C-579/21

62021CC0579

NÁVRHY GENERÁLNEHO ADVOKÁTA

MANUEL CAMPOS SÁNCHEZ‑BORDONA

prednesené 15. decembra 2022 ( 1 )

Vec C‑579/21

J. M.,

Zamestnanec a zároveň klient finančnej inštitúcie požiadal túto inštitúciu, aby mu oznámila totožnosť osôb, ktoré nahliadli do jeho osobných údajov v rámci interného vyšetrovania. Vzhľadom na to, že mu inštitúcia odmietla poskytnúť tieto informácie, podal príslušné opravné prostriedky, až sa napokon obrátil na Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko, Fínsko).

2.

Tento súd podal na Súdny dvor návrh na začatie prejudiciálneho konania týkajúci sa výkladu nariadenia (EÚ) 2016/679 ( 2 ). Pri zodpovedaní tohto návrhu bude musieť Súdny dvor rozhodnúť o práve dotknutej osoby na prístup k určitým informáciám týkajúcim sa spracúvania jej osobných údajov.

I. Právny rámec

A.

Právo Únie. GDPR

1.

‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘); identifikovateľná fyzická osoba je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby;

2.

‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

9.

‚príjemca‘ je fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou. …“

kategórie dotknutých osobných údajov;

c)

príjemcovia alebo kategórie príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, najmä príjemcovia v tretích krajinách alebo medzinárodné organizácie;

d)

ak je to možné, predpokladaná doba uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;

e)

existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a v týchto prípadoch aspoň zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu“.

6.

Podľa článku 24 s názvom „Zodpovednosť prevádzkovateľa“ ods. 1:

„S ohľadom na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb prevádzkovateľ prijme vhodné technické a organizačné opatrenia, aby zabezpečil a bol schopný preukázať, že spracúvanie sa vykonáva v súlade s týmto nariadením. Uvedené opatrenia sa podľa potreby preskúmajú a aktualizujú“.

7.

V súlade s článkom 25, nazývanom „Špecificky navrhnutá a štandardná ochrana údajov“, ods. 2:

„1. Každý prevádzkovateľ a v príslušnom prípade zástupca prevádzkovateľa vedie záznamy o spracovateľských činnostiach, za ktoré je zodpovedný. Tieto záznamy musia obsahovať všetky tieto informácie:

a)

meno/názov a kontaktné údaje prevádzkovateľa a v príslušnom prípade spoločného prevádzkovateľa, zástupcu prevádzkovateľa a zodpovednej osoby;

b)

účely spracúvania;

c)

g)

podľa možností všeobecný opis technických a organizačných bezpečnostných opatrení uvedených v článku 32 ods. 1.

2. Každý sprostredkovateľ a v príslušnom prípade zástupca sprostredkovateľa vedie záznamy o všetkých kategóriách spracovateľských činností, ktoré vykonal v mene prevádzkovateľa, pričom tieto záznamy obsahujú:

a)

meno/názov a kontaktné údaje sprostredkovateľa alebo sprostredkovateľov a každého prevádzkovateľa, v mene ktorého sprostredkovateľ koná, a v príslušnom prípade zástupcu prevádzkovateľa alebo sprostredkovateľa a zodpovednej osoby;

b)

4. Prevádzkovateľ alebo sprostredkovateľ a v príslušnom prípade zástupca prevádzkovateľa alebo sprostredkovateľa na požiadanie sprístupnia záznamy dozornému orgánu.

5. Povinnosti uvedené v odsekoch 1 a 2 sa nevzťahujú na podnik alebo organizáciu, ktorá zamestnáva menej ako 250 osôb, pokiaľ nie je pravdepodobné, že spracúvanie, ktoré vykonáva, povedie k riziku pre práva a slobody dotknutej osoby, pokiaľ je toto spracúvanie príležitostné alebo nezahŕňa osobitné kategórie údajov… alebo osobných údajov týkajúcich sa uznaní viny za trestné činy a priestupky…“

10.

Článok 58, nazývaný „Právomoci“, v odseku 1 znie:

„Každý dozorný orgán má všetky tieto vyšetrovacie právomoci:

a)

Podľa § 30 sú predpisy týkajúce sa spracúvania osobných údajov zamestnancov, skúšok a kontrol, ktoré sa majú vykonať u zamestnancov, a požiadaviek, ktoré sa majú v tejto súvislosti dodržiavať, ako aj technického monitorovania na pracovisku a vyhľadávania a otvárania e‑mailov zamestnanca obsiahnuté v Laki yksityisyyden suojasta työelämässä (759/2004) ( 4 ).

12.

Podľa § 34 ods. 1 dotknutá osoba nemá právo na prístup k získaným údajom, ktoré sa jej týkajú, v zmysle článku 15 GDPR, pokiaľ:

1.

poskytnutie týchto údajov by mohlo ohroziť národnú bezpečnosť, obranu alebo verejný poriadok a verejnú bezpečnosť alebo predchádzanie trestným činom alebo ich odhaľovanie;

2.

Podľa § 34 ods. 3 sa dotknutej osobe musia oznámiť dôvody obmedzenia, pokiaľ to neohrozí účel obmedzenia.

15.

V súlade s § 34 ods. 4 sa údaje uvedené v článku 15 ods. 1 GDPR musia na žiadosť dotknutej osoby poskytnúť dozornému úradníkovi pre ochranu údajov, pokiaľ dotknutá osoba nemá právo na prístup k získaným údajom, ktoré sa jej týkajú.

2. Laki yksityisyyden suojasta työelämässä (759/2004)

16.

Podľa oddielu 2 § 4 druhého odseku je zamestnávateľ povinný vopred informovať zamestnanca o obstaraní údajov, ktoré slúžia na zistenie jeho spoľahlivosti. Ak zamestnávateľ posudzuje úverovú bonitu zamestnanca, musí zamestnancovi navyše oznámiť, z ktorého registra sa čerpajú úverové informácie. Ak boli údaje o zamestnancovi získané od inej osoby, než je samotný zamestnanec, zamestnávateľ musí zamestnancovi oznámiť získané údaje pred tým, ako sa použijú pri rozhodnutiach, ktoré sa týkajú zamestnanca. Povinnosti prevádzkovateľa poskytnúť údaje dotknutej osobe, ako aj právo dotknutej osoby na prístup k týmto údajom sú upravené v kapitole III GDPR.

Medzitým Pankki prepustila zo zamestnania J. M., ktorý odôvodnil svoju žiadosť tým, že chce okrem iného objasniť dôvody svojho prepustenia.

20.

Dňa 30. augusta 2018 Pankki ako prevádzkovateľ odmietla poskytnúť J. M. mená zamestnancov, ktorí spracúvali jeho osobné údaje. Tvrdila, že právo stanovené v článku 15 GDPR sa nevzťahuje na denné záznamy alebo interné protokoly, v ktorých je uvedené, ktorí zamestnanci a v akom čase mali prístup k počítačovému systému, ktorý obsahuje údaje o klientoch. Okrem toho by sa požadované informácie týkali osobných údajov týchto zamestnancov, a nie J. M.

21.

S cieľom predísť nedorozumeniam Pankki poskytla J. M. tieto ďalšie vysvetlenia:

–

Dňa 4. augusta 2020 zástupca dozorného úradníka pre ochranu údajov zamietol žiadosť J. M.

24.

J. M. podal žalobu na Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko), v ktorej tvrdil, že na základe GDPR má právo na prístup k informáciám o totožnosti a postavení osôb, ktoré nahliadali do jeho údajov vo finančnej inštitúcii.

25.

Za týchto okolností tento súd kladie Súdnemu dvoru nasledujúce prejudiciálne otázky:

„1.

Možno osoby, ktoré spracúvali klientske údaje J. M., v tejto súvislosti za určitých podmienok považovať za príjemcov osobných údajov podľa článku 15 ods. 1 písm. c) [GDPR], ku ktorým by dotknutá osoba mala právo na prístup?

3.

Je pre konanie dôležité, že ide o banku, ktorá vykonáva regulovanú činnosť, alebo že J. M. pracoval pre banku a zároveň bol jej klientom?

4.

Je pre posúdenie vyššie položených otázok relevantné, že ku spracúvaniu údajov J. M. došlo pred nadobudnutím účinnosti [GDPR]?“

III. Konanie na Súdnom dvore

IV. Analýza

29.

Keďže vnútroštátny súd žiada o výklad rôznych ustanovení GDPR, je potrebné najprv určiť, či je toto nariadenie ratione temporis uplatniteľné v spore vo veci samej. Tejto pochybnosti sa týka práve štvrtá prejudiciálna otázka.

A.

Uplatniteľnosť GDPR (štvrtá prejudiciálna otázka)

30.

Ako zdôraznila rakúska vláda, článok 15 ods. 1 GDPR priznáva dotknutým osobám právo procesnej povahy (právo na prístup) na získanie informácií o spracúvaní ich osobných údajov. ( 7 ) Pravidlo takejto povahy sa uplatňuje od nadobudnutia svojej účinnosti. ( 8 ) Preto sa naň mohol J. M. odvolávať, keď požiadal Pankki o informácie.

34.

Zákonnosť spracúvania údajov získaných pred nadobudnutím účinnosti GDPR sa musí určite posúdiť s ohľadom na hmotnoprávne predpisy, ktoré boli v tom čase platné, a to smernicu 95/46/ES ( 9 ) a na to, čo je uplatniteľné so spätnou účinnosťou, aj GDPR ( 10 ).

35.

Keďže je nesporné, že požadované informácie mal prevádzkovateľ k dispozícii, keď J. M. požiadal o prístup k nim (čo je právo zaručené článkom 15 ods. 1 GDPR), uplatňuje sa toto posledné uvedené nariadenie. ( 11 )

36.

38.

Pripomínam, že informácie, ktoré požadoval J. M., sa týkali totožnosti zamestnancov, ktorí v roku 2013 nahliadli do jeho klientskych údajov, ako aj času, kedy sa spracúvanie uskutočnilo, a účelu spracúvania.

39.

Na pojednávaní sa potvrdilo, že J. M. svoj návrh obmedzil na to, aby poznal totožnosť týchto zamestnancov. V spore sa konkrétne nespochybňuje, že spracúvanie jeho údajov bankou bolo zákonné. ( 12 )

40.

Keďže:

42.

Tieto informácie sa v skutočnosti týkajú podrobností o spracovateľských operáciách a nie, prísne vzaté, osobných údajov dotknutej osoby v zmysle článku 4 bodu 1 GDPR. ( 14 )

43.

Je zrejmé, že osobou, ktorej údaje boli predmetom preverenia, bol J. M. ( 15 ) Po tom, čo J. M. získal od spoločnosti Pankki potvrdenie o tom, že jeho údaje boli spracúvané, ( 16 ) informácie , na ktoré mal podľa článku 15 ods. 1 GDPR právo, sú informácie, ktoré vymenúvajú body a) až h) tohto ustanovenia ( 17 ). Ich poskytnutím sa podporuje výkon práv dotknutej osoby ( 18 ) v rámci mechanizmov zaručujúcich zákonnosť spracúvania údajov.

44.

Z článku 15 ods. 1 GDPR vyplýva, že uvedené informácie sa týkajú okolností súvisiacich so spracúvaním údajov.

46.

Ustanovenie rozlišuje medzi „osobnými údajmi“ na jednej strane a „informáciami“ uvedenými v písmenách odseku 1 na strane druhej.

47.

Informácie, ktoré sa majú poskytnúť dotknutej osobe podľa článku 15 ods. 1 písm. a) až h) GDPR, preto nemožno zamieňať s osobnými údajmi dotknutej osoby v zmysle článku 4 bodu 1 tohto nariadenia.

48.

Nejde určite o údaje , ale o informácie , pokiaľ ide o:

–

práva dotknutej osoby, ktoré sú uvedené v písmenách e), f) a g); ( 20 )

–

existenciu automatizovaného rozhodovania [písmeno h)].

49.

Vo všetkých týchto prípadoch sa informácie týkajú buď určitých práv dotknutej osoby, alebo najmä prvkov súvisiacich s vykonávaným spracúvaním, ako je jeho účel (ktorý je rovnaký ako jeho dôvod) a jeho predmet (kategórie spracúvaných údajov).

53.

Je pravda, že zo spracúvania môžu vyplývať rozhodnutia týkajúce sa dotknutej osoby, ako uviedol vnútroštátny súd. ( 21 ) Tento výsledok však nebude závisieť od toho, ktorá konkrétna fyzická osoba alebo osoby preskúmali údaje v mene a na zodpovednosť spoločnosti Pankki, čo predstavuje spornú informáciu vo veci samej.

54.

J. M. teda mal právo, aby ho Pankki ako prevádzkovateľ informovala o osobných údajoch, ktoré má k dispozícii, či už získané od samotného J. M. (článok 13 GDPR), alebo inými prostriedkami (článok 14 GDPR). Tiež mal právo – teraz na základe článku 15 GDPR – na informácie o existencii a okolnostiach každého spracúvania, ktorého predmetom boli tieto údaje, ale nie preto, že toto spracúvanie samo osebe predstavuje „osobný údaj“, ale na základe výslovného poverenia podľa článku 15 GDPR. ( 22 )

55.

Vopred podotýkam, čo podrobnejšie vysvetlím neskôr, že v tejto veci je dôležité, že totožnosť zamestnancov, ktorí nahliadli do údajov J. M., nepredstavuje „osobný údaj“ J. M.

Podľa písmena a) má dotknutá osoba právo na to, aby jej prevádzkovateľ potvrdil účel spracúvania. Toto písmeno (ktoré bolo v prejednávanej veci dodržané, keďže Pankki informovala J. M. o účele spracúvania) však nestanovuje kritériá na určenie toho, kto sú príjemcami osobných údajov tohto spracúvania.

59.

Naopak, otázka má zmysel, keď si vyžaduje výklad článku 15 ods. 1 písm. c) GDPR. Pripomínam, že podľa tohto ustanovenia má dotknutá osoba právo získať informácie o „príjemco[ch] alebo kategóri[ách] príjemcov, ktorým boli alebo budú osobné údaje poskytnuté…“.

60.

Článok 4 bod 9 GDPR zase definuje pojem „príjemca“ ako „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorému sa osobné údaje poskytujú bez ohľadu na to, či je treťou stranou“.

61.

Môže sa však stať, že zamestnanec nedodrží postupy stanovené prevádzkovateľom a z vlastnej iniciatívy získa prístup k údajom klientov alebo iných zamestnancov nezákonným spôsobom. V takom prípade by nelojálny zamestnanec nekonal v mene a na účet prevádzkovateľa.

65.

Z tohto dôvodu by sa nelojálny zamestnanec mohol označiť za „príjemcu“, ktorému boli osobné údaje dotknutej osoby „poskytnuté“ (obrazne povedané), či už vlastnou činnosťou, a teda nezákonne, ( 25 ) alebo dokonca (samotným) prevádzkovateľom spracúvania. ( 26 )

66.

Z opisu skutkového stavu uvedeného v uznesení vnútroštátneho súdu a z tvrdení, ktoré na pojednávaní uviedla spoločnosť Pankki, vyplýva, že táto spoločnosť na vlastnú zodpovednosť poverila svojich zamestnancov nahliadnutím do osobných údajov J. M. Títo zamestnanci sa teda riadili pokynmi prevádzkovateľa a konali v jeho mene. Nemožno ich teda označiť za príjemcov v zmysle článku 15 ods. 1 písm. c) GDPR. ( 27 )

67.

Samozrejme, dotknutá osoba môže mať pochybnosti o správnosti zásahu určitých osôb do riadenia spracúvania jej údajov v mene prevádzkovateľa alebo sprostredkovateľa a v ich záujme.

71.

V tejto súvislosti, ako zdôraznila česká vláda a Komisia uviedla na pojednávaní, sa môže obrátiť na zodpovednú osobu (článok 38 ods. 4 GDPR) alebo na dozorný orgán s cieľom podať sťažnosť [článok 15 ods. 1 písm. f) a článok 77 GDPR]. Nie je jej však priznané právo priamo získať osobný údaj (totožnosť) zamestnanca, ktorý ako podriadený prevádzkovateľa alebo sprostredkovateľa koná v zásade v súlade s ich pokynmi.

72.

Na pojednávaní sa diskutovalo o tom, či možnosť obrátiť sa na zodpovednú osobu alebo dozorný orgán predstavuje dostatočnú záruku z hľadiska ochrany práv osoby, ktorej údaje boli spracúvané.

73.

Ako uviedla Pankki na pojednávaní, totožnosť jednotlivých zamestnancov, ktorí riadili spracúvanie klientskych údajov, predstavuje obzvlášť citlivé informácie z hľadiska ich bezpečnosti, prinajmenšom v určitých hospodárskych odvetviach.

77.

Títo zamestnanci by mohli byť vystavení pokusom o nátlak a ovplyvňovanie zo strany tých, ktorí ako klienti banky môžu mať záujem na personalizácii svojho prostredníka, ktorým by nebola ani tak samotná finančná inštitúcia, ale jeden alebo viacero jej zamestnancov, ako najslabší článok obchodného reťazca. Mohlo by k tomu dôjsť napríklad vtedy, keď sa monitorovanie transakcií prostredníctvom nahliadania do klientskych údajov vykonáva s cieľom splniť povinnosti, ktoré majú banky v súvislosti s predchádzaním trestnej činnosti vo finančnej oblasti a bojom proti nej.

78.

Je pravda, že klient môže mať pochybnosti o bezúhonnosti alebo nestrannosti fyzickej osoby, ktorá zasahovala v mene prevádzkovateľa do spracúvania jeho údajov. Táto pochybnosť, ak by bola opodstatnená, by mohla odôvodniť jeho záujem poznať totožnosť zamestnanca s cieľom uplatniť svoje právo podať proti nemu sťažnosť.

79.

82.

Odpoveď je však vhodné doplniť o analýzu údajného práva dotknutej osoby poznať totožnosť zamestnancov, ak sa nachádza v informačných systémoch alebo záznamoch o operáciách subjektu. Hoci, ako som už uviedol, nie všetky tieto informačné systémy alebo záznamy musia mať nevyhnutne rovnaký obsah, vo všeobecnosti sa uznáva, že odrážajú kto (zo zamestnancov prevádzkovateľa) ako a kedy nahliadol do klientskych údajov.

83.

Tento typ záznamov umožňuje prevádzkovateľovi splniť si svoju povinnosť dodržiavať zásady stanovené v článku 5 ods. 1 GDPR a prijať vhodné technické a organizačné opatrenia na zabezpečenie a preukázanie súladu spracúvania s mandátmi tohto nariadenia (článok 24 ods. 1 a článok 25 ods. 2 samotného GDPR).

84.

V špecifickej oblasti smernice (EÚ) 2016/680 ( 30 ), ktorú Komisia uvádza ako príklad ( 31 ) osobitného režimu ochrany údajov v oblasti trestných činov:

86.

V tom istom zmysle článok 30 GDPR stanovuje existenciu toho, čo nazýva „záznamy o spracovateľských činnostiach“, ktorého obsah sa zhoduje – s nižšou mierou špecifikácie, pokiaľ ide o definíciu operácií – s obsahom článku 25 smernice 2016/680. ( 33 ) A rovnako ako v prípade tejto smernice, zaznamenané informácie o totožnosti zamestnanca sa nenachádzajú medzi informáciami, ktoré sú prístupné dotknutej osobe podľa článku 15 GDPR.

87.

Dôvodom tejto asymetrie medzi zaznamenanými informáciami na jednej strane a právom na prístup k nim na strane druhej je rozdiel v účeloch, ktorým slúžia ustanovenia upravujúce záznamy o spracovateľských činnostiach a prístupnosť ich obsahu.

88.

Účelom záznamov uvedených v článku 30 GDPR je, opakujem, zabezpečiť zákonnosť spracúvania a zaručiť integritu a bezpečnosť údajov. Zodpovednosť za to vo všeobecnosti nesie dozorný orgán, ktorému musia prevádzkovateľ a sprostredkovateľ sprístupniť záznamy o operáciách (článok 30 ods. 4 GDPR).

92.

Na druhej strane sa osobe dotknutej konkrétnym spracúvaním musia poskytnúť informácie potrebné na zistenie relevantných okolností na účely posúdenia zákonnosti spracúvania a prípadného napadnutia tohto spracúvania pred dozorným orgánom alebo v konečnom dôsledku pred súdom.

93.

Nič to však nemení na skutočnosti, že ak tieto záznamy o operáciách skutočne obsahujú osobné údaje dotknutej osoby (teda iné ako len totožnosť zamestnancov), dotknutá osoba bude mať logicky právo získať od prevádzkovateľa potvrdenie o tom, že sa jej osobné údaje spracúvajú. Na tieto účely nie je podstatné, či sa tieto údaje nachádzajú v záznamoch o operáciách alebo v akomkoľvek inom informačnom systéme alebo v internej databáze subjektu.

C.

Tretia prejudiciálna otázka

97.

Je pravda, ako zdôraznila Komisia, že článok 23 GDPR umožňuje členským štátom legislatívne obmedziť rozsah povinností a práv stanovených okrem iného v jeho článku 15 prostredníctvom sektorových ustanovení pre konkrétnu kategóriu dotknutých osôb. Vnútroštátny súd však neuvádza žiadne vnútroštátne obmedzenie tohto druhu.

V. Návrh

98.

Vzhľadom na vyššie uvedené navrhujem, aby Súdny dvor odpovedal Itä‑Suomen hallinto‑oikeus (Správny súd pre východné Fínsko, Fínsko) takto:

Článok 15 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), v spojení s článkom 4 bodom 1 tohto nariadenia

( 4 ) Zákon o ochrane súkromia v súvislosti so zamestnaním.

( 5 ) Pankki chcela objasniť možnú existenciu konfliktu záujmov medzi klientom banky, za ktorého účet bol zodpovedný J. M., a J. M. Nakoniec sa dospelo k záveru, že J. M. nebol podozrivý zo žiadneho protiprávneho konania.

( 6 ) Článok 99 ods. 2 GDPR.

( 7 ) Pozri v tom istom zmysle návrhy, ktoré predniesol generálny advokát Pitruzzella vo veci Österreichische Post (Informácie o príjemcoch osobných údajov) ( C‑154/21 , EU:C:2022:452 ), bod 33 : „… právo na prístup uvedené v článku 15 odseku 1 písm. c) GDPR má funkčnú a pomocnú úlohu v súvislosti s výkonom ostatných výsad dotknutej osoby stanovených GDPR“.

( 8 ) Alebo, ako je to v tomto prípade, od okamihu, keď sa začne uplatňovať samotný predpis, ak sa nezhoduje s okamihom nadobudnutia účinnosti.

( 9 ) Smernica Európskeho parlamentu a Rady z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355).

( 15 ) Jeho totožnosť nebola spresnená ako dôsledok alebo výsledok spracúvania, keďže spracúvanie sa uskutočnilo práve po identifikácii J. M.

( 16 ) Ako poznamenala Komisia, je možné, že J. M. považuje poskytnuté informácie za nedostatočné alebo nepresné. V každom prípade a v súlade s článkom 15 ods. 1 GDPR má J. M. právo na potvrdenie o tom, či jeho údaje boli spracúvané alebo sa spracúvajú (čo zahŕňa uvedenie času) a o účele, na ktorý sa spracúvanie vykonáva. Vnútroštátnemu súdu prináleží určiť, či mu boli obe informácie poskytnuté dostatočným spôsobom.

( 17 ) Pozri jeho prepis v bode 9 vyššie.

( 18 ) Ako uviedol Súdny dvor v súvislosti so smernicou 95/46 a v podmienkach, ktoré možno uplatniť na GDPR, zásady ochrany zaručené právom Únie v tejto oblasti „sa musia na jednej strane odrážať v povinnostiach kladených na osoby, ktoré spracúvajú údaje, najmä pokiaľ ide o kvalitu údajov, technické zabezpečenie, oznámenia dozorným orgánom, a okolnosti, za akých sa môže vykonávať spracovanie, a na druhej strane v práve priznanom jednotlivcom, ktorých údaje sa spracovávajú, aby boli informovaní, že sa uskutočňuje spracovanie, aby mali prístup k týmto údajom, aby mohli žiadať opravy a aby za určitých okolností mohli podať námietky proti spracovaniu“ (rozsudok z 20. decembra 2017, Nowak, C‑434/16 , EU:C:2017:994 , bod 48 ).

( 19 ) Kurzívou zvýraznil generálny advokát.

( 20 ) Právo požadovať opravu alebo vymazanie údajov alebo obmedzenie spracúvania alebo namietať proti spracúvaniu; právo podať sťažnosť dozornému orgánu a byť informovaný o zdroji údajov, ktoré neboli získané od dotknutej osoby.

( 27 ) K rovnakému výsledku sa dospeje výkladom odkazov, ktoré sa v článkoch 13 a 14 GDPR, ako aj v jeho odôvodnení 61 týkajú času, keď sa dotknutým osobám musia poskytnúť informácie o spracúvaní osobných údajov, ktoré boli poskytnuté príjemcom. Z nich vyplýva, že príjemcom je externý subjekt alebo osoba, ktorá nie je závislá od prevádzkovateľa/sprostredkovateľa.

( 28 ) Fínska vláda na pojednávaní uviedla, že tak urobila v súvislosti so zdravotnými údajmi.

( 29 ) Dôsledky uznania tejto povinnosti sú ťažko predvídateľné pre každodennú činnosť podnikov, najmä pre tie podniky, ktoré sú povinné spracúvať (logicky prostredníctvom svojich zamestnancov) milióny osobných údajov svojich klientov.

( 30 ) Smernica Európskeho parlamentu a Rady z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov a o zrušení rámcového rozhodnutia Rady 2008/977/SVV ( Ú. v. EÚ L 119, 2016, s. 89 ).

( 31 ) Na pojednávaní sa objasnilo, že odkaz na smernicu 2016/680 neznamená, že sa vzťahuje na prejednávanú vec, ktorá nemá trestnoprávnu povahu.

( 32 ) Ustanovenia, ktoré sú prevzaté do článku 88 nariadenia Európskeho parlamentu a Rady (EÚ) 2018/1725 z 23. októbra 2018 o ochrane fyzických osôb pri spracúvaní osobných údajov inštitúciami, orgánmi, úradmi a agentúrami Únie a o voľnom pohybe takýchto údajov, ktorým sa zrušuje nariadenie (ES) č. 45/2001 a rozhodnutie č. 1247/2002/ES ( Ú. v. EÚ L 295, 2018, s. 39 ), pričom v odseku 2 sa dopĺňa, že takéto záznamy sa vymažú po troch rokoch, pokiaľ nie sú potrebné pre prebiehajúcu kontrolu.