C-169/23

Nemzeti Adatvédelmi és Információszabadság Hatóság

proti

UC,

SÚDNY DVOR (tretia komora),

v zložení: predsedníčka druhej komory K. Jürimäe, vykonávajúca funkciu predsedníčky tretej komory, predseda Súdneho dvora K. Lenaerts, vykonávajúci funkciu sudcu tretej komory, sudcovia N. Jääskinen, M. Gavalec (spravodajca) a N. Piçarra,

generálna advokátka: L. Medina,

UC, v zastúpení: D. Karsai a V. Łuszcz, ügyvédek,

–

maďarská vláda, v zastúpení: Z. Biró‑Tóth a M. Z. Fehér, splnomocnení zástupcovia,

–

česká vláda, v zastúpení: L. Březinová, M. Smolek a J. Vláčil, splnomocnení zástupcovia,

–

2

Tento návrh bol podaný v rámci sporu medzi Nemzeti Adatvédelmi és Információszabadság Hatóság (Národný úrad pre ochranu údajov a slobodu informácií, Maďarsko) (ďalej len „vnútroštátny orgán“) na jednej strane a UC na druhej strane vo veci existencie povinnosti poskytovať informácie v súvislosti so spracúvaním osobných údajov zo strany Budapest Főváros Kormányhivatala (vládny úrad pre hlavné mesto Budapešť, Maďarsko) (ďalej len „vydávajúci správny orgán“), ktorý je poverený vydávaním osvedčení o imunite zaočkovaným osobám proti ochoreniu COVID‑19 alebo osobám, ktoré sa týmto ochorením nakazili.

Právny rámec

Právo Únie

GDPR

3

…

(61)

Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa mali dotknutej osobe poskytnúť v čase získavania osobných údajov od dotknutej osoby, alebo ak sa osobné údaje získali z iného zdroja, v primeranej lehote v závislosti od okolností prípadu. Ak možno osobné údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o tom, kedy boli osobné údaje prvýkrát poskytnuté tomuto príjemcovi. Ak má prevádzkovateľ v úmysle spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, mal by dotknutej osobe pred takýmto ďalším spracúvaním poskytnúť informácie o tomto inom účele a ďalšie potrebné informácie. Ak sa z dôvodu použitia viacerých zdrojov nemohol dotknutej osobe poskytnúť pôvod osobných údajov, mala by sa poskytnúť všeobecná informácia.

(62)

Nie je však potrebné uložiť povinnosť poskytovať informácie, ak dotknutá osoba už informácie má, ak zaznamenanie alebo poskytnutie osobných údajov je výslovne stanovené zákonom, alebo ak sa poskytnutie informácií dotknutej osobe ukáže ako nemožné alebo by si vyžiadalo vynaloženie neprimeraného úsilia. …

(63)

„Na účely tohto nariadenia:

1.

‚osobné údaje‘ sú akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby (ďalej len ‚dotknutá osoba‘);…

2.

‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

…

…

c)

spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

…

e)

spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;

i)

spracúvanie je nevyhnutné z dôvodov verejného záujmu v oblasti verejného zdravia, ako je ochrana proti závažným cezhraničným ohrozeniam zdravia alebo zabezpečenie vysokej úrovne kvality a bezpečnosti zdravotnej starostlivosti a liekov alebo zdravotníckych pomôcok, na základe práva Únie alebo práva členského štátu, ktorým sa stanovujú vhodné a konkrétne opatrenia na ochranu práv a slobôd dotknutej osoby, najmä profesijné tajomstvo;

…“

8

Kapitola III GDPR, nazvaná „Práva dotknutej osoby“, obsahuje viacero oddielov, medzi ktoré patrí oddiel 2 s názvom „Informácie a prístup k osobným údajom“.

9

b)

kontaktné údaje prípadnej zodpovednej osoby;

c)

účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;

d)

kategórie dotknutých osobných údajov;

doba uchovávania osobných údajov, alebo ak to nie je možné, kritériá na jej určenie;

b)

ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;

c)

existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby a práva na ich opravu alebo vymazanie alebo obmedzenie spracúvania, a práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov;

d)

existencia automatizovaného rozhodovania…

…

4. Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli osobné údaje získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a akékoľvek ďalšie relevantné informácie uvedené v odseku 2.

5. Odseky 1 až 4 sa neuplatňujú v rozsahu, v akom:

a)

dotknutá osoba má už dané informácie;

11

Článok 32 uvedeného nariadenia, nazvaný „Bezpečnosť spracúvania“, znie:

„1. Prevádzkovateľ a sprostredkovateľ prijmú so zreteľom na najnovšie poznatky, náklady na vykonanie opatrení a na povahu, rozsah, kontext a účely spracúvania, ako aj na riziká s rôznou pravdepodobnosťou a závažnosťou pre práva a slobody fyzických osôb, primerané technické a organizačné opatrenia s cieľom zaistiť úroveň bezpečnosti primeranú tomuto riziku, pričom uvedené opatrenia prípadne zahŕňajú aj:

a)

pseudonymizáciu a šifrovanie osobných údajov;

b)

3. Dodržiavanie schváleného kódexu správania uvedeného v článku 40 alebo schváleného certifikačného mechanizmu uvedeného v článku 42 sa môže použiť ako prvok na preukázanie súladu s požiadavkami uvedenými v odseku 1 tohto článku.

4. Prevádzkovateľ a sprostredkovateľ podniknú kroky na zabezpečenie toho, aby každá fyzická osoba konajúca na základe poverenia prevádzkovateľa alebo sprostredkovateľa, ktorá má prístup k osobným údajom, spracúvala tieto údaje len na základe pokynov prevádzkovateľa s výnimkou prípadov, keď sa to od nej vyžaduje podľa práva Únie alebo práva členského štátu.“

12

Článok 55 toho istého nariadenia s názvom „Príslušnosť“ v odseku 1 stanovuje:

„Každý dozorný orgán je príslušný plniť úlohy, ktoré mu boli uložené, a vykonávať právomoci, ktoré mu boli zverené, v súlade s týmto nariadením na území vlastného členského štátu.“

13

poskytuje v súlade s právom členského štátu poradenstvo národnému parlamentu, vláde a iným inštitúciám a orgánom o legislatívnych a administratívnych opatreniach súvisiacich s ochranou práv a slobôd fyzických osôb pri spracúvaní;

…“

14

Článok 58 tohto nariadenia s názvom „Právomoci“ v odseku 3 stanovuje:

„Každý dozorný orgán má všetky tieto povoľovacie a poradné právomoci:

…

16

Článok 78 GDPR s názvom „Právo na účinný súdny prostriedok nápravy voči rozhodnutiu dozorného orgánu“ znie:

„1. Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá fyzická alebo právnická osoba má právo na účinný súdny prostriedok nápravy voči právne záväznému rozhodnutiu dozorného orgánu, ktoré sa jej týka.

2. Bez toho, aby boli dotknuté iné správne alebo mimosúdne prostriedky nápravy, každá dotknutá osoba má právo na účinný súdny prostriedok nápravy, ak dozorný orgán, ktorý je príslušný podľa článkov 55 a 56, sťažnosť nevybavil alebo neinformoval dotknutú osobu do troch mesiacov o pokroku alebo výsledku sťažnosti podanej podľa článku 77.

3. Návrh na začatie konania proti dozornému orgánu sa podáva na súdoch členského štátu, v ktorom je dozorný orgán zriadený.

4. Ak sa návrh na začatie konania podáva proti rozhodnutiu dozorného orgánu, ktorému predchádzalo stanovisko alebo rozhodnutie výboru v rámci mechanizmu konzistentnosti, dozorný orgán takéto stanovisko alebo rozhodnutie postúpi súdu.“

Podľa § 2 ods. 1 koronavírus elleni védettségi igazolásról szóló 60/2021. (II.12.) Korm. rendelet [nariadenie vlády č. 60/2021 (II.12.) o osvedčení o imunite voči koronavírusu] z 12. februára 2021 v znení uplatniteľnom na spor vo veci samej (ďalej len „nariadenie vlády č. 60/2021“):

„Osvedčenie o imunite obsahuje:

a)

meno dotknutej osoby;

b)

číslo pasu dotknutej osoby, ak je k dispozícii;

f)

v prípade predloženia dokladu o prekonaní ochorenia, dátum platnosti tohto dokladu;

g)

kód dátového úložiska, ktorý je opticky čitateľný počítačovým zariadením, a ktorý je vytvorený z údajov uvedených v písmenách a) až f);

h)

nasledujúce údaje vo forme textových upozornení:

19

V súlade s § 2 ods. 6 a 7 nariadenia vlády č. 60/2021 osvedčenie o imunite vydáva vydávajúci správny orgán v prospech oprávnenej fyzickej osoby buď z úradnej moci, alebo na základe žiadosti.

20

Ustanovenie § 3 ods. 3 tohto nariadenia vlády stanovuje:

„V prípadoch uvedených v § 2 ods. 6 písm. c) a d) vydávajúci správny orgán prostredníctvom automatického prenosu informácií – v prípade potreby prostredníctvom príslušných služieb elektronického registra správy identifikačných údajov – získava:

a)

22

Dňa 30. apríla 2021 UC začal správne konanie v súvislosti so spracúvaním osobných údajov, ktoré sa ho týkajú, pričom na vnútroštátnom orgáne podal sťažnosť na základe článku 77 ods. 1 GDPR, aby bola vydávajúcemu správnemu orgánu uložená povinnosť zosúladiť jeho spracovateľské operácie s ustanoveniami GDPR. UC vo svojej sťažnosti vydávajúcemu správnemu orgánu najmä vytýkal, že nevypracoval a nezverejnil vyhlásenie o ochrane osobných údajov týkajúcich sa vydávania osvedčení o imunite, pričom tvrdil, že neexistovali informácie o účele a právnom základe spracúvania týchto údajov, ani o právach dotknutej osoby a spôsobe, akým možno tieto práva uplatniť.

23

V rámci konania začatého na základe tejto sťažnosti vydávajúci správny orgán vyhlásil, že plnil svoje úlohy spojené s vydaním osvedčenia o imunite na základe § 2 nariadenia vlády č. 60/2021, keďže právnym základom spracúvania osobných údajov je článok 6 ods. 1 písm. e) GDPR a článok 9 ods. 2 písm. i) tohto nariadenia, pokiaľ ide o spracúvanie osobných údajov patriacich do osobitných kategórií.

24

Okrem toho vydávajúci správny orgán uviedol, že osobné údaje, ktoré spracúval, získal od iného orgánu v súlade s ustanoveniami nariadenia vlády č. 60/2021. Na tomto základe tvrdil, že podľa článku 14 ods. 5 písm. c) GDPR nie je povinný poskytovať informácie o spracúvaní týchto údajov. Na svojej internetovej stránke však vyhotovil a zverejnil požadované vyhlásenie o ochrane osobných údajov.

28

UC podal proti tomuto rozhodnutiu správnu žalobu na Fővárosi Törvényszék (Súd hlavného mesta Budapešť, Maďarsko), ktorý uvedené rozhodnutie zrušil a nariadil tomuto orgánu začať nové konanie.

29

Tento súd vo svojom rozsudku konštatoval, že výnimka stanovená v článku 14 ods. 5 písm. c) GDPR sa neuplatňuje, pretože určité osobné údaje poskytnuté v súvislosti s osvedčeniami o imunite nezískal prevádzkovateľ od iného subjektu, ale vytvoril ich tento samotný prevádzkovateľ v rámci plnenia svojich úloh. To bol podľa uvedeného súdu prípad sériového čísla osvedčenia o imunite, dátumu skončenia platnosti osvedčenia vydaného osobe, ktorá sa nakazila, QR kódu uvedeného na karte, čiarového kódu a iných alfanumerických kódov uvedených na liste o odovzdaní osvedčenia, ako aj osobných údajov vytvorených v rámci procesu správy spisov prevádzkovateľa. Podľa názoru toho istého súdu sa výnimka stanovená v článku 14 ods. 5 písm. c) GDPR mohla vzťahovať len na osobné údaje získané od iného orgánu.

30

Vnútroštátny orgán podal proti tomuto rozsudku mimoriadny opravný prostriedok na Kúria (Najvyšší súd, Maďarsko), ktorý je vnútroštátnym súdom, ktorý podal návrh na začatie prejudiciálneho konania.

34

Za týchto podmienok Kúria (Najvyšší súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúce prejudiciálne otázky:

„1.

Má sa článok 14 ods. 5 písm. c) [GDPR] v spojení s [jeho] článkom 14 ods. 1 a odôvodnením 62 vykladať v tom zmysle, že výnimka stanovená v tomto ustanovení sa nevzťahuje na údaje vytvorené prevádzkovateľom v rámci jeho vlastného postupu, ale len na údaje, ktoré prevádzkovateľ osobitne získal od inej osoby?

2.

V prípade, že sa článok 14 ods. 5 písm. c) GDPR vzťahuje aj na údaje vytvorené v rámci vlastného postupu prevádzkovateľa, má sa článok 77 ods. 1 GDPR, ktorý upravuje právo podať sťažnosť dozornému orgánu, vykladať v tom zmysle, že fyzická osoba, ktorá namieta porušenie povinnosti poskytnúť informácie, môže pri výkone svojho práva podať sťažnosť tiež požiadať o preskúmanie, či právo členského štátu uvedené v článku 14 ods. 5 písm. c) GDPR stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby?

36

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 14 ods. 5 písm. c) GDPR vykladať v tom zmysle, že výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, ktorú stanovuje toto ustanovenie, sa týka len osobných údajov, ktoré prevádzkovateľ získal od inej osoby, než je dotknutá osoba, alebo či sa týka aj osobných údajov, ktoré tento prevádzkovateľ vytvoril v rámci plnenia svojich úloh.

37

Článok 14 ods. 1, 2 a 4 tohto nariadenia určuje informácie, ktoré je prevádzkovateľ povinný poskytnúť dotknutej osobe v zmysle článku 4 bodu 1 uvedeného nariadenia, ak osobné údaje neboli získané od tejto osoby.

38

Článok 14 ods. 5 toho istého nariadenia stanovuje výnimky z tejto povinnosti. Pokiaľ ide o tieto výnimky, písmeno c) tohto odseku 5 stanovuje, že uvedená povinnosť sa neuplatňuje v rozsahu, v akom sa získanie alebo poskytnutie výslovne stanovuje v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha a v ktorom sa stanovujú primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.

42

Podľa ustálenej judikatúry pritom takisto platí, že formulácia použitá v jednej z jazykových verzií ustanovenia práva Únie sa nemôže chápať ako jediný základ na výklad tohto ustanovenia, prípadne sa nemôže považovať za ustanovenie, ktoré má prednosť pred inými jazykovými verziami. Ustanovenia práva Únie sa totiž majú vykladať a uplatňovať jednotným spôsobom pri zohľadnení existujúcich verzií vo všetkých jazykoch Únie. V prípade rozporov medzi rôznymi jazykovými verziami textu práva Únie sa má predmetné ustanovenie vykladať podľa všeobecnej štruktúry a účelu právneho predpisu, ktorého je súčasťou (rozsudok z 21. marca 2024, Cobult, C‑76/23 , EU:C:2024:253 , bod 25 a citovaná judikatúra).

43

Pokiaľ ide o všeobecnú štruktúru GDPR, článok 14 ods. 5 tohto nariadenia treba vykladať s prihliadnutím na jeho odôvodnenia 61 a 62, ktoré odkazujú jednak na „osobné údaje… [získané a] osobné údaje… [poskytnuté]“, ako aj na „zaznamenanie alebo poskytnutie osobných údajov… výslovne stanovené zákonom“, a jednak na „informácie… [poskytnuté]“ alebo „[ktoré sa majú poskytnúť]“. Výklad, podľa ktorého sa „získanie alebo poskytnutie“ v zmysle článku 14 ods. 5 písm. c) GDPR týka osobných údajov, navyše potvrdzuje široký rozsah pojmu „spracúvanie“ v zmysle článku 4 bodu 2 GDPR, ktorý sa vzťahuje na všetky operácie uplatňované na osobné údaje [pozri v tomto zmysle rozsudok z 5. októbra 2023, Ministerstvo zdravotnictví (Mobilná aplikácia Covid‑19), C‑659/22 , EU:C:2023:745 , bod 27 a citovanú judikatúru].

44

Pokiaľ ide o účel právnej úpravy, ktorej súčasťou je článok 14 ods. 5 písm. c) GDPR, stačí poznamenať, ako to urobila generálna advokátka v bode 31 svojich návrhov, že ratio legis tejto výnimky spočíva v skutočnosti, že povinnosť poskytnúť dotknutej osobe informácie, ktoré stanovuje článok 14 ods. 1, 2 a 4 tohto nariadenia, nie je odôvodnená, ak iné ustanovenie práva Únie alebo práva členského štátu ukladá prevádzkovateľovi dostatočne komplexne a záväzne povinnosť poskytnúť tejto osobe informácie týkajúce sa získania alebo poskytnutia osobných údajov. V prípade, na ktorý sa vzťahuje tento článok 14 ods. 5 písm. c), totiž dotknuté osoby musia mať dostatočné znalosti o spôsobe a účele získania alebo poskytnutia týchto údajov.

48

V druhom rade treba uviesť, že vecná pôsobnosť článku 14 GDPR je vymedzená negatívne vo vzťahu k článku 13 tohto nariadenia. Ako vyplýva zo samotného názvu týchto ustanovení, tento článok 13 sa týka informácií, ktoré sa majú poskytnúť pri získavaní osobných údajov od dotknutej osoby, zatiaľ čo tento článok 14 sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby. Vzhľadom na túto dichotómiu všetky prípady, v ktorých sa údaje nezískavajú od dotknutej osoby, patria do vecnej pôsobnosti uvedeného článku 14.

49

Z výkladu článku 13 GDPR v spojení s jeho článkom 14 teda vyplýva, že tak osobné údaje získané prevádzkovateľom od inej osoby, než je dotknutá osoba, ako aj údaje vytvorené samotným prevádzkovateľom, ktoré už zo svojej povahy neboli získané od dotknutej osoby, patria do pôsobnosti tohto článku 14. Z toho vyplýva, že výnimka stanovená v uvedenom článku 14 ods. 5 písm. c) sa vzťahuje na tieto dve kategórie údajov.

50

V treťom rade treba článok 14 ods. 5 písm. c) GDPR vykladať v zmysle, ktorý je v súlade s cieľom sledovaným týmto nariadením, ktorý spočíva, ako vyplýva z jeho článku 1 v spojení s jeho odôvodneniami 1 a 10, v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov, zakotvenej v článku 8 ods. 1 Charty základných práv a v článku 16 ods. 1 ZFEÚ (pozri v tomto zmysle rozsudok zo 7. marca 2024, IAB Europe, C‑604/22 , EU:C:2024:214 , bod 53 a citovanú judikatúru).

54

Z toho vyplýva, že na to, aby bolo uplatnenie článku 14 ods. 5 písm. c) GDPR plne v súlade s cieľom sledovaným týmto nariadením, podlieha dôslednému dodržiavaniu podmienok, ktoré toto ustanovenie stanovuje, a to najmä existencii úrovne ochrany dotknutej osoby, ktorá je prinajmenšom rovnocenná s úrovňou ochrany zaručenou článkom 14 ods. 1 až 4 uvedeného nariadenia.

55

Vzhľadom na vyššie uvedené dôvody treba na prvú otázku odpovedať tak, že článok 14 ods. 5 písm. c) GDPR sa má vykladať v tom zmysle, že výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, stanovená v tomto ustanovení, sa týka bez rozdielu všetkých osobných údajov, ktoré prevádzkovateľ nezískal priamo od dotknutej osoby, či už tieto údaje získal prevádzkovateľ od inej osoby, než je dotknutá osoba, alebo boli vytvorené samotným prevádzkovateľom v rámci plnenia jeho úloh.

O druhej a tretej otázke

56

Pokiaľ ide o tieto úlohy, článok 57 ods. 1 písm. a) GDPR stanovuje, že každý dozorný orgán na svojom území monitoruje a presadzuje uplatňovanie tohto nariadenia.

60

GDPR neobsahuje žiadne ustanovenie, ktoré by mohlo vyňať určité aspekty uplatňovania výnimky stanovenej v článku 14 ods. 5 písm. c) tohto nariadenia z právomoci týchto dozorných orgánov.

61

Podľa tohto ustanovenia pre prevádzkovateľa platí výnimka z povinnosti poskytnúť dotknutej osobe informácie uvedené v článku 14 ods. 1, 2 a 4 GDPR v rozsahu, v akom jednak získanie alebo poskytnutie osobných údajov je výslovne stanovené v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha, a jednak toto právo stanovuje primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby.

62

Na tento účel je najmä dôležité, aby uvedené ustanovenia jasne a predvídateľne uvádzali zdroj, z ktorého dotknutá osoba získa informácie o spracúvaní osobných údajov, ktoré sa jej týkajú.

66

V kontexte prenosu osobných údajov medzi orgánmi členského štátu a vytváraním takýchto údajov prevádzkovateľom z údajov získaných od inej osoby, než je dotknutá osoba, treba uviesť, že v prípade sťažnosti zo strany dotknutej osoby bude úlohou dozorného orgánu najmä overiť, či relevantné vnútroštátne právo alebo právo Únie dostatočne presne vymedzuje rôzne druhy osobných údajov, ktoré sa majú získať alebo poskytnúť, ako aj osobné údaje, ktoré má prevádzkovateľ vytvoriť pri plnení svojich úloh, a či toto právo stanovuje spôsob, akým má dotknutá osoba účinný prístup k informáciám uvedeným v článku 14 ods. 1, 2 a 4 GDPR.

67

Ako zdôrazňuje Komisia vo svojich písomných pripomienkach, overenie zo strany dozorného orgánu toho, či sú splnené všetky podmienky uplatnenia výnimky stanovenej v článku 14 ods. 5 písm. c) GDPR, nie je súčasťou preskúmania platnosti relevantných ustanovení vnútroštátneho práva. Tento orgán rozhoduje len o tom, či je prevádzkovateľ v danom prípade oprávnený uplatniť vo vzťahu k dotknutej osobe výnimku stanovenú v tomto ustanovení.

68

Tento článok 32 ukladá prevádzkovateľovi a jeho prípadnému sprostredkovateľovi povinnosť prijať primerané technické a organizačné opatrenia s cieľom zaistiť primeranú úroveň bezpečnosti spracúvania osobných údajov. Primeranosť takýchto opatrení sa musí konkrétne posúdiť s prihliadnutím na riziká spojené s príslušným spracúvaním a na základe posúdenia, či sú povaha, obsah a vykonávanie týchto opatrení primerané týmto rizikám (pozri v tomto zmysle rozsudky zo 14. decembra 2023, Nacionalna agencija za prichodite, C‑340/21 , EU:C:2023:986 , body 42 , 46 a 47 , ako aj z 25. januára 2024, MediaMarktSaturn, C‑687/21 , EU:C:2024:72 , body 37 a 38 ).

72

Vzhľadom na znenie týchto dvoch ustanovení treba uviesť, že povinnosti zakotvené v článku 32 GDPR, ktoré musia byť dodržané v každom prípade a bez ohľadu na to, či existuje alebo neexistuje povinnosť poskytnúť informácie podľa článku 14 tohto nariadenia, majú odlišnú povahu a odlišný rozsah v porovnaní s povinnosťou poskytnúť informácie, stanovenou v tomto článku 14.

73

V prípade sťažnosti podľa článku 77 ods. 1 GDPR z dôvodu, že prevádzkovateľ sa nesprávne odvolal na výnimku stanovenú v článku 14 ods. 5 písm. c) tohto nariadenia, je teda predmet overení, ktoré má vykonať dozorný orgán, obmedzený pôsobnosťou samotného článku 14 uvedeného nariadenia, pričom dodržanie článku 32 tohto nariadenia nie je súčasťou týchto overení.

74

Článok 14 ods. 5 písm. c) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

výnimka z povinnosti prevádzkovateľa poskytnúť dotknutej osobe informácie, stanovená v tomto ustanovení, sa týka bez rozdielu všetkých osobných údajov, ktoré prevádzkovateľ nezískal priamo od dotknutej osoby, či už tieto údaje získal prevádzkovateľ od inej osoby, než je dotknutá osoba, alebo boli vytvorené samotným prevádzkovateľom v rámci plnenia jeho úloh.

2.

Článok 14 ods. 5 písm. c) a článok 77 ods. 1 nariadenia 2016/679

sa majú vykladať v tom zmysle, že: