejto platformy vyjadrili súhlas so spracúvaním svojich osobných údajov vo forme sprístupnenia týchto údajov tretím osobám mimo tejto platformy. Vnútroštátny súd v tejto súvislosti spresnil, že predmetné údaje nepatria medzi osobitné kategórie osobných údajov v zmysle článku 9 GDPR.
26. Tento súd sa tiež pýta na vzájomný vzťah medzi obmedzeniami spracúvania osobných údajov stanovenými v GDPR a právom voľne nakladať s databázou vyplývajúcim zo smernice 96/9 a z vnútroštátneho práva, ktoré podľa názoru tohto súdu zahŕňa právo previesť databázu v rámci exekučného konania.
27. Za týchto okolností Sąd Rejonowy dla m. st. Warszawy w Warszawie (Okresný súd mesta Varšava) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:
„Má sa článok 5 ods. 1 písm. a) v spojení s článkom 6 ods. 1 písm. a), c) a e) a v spojení s článkom 6 ods. 3 [GDPR] vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá umožňuje predať v rámci exekučného konania databázu v zmysle článku 1 ods. 2 [smernice 96/9] obsahujúcu osobné údaje, ak osoby, ktorých sa tieto údaje týkajú, neudelili súhlas na takýto predaj?“
28. Poľská vláda a Európska komisia predložili písomné pripomienky. Prednesy tých istých oprávnených subjektov, ako aj spoločnosti I. boli vypočuté na pojednávaní 16. novembra 2023.
Analýza
O prípustnosti
29. Na úvod je potrebné zaoberať sa dvomi otázkami týkajúcimi sa prípustnosti tejto prejudiciálnej otázky.
30. Po prvé žalobkyňa vo veci samej vyjadrila na pojednávaní pochybnosti o relevantnosti tejto otázky. Podľa tohto účastníka konania spoločnosť NMW ukončila svoju hospodársku činnosť už pred niekoľkými rokmi. Táto spoločnosť presnejšie nemala správnu ani riadiacu radu a neposkytovala služby používateľom platformy M. od apríla 2019(4). Nevyhnutne tak prestala s akýmkoľvek spracúvaním osobných údajov v súvislosti s výkonom svojej činnosti. Za týchto okolností zásady obmedzenia účelu a obmedzenia uchovávania vyžadovali vymazanie dotknutých údajov, pričom v opačnom prípade by samotná existencia databáz, o ktoré ide vo veci samej, bola protiprávna. Vzhľadom na to otázka položená vnútroštátnym súdom, ktorá sa týka zákonnosti predaja týchto databáz v rámci exekučného konania, nie je relevantná pre rozhodnutie sporu vo veci samej.
31. Treba uviesť, že podľa článku 5 ods. 1 písm. e) GDPR sa osobné údaje(5) musia uchovávať vo forme, ktorá umožňuje identifikáciu dotknutých osôb najviac dovtedy, kým je to potrebné na dosiahnutie účelov, na ktoré sa osobné údaje spracúvajú. Z toho vyplýva, že aj spracúvanie údajov, ktoré bolo pôvodne zákonné, sa časom môže stať nezlučiteľné s GDPR, ak už tieto údaje nie sú na tieto účely potrebné(6). V takom prípade musia byť údaje vymazané(7). V prejednávanej veci boli predmetné údaje s určitosťou získané na účely činnosti on‑line predaja vykonávanej spoločnosťou NMW. Ak táto spoločnosť ukončila túto činnosť v apríli 2019, niet pochýb, že tieto údaje už neboli potrebné na účely vykonávania tejto činnosti, a teda mali byť vymazané. Ak by k tomuto vymazaniu nedošlo, existencia predmetných databáz by nebola v súlade s GDPR a irelevantnosť tejto prejudiciálnej otázky pre rozhodnutie sporu vo veci samej by bola zjavná.
32. Vzhľadom na to treba pripomenúť, že podľa ustálenej judikatúry je Súdny dvor oprávnený rozhodovať výlučne o výklade práva Únie so zreteľom na skutkový a právny rámec, ktorý vnútroštátny súd vymedzí na vlastnú zodpovednosť, bez toho, aby ho mohol spochybniť alebo preveriť jeho správnosť(8).
33. Zo žiadneho bodu návrhu na začatie prejudiciálneho konania však nevyplýva, že NMW ukončila svoju činnosť v apríli 2019, ako to tvrdí žalobkyňa.
34. Po druhé vnútroštátny súd má pochybnosti o uplatniteľnosti GDPR vzhľadom na ustanovenia smernice 96/9.
35. Na úvod je potrebné pripomenúť, že cieľom smernice 96/9 je odstrániť rozdiely, ktoré existovali medzi vnútroštátnymi právnymi poriadkami v oblasti právnej ochrany databáz a ktoré nepriaznivo zasahovali do fungovania vnútorného trhu, voľného pohybu tovaru a služieb v Európskej únii, ako aj do vývoja informačného trhu v jej vnútri, prostredníctvom aproximácie vnútroštátnych právnych predpisov(9). Táto smernica sa v súlade s jej článkom 1 ods. 1 vzťahuje na právnu ochranu databáz v akejkoľvek forme, pričom v odseku 2 tohto článku je „databáza“ definovaná ako „zbierka nezávislých diel, údajov alebo iných nezávislých materiálov systematicky alebo metodicky usporiadaných a individuálne prístupných elektronickými alebo inými prostriedkami“.
36. Uvedená smernica vyžaduje, aby členské štáty upravili vo svojich vnútroštátnych právnych poriadkoch ochranu databáz prostredníctvom práva sui generis. Presnejšie článok 7 ods. 1 smernice 96/9 vyhradzuje zostavovateľovi databázy, ktorá si vyžadovala zásadný vklad z kvalitatívneho alebo kvantitatívneho hľadiska, právo zakázať extrakciu a/alebo reutilizáciu celého obsahu tejto databázy alebo jej podstatnej časti. Toto právo je podľa článku 7 ods. 3 tejto smernice scudziteľné.
37. Podľa vnútroštátneho súdu databázy patriace spoločnosti NMW spĺňajú podmienky na to, aby sa na ne vzťahovala ochrana zaručená zákonom o ochrane databáz a smernicou 96/9, ktorá bola prebratá do poľského právneho poriadku práve týmto zákonom. V § 6 tohto zákona sa najmä stanovuje, že zostavovateľ databázy má výhradné a scudziteľné právo na extrakciu a reutilizáciu dát vcelku alebo v ich podstatnej časti. Podľa vnútroštátneho súdu teda ide o majetkové právo s absolútnou povahou a s účinkami erga omnes. Podľa poľského práva môže byť každé majetkové právo predmetom exekučného konania, pokiaľ zákon výslovne nestanovuje výnimku. Poľský zákonodarca pritom nestanovil nijaké pravidlo, ktoré by zakazovalo exekúciu týkajúcu sa databáz. Z toho vyplýva, že v prejednávanej veci je súdny exekútor majiteľom práva previesť databázy na účet veriteľa, ktoré vyplýva z práva zostavovateľa, voči ktorému sa vedie exekučné konanie, voľne s nimi nakladať. Uplatnenie tohto práva by mohlo brániť uplatneniu pravidiel GDPR v takom prípade, o aký ide v prejednávanej veci, a spôsobiť tak neprípustnosť tejto otázky.
38. V prvom rade treba poznamenať, že vnútroštátny súd neidentifikoval právo sui generis uznané v článku 7 tejto smernice správne. V skutočnosti ide o právo brániť konaniu spočívajúcemu najmä v rekonštrukcii databázy alebo jej podstatnej časti za zlomok nákladov potrebných na jej zostavenie(10), pričom cieľom sledovaným normotvorcom Únie je zaručiť osobe, ktorá sa chopila iniciatívy a vzala na seba riziko vynaloženia podstatného vkladu do získania, overenia alebo prezentácie obsahu databázy, odmenu za jej vklad tým, že ju chráni pred neoprávneným privlastnením si výsledkov tohto vkladu(11).
39. Okrem toho a predovšetkým, pokiaľ ide o vzájomný vzťah medzi smernicou 96/9 a GDPR, z článku 13 tejto smernice vyplýva, že táto smernica nemá vplyv na ustanovenia, ktoré upravujú okrem iného ochranu osobných údajov a súkromia, a z odôvodnenia 48 uvedenej smernice vyplýva, že jej ustanoveniami nie je dotknuté uplatňovanie pravidiel v oblasti ochrany údajov stanovených v smernici Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov(12), ktorú nahradilo GDPR(13).
40. Preto zastávam názor, že Súdny dvor by mal rozhodnúť o veci samej.
O veci samej
41. Vnútroštátny súd sa svojou otázkou v podstate pýta, či sa článok 5 ods. 1 písm. a), článok 6 ods. 1 prvý pododsek písm. a), c) a e) a článok 6 ods. 3 GDPR majú vykladať v tom zmysle, že bránia vnútroštátnej právnej úprave, ktorá umožňuje súdnemu exekútorovi predať v rámci exekučného konania databázu obsahujúcu osobné údaje, ak osoby, ktorých sa tieto údaje týkajú, neudelili súhlas na takýto predaj.
42. Moja právna analýza bude prebiehať nasledujúcim spôsobom. Pokiaľ ide o GDPR, najprv sa budem zaoberať otázkou uplatniteľnosti tohto nariadenia v prejednávanej veci a otázkou určenia prevádzkovateľa predmetného spracúvania a následne sa zameriam na výklad pravidiel upravujúcich zákonnosť takéhoto spracúvania.
43. Z úvah uvedených v týchto návrhoch vyplynie, že ustanovenia práva Únie, ktoré má Súdny dvor zohľadniť, sa len čiastočne zhodujú s ustanoveniami uvedenými v prejudiciálnej otázke. Navrhovaná odpoveď sa preto bude týkať týchto ustanovení.(14)
O existencii spracúvania a o určení prevádzkovateľa
44. Ako vyplýva z odôvodnenia 10 GDPR, cieľom tohto nariadenia je najmä zabezpečiť vysokú úroveň ochrany fyzických osôb v rámci Únie a na tento účel zabezpečiť konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd týchto osôb pri spracúvaní osobných údajov v celej Únii(15).
45. Toto nariadenie sa podľa jeho článku 2 ods. 1 vzťahuje na spracúvanie osobných údajov vykonávané úplne alebo čiastočne automatizovanými prostriedkami a na spracúvanie inými než automatizovanými prostriedkami v prípade osobných údajov, ktoré tvoria súčasť informačného systému alebo sú určené na to, aby tvorili súčasť informačného systému.
46. V odseku 2 tohto článku je stanovený celý rad výnimiek z pôsobnosti uvedeného nariadenia, ktoré sú založené na druhu činnosti, v rámci ktorého sa spracúvanie vykonáva. Z ustálenej judikatúry Súdneho dvora vyplýva, že vzhľadom na potrebu vykladať tieto výnimky reštriktívne je nevyhnutné, aby táto činnosť patrila medzi činnosti výslovne vymenované v článku 2 ods. 2 GDPR alebo aby mohla byť zaradená do rovnakej kategórie ako tieto činnosti. Kvalifikácia určitej činnosti ako činnosti, ktorá je vlastná štátu alebo orgánu verejnej moci, teda nestačí na to, aby sa predmetné spracúvanie mohlo považovať za spracúvanie vykonávané v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie v zmysle výnimky uvedenej v článku 2 ods. 2 písm. a) GDPR(16).
47. V rozsahu relevantnom pre prejednávanú vec je dôležité poznamenať, že spracúvanie vykonávané v rámci núteného vymáhania občianskoprávneho nároku nie je vyňaté z pôsobnosti tohto nariadenia.
48. Hranice pôsobnosti GDPR sú vymedzené pojmom „spracúvanie“. Podľa článku 4 bodu 2 tohto nariadenia tento pojem zahŕňa každú operáciu s osobnými údajmi alebo súbormi osobných údajov vykonávanú alebo nevykonávanú automatizovanými prostriedkami, ako je okrem iného „vyhľadávanie“, „prehliadanie“, „využívanie“ týchto údajov a ich „poskytovanie iným spôsobom“. Normotvorca Únie tak zamýšľal priznať uvedenému pojmu široký rozsah(17).
49. Dochádza v prejednávanej veci k spracúvaniu osobných údajov?
50. Na úvod je potrebné uviesť jedno objasnenie. Operácie s osobnými údajmi, ktoré spoločnosť NMW vykonáva na účely výkonu svojej činnosti on‑line predaja prostredníctvom platformy M., nespadajú do rozsahu otázky položenej vnútroštátnym súdom. Táto otázka sa týka výlučne exekučného konania na účely núteného predaja dotknutých databáz. Podľa vnútroštátneho súdu takéto konanie zahŕňa spracúvanie v zmysle GDPR, za ktoré je zodpovedný súdny exekútor.
51. Vysvetlenia, ktoré na pojednávaní poskytla poľská vláda v súvislosti s úlohou zverenou súdnemu exekútorovi v rámci takéhoto exekučného konania, podľa môjho názoru nevzbudzujú nijaké pochybnosti o správnosti tohto výkladu.
52. Táto vláda vysvetlila, že predmetné konanie sa začína zaistením databázy, prostredníctvom ktorého súdny exekútor získa prístup k osobným údajom v tejto databáze, aby mohol vykonať odhad hodnoty tejto databázy a uviesť ju v zápisnici o zaistení. Súdny exekútor vykoná na účely tohto odhadu rad operácií vrátane vyhľadávania, prehliadania a využívania týchto údajov(18). Exekučné konanie sa končí predajom databázy vo verejnej dražbe. Po nadobudnutí právoplatnosti príklepu a zaplatení celej ceny súdny exekútor sprístupní uvedenú databázu nadobúdateľovi.
53. Z toho vyplýva, že osobné údaje obsiahnuté v databázach, ako sú tie dotknuté vo veci samej, sú prinajmenšom vyhľadávané, prehliadané a využívané súdnym exekútorom v rámci odhadu ich hodnoty a následne sprístupnené nadobúdateľovi. V tejto súvislosti treba poznamenať, že spracovanie osobných údajov môže pozostávať z viacerých operácií, pričom každá z nich sa týka jedného z rôznych štádií, z ktorých môže pozostávať spracovávanie osobných údajov(19). V prejednávanej veci je teda potrebné považovať tieto operácie za „spracúvanie“ v zmysle GDPR.
54. Ďalej je potrebné určiť, kto je v rámci toho spracúvania prevádzkovateľom.
55. Pripomínam, že podľa článku 4 bodu 7 GDPR pojem „prevádzkovateľ“ zahŕňa fyzické alebo právnické osoby, orgány verejnej moci, agentúry alebo iné subjekty, ktoré samy alebo spoločne s inými určia účely a prostriedky spracúvania osobných údajov(20). Toto ustanovenie tiež uvádza, že v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá uplatniteľné na jeho určenie určiť v tomto práve. Takéto široké vymedzenie pojmu „prevádzkovateľ“ má podľa ustálenej judikatúry zabezpečiť účinnú a úplnú ochranu dotknutých osôb(21).
56. Ak sú účely a prostriedky spracúvania určené vnútroštátnym právom, podľa najnovšej judikatúry je potrebné overiť, či toto právo určuje prevádzkovateľa alebo stanovuje konkrétne kritériá uplatniteľné na jeho určenie. Určenie prevádzkovateľa vnútroštátnym právom môže byť nielen explicitné, ale aj implicitné. V prípade implicitného určenia sa však vyžaduje, aby toto určenie vyplývalo s dostatočnou istotou z úlohy, poslania a právomocí zverených dotknutej osobe alebo subjektu.(22)
57. V prejednávanej veci z § 3 ods. 1 zákona o súdnych exekútoroch vyplýva, že súdny exekútor je orgánom verejnej moci, ktorý s výhradou výnimiek stanovených zákonom vykonáva úkony najmä v rámci exekučného konania. Okrem toho, ako bolo uvedené vyššie, zo skutočností uvedených v spise vyplýva, že ak sa exekúcia týka databáz, tieto úkony spočívajú najmä vo vyhľadávaní, prehliadaní, využívaní osobných údajov v nej uvedených v rámci odhadu hodnoty týchto databáz na účely ich predaja vo verejnej dražbe, ako aj v ich sprístupnení nadobúdateľovi po nadobudnutí právoplatnosti príklepu. Zdá sa mi, že poľské právo tak prinajmenšom implicitne určilo účely a prostriedky spracúvania osobných údajov, ktoré vykonáva súdny exekútor.
58. Z toho vyplýva, že v prejednávanej veci sa súdny exekútor ako orgán verejnej moci poverený vedením akéhokoľvek exekučného konania vrátane konania, ktorého predmetom je databáza, môže považovať za prevádzkovateľa osobných údajov obsiahnutých v tejto databáze v zmysle článku 4 bodu 7 GDPR.
59. Vnútroštátny súd nepoukazuje na nijaké ustanovenie poľského práva, ktoré by spoločnosti NMW, ktorá je dlžníkom, ukladalo povinnosti spolupráce so súdnym exekútorom s cieľom umožniť mu vykonať odhad hodnoty dotknutých databáz na účely ich núteného predaja.
60. Nemožno vylúčiť, že takéto povinnosti by zahŕňali vykonanie iného spracovania v zmysle GDPR, za ktoré by bola zodpovedná táto spoločnosť. V tejto súvislosti treba pripomenúť, že v rozsudku Valsts ieņēmumu dienests (Spracovanie osobných údajov na daňové účely) Súdny dvor konštatoval, že poskytnutie a sprístupnenie osobných údajov daňovej správe členského štátu zo strany hospodárskeho subjektu, ktoré je tento subjekt zo zákona povinný poskytnúť, znamená takéto spracúvanie, a to popri spracúvaní, ktoré táto daňová správa vykonáva prostredníctvom žiadosti, ktorou požiadala o poskytnutie a sprístupnenie týchto údajov(23).
61. Menej pravdepodobnou, hoci abstraktne predstaviteľnou možnosťou je, že súdny exekútor a spoločnosť NMW, ktorá je dlžníkom, by boli spoločne zodpovední za spracúvanie dotknutých osobných údajov vykonávané na účely núteného predaja. Podľa rozsudku État belge (Údaje spracúvané úradným vestníkom) tento záver prichádza do úvahy, pokiaľ sú rôzne spracovateľské operácie spojené účelmi a prostriedkami určenými vnútroštátnym právom a toto právo vymedzuje príslušné povinnosti každého zo spoločných prevádzkovateľov(24).
62. Vzhľadom na to vychádza nasledujúca analýza z predpokladu založeného na okolnostiach prejednávanej veci, že súdny exekútor je jediným prevádzkovateľom vo veci samej.
63. Ako prevádzkovateľ je súdny exekútor nielen zodpovedný za súlad so zásadami, ktorými sa riadi spracúvanie osobných údajov(25), ale tiež podlieha značnému množstvu povinností, ktorým zodpovedajú práva dotknutých osôb(26). Vnútroštátny zákonodarca môže obmedziť tieto povinnosti výlučne za podmienok stanovených v článku 23 GDPR. Na pojednávaní poľská vláda v odpovedi na otázku, či vo vnútroštátnom práve existujú takéto zákonné ustanovenia, poukázala len na § 4 zákona o ochrane údajov. Toto ustanovenie však obmedzuje len rozsah povinností prevádzkovateľa, ktorý plní úlohu vo verejnom záujme, vyplývajúcich z článku 14 ods. 1, 2 a 4 GDPR („Informácie, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby“).
O zákonnosti predmetného spracúvania osobných údajov
64. Ako Súdny dvor opakovane rozhodol, každé spracúvanie osobných údajov musí byť predovšetkým v súlade so zásadami spracúvania osobných údajov stanovenými v článku 5 ods. 1 GDPR a so zreteľom na zásadu zákonnosti spracúvania musí spĺňať podmienky týkajúce sa zákonnosti spracúvania vymenované v článku 6 tohto nariadenia(27).
65. Článok 6 ods. 1 prvý pododsek uvedeného nariadenia stanovuje taxatívny a obmedzujúci zoznam prípadov, v ktorých možno spracúvanie osobných údajov kvalifikovať ako zákonné. Takáto kvalifikácia znamená, že na spracúvanie sa vzťahuje jeden z týchto prípadov. Treba pritom pripomenúť, že na predmetné spracúvanie sa nevzťahuje hlavný prípad uvedený v tomto ustanovení, teda prípad, keď dotknutá osoba vyjadrila súhlas so spracúvaním svojich osobných údajov na jeden alebo viaceré konkrétne účely(28). Ako vyplýva z návrhu na začatie prejudiciálneho konania, v konaní vo veci samej nebol predložený nijaký dôkaz, ktorý by umožňoval konštatovať, že osoby, ktorých sa týkajú osobné údaje zozbierané v predmetných databázach, vyjadrili súhlas s prenosom svojich údajov tretím osobám mimo činnosti spojenej s platformou M., a najmä s ich predajom na konci exekučného konania.
66. Podľa názoru vnútroštátneho súdu by sa na spracúvanie údajov súdnym exekútorom mohol vzťahovať článok 6 ods. 1 prvý pododsek písm. c) GDPR (spracúvanie nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa) alebo článok 6 ods. 1 prvý pododsek písm. e) tohto nariadenia (spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi)(29).
67. Ako poznamenáva vnútroštátny súd, § 3 zákona o súdnych exekútoroch priznáva súdnym exekútorom postavenie orgánu verejnej moci. Podľa môjho názoru by bolo ťažké tvrdiť, že operácie, ktoré sú mu zverené v rámci výkonu exekúcie s cieľom uspokojiť veriteľa, nepredstavujú plnenie úlohy realizovanej pri výkone verejnej moci zverenej tomuto exekútorovi.
68. Okrem toho by bolo ťažké zastávať názor, že na situáciu v prejednávanej veci sa uplatňuje prípad uvedený v článku 6 ods. 1 prvom pododseku písm. c) GDPR. V tejto súvislosti treba poznamenať, že pôsobnosť tohto ustanovenia je prísne vymedzená. Ako totiž vyplýva zo stanoviska 6/2014, ktoré vydala pracovná skupina podľa článku 29(30), zákonná povinnosť, ktorej prevádzkovateľ podlieha, musí byť dostatočne jasná, pokiaľ ide o spracovanie osobných údajov, ktoré sa na jej základe vyžaduje. To znamená najmä existenciu právnych ustanovení, v ktorých sa výslovne uvádza povaha a účel spracúvania(31).
69. Nemyslím si, že v prejednávanej veci by sa ustanovenia, na ktoré sa odvoláva vnútroštátny súd, konkrétne § 3 ods. 1, § 9 ods. 1 bod 1 a § 31 ods. 1 prvá veta zákona o súdnych exekútoroch, ako aj § 796 ods. 1 a § 799 ods. 1 prvá veta Občianskeho súdneho poriadku mohli kvalifikovať ako takéto právne ustanovenia, keďže z týchto ustanovení vyplýva len to, že súdny exekútor ako orgán verejnej moci je povinný vyhovieť každému návrhu na vykonanie exekúcie všetkými povolenými postupmi. Konkrétne sa zdá, že poľské právo neukladá súdnemu exekútorovi zákonnú povinnosť núteného predaja databázy obsahujúcej osobné údaje. V tejto súvislosti treba uviesť, že § 831 ods. 1 bod 3 Občianskeho súdneho poriadku vylučuje exekúciu „nescudziteľných práv“, čo možno chápať ako zákaz prevodu databázy v prípade, keď by tento prevod bol nezlučiteľný s GDPR.
70. V každom prípade nie je potrebné vylúčiť, že aj tento druhý prípad je relevantný v prejednávanej veci. Hoci totiž stačí, aby sa uplatnil jeden prípad zákonnosti, ako to potvrdzuje znenie článku 6 ods. 1 prvého pododseku GDPR, Súdny dvor pripustil, že jedno a to isté spracúvanie môže zodpovedať viacerým z týchto prípadov(32).
71. Na predmetné spracúvanie sa teda podľa môjho názoru vzťahuje prípad zákonnosti uvedený v článku 6 ods. 1 prvom pododseku písm. e) GDPR.
72. Treba poznamenať, že tento prípad predpokladá zohľadnenie ďalšej podmienky zákonnosti spracúvania. Článok 6 ods. 3 GDPR totiž spresňuje, že základ spracúvania uvedeného najmä v článku 6 ods. 1 prvom pododseku písm. e) tohto nariadenia musí byť vymedzený v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa a musí spĺňať cieľ verejného záujmu, ako aj byť primeraný sledovanému oprávnenému cieľu(33).
73. Ustanovenia článku 6 ods. 1 prvého pododseku písm. e) v spojení s článkom 6 ods. 3 GDPR teda vyžadujú existenciu právneho základu, najmä vo vnútroštátnom práve, pre spracúvanie osobných údajov prevádzkovateľmi uvedeného spracovania, ktorí konajú v rámci plnenia úlohy vo verejnom záujme alebo pri výkone verejnej moci, ako je úloha, ktorú vykonáva súdny exekútor v rámci exekúcie na majetok spoločnosti(34).
74. Podľa môjho názoru tento právny základ tvoria všetky ustanovenia poľského práva uvedené v prvej vete bodu 69 vyššie, z ktorých vyplýva, že súdny exekútor ako orgán verejnej moci je povinný vyhovieť každému návrhu na vykonanie exekúcie všetkými povolenými postupmi.
75. Otázka, či je predmetné spracúvanie v súlade s GDPR, si napokon vyžaduje preskúmanie ďalšej právnej problematiky, ktorá je jadrom prejednávanej veci.
76. Podotýkam totiž, že účel spracúvania osobných údajov súdnym exekútorom, teda nútený predaj databáz používateľov platformy M. s cieľom uspokojiť veriteľov spoločnosti NMW, sa líši od pôvodného účelu spracúvania osobných údajov touto spoločnosťou, ktorým bolo konkrétne umožniť používanie platformy M. pre potreby činnosti on‑line predaja vykonávanej uvedenou spoločnosťou.
77. V tejto súvislosti treba pripomenúť, že podľa článku 5 ods. 1 písm. b) GDPR, ktorý stanovuje zásadu „obmedzenia účelu“, musia byť osobné údaje jednak získavané na konkrétne určené, výslovne uvedené a legitímne účely a jednak sa nesmú ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi. Toto ustanovenie však neobsahuje nijaké údaje o podmienkach, za ktorých možno ďalšie spracúvanie osobných údajov považovať za zlučiteľné s účelmi pôvodného získavania týchto údajov(35).
78. Z článku 6 ods. 4 GDPR v spojení s odôvodnením 50 tohto nariadenia(36) vyplýva, že preskúmanie takejto zlučiteľnosti zahŕňa zohľadnenie celého súboru kritérií demonštratívne vymenovaných v tomto ustanovení.
79. Je zrejmé, že zohľadnenie týchto kritérií v prejednávanej veci nemôže viesť ku kladnej odpovedi, pokiaľ ide o zlučiteľnosť predmetných účelov. Ako Súdny dvor nedávno spresnil, uvedené kritériá vyjadrujú potrebu konkrétneho, logického a dostatočne úzkeho prepojenia medzi účelom pôvodného získania osobných údajov a ďalším spracúvaním týchto údajov a umožňujú tak zabezpečiť, aby sa toto ďalšie spracúvanie neodchyľovalo od legitímnych očakávaní dotknutých osôb, pokiaľ ide o následné použitie ich údajov(37). Takéto prepojenie pritom nie je možné v prejednávanej veci preukázať.
80. V každom prípade z prvej vety článku 6 ods. 4 GDPR vyplýva, že posúdenie zlučiteľnosti účelov je nevyhnutné len vtedy, „ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1 [GDPR]“.
81. V prejednávanej veci je nesporné, že používatelia platformy M. nevyjadrili súhlas so spracovaním na iný účel než na ten, na ktorý boli ich osobné údaje získané. Je teda potrebné položiť si otázku, či je takéto spracúvanie založené na vnútroštátnom práve alebo na práve Únie a či ho možno považovať za nevyhnutné a primerané opatrenie v demokratickej spoločnosti na dosiahnutie jedného z cieľov uvedených v článku 23 ods. 1 GDPR.
82. V tejto súvislosti považujem za potrebné spresniť, že Súdny dvor vyložil tento predpoklad ako skutočnú výnimku zo zásady obmedzenia účelu. Súdny dvor na základe odôvodnenia 50 GDPR uviedol, že prevádzkovateľ je na účely zachovania dôležitých cieľov všeobecného verejného záujmu uvedených v článku 23 ods. 1 GDPR oprávnený ďalej spracúvať dotknuté osobné údaje bez ohľadu na zlučiteľnosť tohto spracovania s účelmi, na ktoré boli osobné údaje pôvodne získané. Dospel teda k záveru, že článok 6 ods. 4 prvá veta tohto nariadenia sa uplatňuje na predloženie dokumentu obsahujúceho osobné údaje tretích osôb získané hlavne na účely daňovej kontroly ako dôkazu, ktoré nariadil súd v rámci občianskeho súdneho konania(38).
83. Aj keď ten výklad môže vyvolať nespokojnosť tých, ktorí sa domnievajú, že právo na ochranu osobných údajov musí byť obmedzené výlučne vnútroštátnymi legislatívnymi opatreniami, podľa môjho názoru je plne v súlade so zámermi normotvorcu Únie. Treba totiž pripomenúť, že v odôvodnenom stanovisku k pozícii Rady v prípravných prácach k GDPR je vyjadrené, možno ešte jasnejšie ako v odôvodnení 50 tohto nariadenia, rozhodnutie ponechať prevádzkovateľovi určitý starostlivo vymedzený priestor na vykonávanie spracúvania nezlučiteľného s účelmi uvedenými v čase získania osobných údajov, ktoré sú predmetom spracúvania(39).
84. Keďže existencia právneho základu pre spracúvanie, o ktoré ide v prejednávanej veci, už bola preukázaná, treba ďalej určiť, či cieľom tohto spracúvania je zaistiť ciele uvedené v článku 23 GDPR.
85. Poznamenávam, že medzi tieto ciele patrí v súlade s písmenom j) odseku 1 tohto ustanovenia „vymáhanie občianskoprávnych nárokov“. Zdá sa mi, že predmetné spracúvanie osobných údajov je vhodné na zabezpečenie dosiahnutia tohto cieľa. V tejto súvislosti treba poznamenať, že podľa vnútroštátneho súdu účel tohto spracúvania vyplýva zo znenia § 911 Občianskeho súdneho poriadku v spojení s § 31 ods. 1 prvou vetou zákona o súdnych exekútoroch, ktoré oprávňujú súdneho exekútora predať databázu a následne previesť čiastku získanú z tohto núteného predaja na účet veriteľa.
86. Otázka, či spracúvanie, ktoré vykonáva súdny exekútor v rámci exekučného konania, predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti na dosiahnutie cieľa zaistiť vymáhanie občianskoprávnych nárokov, patrí do právomoci vnútroštátneho súdu. Súdnemu dvoru však prináleží poskytnúť tomuto súdu na základe dostupných informácií všetky informácie potrebné na tento účel z hľadiska práva Únie(40).
87. Pokiaľ ide o nevyhnutnosť, je nesporné, že opatrenie je nevyhnutné, ak sledovaný legitímny cieľ nemožno dosiahnuť prostredníctvom rovnako primeraného, ale menej obmedzujúceho opatrenia. Inak povedané, je možné zaistiť vymáhanie nároku veriteľskej spoločnosti inými prostriedkami, ktoré sú rovnako účinné, ale predstavujú menší zásah do práv používateľov platformy M. na súkromie a na ochranu osobných údajov? V tejto súvislosti len poznamenám, že podľa vnútroštátneho súdu nie je možné uspokojiť veriteľskú spoločnosť z majetku spoločnosti, ktorá je dlžníkom, bez núteného predaja dotknutých databáz.
88. Pokiaľ ide o primeranosť, posúdenie tejto podmienky si vyžaduje vyváženie protichodných záujmov v závislosti od konkrétnych okolností jednotlivého skúmaného prípadu.
89. V prejednávanej veci prvý z týchto záujmov, ktorý je základným právom zakotveným v článku 8 ods. 1 Charty základných práv Európskej únie (ďalej len „Charta“) a v článku 16 ZFEÚ, spočíva v ochrane používateľov platformy M. pred spracúvaním osobných údajov. S týmto záujmom úzko súvisí právo na rešpektovanie súkromného života zakotvené v článku 7 Charty. Ako sa uvádza v odôvodnení 4 GDPR, právo na ochranu osobných údajov nie je absolútnym právom, ale musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a v súlade so zásadou proporcionality musí byť vyvážené s ostatnými základnými právami. Jedným z týchto práv je vlastnícke právo stanovené v článku 17 Charty. Predaj databázy patriacej dlžníkovi v rámci exekučného konania pritom podľa môjho názoru prispieva k rešpektovaniu vlastníckeho práva majiteľa súdom uznanej pohľadávky.
90. V tejto súvislosti treba pripomenúť, že článok 17 Charty zodpovedá článku 1 dodatkového protokolu k Európskemu dohovoru o ochrane ľudských práv a základných slobôd, podpísanému v Ríme 4. novembra 1950 (ďalej len „EDĽP“), takže jeho zmysel a rozsah pôsobnosti je podľa článku 52 ods. 3 Charty rovnaký ako zmysel a rozsah pôsobnosti, ktoré EDĽP priznáva tomuto článku 1.
91. Podľa judikatúry Európskeho súdu pre ľudské práva z vlastníckeho práva vyplýva, že štáty sú viazané pozitívnou povinnosťou zaviesť systém na výkon súdnych rozhodnutí, ktorý je účinný z praktického aj právneho hľadiska a ktorý umožní zabezpečiť, aby sa postupy, ktoré vnútroštátna právna úprava zaviedla na výkon právoplatných súdnych rozhodnutí, uplatňovali bez zbytočného odkladu(41). Ak je veriteľom súkromný subjekt, štát je povinný poskytnúť veriteľom potrebnú súčinnosť pri výkone dotknutých súdnych rozhodnutí, napríklad prostredníctvom služieb súdneho exekútora(42). V tomto kontexte platí, že ak sú orgány povinné konať na účely vykonania rozsudku a neurobia tak, ich nečinnosť môže viesť k vzniku zodpovednosti štátu najmä na základe článku 1 dodatkového protokolu č. 1 k EDĽP(43).
92. Pri posudzovaní tohto vyváženia medzi vlastníckym právom na jednej strane a právami na ochranu osobných údajov a na rešpektovanie súkromného života na druhej strane by sa podľa môjho názoru mohla zohľadniť jedna osobitná skutočnosť vyplývajúca zo spisu.
93. Podľa návrhu na začatie prejudiciálneho konania nijaké ustanovenie poľského práva nezavádza subjektívne obmedzenia, pokiaľ ide o nadobúdateľa databázy, pričom jedinou podmienkou je právna spôsobilosť, a táto medzera znamená, že treťou osobou ako nadobúdateľom môže byť aj subjekt usadený mimo Európskej únie, ktorý ako taký nie je povinný dodržiavať pravidlá v oblasti spracúvania osobných údajov stanovené v GDPR.
94. V takejto situácii sa mi zdá, že predmetné spracúvanie by viedlo k nadmernému obetovaniu práva na ochranu osobných údajov, a preto by sa nemohlo považovať za primerané opatrenie. Takémuto výsledku by sa dalo vyhnúť napríklad vnútroštátnou právnou normou, ktorá by súdnemu exekútorovi ukladala povinnosť zahrnúť do špecifikácií vypracovaných na účely dražby doložku, ktorá by tretej osobe ako nadobúdateľovi ukladala povinnosť dodržiavať pravidlá nariadenia GDPR.
Návrh
95. Vzhľadom na vyššie uvedené úvahy navrhujem, aby Súdny dvor odpovedal na prejudiciálnu otázku, ktorú mu položil Sąd Rejonowy dla m. st. Warszawy w Warszawie (Okresný súd mesta Varšava, Poľsko), takto:
Článok 6 ods. 1 prvý pododsek písm. e), článok 6 ods. 3 a článok 6 ods. 4 prvá veta nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),
sa má vykladať v tom zmysle, že
nebráni vnútroštátnej právnej úprave, ktorá umožňuje súdnemu exekútorovi predať v rámci exekučného konania databázu obsahujúcu osobné údaje, ak osoby, ktorých sa tieto údaje týkajú, neudelili súhlas na takýto predaj, a to pod podmienkou, že spracúvanie uvedených údajov vykonávané týmto súdnym exekútorom predstavuje nevyhnutné a primerané opatrenie v demokratickej spoločnosti na zaistenie vymáhania občianskoprávneho nároku.