C-638/23

62023CJ0638

ROZSUDOK

SÚDNEHO DVORA (ôsma komora)

z 27. februára 2025 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb pri spracúvaní osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Priame určenie prevádzkovateľa podľa vnútroštátneho práva – Pomocný správny subjekt pre krajinskú vládu – Neexistencia právnej subjektivity – Neexistencia vlastnej právnej spôsobilosti – Určenie účelov a prostriedkov spracúvania“

Vo veci C‑638/23,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Verwaltungsgerichtshof (Najvyšší správny súd, Rakúsko) z 23. augusta 2023 a doručený Súdnemu dvoru 24. októbra 2023, ktorý súvisí s konaním:

SÚDNY DVOR (ôsma komora),

v zložení: predseda deviatej komory N. Jääskinen, vykonávajúci funkciu predsedu ôsmej komory, sudcovia M. Gavalec (spravodajca) a N. Piçarra,

generálny advokát: M. Campos Sánchez-Bordona,

tajomník: A. Calot Escobar,

so zreteľom na písomnú časť konania,

so zreteľom na pripomienky, ktoré predložili:

–

Európska komisia, v zastúpení: A. Bouchagiar a M. Heller, splnomocnení zástupcovia,

so zreteľom na rozhodnutie prijaté po vypočutí generálneho advokáta, že vec bude prejednaná bez jeho návrhov,

vyhlásil tento

Rozsudok

1

Odôvodnenia 1, 7, 10, 45 a 74 GDPR znejú:

„(1)

Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov patrí medzi základné práva. V článku 8 ods. 1 Charty základných práv Európskej únie… a v článku 16 ods. 1 [ZFEÚ] sa stanovuje, že každý má právo na ochranu osobných údajov, ktoré sa ho týkajú.

…

(7)

… Fyzické osoby by mali mať kontrolu nad svojimi vlastnými osobnými údajmi. Mala by sa posilniť právna a praktická istota pre fyzické osoby, hospodárske subjekty a orgány verejnej moci.

Ak sa spracúvanie vykonáva v súlade so zákonnými povinnosťami, ktoré má prevádzkovateľ, alebo ak je spracúvanie potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo z úradnej moci, základ pre spracúvanie by mal existovať v práve Únie alebo v práve členského štátu. Týmto nariadením sa nevyžaduje, aby pre každé jednotlivé spracúvanie existoval osobitný právny predpis. Za dostatočný možno považovať právny predpis, ktorý je základom pre viaceré spracovateľské operácie založené na zákonnej povinnosti, ktorá sa vzťahuje na prevádzkovateľa, alebo ak je spracúvanie nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci. Na základe práva Únie alebo práva členského štátu by sa tiež malo rozhodovať o účele spracúvania. Okrem toho by toto právo mohlo spresniť všeobecné podmienky tohto nariadenia, ktoré sa týkajú zákonnosti spracúvania osobných údajov, stanoviť špecifikácie na určenie prevádzkovateľa, typu osobných údajov, ktoré podliehajú spracúvaniu, príslušných dotknutých osôb, subjektov, ktorým môžu byť osobné údaje poskytnuté, obmedzenia účelu, doby uchovávania a iných opatrení s cieľom zabezpečiť zákonné a spravodlivé spracúvanie. V práve Únie alebo v práve členského štátu by malo byť takisto stanovené, či by prevádzkovateľom vykonávajúcim úlohu vo verejnom záujme alebo pri výkone verejnej moci mal byť orgán verejnej moci alebo iná fyzická alebo právnická osoba, ktorá sa spravuje verejným alebo súkromným právom, ako napríklad profesijné združenie, ak je to z dôvodu verejného záujmu opodstatnené, a to aj na účely v oblasti zdravia, ako je verejné zdravie a sociálna ochrana a správa služieb zdravotnej starostlivosti.

5

Článok 4 uvedeného nariadenia, nazvaný „Vymedzenie pojmov“, znie:

„Na účely tohto nariadenia:

…

2.

‚spracúvanie‘ je operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami;

„1. Osobné údaje musia byť:

a)

spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b)

získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi; ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či štatistické účely sa v súlade s článkom 89 ods. 1 nepovažuje za nezlučiteľné s pôvodnými účelmi (‚obmedzenie účelu‘);

c)

spracúvané spôsobom, ktorý zaručuje primeranú bezpečnosť osobných údajov, vrátane ochrany pred neoprávneným alebo nezákonným spracúvaním a náhodnou stratou, zničením alebo poškodením, a to prostredníctvom primeraných technických alebo organizačných opatrení (‚integrita a dôvernosť‘).

2. Prevádzkovateľ je zodpovedný za súlad s odsekom 1 a musí vedieť tento súlad preukázať (‚zodpovednosť‘).“

7

Článok 6 GDPR, nazvaný „Zákonnosť spracúvania“, v odsekoch 1 a 3 uvádza:

„1. Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…

3. Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:

a)

v práve Únie alebo

b)

v práve členského štátu vzťahujúcom sa na prevádzkovateľa.

Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účely, na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. …“

Ustanovenie § 58 nariadenia spolkovej krajiny Tirolsko z roku 1989 s názvom „[úrad]“ v odseku 1 stanovuje:

„[Predseda], vláda spolkovej krajiny a jej členovia sa musia pri spracúvaní svojich záležitostí obrátiť na [úrad]. [Predseda] je vedúcim [úradu].“

TDVG

10

V ustanovení § 2 Tiroler Datenverarbeitungsgesetz (zákon spolkovej krajiny Tirolsko o spracúvaní údajov, ďalej len „TDVG“) sa stanovuje:

„1. Za prevádzkovateľa v zmysle článku 4 bodu 7 [GDPR] sa považuje:

b)

nedochádza k zverenému spracúvaniu v zmysle článku 5.“

Spor vo veci samej a prejudiciálna otázka

11

V rámci opatrení určených na boj proti pandémii COVID-19 úrad, pomocný administratívny subjekt predsedu a vlády spolkovej krajiny Tirolsko, zaslal „list o pripomenutí očkovania“ všetkým plnoletým osobám s bydliskom v spolkovej krajine Tirolsko, ktoré ešte neboli zaočkované proti tomuto vírusu. Na účely identifikácie adresátov týchto listov úrad poveril dva súkromné podniky, ktoré porovnali údaje uvedené v centrálnom registri očkovania, ako aj v registri pacientov, v ktorom bola uvedená adresa ich bydliska.

12

Tento súd sa domnieva, že na to, aby mohol rozhodnúť vo veci, o ktorej rozhoduje, treba určiť, či má úrad v kontexte tejto veci postavenie „prevádzkovateľa“ v zmysle článku 4 bodu 7 GDPR.

16

V tejto súvislosti vnútroštátny súd zdôrazňuje skutočnosť, že úrad iba predložil predsedovi návrh na zaslanie „listu o pripomenutí očkovania“, ktorý predseda schválil ako predseda úradu a zástupca spolkovej krajiny Tirolsko v súlade s § 58 a § 56 ods. 1 nariadenia spolkovej krajiny Tirolsko z roku 1989. Úrad sa tak obmedzil len na to, že informoval predsedu jednak o účele zamýšľaného spracúvania osobných údajov, a to o zvýšení zaočkovanosti, a jednak o prostriedkoch, ktoré by boli použité na základe tohto spracúvania, konkrétne o zaslaní takéhoto „listu o pripomenutí očkovania“ s použitím údajov z centrálneho registra očkovania a registra pacientov.

17

Podľa vnútroštátneho súdu vzhľadom na toto schválenie predsedom len tento predseda rozhodol tak o účele, ako aj o prostriedkoch spracúvania osobných údajov, takže úrad nemôže mať postavenie „prevádzkovateľa“ v zmysle článku 4 bodu 7 prvej vety GDPR.

18

Vnútroštátny súd dodáva, že z článku 6 ods. 1 písm. c) a e) GDPR vyplýva, že spracúvanie osobných údajov je zákonné, ak je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa alebo ak je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Z týchto podmienok zákonnosti a z cieľa, ktorý sleduje článok 4 bod 7 GDPR, ktorým je zabezpečiť účinnú a rozsiahlu ochranu dotknutých osôb, vyplýva, že členské štáty môžu za prevádzkovateľa určiť len osobu alebo subjekt, ktorý môže stanoviť účely, ako aj prostriedky spracúvania osobných údajov alebo sa prinajmenšom podieľať na tomto stanovení.

22

Verwaltungsgerichtshof (Najvyšší správny súd) za týchto podmienok rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:

„Má sa článok 4 bod 7 [GDPR] vykladať v tom zmysle, že bráni uplatneniu ustanovenia vnútroštátneho práva (ako v prejednávanej veci § 2 ods. 1 [TDVG]), ktoré síce stanovuje, že prevádzkovateľ je určený v zmysle článku 4 bodu 7 druhej vety GDPR, ale ktorý:

–

je len úradom (ako v prejednávanej veci [úrad]), ktorý síce bol zriadený zákonom, ale nie je fyzickou ani právnickou osobou a v tomto prípade nie je ani orgánom verejnej moci, ale vystupuje len ako jeho pomocný nástroj a nemá vlastnú (čiastočnú) právnu subjektivitu,

Svojou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 4 bod 7 GDPR vykladať v tom zmysle, že bráni vnútroštátnej právnej úprave, ktorá za prevádzkovateľa určuje pomocný správny subjekt, ktorý nemá právnu subjektivitu a nemá vlastnú právnu spôsobilosť, pričom konkrétne nespresňuje špecifické spracovateľské operácie s osobnými údajmi, za ktoré je tento subjekt zodpovedný, ani účel týchto operácií. Tento súd sa tiež pýta, či sa má článok 4 bod 7 GDPR vykladať v tom zmysle, že subjekt určený vnútroštátnym právom ako prevádzkovateľ v súlade s týmto ustanovením musí skutočne rozhodnúť o účeloch a prostriedkoch spracúvania osobných údajov, aby bol ako prevádzkovateľ povinný odpovedať na žiadosti, ktoré mu adresovali dotknuté osoby na základe práv, ktoré im vyplývajú z GDPR.

24

Na úvod treba pripomenúť, že podľa článku 4 bodu 7 GDPR pojem „prevádzkovateľ“ zahŕňa fyzické alebo právnické osoby, orgány verejnej moci, agentúry alebo iné subjekty, ktoré samy alebo spoločne s inými určia účely a prostriedky spracúvania osobných údajov. Toto ustanovenie tiež uvádza, že v prípade, že sa účely a prostriedky tohto spracúvania stanovujú v práve členského štátu, možno prevádzkovateľa alebo konkrétne kritériá uplatniteľné na jeho určenie určiť v tomto práve.

25

Z judikatúry Súdneho dvora vyplýva, že cieľom uvedeného ustanovenia je širokou definíciou pojmu „prevádzkovateľ“ zabezpečiť účinnú a úplnú ochranu dotknutých osôb (pozri v tomto zmysle rozsudky z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , bod 29 , a z 5. decembra 2023, Deutsche Wohnen, C‑807/21 , EU:C:2023:950 , bod 40 ).

29

Položenú otázku treba preskúmať práve vzhľadom na tieto úvodné úvahy. Na tieto účely treba po prvé určiť, do akej miery môže vnútroštátny zákonodarca platne určiť pomocný správny subjekt orgánu verejnej moci za prevádzkovateľa v zmysle článku 4 bodu 7 druhej vety GDPR, ak tento subjekt nemá vlastnú právnu subjektivitu ani vlastnú právnu spôsobilosť.

30

V tejto súvislosti treba na jednej strane uviesť, že Súdny dvor už rozhodol, že z jasného znenia článku 4 bodu 7 GDPR vyplýva, že prevádzkovateľom môže byť nielen fyzická alebo právnická osoba, ale aj orgán verejnej moci, agentúra alebo subjekt, pričom takéto subjekty nemusia mať právnu subjektivitu podľa vnútroštátneho práva [pozri v tomto zmysle rozsudok z 11. januára 2024, État belge (Údaje spracúvané úradným vestníkom), C‑231/22 , EU:C:2024:7 , bod 36 ].

31

Nemožno teda vylúčiť, že subjekt by mohol byť kvalifikovaný ako „prevádzkovateľ“ v zmysle tohto ustanovenia, aj keby nemal právnu subjektivitu.

35

V prejednávanej veci prináleží vnútroštátnemu súdu, aby overil, či je úrad podľa rakúskeho práva oprávnený prevziať zodpovednosť a povinnosti, ktoré GDPR ukladá prevádzkovateľovi, najmä vzhľadom na okolnosť, ktorá nebola spochybnená pred vnútroštátnymi súdmi, ktoré rozhodovali o spore vo veci samej, a to že úrad môže podať žalobu proti rozhodnutiu Úradu na ochranu údajov, rovnako ako môže byť predmetom sťažnosti pred týmto orgánom. Vnútroštátny súd bude môcť zohľadniť tiež skutočnosť, že úrad poveril dva súkromné podniky, aby vykonávali spracúvanie osobných údajov uvedených v centrálnom registri očkovania a v registri pacientov s bydliskom v spolkovej krajine Tirolsko.

36

Po druhé sa vnútroštátny súd pýta, či vnútroštátny zákonodarca môže určiť subjekt za prevádzkovateľa podľa článku 4 bodu 7 druhej vety GDPR bez toho, aby konkrétne spresnil spracúvanie osobných údajov, ktoré môže tento subjekt vykonávať, ako aj jeho účel a presné prostriedky, ktoré môže použiť na účely tohto spracúvania.

37

Ako bolo pripomenuté v bode 28 tohto rozsudku, ak vnútroštátne právo určuje subjekt ako prevádzkovateľa, určenie účelov a prostriedkov spracúvania týmto právom môže byť implicitné pod podmienkou, že toto určenie dostatočne s istotou vyplýva z úlohy, poverenia a právomocí zverených tomuto subjektu. Táto podmienka je splnená, ak tieto ciele a prostriedky v podstate vyplývajú z ustanovení vnútroštátneho práva upravujúcich činnosť uvedeného subjektu.

41

V prejednávanej veci prináleží vnútroštátnemu súdu overiť na jednej strane, či spracúvanie osobných údajov, ktoré úrad vykonal na účely prípravy a zaslania „listov o pripomenutí očkovania“ dotknutých vo veci samej, je zlučiteľné s účelmi, ktorým musia zodpovedať spracovateľské operácie s osobnými údajmi, pre ktoré bol úrad určený ako prevádzkovateľ, tak ako tieto účely prinajmenšom implicitne vyplývajú zo všetkých ustanovení vnútroštátneho práva upravujúcich jeho činnosť, a na druhej strane overiť prostriedky, ktoré môže na tieto účely úrad uplatniť. Samotná okolnosť, že tieto vnútroštátne ustanovenia prípadne konkrétne nespresňujú spracovateľské operácie, ktoré je úrad oprávnený vykonávať, nemôže vylúčiť kvalifikáciu subjektu, akým je úrad, ako prevádzkovateľa v zmysle článku 4 bodu 7 GDPR.

42

Po tretie sa vnútroštátny súd pýta, či subjekt určený vnútroštátnou právnou úpravou ako prevádzkovateľ podľa článku 4 bodu 7 druhej vety GDPR má tiež sám alebo spolu s inými príslušnými orgánmi rozhodnúť o účeloch a prostriedkoch spracúvania osobných údajov, pre ktoré je určený ako prevádzkovateľ, aby bol v tomto postavení povinný odpovedať na žiadosti, ktoré mu adresovali dotknuté osoby na základe práv, ktoré im vyplývajú z GDPR.

43

V tejto súvislosti stačí poznamenať, že na účely preukázania postavenia subjektu ako prevádzkovateľa v zmysle článku 4 bodu 7 prvej vety GDPR treba preskúmať, či tento subjekt na svoje vlastné účely skutočne ovplyvnil určenie účelov a prostriedkov tohto spracúvania (pozri v tomto zmysle rozsudok 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21 , EU:C:2023:949 , body 30 a 31 ).

47

Takýto výklad je v súlade s cieľom právnej istoty, ktorý sleduje GDPR. Ako zdôraznila Európska komisia vo svojich písomných pripomienkach, tento cieľ by bol ohrozený, ak by na to, aby bolo možné konštatovať, že toto určenie bolo platne vykonané vnútroštátnym zákonodarcom, dotknuté osoby museli overiť, či subjekt určený ako prevádzkovateľ ich osobných údajov má právomoc sám určiť účely a prostriedky takéhoto spracúvania.

48

Treba ešte dodať, že skutočnosť, že nie je nevyhnutné, aby subjekt určený vnútroštátnym právom ako prevádzkovateľ bol tiež oprávnený sám rozhodnúť o účeloch a prostriedkoch spracúvania osobných údajov na to, aby musel ako prevádzkovateľ odpovedať na žiadosti, ktoré mu dotknuté osoby adresujú na základe práv, ktoré im vyplývajú z GDPR, nezbavuje tieto osoby možnosti adresovať tieto žiadosti inému subjektu, o ktorom sa domnievajú, že je prevádzkovateľom alebo spoluprevádzkovateľom spracúvania ich osobných údajov z dôvodu vplyvu, ktorý tento iný subjekt mal na určenie účelov a prostriedkov predmetného spracúvania.

49

Vzhľadom na vyššie uvedené dôvody treba na položenú otázku odpovedať tak, že článok 4 bod 7 GDPR sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá za prevádzkovateľa určuje pomocný správny subjekt, ktorý nemá právnu subjektivitu ani vlastnú právnu spôsobilosť, pričom konkrétne nespresňuje dané spracovateľské operácie s osobnými údajmi, za ktoré je tento subjekt zodpovedný, ani účel týchto operácií, pokiaľ je jednak takýto subjekt schopný v súlade s touto vnútroštátnou právnou úpravou splniť povinnosti prevádzkovateľa voči dotknutým osobám v oblasti ochrany osobných údajov a jednak uvedená vnútroštátna právna úprava výslovne alebo prinajmenšom implicitne určuje rozsah spracúvania osobných údajov, za ktoré je tento subjekt zodpovedný.

nebráni vnútroštátnej právnej úprave, ktorá za prevádzkovateľa určuje pomocný správny subjekt, ktorý nemá právnu subjektivitu ani vlastnú právnu spôsobilosť, pričom konkrétne nespresňuje dané spracovateľské operácie s osobnými údajmi, za ktoré je tento subjekt zodpovedný, ani účel týchto operácií, pokiaľ je jednak takýto subjekt schopný v súlade s touto vnútroštátnou právnou úpravou splniť povinnosti prevádzkovateľa voči dotknutým osobám v oblasti ochrany osobných údajov a jednak uvedená vnútroštátna právna úprava výslovne alebo prinajmenšom implicitne určuje rozsah spracúvania osobných údajov, za ktoré je tento subjekt zodpovedný.

Podpisy

( *1 ) Jazyk konania: nemčina.