C-422/24

62024CJ0422

ROZSUDOK

SÚDNEHO DVORA (prvá komora)

z 18. decembra 2025 ( *1 )

„Návrh na začatie prejudiciálneho konania – Ochrana osobných údajov – Nariadenie (EÚ) 2016/679 – Články 13 a 14 – Pôsobnosť – Osobné údaje získané prostredníctvom kamery umiestnenej na tele, ktorú nosia revízori cestovných lístkov vo verejnej doprave – Právny základ povinnosti poskytnúť informácie dotknutej osobe, ktorú má prevádzkovateľ“

Vo veci C‑422/24,

ktorej predmetom je návrh na začatie prejudiciálneho konania podľa článku 267 ZFEÚ, podaný rozhodnutím Högsta förvaltningsdomstolen (Najvyšší správny súd, Švédsko) z 13. júna 2024 a doručený Súdnemu dvoru 17. júna 2024, ktorý súvisí s konaním:

tajomník: A. Calot Escobar,

so zreteľom na písomnú časť konania,

so zreteľom na pripomienky, ktoré predložili:

–

Integritetsskyddsmyndigheten, v zastúpení: C. Agnehall, A. Persson a D. Törngren, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar, C. Faroghi a H. Kranenborg, splnomocnení zástupcovia,

po vypočutí návrhov generálnej advokátky na pojednávaní 1. augusta 2025,

vyhlásil tento

Rozsudok

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článkov 13 a 14 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) ( Ú. v. EÚ L 119, 2016, s. 1 ; ďalej len „GDPR“).

Zásady spravodlivého a transparentného spracúvania si vyžadujú, aby dotknutá osoba bola informovaná o existencii spracovateľskej operácie a jej účeloch. Prevádzkovateľ by mal dotknutej osobe poskytnúť všetky ďalšie informácie, ktoré sú potrebné na zaručenie spravodlivého a transparentného spracúvania, pričom sa zohľadnia konkrétne okolnosti a kontext, v ktorom sa osobné údaje spracúvajú. Dotknutá osoba by okrem toho mala byť informovaná o existencii profilovania a následkoch takéhoto profilovania. Ak sa osobné údaje získavajú od dotknutej osoby, dotknutá osoba by mala byť informovaná aj o tom, či je povinná osobné údaje poskytnúť, a o následkoch v prípade, že tieto údaje neposkytne. Tieto informácie možno poskytnúť v kombinácii so štandardizovanými ikonami s cieľom poskytnúť dobre viditeľným, zrozumiteľným a čitateľným spôsobom zmysluplný prehľad zamýšľaného spracúvania. Ak sú ikony uvedené v elektronickej podobe, mali by byť strojovo čitateľné.

(61)

Informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa mali dotknutej osobe poskytnúť v čase získavania osobných údajov od dotknutej osoby, alebo ak sa osobné údaje získali z iného zdroja, v primeranej lehote v závislosti od okolností prípadu. Ak možno osobné údaje legitímne poskytnúť inému príjemcovi, dotknutá osoba by mala byť informovaná o tom, kedy boli osobné údaje prvýkrát poskytnuté tomuto príjemcovi. Ak má prevádzkovateľ v úmysle spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, mal by dotknutej osobe pred takýmto ďalším spracúvaním poskytnúť informácie o tomto inom účele a ďalšie potrebné informácie. Ak sa z dôvodu použitia viacerých zdrojov nemohol dotknutej osobe poskytnúť pôvod osobných údajov, mala by sa poskytnúť všeobecná informácia.“

c)

primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

…“

5

Článok 12 GDPR, nazvaný „Transparentnosť informácií, oznámenia a postupy výkonu práv dotknutej osoby“, znie:

„1. Prevádzkovateľ prijme vhodné opatrenia s cieľom poskytnúť dotknutej osobe všetky informácie uvedené v článkoch 13 a 14 a všetky oznámenia podľa článkov 15 až 22 a článku 34, ktoré sa týkajú spracúvania, a to v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho… Informácie sa poskytujú písomne alebo inými prostriedkami, vrátane v prípade potreby elektronickými prostriedkami. …

…“

6

Článok 13 GDPR s názvom „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ stanovuje:

„1. V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

a)

totožnosť a kontaktné údaje prevádzkovateľa a v príslušných prípadoch zástupcu prevádzkovateľa;

e)

príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú;

f)

v relevantnom prípade informácia o tom, že prevádzkovateľ zamýšľa preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii a informácia o existencii alebo neexistencii rozhodnutia [Európskej] komisie o primeranosti alebo, v prípade prenosov uvedených v článku 46 alebo 47 či v článku 49 ods. 1 druhom pododseku odkaz na primerané alebo vhodné záruky a prostriedky na získanie ich kópie, alebo kde boli poskytnuté.

2. Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

a)

právo podať sťažnosť dozornému orgánu;

e)

informácia o tom, či je poskytovanie osobných údajov zákonnou alebo zmluvnou požiadavkou, alebo požiadavkou, ktorá je potrebná na uzavretie zmluvy, či je dotknutá osoba povinná poskytnúť osobné údaje, ako aj možné následky neposkytnutia takýchto údajov;

f)

existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a v týchto prípadoch aspoň zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu.

3. Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a ďalšie relevantné informácie uvedené v odseku 2.

b)

kontaktné údaje prípadnej zodpovednej osoby;

c)

účely spracúvania, na ktoré sú osobné údaje určené, ako aj právny základ spracúvania;

d)

kategórie dotknutých osobných údajov;

doba uchovávania osobných údajov, alebo ak to nie je možné, kritériá na jej určenie;

b)

ak sa spracúvanie zakladá na článku 6 ods. 1 písm. f), oprávnené záujmy, ktoré sleduje prevádzkovateľ alebo tretia strana;

c)

existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby a práva na ich opravu alebo vymazanie alebo obmedzenie spracúvania, a práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov;

d)

existencia automatizovaného rozhodovania vrátane profilovania uvedeného v článku 22 ods. 1 a 4 a aspoň v týchto prípadoch zmysluplné informácie o použitom postupe, ako aj význame a predpokladaných dôsledkoch takéhoto spracúvania pre dotknutú osobu.

3. Prevádzkovateľ poskytne informácie uvedené v odsekoch 1 a 2:

a)

v primeranej lehote po získaní osobných údajov, najneskôr však do jedného mesiaca, pričom zohľadní konkrétne okolnosti, za ktorých sa osobné údaje spracúvajú;

b)

ak sa osobné údaje majú použiť na komunikáciu s dotknutou osobou, najneskôr v čase prvej komunikácie s touto dotknutou osobou; alebo

b)

sa poskytovanie takýchto informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie, najmä v prípade spracúvania na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či na štatistické účely, na ktoré sa vzťahujú podmienky a záruky podľa článku 89 ods. 1, alebo pokiaľ je pravdepodobné, že povinnosť uvedená v odseku 1 tohto článku znemožní alebo závažným spôsobom sťaží dosiahnutie cieľov takéhoto spracúvania. V takých prípadoch prijme prevádzkovateľ vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti;

c)

sa získanie alebo poskytnutie výslovne stanovuje v práve Únie alebo v práve členského štátu, ktorému prevádzkovateľ podlieha, a v ktorom sa stanovujú primerané opatrenia na ochranu oprávnených záujmov dotknutej osoby; alebo

d)

v prípade, keď osobné údaje musia zostať dôverné na základe povinnosti zachovávania profesijného tajomstva upravenej právom Únie alebo právom členského štátu vrátane povinnosti zachovávať mlčanlivosť vyplývajúcej zo štatútu.“

Tieto kamery majú tzv. „cirkulárnu pamäť“, čo znamená, že po určitom čase dochádza k automatickému vymazaniu celého zaznamenaného obsahu. Po tomto vymazaní sa zaznamenaný materiál odstráni. Pôvodne sa zaznamenaný materiál uchovával dve minúty, ale počas kontroly vykonanej úradom sa tento čas skrátil na jednu minútu. Stlačením tlačidla však revízori môžu prerušiť automatické vymazávanie a zabezpečiť, aby sa zaznamenané údaje nevymazali. V takom prípade sa prostredníctvom techniky predbežného záznamu v kamere uchovávajú aj informácie, ktoré sú v nej uložené počas jednej minúty pred tým, ako revízor stlačil tlačidlo. Revízori sú poučení, aby odložili automatické vymazanie vždy, keď vystavujú pokutu, a takisto aj v prípade ich ohrozenia.

11

Okrem týchto zistení týkajúcich sa používania a fungovania kamier umiestnených na tele úrad vo svojom rozhodnutí konštatoval, že SL od decembra 2018 až do dňa prijatia tohto rozhodnutia v júni 2021 spracúvala osobné údaje s použitím kamier umiestnených na tele pri kontrole cestovných lístkov v rozpore s viacerými ustanoveniami GDPR. Podľa úradu spoločnosť SL okrem iného neposkytla dotknutým osobám primerané informácie, ako to vyžaduje článok 13 GDPR. V dôsledku toho tento úrad uložil spoločnosti SL správnu pokutu v celkovej výške 16 miliónov švédskych korún (SEK) (približne 1420670 eur), z toho 4 milióny SEK (približne 355188 eur) za neposkytnutie informácií dotknutým osobám.

12

Förvaltningsrätten i Stockholm (Správny súd Štokholm, Švédsko), na ktorý SL podala žalobu proti rozhodnutiu úradu, túto žalobu zamietol v časti týkajúcej sa sankcie uloženej tejto spoločnosti za neinformovanie dotknutých osôb.

16

Napokon podľa vnútroštátneho súdu nie je vôbec jasné, do akej miery sa rozdiely medzi článkami 13 a 14 GDPR, pokiaľ ide o rozsah povinnosti poskytovať informácie zakotvený v týchto ustanoveniach, musia zohľadniť pri určovaní, ktorý z týchto článkov sa uplatní na určitý druh získavania osobných údajov. V tejto súvislosti vnútroštátny sú spresňuje, že účastníci konania sa nezhodujú na závere, ktorý treba vyvodiť z týchto rozdielov.

17

Na záver sa vnútroštátny súd pýta na význam, ktorý treba priznať usmerneniam k transparentnosti podľa nariadenia (EÚ) 2016/679 prijatým 29. novembra 2017, revidovaným 11. apríla 2018 pracovnou skupinou zriadenou podľa článku 29 smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov ( Ú. v. ES L 281, 1995, s. 31 ; Mim. vyd. 13/015, s. 355, ďalej len „usmernenia k transparentnosti“), ktoré v bode 26 stanovujú, že článok 13 GDPR sa uplatňuje na sledovanie kamerou.

18

Za týchto podmienok Högsta förvaltningsdomstolen (Najvyšší správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:

21

V tejto súvislosti treba pripomenúť, že podľa článku 252 druhého odseku ZFEÚ generálny advokát, ktorý koná nestranne a nezávisle, predkladá na verejných pojednávaniach odôvodnené návrhy v prípadoch, ktoré si v súlade so Štatútom Súdneho dvora Európskej únie vyžadujú jeho účasť. Súdny dvor nie je viazaný ani týmito návrhmi, ani odôvodnením, na základe ktorého k týmto návrhom generálny advokát dospel (rozsudok zo 4. septembra 2025, Nissan Iberia, C‑21/24 , EU:C:2025:659 , bod 30 a citovaná judikatúra).

22

V tejto súvislosti treba rovnako uviesť, že Štatút Súdneho dvora Európskej únie ani rokovací poriadok neupravujú možnosť účastníkov konania alebo dotknutých osôb uvedených v článku 23 tohto štatútu podať pripomienky v reakcii na návrhy prednesené generálnym advokátom. Nesúhlas účastníka alebo takejto dotknutej osoby s návrhmi generálneho advokáta bez ohľadu na otázky, ktoré v nich skúmal, nemôže byť sám osebe dôvodom odôvodňujúcim opätovné začatie ústnej časti konania (rozsudok zo 4. septembra 2025, Nissan Iberia. C‑21/24 , EU:C:2025:659 , bod 31 a citovaná judikatúra).

23

Z toho vyplýva, že tomuto návrhu spoločnosti SL na opätovné začatie ústnej časti konania nemožno vyhovieť vzhľadom na to, že jeho cieľom je to, aby jej bolo umožnené odpovedať na stanovisko, ktoré zaujala generálna advokátka vo svojich návrhoch.

O prejudiciálnej otázke

27

Svojou otázkou sa vnútroštátny súd v podstate pýta, či sa články 13 a 14 GDPR majú vykladať v tom zmysle, že v prípade, keď sa osobné údaje získavajú prostredníctvom kamier umiestnených na tele, ktoré nosia revízori vo verejnej doprave, sa informovanie dotknutých osôb riadi článkom 13 GDPR alebo článkom 14 GDPR.

28

Na účely odpovede na túto otázku treba podľa ustálenej judikatúry Súdneho dvora zohľadniť nielen znenie týchto ustanovení, ale aj ich kontext a ciele sledované právnou úpravou, ktorej sú súčasťou (rozsudok z 28. novembra 2024, Másdi, C‑169/23 , EU:C:2024:988 , bod 39 ).

29

V tejto súvislosti už Súdny dvor spresnil, že pokiaľ ide o použitie pojmu „získanie“ („erhållande“) v článku 14 ods. 5 písm. c) GDPR, ktorý sa vo švédskej jazykovej verzii používa aj v názve tohto článku 14, ako aj v jeho odseku 1 („erhållits“), tento pojem sa skutočne vzťahuje na údaje „získané“ od inej osoby, než je dotknutá osoba, a na údaje, ktoré samotný prevádzkovateľ vytvoril v rámci plnenia svojich úloh na základe takýchto údajov (pozri v tomto zmysle rozsudok z 28. novembra 2024, Másdi, C‑169/23 , EU:C:2024:988 , bod 47 ).

33

Okrem toho, ako uviedla generálna advokátka v bode 28 svojich návrhov, pojem údaje, ktoré sa „získavajú“ od dotknutej osoby v zmysle článku 13 ods. 1 GDPR, si nevyžaduje osobitný úkon zo strany dotknutej osoby, ale výlučne zo strany prevádzkovateľa údajov, takže na účely vymedzenia pôsobnosti tohto ustanovenia vo vzťahu k pôsobnosti článku 14 tohto nariadenia je miera aktívnej činnosti dotknutej osoby irelevantná.

34

Táto úvaha je zdôraznená aj v usmerneniach k transparentnosti uvedených v bode 17 tohto rozsudku, z ktorých vyplýva, že článok 13 GDPR sa uplatňuje buď vtedy, keď dotknutá osoba vedome poskytne osobné údaje prevádzkovateľovi, alebo keď prevádzkovateľ získava údaje na základe sledovania, najmä prostredníctvom kamier.

35

Z článku 5 nariadenia GDPR teda vyplýva, že spracúvanie osobných údajov musí najmä spĺňať konkrétne požiadavky v oblasti transparentnosti vo vzťahu k osobe, ktorej sa takéto spracúvanie týka [rozsudok z 11. júla 2024, Meta Platforms Ireland (Žaloba v zastúpení), C‑757/22 , EU:C:2024:598 , bod 53 ].

39

Ako v podstate uviedla Komisia vo svojich písomných pripomienkach, článok 13 GDPR tým, že ukladá povinnosť oznámiť dotknutej osobe informácie uvedené v tomto ustanovení v čase ich získavania, priznáva tejto osobe konkrétne vyjadrenie práva na informácie. Naopak článok 14 tohto nariadenia bol prijatý s cieľom reagovať na situácie, v ktorých prevádzkovateľ nie je v priamom kontakte s dotknutou osobou, ale získava osobné údaje z iného zdroja, takže poskytnutie informácií, ktorých sa týka toto ustanovenie, v okamihu, keď sú tieto informácie získané, je v praxi sťažené alebo dokonca nemožné. Nepriama povaha takéhoto získavania teda odôvodňuje, že toto posledné uvedené ustanovenie stanovuje možnosť odkladu splnenia informačnej povinnosti, ktorá prislúcha tomuto prevádzkovateľovi.

40

V treťom rade treba články 13 a 14 GDPR vykladať vo svetle cieľa tohto nariadenia spočívajúceho najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na ochranu osobných údajov zakotveného v článku 16 ZFEÚ a zaručeného ako základné právo článkom 8 Charty základných práv Európskej únie, ktoré dopĺňa právo na súkromný život zaručené v jej článku 7 (rozsudok z 27. februára 2025, Dun & Bradstreet Austria a i., C‑203/22 , EU:C:2025:117 , bod 51 a citovaná judikatúra).

44

Z bodu 34 uvedeného rozsudku preto nemožno vyvodiť, že Súdny dvor sa už vyjadril k rozlišovaniu medzi pôsobnosťou článku 13 GDPR na jednej strane a pôsobnosťou článku 14 tohto nariadenia na druhej strane.

45

Vzhľadom na predchádzajúce úvahy treba na položenú otázku odpovedať tak, že články 13 a 14 GDPR sa majú vykladať v tom zmysle, že v prípade, keď sa osobné údaje získavajú prostredníctvom kamier umiestnených na tele, ktoré nosia revízori vo verejnej doprave, sa informovanie dotknutých osôb riadi článkom 13 GDPR, a nie jeho článkom 14.

O trovách

46

( *1 ) Jazyk konania: švédčina.