null
STANOVISKO GENERÁLNÍHO ADVOKÁTA
RIMVYDASE NORKUSE
přednesené dne 16. dubna 2026(1)
Věc C‑205/25
Joachim Lindenberg
proti
Bayerisches Landesamt für Datenschutzaufsicht
[žádost o rozhodnutí o předběžné otázce, kterou podal Bayerisches Verwaltungsgericht Ansbach (bavorský správní soud v Ansbachu, Německo)]
„ Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 15 – Žádost subjektu údajů o přístup k jeho osobním údajům – Článek 77 – Údaje obsažené ve spisu dozorového úřadu zapojeného do řízení o stížnosti – Článek 4 bod 7 – Pojem ‚správce‘ – Článek 23 – Omezení práva na přístup k osobním údajům – Vnitrostátní právní úprava vylučující jakýkoli přístup ke spisu“
I. Úvod
1. Předmětem této žádosti o rozhodnutí o předběžné otázce, kterou předložil Bayerisches Verwaltungsgericht Ansbach (bavorský správní soud v Ansbachu, Německo) podle článku 267 SFEU je výklad čl. 4 bodů 7 a 21 a článků 15, 23 a 77 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)(2) (dále jen „GDPR“).
2. Tato žádost o rozhodnutí o předběžné otázce byla podána v rámci sporu mezi Joachimem Lindenbergem, novinářem specializujícím se na ochranu údajů, a Bayerisches Landesamt für Datenschutzaufsicht (bavorský zemský dozorový úřad pro ochranu údajů, Německo) (dále jen „Landesamt“), který se týká odmítnutí tohoto úřadu poskytnout mu na základě článku 15 GDPR úplný přístup k jeho spisu v rámci řízení zahájeného na základě stížnosti, kterou podal proti třetí osobě. Landesamt odůvodnil toto odmítnutí ustanovením bavorského práva, které vylučuje přístup veřejnosti ke spisům dozorových úřadů. V návaznosti na žalobu podanou J. Lindenbergem tento úřad nakonec poskytl elektronický přístup ke spisu, avšak neuznal právní omyl, přestože žalobce nadále požaduje, aby bylo určeno, že původní odmítnutí bylo protiprávní. Vzhledem k tomu, že předkládající soud má za to, že řešení sporu předpokládá výklad relevantních ustanovení GDPR, jakož i přezkum souladu bavorských právních předpisů s unijním právem, rozhodl se přerušit řízení a položit Soudnímu dvoru dvě předběžné otázky.
3. Soudní dvůr má rozhodnout o tom, zda lze dozorový úřad pro ochranu údajů považovat v rámci řízení o stížnosti podané podle článku 77 GDPR za „správce“ ve smyslu čl. 4 bodu 7 GDPR a do jaké míry je úřad vázán dodržováním povinností týkajících se přístupu k osobním údajům stanovených v článku 15 GDPR. Soudní dvůr je zejména žádán, aby přezkoumal, zda unijní právo brání vnitrostátní právní úpravě, která vylučuje jakékoli právo subjektů údajů na přístup ke spisu. Toto posouzení bude muset být provedeno ve světle článku 23 GDPR, který z určitých důvodů obecného zájmu umožňuje omezit povinnosti přístupu stanovené tímto nařízením, jakož i ve světle čl. 8 odst. 2 Listiny základních práv Evropské unie (dále jen „Listina“), který zaručuje každému právo na přístup k údajům, které o něm byly shromážděny. V tomto ohledu bude muset Soudní dvůr vyvážit požadavek transparentnosti správního postupu na jedné straně a nezbytnost zajistit účinnost vyšetřování v oblasti ochrany údajů na straně druhé.
II. Právní rámec
A. Unijní právo
4. V rámci projednávané věci jsou relevantní články 8 a 52 Listiny, článek 16 SFEU, jakož i čl. 4 body 1, 2, 7 a 9, jakož i články 5, 15, 23, 51, 57, 58 a 77 GDPR.
B. Německé právo
5. Podle článku 18 Bayerisches Datenschutzgesetz (bavorský zákon o ochraně údajů, dále jen „BayDSG“) je Landesamt dozorovým úřadem pro neveřejné subjekty.
6. Článek 20 BayDSG stanoví:
„(1) Kdokoli se může obrátit na dozorové úřady s tím, že v důsledku zpracování jeho osobních údajů byla porušena jeho práva. Subjekt údajů nesmí být v důsledku toho, že se obrátí na dozorové úřady, nijak znevýhodněn.
(2) Práva na přístup k osobním údajům nebo nahlížení do spisů a evidencí dozorových úřadů jsou vyloučena.“
7. V důvodové zprávě k čl. 20 odst. 2 BayDSG se uvádí, že toto ustanovení se použije v případě, že je takové právo uplatněno vůči Landesamt v souvislosti s jeho spisy a evidencemi, a vylučuje jakékoli právo na přístup podle článku 15 GDPR.
III. Skutkový základ sporu v původním řízení, původní řízení a předběžné otázky
8. Joachim Lindenberg je novinář a provozuje blog věnovaný zejména ochraně údajů. Od roku 2021 zahájil u Landesamt několik řízení o stížnosti.
9. Na základě stížnosti v oblasti ochrany osobních údajů, kterou J. Lindenberg podal k Landesamt dne 13. května 2022, zahájil tento úřad dozorové řízení proti třetí osobě. E-mailem ze dne 11. října 2022 informoval Landesamt J. Lindenberga, že zjistil porušení ochrany osobních údajů, kterých se dopustila osoba, proti níž byla stížnost podána. Dodal, že po uplynutí lhůty stanovené k nápravě těchto porušení bude osoba, které se stížnost týká, napomenuta, pokud se dopustí nových protiprávních jednání. E-mailem z téhož dne požádal J. Lindenberg o sdělení dalších detailů týkajících se opatření, které Landesamt přijal. Vzhledem k tomu, že Landesamt této žádosti nevyhověl, požádal J. Lindenberg e-mailem ze dne 11. října 2022 o úplný přístup k osobním údajům podle čl. 15 odst. 1 a 3 GDPR.
10. Landesamt e-mailem a rozhodnutím ze dne 20. října 2022 rozhodl, že se žádost o přístup k osobním údajům podle čl. 15 odst. 1 a 3 GDPR zamítá. Toto zamítnutí odůvodnil tím, že výslovné ustanovení čl. 20 odst. 2 BayDSG vylučuje právo na přístup k osobním údajům nebo nahlížení do spisů a evidencí dozorových úřadů.
11. Proti tomuto rozhodnutí podal J. Lindenberg žalobu k Bayerisches Verwaltungsgericht Ansbach (bavorský správní soud v Ansbachu), kterou se domáhal, aby byla Landesamt uložena povinnost poskytnout mu kopii všech údajů obsažených ve spise vedeném v řízení o stížnosti zahájeném dne 13. května 2022.
12. Dne 23. února 2024 Landesamt umožnil elektronický přístup ke spisu vedenému v řízení o stížnosti zahájeném na základě stížnosti J. Lindenberga, avšak neuznal právní povinnost tak učinit.
13. Joachim Lindenberg se nyní domáhá již pouze toho, aby bylo určeno, že rozhodnutí ze dne 20. října 2022, kterým Landesamt zamítl jeho žádost o přístup k osobním údajům, je protiprávní.
14. Předkládající soud poukazuje na to, že pokud stěžovatel, jako je J. Lindenberg, zahájí řízení o stížnosti u dozorového úřadu pro ochranu údajů, jako je Landesamt, na základě článku 77 GDPR, jedná tento úřad ve vztahu k němu jako dozorový úřad ve smyslu čl. 4 bodu 21 GDPR. Někteří, včetně Landesamt, mají za to, že to vylučuje, aby byl dozorový úřad pro ochranu údajů ve vztahu ke stěžovateli „správcem“ ve smyslu článku 15 ve spojení s čl. 4 bodem 7 GDPR, a že to tedy bez dalšího brání stěžovateli uplatnit vůči dozorovému úřadu pro ochranu údajů právo na přístup k osobním údajům vyplývajícím z řízení o stížnosti.
15. Předkládající soud naproti tomu vychází ze zásady, že dozorový úřad pro ochranu údajů může být zároveň dozorovým úřadem ve smyslu čl. 4 bodu 21 GDPR i správcem údajů, jakožto i osobou, proti níž je podána stížnost ve smyslu článku 15 ve spojení s čl. 4 bodem 7 GDPR.
16. Předkládající soud má za to, že pokud tomu tak skutečně je, vyvstává otázka, zda takové prosté vyloučení práva na přístup ke spisům a evidencím dozorového úřadu, jako je vyloučení stanovené v čl. 20 odst. 2 BayDSG, splňuje podmínky, za nichž lze uplatnit možnost stanovit omezení podle čl. 23 odst. 1 GDPR.
17. Za těchto podmínek se Bayerisches Verwaltungsgericht Ansbach (bavorský správní soud v Ansbachu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Musí být článek 15 ve spojení s čl. 4 bodem 7 [GDPR] vykládán v tom smyslu, že dozorový úřad ve smyslu čl. 4 bodu 21 tohoto nařízení, který jedná v rámci řízení o stížnosti zahájeném subjektem údajů podle článku 77 uvedeného nařízení, je zároveň ‚správcem‘ ve smyslu článku 15 ve spojení s čl. 4 bodem 7 téhož nařízení, a je proto povinen poskytnout subjektu údajů přístup k osobním údajům na základě článku 15 [GDPR]?
2) V případě kladné odpovědi na první otázku, musí být unijní právo, zejména článek 23 [GDPR], vykládáno v tom smyslu, že brání takové vnitrostátní právní úpravě – jako je čl. 20 odst. 2 [BayDSG] – která paušálně vylučuje práva na přístup k osobním údajům nebo nahlížení do spisů a evidencí dozorových úřadů podle čl. 4 bodu 21 [GDPR]?“
IV. Řízení před Soudním dvorem
18. Předkládací rozhodnutí ze dne 19. února 2025 došlo kanceláři Soudního dvora dne 17. března 2025.
19. Landesamt, bulharská a lotyšská vláda, jakož i Evropská komise předložily písemná vyjádření ve lhůtě stanovené článkem 23 statutu Soudního dvora Evropské unie.
20. Na jednání konaném dne 22. ledna 2026 přednesli vyjádření zástupci J. Lindenberga, Landesamt, bulharské vlády, jakož i Komise.
V. Právní analýza
A. Úvodní poznámky
21. Projednávaná věc nastoluje zásadní otázku týkající se právního postavení dozorových úřadů s ohledem na práva uznaná GDPR, zejména s ohledem na právo na přístup k osobním údajům zaručené článkem 15 GDPR. Jde o to určit, zda při vyřizování stížnosti podané podle článku 77 GDPR může být dozorový úřad ve vztahu k údajům, které v tomto rámci zpracovává, kvalifikován jako „správce“ ve smyslu čl. 4 bodu 7 tohoto nařízení. Tato kvalifikace je rozhodující, jelikož podmiňuje použitelnost povinností umožnit přístup, které lze uplatnit vůči správci a v širším smyslu vyvolává otázky ohledně rovnováhy mezi ochranou individuálních práv a charakteristikami, které jsou vlastní výkonu dozorových úkolů, které spočívají na rozhodovací nezávislosti, důvěrnosti šetření a účinnosti vyšetřovacích pravomocí.
22. Pokud by Soudní dvůr dospěl k závěru, že dozorový úřad může být v zásadě povinen dodržovat článek 15 GDPR, vyvolalo by to druhou otázku normativní povahy týkající se slučitelnosti obecného a absolutního vyloučení práva na přístup ke správním spisům s unijním právním rámcem. Taková vnitrostátní právní úprava musí být posouzena z hlediska požadavků stanovených v článku 23 GDPR, který striktně vymezuje omezení práv, která zaručuje, tím, že je podmiňuje splněním kumulativních podmínek, pokud jde o právní základ, nezbytnost, přiměřenost a ochranu cílů obecného zájmu uznaných Unií. Tato analýza rovněž vyžaduje zohlednění záruk vycházejících z primárního práva, zejména záruk týkajících se dodržování základních práv a účinnosti opravných prostředků.
23. Právní analýza bude tedy rozdělena do dvou po sobě jdoucích fází. Na jedné straně bude třeba určit, zda a v jakém rozsahu lze dozorový úřad považovat v rámci řízení o stížnosti za „správce“, který je vázán povinnostmi týkajícími se přístupu zakotvenými v GDPR(3). Na straně druhé a pouze v případě kladné odpovědi bude třeba posoudit, zda je obecné, nerozlišující a preventivní vyloučení práva na přístup ke spisům dozorových úřadů slučitelné s harmonizovaným režimem GDPR s ohledem na požadavky transparentnosti veřejné správy, ochrany údajů, institucionální nezávislosti a účinnosti kontrolních mechanismů, které je třeba vyvážit, aniž je některý z těchto požadavků zbaven své podstaty(4).
B. K první otázce
1. Ke kvalifikaci dozorového úřadu jako „správce“ podle čl. 4 bodu 7 GDPR
24. Pokud jde o případnou kvalifikaci dozorového úřadu jako „správce“, která je předmětem první předběžné otázky, je třeba úvodem připomenout právní definici tohoto pojmu, jak je uvedena v čl. 4 bodě 7 GDPR. Podle tohoto ustanovení se „správcem“ rozumí každá „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů“. V tomto ohledu je třeba připomenout, že uvedený pojem je podle ustálené judikatury Soudního dvora vykládán široce(5).
25. Zaprvé je třeba konstatovat, že uvedená právní definice výslovně odkazuje na „orgány veřejné moci“. Samotné znění čl. 4 bodu 7 GDPR tedy nijak nevylučuje možnost považovat dozorový úřad za „správce“. Unijní normotvůrce záměrně upustil od rozlišování mezi soukromými a veřejnými subjekty, o čemž svědčí několik bodů odůvodnění, které výslovně zmiňují zpracování osobních údajů orgány veřejné moci. Kromě toho skutečnost, že je dozorový úřad definován v čl. 4 bodě 21 GDPR jako nezávislý orgán veřejné moci zřízený členským státem podle článku 51, nemůže být s ohledem na široký a funkční význam, který toto nařízení přiznává pojmu „správce“(6), vykládána tak, že jako taková brání této jeho případné kvalifikaci.
26. Zadruhé je třeba uvést, že pokud takový dozorový úřad vykonává úkoly, které jsou mu svěřeny na základě článku 77 GDPR – zejména vyřizování stížností týkajících se případných porušení pravidel ochrany údajů – je sám nucen zpracovávat osobní údaje. Úřad se neomezuje pouze na přijímání těchto údajů; uspořádává je, analyzuje, uchovává a využívá je v rámci autonomního výkonu vyšetřovacích a donucovacích pravomocí, které mu přiznává toto nařízení. Takové operace podle mého názoru spadají do působnosti čl. 4 bodu 2 GDPR, jenž chápe pojem „zpracování“ v širokém smyslu, který je oddělen od jakéhokoli konkrétního kontextu, a zahrnuje všechny operace prováděné s údaji.
27. Na podporu této analýzy vysvětlím v následujících úvahách jednak základní charakteristiky postupu pro vyřizování stížností stanoveného v článku 77 GDPR a jednak kategorie osobních údajů, které mají dozorové úřady v tomto rámci pravidelně a konkrétně zpracovávat. Tento výklad umožní lépe pochopit povahu a rozsah úkolů vykonávaných dozorovými úřady při vyšetřování takového postupu.
a) Základní charakteristiky „řízení o stížnosti“ podle článku 77 GDPR
28. Postup pro podávání stížností(7) zavedený článkem 77 GDPR představuje ústřední mechanismus systému Unie, jehož cílem je zajistit ochranu fyzických osob v souvislosti se zpracováním jejich osobních údajů. Přispívá k operativnímu provádění zásady zakotvené v čl. 8 odst. 3 Listiny, podle níž musí dodržování pravidel ochrany údajů podléhat dohledu nezávislého orgánu. Soudní dvůr opakovaně zdůraznil, že tento kontrolní mechanismus nemá čistě formální povahu, ale jeho cílem je zajistit účinnou a skutečnou ochranu základních práv(8).
29. Článek 77 odst. 1 GDPR přiznává každému subjektu údajů právo podat stížnost bez zvláštních formálních požadavků a nákladů, zejména u dozorového úřadu v členském státě svého obvyklého bydliště, místa výkonu práce nebo místa, kde došlo k údajnému porušení. Vzhledem k tomu, že toto právo představuje základní prvek systému ochrany zavedeného tímto nařízením, nemůže být vykládáno ani uplatňováno způsobem, který by v praxi znemožňoval nebo nadměrně ztěžoval jeho výkon(9).
30. Je třeba zdůraznit, že podání stížnosti nedává dozorovému úřadu pouhou obecnou možnost přezkumu, ale ukládá mu konkrétní povinnost provést úplné, pečlivé a nestranné šetření případu. Z judikatury Soudního dvora totiž vyplývá, že podle čl. 57 odst. 1 písm. f) GDPR je každý dozorový úřad povinen zabývat se stížnostmi podanými v jeho územní působnosti, v nezbytném rozsahu přezkoumat jejich povahu a vyřizovat je s veškerou náležitou péčí(10).
31. Z toho vyplývá, že dozorový úřad nemůže upustit od projednání stížnosti z důvodů týkajících se pouze administrativní hospodárnosti nebo úvah o účelnosti. Stejně tak nesmí omezit svou úlohu na neformální mediaci nebo na pouhou roli zprostředkovatele. Je naopak povinen přezkoumat tvrzené porušení po skutkové a právní stránce a v případě potřeby účinně uplatnit nápravné pravomoci, které mu svěřuje unijní právo(11).
32. Pravomoci uvedené v článku 58 GDPR musí být podle judikatury vykládány ve světle jejich účelu, kterým je zajištění úplné účinnosti tohoto nařízení. Soudní dvůr zdůraznil povinnost dozorových úřadů přijmout v případě zjištěného porušení „vhodná a nezbytná“ nápravná opatření a použít všechny nástroje, které mají k dispozici. Tento požadavek zahrnuje represivní opatření, neboť nečinnost by mohla ohrozit užitečný účinek uvedeného nařízení(12).
33. Článek 77 odst. 2 GDPR dále ukládá povinnost informovat stěžovatele o pokroku v řízení a o jeho výsledku. Tato povinnost je splněna pouze tehdy, pokud poskytnutá odpověď umožňuje prokázat, že stížnost byla účinně přezkoumána po skutkové i právní stránce a obsahuje prvky nezbytné pro účinný soudní přezkum. Řízení se tedy nemůže omezit na čistě formální rozhodnutí, ale musí vést k zevrubnému a řádně odůvodněnému posouzení, které může být podle čl. 78 odst. 1 GDPR přezkoumáno soudem, jemuž byla věc předložena. Každé rozhodnutí přijaté na základě stížnosti dozorovým úřadem totiž podléhá úplnému soudnímu přezkumu(13).
34. Postup podle článku 77 GDPR posuzovaný jako celek není pouhým správním aktem, ale autonomním právním prostředkem zavedeným unijním právem, který přispívá jak k ochraně individuálních práv, tak k objektivní ochraně právního řádu v oblasti ochrany údajů. Soudní dvůr přiznává dozorovým úřadům postavení institucionálních garantů systému strukturální ochrany základních práv, jejichž úloha se neomezuje na pasivní přijímání stížností, ale zahrnuje aktivní uplatňování pravidel ochrany údajů.
b) „Zpracování“ osobních údajů dozorovým úřadem v rámci řízení o stížnosti
35. Po připomenutí základních rysů řízení o stížnosti je třeba posoudit, do jaké míry spadá činnost dozorového úřadu pod „zpracování“ ve smyslu čl. 4 bodu 2 GDPR. Tento pojem je definován jako „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.
36. V tomto ohledu je třeba zdůraznit, že v rámci postupu založeného na článku 77 GDPR se dozorový úřad neomezuje na přijímání údajů. Naopak uskutečňuje soubor samostatných a strukturovaných operací prováděných za účelem výkonu svého zákonem stanoveného úkolu přezkumu, vyšetřování a kontroly. Zpracování totiž začíná okamžikem podání stížnosti, která obsahuje údaje týkající se stěžovatele a případně dotčeného správce nebo identifikovatelných třetích osob. Tyto informace – které spadají pod pojem „osobní údaje“ ve smyslu čl. 4 bodu 1 GDPR – jsou zaznamenány, začleněny do spisu a uchovávány ve vnitřních systémech dozorového úřadu, což již představuje materiální a organizační operace, které jsou „zpracováním“(14).
37. Tyto operace spadají do úkolů, které čl. 57 odst. 1 GDPR svěřuje dozorovým úřadům, jak jsou uvedeny v tomto stanovisku. Mezi tyto úkoly patří zejména přezkoumávání stížností [písm. f)] a výkon vyšetřovacích a rozhodovacích pravomocí [písm. h)]. Při plnění těchto úkolů jednají úřady v rámci funkční a rozhodovací autonomie zaručené unijním právem, která je konkrétně vyjádřena ve způsobu, jakým jsou vyřizovány stížnosti a jak jsou vykonávány kontrolní pravomoci, které z nich vyplývají.
38. V průběhu řízení provádí dozorový úřad skutkové a právní posouzení skutečností, které mu byly předloženy. Shromažďuje, organizuje, analyzuje a vyhodnocuje údaje s ohledem na použitelný normativní rámec. K dalším operacím zpracování dochází i v případě, že si vyžádá doplňující informace od správce, proti němuž stížnost směřuje a který je předmětem šetření, nebo když nahlíží do dalších dokumentů, které mohou obsahovat osobní údaje. Tyto informace poté dozorový úřad přijímá, zaznamenává, analyzuje a uchovává. Stejně tak propojení těchto skutečností s případnými již existujícími spisy nebo informacemi může být považováno za operaci „zpracování“.
39. Takto zpracovávané údaje se použijí pro účely nezávislého výkonu vyšetřovacích a rozhodovacích pravomocí dozorového úřadu(15). Slouží k prokázání skutkového stavu, k jeho právní kvalifikaci, k posouzení možných nápravných opatření, a případně k přijetí závazných rozhodnutí nebo příkazů. Jsou rovněž využívány v rámci procesních sdělení adresovaných stranám, zejména při informování stěžovatele nebo správce o výsledku řízení.
40. Ze všech těchto skutečností vyplývá, že dozorový úřad nelze považovat za pouhého „příjemce“ údajů ve smyslu čl. 4 bodu 9 GDPR. Vzhledem k tomu, že rozhoduje samostatně o způsobu shromažďování, analýze, organizaci a využívání těchto údajů pro účely plnění úkolů, které jsou mu svěřeny zákonem, jedná jako subjekt, který provádí „zpracování“ ve plném rozsahu smyslu čl. 4 bodu 2 GDPR. Tento aspekt vyžaduje podrobnější zkoumání v následujícím oddíle.
2. K možnosti dozorového úřadu „určit účely a prostředky zpracování“
41. Aby mohl být dozorový úřad považován za „správce“ ve smyslu čl. 4 bodu 7 GDPR, je třeba, aby mu byla rovněž svěřena pravomoc určovat účely a prostředky zpracování osobních údajů.
42. Jak bylo uvedeno výše, úloha dozorového úřadu v rámci řízení o stížnosti podle článku 77 GDPR není omezena na pouhé pasivní přijímání informací. Ve skutečnosti určuje účel zpracování tím, že rozhoduje, zda budou údaje použity pro posouzení možného porušení pravidel ochrany údajů, zjištění skutkového stavu a případně k přípravě a přijetí kontrolních opatření. Uvedené určování účelu není pouze předdefinováno zákonem, ale vyžaduje rovněž nezávislou konkretizaci případ od případu ze strany úřadu, zejména pokud jde o rozsah přezkumu, přesný předmět šetření a právní kvalifikaci vznesených námitek(16).
43. Dozorový úřad rovněž samostatně rozhoduje o zásadních otázkách týkajících se prostředků zpracování. Určuje, které osobní údaje jsou shromažďovány, v jaké formě jsou zaznamenávány, strukturovány a uchovávány, podle jakých kritérií jsou vytvářeny spisy, uspořádány digitální archivy nebo zaznamenávány důkazy, jakož i technické nebo organizační postupy používané pro analýzu, další zpracování nebo interní zpřístupnění údajů. Stejně tak rozhoduje, zda je třeba zaslat vyšetřovanému subjektu žádosti o informace, jaké doplňující informace mají být vyžádány, jakým způsobem budou propojeny a po jakou dobu budou uchovávány. Tato pravomoc týkající se výběru a organizace zjevně přesahuje pouhé plnění pomocného nebo podřízeného úkolu.
44. Skutečně prováděné operace zpracování potvrzují uvedenou rozhodovací autonomii. Úřad zaregistruje stížnost, zakládá vlastní spisy, uchovává a organizuje přijaté údaje a údaje, které shromažďuje, provádí jejich skutkové a právní posouzení, požaduje doplňující dokumenty, zaznamenává vyšetřovací úkony a na základě vlastní analýzy přijímá procesní a věcná rozhodnutí. Zpracování tedy neslouží pouze k technickému vedení správního spisu, ale je i základem samostatné vyšetřovací, posuzovací a rozhodovací činnosti, kterou unijní právo svěřuje výlučně dozorovému úřadu.
45. Okolnost, že uvedená činnost spadá do výkonu zákonem stanoveného úkolu, nezbavuje subjekt statusu „správce“. Soudní dvůr opakovaně připomněl, že orgány veřejné moci mohou být kvalifikovány jako „správci“, mají-li rozhodovací prostor, pokud jde o konkrétní podmínky zpracování(17). V tomto ohledu je třeba uvést, že Landesamt sám na jednání uznal, že má při určování svých úkolů prostor pro uvážení, a to i v rámci vyřizování stížností(18), přičemž tento prostor je výrazem jeho samostatnosti.
46. Postavení „zpracovatele“ je třeba rovněž vyloučit, chybí-li jakákoli podřízenost, pokud jde o určení účelů a prostředků, jelikož orgán nejedná na pokyn třetí osoby, ale v rámci výkonu svých vlastních pravomocí. Dozorový úřad zejména nejedná jménem správce, kterého se stížnost týká, ale vykonává veřejnou pravomoc, která je mu svěřena za účelem zajištění dodržování unijního práva.
47. I když dotčené zpracování zpravidla vychází z čl. 6 odst. 1 písm. e) GDPR ve spojení s čl. 57 odst. 1 písm. f) a h) tohoto nařízení, existence právního základu zajišťuje pouze zákonnost zpracování, aniž vylučuje postavení „správce“. Naopak skutečnost, že zákon úřadu svěřuje výkon dozorových úkolů, potvrzuje, že zpracovává údaje v rámci plnění svých vlastních zákonných povinností a za podmínek, které sám stanoví. Jakožto „správce“ je tedy v zásadě nadále povinen dodržovat povinnosti vyplývající z GDPR, zejména zásady stanovené v článku 5 a práva osob uvedená v kapitole III tohoto nařízení, pokud tato práva nebyla platně omezena dostatečně jasným a přiměřeným právním ustanovením v souladu s článkem 23 GDPR.
48. Nezávislost dozorových úřadů zakotvená v článku 52 GDPR a znovu potvrzená v bodě 117 odůvodnění vyžaduje, aby byly v případě operací s osobními údaji, které provádějí při plnění svých zákonných úkolů, kvalifikovány jako „správci“. Pouze samostatné stanovení účelů a prostředků příslušných zpracování jim spolu s odpovědností, která z toho vyplývá, umožňuje vykonávat své kontrolní a nápravné pravomoci zcela nezávisle na subjektech, na které dohlížejí. Pokud by byli v rámci vyřizování stížností považováni za pouhé vykonavatele účelů stanovených třetími osobami, ohrozilo by to jejich institucionální nezávislost, postavilo by je to do závislého postavení vůči kontrolovaným odpovědným osobám a zbavilo by to požadavek odpovědnosti stanovený unijním právem jeho podstaty. Dozorový úřad tedy musí nést vlastní odpovědnost za zpracování osobních údajů prováděné v rámci řízení o stížnosti, přičemž práva subjektů údajů stanovená v GDPR se na něj plně vztahují(19).
49. Konečně pokud by dozorový úřad nebyl v rámci vyřizování stížností kvalifikován jako „správce“, subjekt údajů by do značné míry postrádal ochranu ve vztahu k ústřednímu prvku zpracování svých údajů. Práva subjektů údajů stanovená v článcích 12 až 22 GDPR, zejména právo na přístup k osobním údajům podle článku 15, mohou být totiž vykonávána pouze vůči správci. Bez této kvalifikace by subjekt údajů nebyl schopen zjistit, které údaje úřad v rámci stížnosti shromažďuje a zpracovává, ani požadovat jejich opravu, výmaz nebo omezení. Zpracování údajů prováděné úřadem by tak unikalo jakémukoli požadavku transparentnosti a odpovědnosti, a to i přesto, že právě tento úřad je pověřen ochranou práv subjektů údajů. Skutečnost, že by nebyl kvalifikován jako „správce“ by tedy vytvořila strukturální mezeru v ochraně a zbavila by subjekt údajů ve vztahu k dozorovému úřadu základních záruk stanovených GDPR(20).
50. Z toho vyplývá, že dozorový úřad v rámci vyřizování stížností podaných podle článku 77 GDPR rozhoduje o účelech a prostředcích zpracování a neomezuje se na přijímání nebo správu údajů určených třetí stranou. Jedná jako nezávislý subjekt, který shromažďuje, uspořádává, analyzuje a používá osobní údaje jako základ pro rozhodování v rámci výkonu veřejné moci. Musí být tedy kvalifikován jako „správce“ ve smyslu široké definice uvedené v čl. 4 bodě 7 GDPR(21).
51. Pro úplnost je třeba poznamenat, že skutečnost, že unijní normotvůrce výslovně neupravil případ, kdy dozorový úřad jedná v rámci řízení o stížnosti současně jako „správce“ ve smyslu čl. 4 bodu 7 GDPR, nepředstavuje relevantní argument, který by mohl takové kvalifikaci bránit. Rozhodující je naopak otázka, zda tento orgán splňuje hmotněprávní podmínky stanovené v tomto ustanovení. Jak přitom vyplývá z výše uvedené analýzy, v projednávané věci tomu tak zjevně je.
52. V této souvislosti nemůže obstát ani argument Landesamt, podle kterého některá ustanovení GDPR nutně předpokládají striktní rozlišování mezi dozorovým úřadem na jedné straně a „správcem“ na straně druhé. Tato ustanovení se vztahují pouze na základní situaci předvídanou unijním normotvůrcem, v níž tyto dvě úlohy nelze zaměňovat. Nevylučují však, že dozorový úřad může za určitých okolností – jako jsou okolnosti dotčené ve věci v původním řízení – současně splňovat podmínky požadované k tomu, aby mohl být považován za „správce“.
53. Vzhledem k tomu, že některá ustanovení GDPR upravují „spolupráci“ nebo „konzultace“ mezi „správcem“ a dozorovým úřadem, zejména články 31 a 36, lze případný střet, který by mohl vyplynout z překrývání těchto úloh, vyřešit teleologickým výkladem tohoto nařízení. Takový výklad vyžaduje, aby byly vnitřní postupy dozorového úřadu organizovány a koordinovány tak, aby bylo zajištěno účinné dosažení cílů sledovaných příslušnými ustanoveními.
3. K existenci práva stěžovatele na přístup k osobním údajům na základě článku 15 GDPR
54. Jak bylo uvedeno v tomto stanovisku, kvalifikace dozorového úřadu jako „správce“ s sebou nese povinnost zajistit dodržování práv přiznaných subjektům údajů kapitolou III GDPR. Mezi tato práva patří zejména právo na přístup k osobním údajům zakotvené v článku 15 tohoto nařízení.
55. V rámci řízení zahájeného na základě článku 77 GDPR má stěžovatel v zásadě rovněž postavení „subjektu údajů“ ve smyslu tohoto nařízení. Za tímto účelem může požadovat, aby mu dozorový úřad potvrdil, zda zpracovává jeho osobní údaje. V případě kladné odpovědi zahrnuje právo na přístup k osobním údajům také všechny informace taxativně vyjmenované v čl. 15 odst. 1 písm. a) až h) GDPR, mezi něž patří zejména účely zpracování, kategorie dotčených údajů, příjemci nebo kategorie příjemců, doba, po kterou jsou údaje uchovávány, jakož i informace o právech subjektu údajů.
a) Právo na poskytnutí „kopie“ podle čl. 15 odst. 3 GDPR
56. Právo na přístup k osobním údajům zahrnuje mimo jiné právo subjektu údajů získat kopii údajů podle čl. 15 odst. 3 GDPR. Toto ustanovení ukládá správci povinnost poskytnout subjektu údajů kopii jeho osobních údajů ve srozumitelné formě, která umožňuje přesně pochopit rozsah a způsoby jejich zpracování. Účelem tohoto práva je umožnit subjektu údajů ověřit, jaké údaje, které se ho týkají, jsou zpracovávány, identifikovat jejich zdroj, pochopit účely tohoto zpracování a zjistit jejich případné příjemce(22).
57. Soudní dvůr rozhodl, že kopie musí být poskytnuta za podmínek umožňujících účinnou kontrolu zákonnosti zpracování, jakož i užitečný výkon ostatních práv zakotvených v GDPR(23). Výraz „kopie“ se netýká dokumentu jako takového, ale osobních údajů v něm obsažených; důležité je, aby tyto údaje byly sděleny úplným a jasným způsobem, který umožňuje dovodit jejich význam. Aby byla zaručena účinnost tohoto práva, může se jako nezbytná ukázat reprodukce výpisů z dokumentů – či dokonce celých dokumentů – nebo výpisů z databází obsahujících mimo jiné zpracovávané osobní údaje(24).
58. Rozsah tohoto práva však zůstává striktně vymezen jeho funkcí. Vztahuje se pouze na „osobní údaje“ subjektu údajů a zahrnuje veškeré informace, které se ho týkají nebo umožňují jeho identifikaci ve smyslu čl. 4 bodu 1 GDPR. Pokud je pro plné pochopení těchto údajů nezbytný kontext, v němž se objevují, může povinnost zpřístupnění osobních údajů zahrnovat předání vhodného výpisu nebo kontextuální prezentace v rozsahu nezbytném pro splnění požadavků na transparentnost. Právo získat kopii tak představuje ústřední prvek mechanismu informačního sebeurčení zavedeného GDPR, jelikož subjektu údajů zaručuje podstatnou kontrolu nad zpracováním jeho údajů a umožňuje mu ověřit jeho soulad s požadavky unijního práva.
b) Článek 15 GDPR nestanoví „obecné právo na přístup ke správnímu spisu“
59. Uvedené právo na přístup k osobním údajům stanovené v článku 15 GDPR, které je vlastní režimu ochrany osobních údajů, však nelze stavět na roveň obecnému právu na přístup ke správnímu spisu ani obecně platnému požadavku transparentnosti veřejné správy. Cílem tohoto ustanovení je výhradně zajistit transparentnost zpracování, aby měl subjekt údajů možnost kontrolovat jeho zákonnost a účinně uplatnit práva, která z něj vyplývají, zejména právo na opravu, výmaz („právo být zapomenut“), právo na omezení zpracování nebo právo na námitku(25). Ustanovení naproti tomu nezakotvuje ani obecné právo na přístup k informacím, které má správní orgán k dispozici, ani právo nahlížet do interních dokumentů, a tím spíše ani právo na zpřístupnění informací týkajících se vnitřního procesu projednávání nebo rozhodování orgánu veřejné moci. To je zřejmé z porovnání práva na přístup k osobním údajům podle článku 15 GDPR s ostatními právy na přístup zakotvenými v unijním a vnitrostátním právu.
60. Zaprvé článek 15 a čl. 77 odst. 2 GDPR slouží odlišným účelům, a proto je třeba je striktně rozlišovat. Článek 77 odst. 2 zavádí procesní právo být informován o pokroku v řešení stížnosti a o jeho výsledku, nepřiznává však právo na přístup k údajům nebo dokumentům na základě právní úpravy ochrany údajů. Zatímco cílem článku 15 je zajistit, aby měl jednotlivec kontrolu nad svými vlastními osobními údaji, čl. 77 odst. 2 souvisí s požadavkem transparentnosti řízení při vyřizování správních stížností. Tato ustanovení, která jsou nezávislá, pokud jde o jejich předmět a dosah, nemohou být zaměňována ani nahrazena jedno druhým. Jedná se o nezávislé právní režimy, které odpovídají odlišné normativní logice, podléhají vlastním podmínkám výkonu a nemají se vzájemně překrývat ani nahrazovat.
61. Zadruhé článek 15 GDPR zavádí pouze právo na přístup k osobním údajům a nezakotvuje ani právo na přístup ke správnímu spisu, ani právo nahlížet do dokumentů v držení úřadu(26). Jeho věcná působnost je omezena na zpřístupnění zpracovávaných osobních údajů a netýká se ani transparentnosti veřejné správy, ani přístupu k interním rozhodovacím procesům. Právo na přístup ke spisu tak zůstává – s výjimkou odvětvových ustanovení unijního práva – v normativní pravomoci členských států, kde je obecně upraveno právními předpisy týkajícími se obecného správního řízení, zvláštními procesními režimy, zákony o svobodném přístupu k informacím a transparentnosti nebo zvláštními profesními nebo odvětvovými pravidly(27).
62. Z toho vyplývá, že článek 15 GDPR nezakládá jakékoli právo na zpřístupnění správního spisu jako takového nebo nahlížení do něj. Rozsah práva na přístup se zejména nevztahuje na interní právní analýzy, stanoviska, poznámky, služební poznámky, přípravné dokumenty ani obecně na skutečnosti, které jsou součástí procesu vypracování nebo interního odůvodnění správního rozhodnutí. Pokud dokument v držení orgánu obsahuje osobní údaje týkající se stěžovatele, je povinnost poskytnout přístup k osobním údajům omezena na sdělení těchto údajů jako takových, a nikoli na úplné předání nebo reprodukci dokumentárního nosiče, který je obsahuje. Konečně informace, které nemají žádnou přímou nebo nepřímou identifikační souvislost se subjektem údajů, jsou ze své podstaty z věcné působnosti článku 15 GDPR vyloučeny.
63. Kromě toho je třeba připomenout, že právo na přístup k osobním údajům stanovené v článku 15 GDPR může podléhat určitým omezením podle čl. 23 odst. 1 tohoto nařízení, jsou-li splněny podmínky v něm uvedené. Tento aspekt je předmětem druhé předběžné otázky, kterou se budu zabývat v následující části.
4. Dílčí závěr
64. S ohledem na výše uvedené úvahy mám za to, že na první otázku je třeba odpovědět tak, že článek 15 ve spojení s čl. 4 bodem 7 GDPR musí být vykládán v tom smyslu, že dozorový úřad ve smyslu čl. 4 bodu 21 tohoto nařízení, pokud jedná v rámci řízení o stížnosti na základě článku 77 uvedeného nařízení, má rovněž postavení „správce“ ve smyslu téhož nařízení, a je tedy povinen zaručit subjektu údajů právo na přístup k osobním údajům stanovené v článku 15 GDPR.
C. K druhé otázce
1. Omezení práva na přístup k osobním údajům vyjmenovaná v článku 23 GDPR
65. Svou druhou otázkou žádá předkládající soud o objasnění vztahu mezi článkem 23 GDPR a vnitrostátním ustanovením, které u dozorového úřadu pro ochranu údajů obecně vylučuje, podobně jako čl. 20 odst. 2 BayDSG, jakékoli právo na přístup k osobním údajům nebo nahlížení do spisu. Odpověď na tuto otázku vyžaduje důkladnou analýzu systematiky GDPR, která vyplývá z jeho znění, účelu a relevantních bodů odůvodnění, jakož i uplatnění zásad stanovených Soudním dvorem ohledně možných omezení práv subjektů údajů.
66. Článek 23 GDPR stanoví, že legislativní opatření Unie nebo členských států, která se na správce vztahují, mohou mimo jiné omezit právo na přístup k osobním údajům zaručené v článku 15 tohoto nařízení, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje opatření, které je v demokratické společnosti nezbytné a přiměřené k dosažení některého z legitimních cílů uvedených v písmenech a) až j) tohoto ustanovení. Článek 23 odst. 1 GDPR však nelze vykládat tak, že opravňuje vnitrostátního zákonodárce, aby volně nahradil ustanovení článků 12 až 22 uvedeného nařízení svým vlastním režimem. Toto ustanovení naopak stanoví taxativní výčet ustanovení dovolujících odchylky, který opravňuje vnitrostátního zákonodárce, aby z přesně vyjmenovaných důvodů stanovil omezení práv subjektů údajů, jakož i povinností, které z těchto článků vyplývají pro správce(28).
67. Článek 23 GDPR tak zavádí odchylný režim pro oblasti, na které se vztahuje, které se týkají především výkonu veřejných funkcí a sledování požadavků obecného zájmu, které mohou odůvodnit omezení práv subjektů údajů ve srovnání s jinými odvětvími činnosti. V tomto ohledu je třeba zohlednit první a druhou větu bodu 4 odůvodnění GDPR, která vyžaduje vyvážení dotčených základních práv a ověření toho, že jsou zamýšlená omezení odůvodněná, nezbytná a přiměřená s ohledem na protichůdná práva a zájmy.
68. Z předkládacího rozhodnutí vyplývá, že ačkoli důvodová zpráva bavorského zákona výslovně zmiňuje článek 23 GDPR jako právní základ čl. 20 odst. 2 BayDSG, neodkazuje na žádný z cílů vyjmenovaných v tomto ustanovení. Pouze uvádí, že tato norma odráží zvláštní požadavek na účel informací získaných v rámci dozorové činnosti v oblasti ochrany údajů. Předkládající soud však poznamenává, že podle vyjádření Landesamt v rámci původního řízení sleduje toto ustanovení ve skutečnosti dva hlavní cíle: jednak zachování důvěrnosti osobních údajů třetích osob a jednak zajištění řádného fungování, jakož i nezávislosti dozorového úřadu.
69. V souladu se zásadami, jimiž se řídí mechanismus spolupráce zavedený článkem 267 SFEU mezi unijním soudem a vnitrostátními soudy – podle nichž výklad vnitrostátního práva spadá do výlučně do pravomoci předkládajících soudů(29) a Soudní dvůr je povinen vycházet z upřesnění, která tyto soudy poskytly, pokud jde o obsah a rozsah tohoto práva(30) – budu z těchto skutečností vycházet při své analýze.
2. Slučitelnost obecného vyloučení práva na přístup k osobním údajům stanoveného v článku 15 GDPR s článkem 23 tohoto nařízení
70. V následující části tohoto stanoviska posoudím, zda obecné vyloučení práva na přístup k osobním údajům podle článku 15 GDPR může být s ohledem na výše uvedené legislativní cíle odůvodněné. Budu rovněž analyzovat, zda taková právní úprava splňuje další požadavky, které článek 23 GDPR klade na jakékoli omezení tohoto práva.
a) Existence legitimního cíle
1) Ochrana důvěrnosti osobních údajů třetích osob
71. Ochrana důvěrnosti osobních údajů třetích osob představuje legitimní cíl ve smyslu GDPR, který může v zásadě odůvodnit omezení práv přiznaných subjektům údajů. V tomto ohledu je třeba poznamenat, že pokud jde o právo na přístup k osobním údajům stanovené v článku 15 GDPR, bod 63 odůvodnění tohoto nařízení upřesňuje, že „[t]ímto právem by neměla být nepříznivě dotčena práva ani svobody ostatních“. Je tedy třeba zohlednit skutečnost, že jak vyplývá z bodu 4 odůvodnění uvedeného nařízení, právo na ochranu osobních údajů není absolutním právem, neboť musí být posuzováno s ohledem na jeho společenskou funkci a musí být v rovnováze s dalšími základními právy(31).
72. Článek 23 odst. 1 písm. i) GDPR výslovně odkazuje na ochranu „práv a svobod druhých“, jak potvrzuje bod 73 odůvodnění tohoto nařízení. Pokud se tedy jedná o osobní údaje úředníků veřejné správy nebo soukromých osob, může vnitrostátní zákonodárce platně vycházet ze skutečnosti, že jejich zpřístupněním by byla porušena osobnostní práva a že existuje potřeba ochrany, která musí být vyvážena s právem stěžovatele na přístup k osobním údajům.
2) Ochrana řádného fungování a nezávislosti dozorových úřadů
73. Zajištění řádného fungování a rozhodovací nezávislosti dozorových úřadů je rovněž legitimním cílem ve smyslu čl. 23 odst. 1 GDPR. Unijní normotvůrce jim totiž přiznává klíčovou úlohu v rámci evropského systému ochrany údajů, o čemž svědčí jednak článek 52 tohoto nařízení, který zaručuje jejich plnou nezávislost, a jednak rozsah vyšetřovacích a nápravných pravomocí stanovených v článcích 57 a 58 uvedeného nařízení(32). V tomto ohledu Soudní dvůr ve své judikatuře zdůraznil, že řádné fungování těchto úřadů musí být zaručeno zejména tím, že se zajistí, aby mu nebylo bráněno zjevně nedůvodnými nebo nepřiměřenými stížnostmi ve smyslu čl. 57 odst. 4 GDPR(33).
74. S ohledem na čl. 23 odst. 1 písm. h) GDPR, který umožňuje přijmout omezení, pokud jsou nezbytná pro plnění „monitorovací“ a „inspekční“ funkce spojené s výkonem veřejné moci, může být tedy omezení práva na přístup k osobním údajům v zásadě odůvodněné. Vzhledem k existujícím paralelám je kromě toho rovněž třeba zohlednit cíl uvedený v čl. 23 odst. 1 písm. f) GDPR, jak je upřesněn v bodě 73 odůvodnění tohoto nařízení, kterým je zajistit nezávislost soudní moci a ochranu průběhu soudních řízení. Je pravda, že dozorové úřady nejsou součástí soudnictví; nicméně stejně jako státní orgány pověřené prosazováním práva hrají zásadní úlohu při odhalování a sankcionování porušení práva v oblasti ochrany osobních údajů. Z toho vyplývá, že v každém případě přichází v úvahu analogické použití tohoto ustanovení.
3) Ochrana veřejné bezpečnosti
75. Pro úplnost je třeba uvést, že předkládací rozhodnutí zmiňuje jako případné odůvodnění rovněž ochranu veřejné bezpečnosti ve smyslu čl. 23 odst. 1 písm. c) GDPR, avšak neposkytuje přesnější informace. Je však třeba souhlasit s posouzením předkládajícího soudu a Komise, podle kterého se dovolávání tohoto odůvodnění nejeví jako opodstatněné. S ohledem na skutkové okolnosti věci v původním řízení, jak je uvedl předkládající soud, se totiž takové omezení jeví jako zjevně irelevantní. Toto odůvodnění bude proto z následující analýzy vyloučeno.
b) Požadavky kladené regulačním rámcem GDPR
76. Na jedné straně je třeba konstatovat, že taková vnitrostátní právní úprava, jako je čl. 20 odst. 2 BayDSG, náležitě zohledňuje zájem související s důvěrností osobních údajů třetích osob, neboť kategoricky zakazuje sdělování takových údajů. Ani nelze vyloučit, že nedostatečná součinnost dozorových úřadů v rámci vyřizování žádostí o přístup k osobním údajům může vést k přerozdělení personálních a materiálních zdrojů do jiných oblastí činnosti, což by případně mohlo vést k určitému nárůstu efektivity.
77. Na druhé straně vyvolávají takové okolnosti pochybnosti o jejich souladu s normativním rámcem zavedeným unijním normotvůrcem v rámci přijetí GDPR, a zejména s obecnou systematikou tohoto nařízení, která spočívá na rovnováze mezi několika zájmy: transparentností při zpracování údajů, zajištěním důvěrnosti, je-li to nezbytné, a účinnou ochranou těchto zájmů ze strany dozorových úřadů. Vnitrostátní právní úprava, která odpovídajícím způsobem neodráží vyvážení těchto zájmů, tedy nemůže splňovat požadavky čl. 23 odst. 1 GDPR. Totéž platí, pokud se ukáže, že je možné zvážit opatření, která méně zasahují do základních práv, ale pro dosažení sledovaných cílů jsou stejně účinná(34).
78. V tomto ohledu je třeba připomenout, že GDPR pojalo právo na přístup k osobním údajům stanovené v článku 15 tohoto nařízení jako základní prvek zásady transparentnosti. Tato kvalifikace jasně vyplývá z bodu 63 odůvodnění tohoto nařízení, podle kterého musí mít subjekt údajů možnost být o „zpracování informován“, aby byla zajištěna účinnost práv, které mu uvedené nařízení přiznává. Soudní dvůr toto pojetí opakovaně potvrdil, když uvedl, že právo na přístup k osobním údajům zaujímá ústřední místo v obecné systematice režimu zavedeného tímtéž nařízením. Vnitrostátní ustanovení, které zbavuje subjekt údajů tohoto práva obecným a nerozlišujícím způsobem, tedy zasahuje do samotného jádra systému ochrany zavedeného unijním normotvůrcem.
79. I když je pravda, že GDPR v článku 23 umožňuje omezení práv subjektů údajů, včetně práva na přístup k osobním údajům, z důvodů veřejného zájmu, zároveň vyžaduje, aby měla taková omezení dostatečně přesný právní základ. Tento základ musí jasně definovat povahu, rozsah a meze omezení, jakož i záruky nezbytné k prevenci rizika zneužití. Bod 41 odůvodnění tohoto nařízení v tomto smyslu upřesňuje, že jakékoli omezení práva zaručeného uvedeným nařízením musí být „jasné a přesné“ a „předvídatelné“ pro subjekt údajů, který musí být schopen určit rozsah omezení svých práv(35). Vnitrostátní ustanovení, které stanoví absolutní vyloučení práva na přístup k osobním údajům bez určení jeho věcné nebo osobní působnosti nebo stanovení záruk, nemůže splňovat takto stanovené požadavky.
80. Kromě toho bod 60 odůvodnění GDPR připomíná, že transparentnost je základní zásadou zpracování osobních údajů, která se vztahuje i na činnost orgánů veřejné moci. I když některé informace mohou být v rámci řízení o stížnosti dočasně vyňaty z povinnosti sdělit je, zejména s cílem neohrozit prevenci, odhalování nebo vyšetřování trestných činů(36), musí být taková výjimka nezbytně nutná a přiměřená a nesmí vést k úplné neutralizaci transparentnosti vůči subjektu údajů. Vnitrostátní ustanovení, které vylučuje jakoukoli formu přístupu, aniž rozlišuje mezi osobními údaji a interními dokumenty, je tedy v rozporu se systematikou GDPR.
81. Soudní dvůr rovněž s ohledem na čl. 52 odst. 1 Listiny rozhodl, že omezení základního práva musí být v souladu nejen se zásadami legality a proporcionality, ale také se zásadou vyžadující dodržování „podstaty“ dotčeného práva(37). Bod 4 odůvodnění GDPR znovu potvrzuje, že ochrana osobních údajů je základním právem zakotveným v článku 8 Listiny, jehož omezení mohou být zavedena pouze v souladu se zásadou proporcionality. Úplné vyloučení práva na přístup k osobním údajům však vede k tomu, že subjekt údajů je zbaven samotné podstaty tohoto práva tím, že je mu bráněno v tom, aby byť jen minimálním způsobem kontroloval zpracování, jehož je předmětem.
82. Bod 75 odůvodnění GDPR podpůrně zdůrazňuje, že neexistence transparentnosti nebo nedostatečná transparentnost představují samy o sobě riziko, které může vážně ovlivnit práva a svobody subjektů údajů. Právní úprava, která subjekt údajů zcela zbavuje možnosti seznámit se se zpracováním, které se ho týká, vytváří právě takovou rizikovou situaci, které se zákonodárce snažil zabránit.
83. Je třeba dodat, že bod 129 odůvodnění GDPR definuje dozorové úřady jako nezávislé subjekty odpovědné za prosazování tohoto nařízení a ochranu práv subjektů údajů. Tento úkol, jakož i postavení, které zaujímají v kontrolním mechanismu zavedeném GDPR, však neznamená, že jsou zproštěny všech povinností z něj vyplývajících. GDPR naopak vytváří soudržný právní rámec, v němž dozorové úřady při výkonu svých pravomocí zůstávají plně podřízeny pravidlům, které stanoví, zejména pravidlům týkajícím se práv subjektů údajů. Vnitrostátní ustanovení, které zcela vylučuje jakékoli sdělování údajů týkajících se subjektu údajů, tuto rovnováhu narušuje a ohrožuje požadavek odpovědnosti kladený na dozorové úřady.
84. Absolutní vyloučení práva na přístup k osobním údajům se navíc jeví být neslučitelné s cílem GDPR, kterým je zajistit vysokou úroveň ochrany údajů fyzických osob, jak připomíná bod 10 odůvodnění tohoto nařízení(38). Takto stanovená úroveň ochrany je založena především na transparentnosti a na možnosti subjektu údajů kontrolovat operace zpracování, které se ho týkají. Právo na přístup k osobním údajům stanovené v článku 15 uvedeného nařízení představuje v tomto ohledu nezbytný prvek, neboť je základem pro účinný výkon všech ostatních práv subjektů údajů(39). Obecné vyloučení tohoto práva by vedlo k tomu, že by některá zpracování nepodléhala žádnému individuálnímu dohledu, a byla by tak ohrožena účinnost vysoké úrovně ochrany zamýšlené unijním normotvůrcem.
85. Pokud jde o cíl ochrany práv a svobod třetích osob, který je uplatňován k odůvodnění omezení práva na přístup k osobním údajům, je třeba připomenout, že Soudní dvůr rozhodl, že v případě rozporu mezi právem na přístup k osobním údajům a právy nebo svobodami jiných osob musí orgány přistoupit k vyvážení dotčených zájmů. Z bodu 63 odůvodnění GDPR výslovně vyplývá, že toto vyvážení nemůže v žádném případě odůvodnit úplné odepření přístupu(40). Přizpůsobené postupy, jako je částečné zpřístupnění, zakrytí nebo anonymizace údajů, ochrana totožnosti oznamovatelů, rozdílné zacházení v závislosti na kategoriích dokumentů nebo poskytování strukturovaných neindividualizovaných informací umožňují sladit dotčené zájmy, aniž je zcela vyloučeno právo na přístup k osobním údajům.
86. Pokud jde o namítanou potřebu zajistit nezávislý a účinný výkon úkolů dozorových úřadů, není zřejmé, v čem by výkon práva na přístup k osobním údajům stanoveného v článku 15 GDPR mohl tento cíl ohrozit. Je třeba souhlasit s posouzením předkládajícího soudu, podle kterého nezávislost dozorových úřadů v žádném případě neznamená, že legalita zpracování osobních údajů, které provádějí, musí být vyňata z kontroly subjektu údajů. Nebezpečí případného „ovlivňování“, které může být usnadněno přístupem k informacím, jak tvrdí Landesamt, je tedy třeba vyloučit.
87. Jak bylo uvedeno v tomto stanovisku, článek 15 GDPR nezakotvuje obecné právo na přístup ke spisu(41), takže administrativní zátěž, která z něj vyplývá, by měla zůstat omezená. Nezávisle na tom je třeba poznamenat, že toto nařízení poskytuje dozorovým úřadům v čl. 12 odst. 5 vhodný nástroj k řešení zneužívajících nebo nepřiměřených žádostí(42). Tyto orgány jsou rovněž oprávněny přijmout různá organizační opatření, jako je dočasné upuštění od poskytování informací v průběhu řízení, vyloučení některých interních dokumentů ze zpřístupnění, rozlišení mezi různými druhy řízení, poskytování pouze informací týkajících se již uzavřených fází nebo zavedení organizačních mechanismů zajišťujících, aby žádosti o přístup nenarušovaly vnitřní procesy. Taková opatření umožňují zajistit řádné fungování dozorových úřadů, avšak zcela vylučují právo na přístup stanovené v článku 15 GDPR.
88. Je třeba rovněž připomenout, že efektivita činnosti dozorových úřadů závisí v rozhodující míře na tom, zda jim jsou poskytnuty nezbytné prostředky, a sice lidské, technické a finanční zdroje, jakož i prostory a infrastruktura, které jsou nezbytné pro účinné plnění jejich úkolů a pravomocí(43). Článek 52 odst. 4 GDPR výslovně ukládá členským státům povinnost takové vybavení zajistit. Z tohoto hlediska nelze otázku fungování dozorových úřadů omezit pouze na počet žádostí o přístup založených na článku 15 GDPR. Nedostatečné vybavení úřadů nesmí v žádném případě vést ke snížení úrovně ochrany osobních údajů.
89. Z předkládacího rozhodnutí vyplývá, že čl. 20 odst. 2 BayDSG představuje v německém právním řádu zvláštnost, jelikož žádná jiná spolková země nestanoví srovnatelné vyloučení práva na přístup k osobním údajům. Takový izolovaný přístup na normativní úrovni představuje důležitou indicii naznačující, že omezení tohoto rozsahu nelze považovat za nezbytné ani přiměřené ve smyslu čl. 23 odst. 1 GDPR. Vzhledem k tomu, že všechny ostatní dozorové úřady plní své úkoly, aniž přistoupují k obecnému vyloučení práv subjektů údajů, je podle všeho obtížné tvrdit, že by takové opatření bylo nezbytné pro řádné fungování úřadu nebo pro ochranu práv třetích osob. Zdá se, že právní úprava platná pouze v jedné spolkové zemi, která podstatně intenzivněji omezuje práva zaručená GDPR než právní úpravy přijaté v jiných částech státního území, nesplňuje požadavky soudržnosti, nezbytnosti a proporcionality vyplývající z unijního práva.
90. Je tedy třeba konstatovat, že pro oba uváděné cíle – ochranu práv třetích osob a zajištění řádného plnění úkolů dozorových úřadů – umožňují méně omezující a diferencovaná opatření, která jsou v souladu s unijním právem, dosáhnout sledovaných výsledků, aniž je potlačena podstata práva na přístup k osobním údajům, odstraněna požadovaná transparentnost ve vztahu k subjektu údajů a omezena možnost kontrolovat legalitu prováděných zpracování.
91. Dalším kritickým aspektem je skutečnost, že čl. 20 odst. 2 BayDSG neumožňuje určit cíl, který vnitrostátní zákonodárce sledoval. Jak vyplývá z informací poskytnutých předkládajícím soudem, přípravné práce se omezují na zmínění článku 23 GDPR jako právního základu, avšak neodkazují na žádný z cílů vyjmenovaných v tomto ustanovení. Tento článek 23 přitom vyžaduje, aby účel omezení ze samotného ustanovení jasně vyplýval, což je podmínka nezbytná pro účinný přezkum dodržování zásad nezbytnosti a proporcionality.
92. Tento požadavek jasnosti nelze zhojit odůvodněním ex post předloženým účastníkem řízení o předběžné otázce na základě článku 267 SFEU, zejména pokud je tento účastník řízení tím, kdo z dotčeného omezení těží. Připustit takovou možnost by znamenalo nahradit vůli demokraticky odpovědného normotvůrce argumentační konstrukcí vytvořenou v rámci soudního řízení, což by bylo neslučitelné s požadavky předvídatelnosti, transparentnosti právních předpisů a právní jistoty vyplývajících z čl. 23 odst. 1 a 2 GDPR.
93. Za těchto podmínek je třeba dospět k závěru, že takové obecné a nerozlišující vyloučení práva na přístup k osobním údajům, jako je vyloučení stanovené v čl. 20 odst. 2 BayDSG, není v souladu s požadavky článku 23 GDPR, jelikož neodkazuje na žádnou skutečnost výslovně požadovanou jeho odstavcem 2 a nerespektuje systematiku ani účel tohoto nařízení, jak vyplývají z relevantních bodů odůvodnění. Takové ustanovení se jeví jako nepřiměřené, nedostatečně určité a způsobilé zbavit právo na přístup k osobním údajům jeho podstaty.
3. Dílčí závěr
94. Z výše uvedených důvodů mám za to, že článek 23 GDPR musí být vykládán v tom smyslu, že brání takové vnitrostátní právní úpravě, jako je čl. 20 odst. 2 BayDSG, pokud jako taková vylučuje existenci práva na přístup k osobním údajům podle článku 15 tohoto nařízení vůči dozorovému úřadu.
VI. Závěry
95. S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Bayerisches Verwaltungsgericht Ansbach (bavorský správní soud v Ansbachu, Německo) následovně:
„1) Článek 15 ve spojení s čl. 4 bodem 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládán v tom smyslu, že
dozorový úřad ve smyslu čl. 4 bodu 21 tohoto nařízení, pokud jedná v rámci řízení o stížnosti na základě článku 77 uvedeného nařízení, má rovněž postavení ‚správce‘ ve smyslu téhož nařízení, a je tedy povinen zaručit subjektu údajů právo na přístup k osobním údajům stanovené v článku 15 téhož nařízení 2016/679.
2) Článek 23 nařízení 2016/679
musí být vykládán v tom smyslu, že
brání takovému vnitrostátnímu ustanovení, jako je čl. 20 odst. 2 bavorského zákona o ochraně osobních údajů, které jako takové vylučuje existenci práva na přístup k osobním údajům podle článku 15 tohoto nařízení vůči bavorskému dozorovému úřadu pro ochranu údajů.“
1– Původní jazyk: francouzština.
2– Úř. věst. 2016, L 119, s. 1.
3– Viz bod 24 a násl. tohoto stanoviska.
4– Viz bod 65 a násl. tohoto stanoviska.
5– Viz rozsudek ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, body 65 a 66).
6– Soudní dvůr dokonce rozhodl, že fyzickou nebo právnickou osobu, která vykonává pro své vlastní účely vliv na zpracování osobních údajů, a podílí se tak na určování účelů a prostředků tohoto zpracování, lze kvalifikovat jako „správce“ [viz rozsudek ze dne 10. července 2018, Jehovan todistajat, C‑25/17 (EU:C:2018:551, bod 68), a ze dne 29. července 2019, Fashion ID, C‑40/17 (EU:C:2019:629, bod 68)].
7– GDPR výslovně nedefinuje, co se rozumí „stížností“, ale znění článku 77 poskytuje první vodítko. Podle pokynů Evropského sboru pro ochranu osobních údajů (EDPB) se stížností rozumí podání adresované dozorovému úřadu určitou fyzickou osobou – nebo subjektem splňujícím podmínky článku 80 – která se domnívá, že zpracování jejích údajů představuje porušení pravidel GDPR. EDPB upřesňuje, že tento pojem není omezen na zásahy do práv podle kapitoly III, ale v širším smyslu zahrnuje jakékoli porušení nařízení vyplývající ze zpracování osobních údajů stěžovatele (EDPB, Internal Document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, přijatý dne 15. prosince 2020, s. 3).
8– Viz rozsudky ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 58), ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 35), a ze dne 9. ledna 2025, Österreichische Datenschutzbehörde (Nepřiměřené žádosti) (C‑416/23, EU:C:2025:3, bod 39).
9– Viz rozsudek Soudního dvora Evropského sdružení volného obchodu (ESVO) ze dne 10. prosince 2020, UC v. Kontrolní úřad ESVO (spojené věci E-11/19 a E-12/19, bod 45).
10– Viz rozsudky ze dne 6. října 2015, Schrems (C‑362/14, EU:C:2015:650, bod 63); ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 107); ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 56), a ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 32).
11– V této souvislosti je třeba připomenout stanovisko generálního advokáta P. Pikamäea ve spojených věcech SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:222, bod 42), v němž zdůraznil, že unijní normotvůrce nezamýšlel učinit z řízení o stížnosti mechanismus srovnatelný s pouhou „peticí“. Sledovaným cílem bylo naopak vytvořit mechanismus schopný účinně chránit práva a zájmy stěžovatelů. Konkrétně povinnosti stanovené v čl. 57 odst. 1 písm. f) GDPR, které v rámci vyřizování těchto stížností přísluší dozorovému úřadu a na něž se vztahuje zásada „řádné správy“, svědčí o vůli normotvůrce přiznat tomuto řízení podstatu „skutečného správního opravného prostředku“.
12– Viz rozsudek ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 42).
13– Viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 70), a ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 49).
14– V unijním právu neexistují jednotné předpisy týkající se konkrétního vyřizování stížností dozorovými úřady. V důsledku toho vykazuje správní praxe mezi členskými státy určité rozdíly. EDPB však prostřednictvím pokynů a vypracování „osvědčených postupů“ usiluje o zajištění určité míry harmonizace dozorové činnosti a procesních postupů, zejména pokud jde o přijímání nebo archivaci stížností, rozhodování o smírném řešení atd. (v tomto ohledu viz EDPB, Internal document 6/2020 on preliminary steps to handle a complaint: admissibility and vetting of complaints, přijatý dne 15. prosince 2020).
15– Jak uvedl Soudní dvůr ESVO v rozsudku ze dne 10. prosince 2020, Adpublisher AG/J & K (spojené věci E-11/19 a E-12/19, bod 60), dozorový úřad je podle čl. 57 odst. 1 písm. h) GDPR oprávněn zahájit šetření z moci úřední. V rámci přezkumu stížnosti se tedy může vyjádřit k jiným nárokům nebo k jinému předmětu sporu, než které uplatnil stěžovatel. Účinnost řízení o stížnosti vyžaduje, aby dozorový úřad nebyl při výkonu svých vyšetřovacích pravomocí omezen způsobem, jakým stěžovatel ve své stížnosti formuloval příslušné právní otázky.
16– Zdá se, že dozorové úřady vyřizují stížnosti buď na základě ustanovení vnitrostátního práva, nebo podle vlastního uvážení. Je rovněž zřejmé, že existují rozdíly, pokud jde o vyřizování stížností podle pragmatických kritérií nebo v rámci zjednodušených postupů (v tomto ohledu viz González Fuster, G. a další, „The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR“, Access Now, Open Universiteit, 2022, s. 30).
17– Viz rozsudek ze dne 11. ledna 2024, État belge (Údaje zpracované v úředním věstníku) (C‑231/22, EU:C:2024:7, bod 39), a ze dne 27. února 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, bod 49).
18– Na žádost Soudního dvora Landesamt popsal svou správní praxi v oblasti vyřizování stížností. V tomto ohledu upřesnil, že autoři těchto stížností mohou podávat žádosti, a to i elektronickými prostředky, příslušným úředníkům Landesamt a požádat o přístup ke spisu. Z tohoto vysvětlení jasně vyplývá, že způsob, jakým Landesamt vyřizuje stížnosti, zejména pokud jde o shromážděné údaje, přijatá organizační opatření a provedená šetření, spadá do autonomie, kterou mu k plnění jeho úkolů svěřuje GDPR.
19– Möhle, J.-P., Verantwortlichkeit als integrierendes Konzept im Datenschutzrecht, Die Öffentliche Verwaltung, 2023, č. 3, s. 108, vysvětluje, že pouze osoba, která je skutečně schopna vykonávat vliv, může být vázána povinnostmi vyplývajícími z práva na ochranu údajů (jako jsou povinnosti informovat, nést odpovědnost nebo spolupracovat), tj. osoba, která může v budoucnu předcházet porušování pravidel ochrany údajů. Podle mého názoru není pochyb o tom, že v rámci řízení o stížnosti může tuto definici splňovat pouze dozorový úřad.
20– Jak přitom Soudní dvůr rozhodl, cílem sledovaným širokou definicí pojmu „správce“ je právě zajistit účinnou a úplnou ochranu subjektů údajů [viz rozsudky ze dne 13. května 2014, Google Spain a Google, C‑131/12 (EU:C:2014:317, bod 34); ze dne 29. července 2019, Fashion ID (C‑40/17, EU:C:2019:629, bod 66); ze dne 5. června 2018, Wirtschaftsakademie Schleswig-Holstein(C‑210/16, EU:C:2018:388, bod 28)].
21– V tomto smyslu viz Kunert, J., „Vorabentscheidungsersuchen an den EuGH zur Aufsichtsbehörde als Verantwortlicher und zur Rechtmäßigkeit des Art. 20 II BayDSG“, GRUR-Prax, 2025, č. 9, s. 324.
22– Viz rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 50).
23– Viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, body 33 a 34.).
24– Viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 41).
25– Viz rozsudky ze dne 20. prosince 2017, Nowak (C‑434/16, EU:C:2017:994, bod 57), ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů) (C‑154/21, EU:C:2023:3, bod 38), a ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 35).
26– Zanfir-Fortuna, G., „Article 15. Right of access by the data subject“, jakož i Kuner, C., Bygrave, L. A. & Docksey, C. (ed.), The EU General Data Protection Regulation (GDPR): A Commentary, Oxford 2020, s. 452, zdůrazňují, že je třeba rozlišovat mezi právem na přístup k vlastním osobním údajům, zakotveným v článku 15 GDPR, a právem na přístup k veřejným informacím. Tato dvě práva jsou založena na odlišných normativních cílech: první z nich má zajistit transparentnost vůči subjektu údajů, jehož údaje správce shromažďuje a zpracovává (transparentnost inter partes), zatímco druhé má zajistit transparentnost vůči veřejnosti, pokud jde o informace, které mají veřejnou hodnotu nebo jsou předmětem veřejného zájmu (transparentnost erga omnes).
27– Gumzej, N., „DPA powers toward effective and transparent GDPR enforcement: the case of Croatia“, Juridical Tribune – Review of Comparative and International Law, sv. 13, č. 2 (2023), s. 210, odkazuje na platné zákony o svobodném přístupu k informacím.
28– Schemmer, F., „Der Auskunftsanspruch der DS-GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS-GVO und dessen Grenzen“, Zeitschrift für das gesamte Informationsrecht, 2024, č. 5, s. 210.
29– Viz rozsudky ze dne 6. března 2007, Placanica a další (C‑338/04, C‑359/04 a C‑360/04, EU:C:2007:133, bod 34), a ze dne 21. června 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, bod 240).
30– Viz rozsudky ze dne 25. října 2001, Ambulanz Glöckner (C‑475/99, EU:C:2001:577, bod 10), a ze dne 14. listopadu 2024, S. (Změna složení soudního kolegia) (C‑197/23, EU:C:2024:956, bod 43).
31– Viz rozsudky ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 172); ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů) (C‑154/21, EU:C:2023:3, bod 47), a ze dne 21. března 2024, Landeshauptstadt Wiesbaden (C‑61/22, EU:C:2024:251, bod 75).
32– Giurgiu, A./Larsen, T., „Roles and Powers of National Data Protection Authorities – Moving from Directive 95/46/EC to the GDPR: Stronger and More European DPAs as Guardians of Consistency?“, European Data Protection Law Review, č. 3 (2016), s. 352, považují dozorové úřady za hlavní garanty práv jednotlivců vzhledem k jejich ústřední úloze při monitorování a prosazování pravidel ochrany údajů stanovených v GDPR. Zdůrazňují, že je důležité poskytnout těmto orgánům dostatečné zdroje, a to jak lidské, tak finanční prostředky, aby mohly účinně plnit své úkoly.
33– Viz rozsudek ze dne 9. ledna 2025, Österreichische Datenschutzbehörde (Nepřiměřené žádosti) (C‑416/23, EU:C:2025:3, bod 40).
34– Viz rozsudek ze dne 1. srpna 2022, Vyriausioji tarnybinės etikos komisija (C‑184/20, EU:C:2022:601, bod 85).
35– Viz rozsudek ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) (C‑175/20, EU:C:2022:124, bod 56).
36– V tomto ohledu viz EDPB, Guidelines 10/2020 on restrictions under Article 23 GDPR (verze 2.1), přijaté dne 13. října 2021, body 65 až 67 a 82, které doporučují dočasná omezení výkonu některých práv subjektů údajů, aby nebyla ohrožena správní šetření.
37– Viz rozsudek ze dne 8. dubna 2014, Digital Rights Ireland a další (C‑293/12 a C‑594/12, EU:C:2014:238, bod 38); ze dne 6. října 2015, Schrems (C‑362/14, EU:C:2015:650, bod 94); ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 174), a ze dne 6. října 2020, La Quadrature du Net a další (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 121).
38– Soudní dvůr ve své ustálené judikatuře tento cíl připomněl a zdůraznil, že ochrana osobních údajů je zaručena jak článkem 16 SFEU, tak článkem 8 Listiny, čímž je toto právo zakotveno ve dvou ustanoveních primárního unijního práva (viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 43).
39– Viz rozsudek ze dne 22. června 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 53 a násl.).
40– Viz rozsudek ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 44).
41– Viz bod 59 a následující tohoto stanoviska.
42– Viz rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů) (C‑154/21, EU:C:2023:3, bod 49). Jak Soudní dvůr zdůraznil, je na správci, aby doložil zjevnou nedůvodnost nebo nepřiměřenost žádosti o přístup ve smyslu čl. 12 odst. 5 GDPR.
43– V tomto ohledu viz, Agentura Evropské unie pro základní práva (FRA), GDPR in practice – Experiences of Data Protection Authorities, Luxembourg, 11. června 2024, s. 21, která popisuje dostupnost zdrojů dozorových úřadů v průběhu let jako „obecně nedostatečnou“. V návaznosti na první hodnocení Komise týkající se uplatňování GDPR přijal Evropský parlament usnesení, v němž vyzval členské státy, aby splnily svou povinnost stanovenou v čl. 52 odst. 4 GDPR a poskytly svým dozorovým úřadům dostatečné zdroje, aby jim umožnily co nejlépe plnit své úkoly a zajistily rovné podmínky pro uplatňování GDPR na evropské úrovni.