C-484/24

proti

EM,

SÚDNY DVOR (piata komora),

v zložení: predsedníčka piatej komory M. L. Arastey Sahún, sudcovia J. Passer, E. Regan (spravodajca), D. Gratsias a B. Smulders,

generálny advokát: D. Spielmann,

tajomník: G. Chiapponi, referent,

po vypočutí návrhov generálneho advokáta na pojednávaní 16. októbra 2025,

vyhlásil tento

Rozsudok

1 Návrh na začatie prejudiciálneho konania sa týka výkladu článkov 5, 6, 9, 13 a 17 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2 Tento návrh bol podaný v rámci sporu medzi spoločnosťou NTH Haustechnik GmbH (ďalej len „NTH“) a jej bývalou zamestnankyňou EM vo veci náhrady škody, ktorá tejto spoločnosti údajne vznikla v dôsledku neoprávneného predaja tovaru, ktorý jej patril, cez internet.

Právny rámec

…

(7) Tento vývoj si vyžaduje silný a súdržnejší rámec ochrany údajov v [Európskej ú]nii, ktorý sa bude intenzívne presadzovať vzhľadom na význam vybudovania dôvery, ktorá umožní rozvoj digitálnej ekonomiky v rámci vnútorného trhu. Fyzické osoby by mali mať kontrolu nad svojimi vlastnými osobnými údajmi. Mala by sa posilniť právna a praktická istota pre fyzické osoby, hospodárske subjekty a orgány verejnej moci.

…

(10) S cieľom zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb a odstrániť prekážky tokov osobných údajov v rámci Únie, úroveň ochrany práv a slobôd fyzických osôb pri spracúvaní týchto údajov by mala byť rovnaká vo všetkých členských štátoch. Konzistentné a jednotné uplatňovanie pravidiel ochrany základných práv a slobôd fyzických osôb pri spracúvaní osobných údajov by sa malo zabezpečiť v rámci celej Únie. Pokiaľ ide o spracúvanie osobných údajov na účely dodržania zákonnej povinnosti, plnenia úloh realizovaných vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi, členské štáty by mali mať možnosť zachovať alebo zaviesť vnútroštátne predpisy, ktorými by sa spresnilo uplatňovanie pravidiel stanovených v tomto nariadení. Spolu so všeobecnými a horizontálnymi právnymi predpismi o ochrane údajov, ktorými sa vykonáva smernica [Európskeho parlamentu a Rady] 95/46/ES [z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, 1995, s. 31; Mim. vyd. 13/015, s. 355)], prijali členské štáty viaceré sektorové právne predpisy v oblastiach, v ktorých sú potrebné špecifickejšie normy. Týmto nariadením sa tiež členským štátom dáva priestor na spresnenie svojich pravidiel vrátane pravidiel spracúvania osobitných kategórií osobných údajov (ďalej len ‚citlivé údaje‘). V danom rozsahu toto nariadenie nevylučuje právo členského štátu, ktorým sa vymedzujú okolnosti špecifických spracovateľských situácií vrátane presnejšieho stanovenia podmienok, za ktorých je spracúvanie osobných údajov v súlade so zákonom.

(39) Každé spracúvanie osobných údajov by malo byť zákonné a spravodlivé. Pre fyzické osoby by malo byť transparentné, že sa získavajú, používajú, konzultujú alebo inak spracúvajú osobné údaje, ktoré sa ich týkajú, ako aj to, v akom rozsahu sa tieto osobné údaje spracúvajú alebo budú spracúvať. Zásada transparentnosti si vyžaduje, aby všetky informácie a komunikácia súvisiace so spracúvaním týchto osobných údajov boli ľahko prístupné a ľahko pochopiteľné a formulované jasne a jednoducho. Uvedená zásada sa týka najmä informácií pre dotknuté osoby o identite prevádzkovateľa a účeloch spracúvania, a ďalších informácií na zabezpečenie spravodlivého a transparentného spracúvania, pokiaľ ide o dotknuté fyzické osoby a ich právo získať potvrdenie a oznámenie spracúvaných osobných údajov, ktoré sa ich týkajú. Fyzické osoby by mali byť upozornené na riziká, pravidlá, záruky a práva pri spracúvaní osobných údajov, ako aj na to, ako uplatňovať svoje práva pri takomto spracúvaní. Najmä konkrétne účely, na ktoré sa osobné údaje spracúvajú, by mali byť výslovne uvedené a legitímne a stanovené v čase získavania osobných údajov. Osobné údaje by mali byť primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú. To si vyžaduje najmä zabezpečenie toho, aby obdobie, počas ktorého sa tieto osobné údaje uchovávajú, bolo obmedzené na nevyhnutný rozsah. Osobné údaje by sa mali spracúvať len vtedy, ak účel spracúvania nebolo možné za primeraných podmienok dosiahnuť inými prostriedkami. …

…

(41) Keď sa v tomto nariadení odkazuje na právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom, bez toho, aby boli dotknuté požiadavky vyplývajúce z ústavného poriadku dotknutého členského štátu. Takýto právny základ alebo legislatívne opatrenie by však mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora Európskej únie… a Európskeho súdu pre ľudské práva.“

2. Toto nariadenie sa nevzťahuje na spracúvanie osobných údajov:

a) v rámci činnosti, ktorá nepatrí do pôsobnosti práva Únie;

b) členskými štátmi pri vykonávaní činností patriacich do rozsahu pôsobnosti kapitoly 2 hlavy V ZEÚ;

c) fyzickou osobou v rámci výlučne osobnej alebo domácej činnosti;

d) príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania, alebo výkonu trestných sankcií vrátane ochrany pred ohrozením verejnej bezpečnosti a jeho predchádzania.“

6 Článok 4 GDPR, nazvaný „Vymedzenie pojmov“, stanovuje:

7 V kapitole II GDPR s názvom „Zásady“ sa nachádzajú články 5 až 11 tohto nariadenia.

8 Článok 5 GDPR s názvom „Zásady spracúvania osobných údajov“ v odseku 1 stanovuje:

„1. Osobné údaje musia byť:

a) spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe (‚zákonnosť, spravodlivosť a transparentnosť‘);

b) získavané na konkrétne určené, výslovne uvedené a legitímne účely a nesmú sa ďalej spracúvať spôsobom, ktorý nie je zlučiteľný s týmito účelmi; ďalšie spracúvanie na účely archivácie vo verejnom záujme, na účely vedeckého alebo historického výskumu či štatistické účely sa v súlade s článkom 89 ods. 1 nepovažuje za nezlučiteľné s pôvodnými účelmi (‚obmedzenie účelu‘);

c) primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (‚minimalizácia údajov‘);

b) spracúvanie je nevyhnutné na plnenie zmluvy, ktorej zmluvnou stranou je dotknutá osoba, alebo aby sa na základe žiadosti dotknutej osoby vykonali opatrenia pred uzatvorením zmluvy;

c) spracúvanie je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa;

d) spracúvanie je nevyhnutné, aby sa ochránili životne dôležité záujmy dotknutej osoby alebo inej fyzickej osoby;

e) spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi;

f) spracúvanie je nevyhnutné na účely oprávnených záujmov, ktoré sleduje prevádzkovateľ alebo tretia strana, s výnimkou prípadov, keď nad takýmito záujmami prevažujú záujmy alebo základné práva a slobody dotknutej osoby, ktoré si vyžadujú ochranu osobných údajov, najmä ak je dotknutou osob[o]u dieťa.

Písmeno f) prvého pododseku sa nevzťahuje na spracúvanie vykonávané orgánmi verejnej moci pri výkone ich úloh.

Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účel[ov], na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.

4. Ak spracúvanie na iné účely ako na účely, na ktoré boli osobné údaje získavané, nie je založené na súhlase dotknutej osoby alebo na práve Únie alebo práve členského štátu, ktoré predstavuje potrebné a primerané opatrenie v demokratickej spoločnosti na ochranu cieľov uvedených v článku 23 ods. 1, prevádzkovateľ na zistenie toho, či je spracúvanie na iný účel zlučiteľné s účelom, na ktorý boli osobné údaje pôvodne získané, okrem iného zohľadní:

a) akékoľvek prepojenie medzi účelmi, na ktoré sa osobné údaje získali, a účelmi zamýšľaného ďalšieho spracúvania;

b) okolnosti, za akých sa osobné údaje získali, najmä týkajúce sa vzťahu medzi dotknutými osobami a prevádzkovateľom;

…

f) spracúvanie je nevyhnutné na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov, alebo kedykoľvek, keď súdy vykonávajú svoju súdnu právomoc;

…

3. Osobné údaje uvedené v odseku 1 sa môžu spracúvať na účely uvedené v odseku 2 písm. h), ak tieto údaje spracúva odborník, alebo ak sa spracúvajú v rámci zodpovednosti odborníka, ktorý podlieha povinnosti zachovávať profesijné tajomstvo podľa práva Únie alebo práva členského štátu alebo podľa pravidiel, ktoré stanovili príslušné vnútroštátne orgány, alebo ak údaje spracúva iná osoba, ktorá tiež podlieha povinnosti mlčanlivosti podľa práva Únie alebo práva členského štátu alebo pravidiel, ktoré stanovili príslušné vnútroštátne orgány.

4. Členské štáty môžu zachovať alebo zaviesť ďalšie podmienky vrátane obmedzení týkajúce sa spracúvania genetických údajov, biometrických údajov alebo údajov týkajúcich sa zdravia.“

11 V kapitole III GDPR s názvom „Práva dotknutej osoby“ sa nachádzajú články 12 až 23.

e) príjemcovia alebo kategórie príjemcov osobných údajov, ak existujú;

f) v relevantnom prípade informácia o tom, že prevádzkovateľ zamýšľa preniesť osobné údaje do tretej krajiny alebo medzinárodnej organizácii a informácia o existencii alebo neexistencii rozhodnutia Komisie o primeranosti alebo, v prípade prenosov uvedených v článku 46 alebo 47 či v článku 49 ods. 1 druhom pododseku odkaz na primerané alebo vhodné záruky a prostriedky na získanie ich kópie, alebo kde boli poskytnuté.

2. Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

a) doba uchovávania osobných údajov alebo, ak to nie je možné, kritériá na jej určenie;

b) existencia práva požadovať od prevádzkovateľa prístup k osobným údajom týkajúcim sa dotknutej osoby a práva na ich opravu alebo vymazanie alebo obmedzenie spracúvania, alebo práva namietať proti spracúvaniu, ako aj práva na prenosnosť údajov;

c) ak je spracúvanie založené na článku 6 ods. 1 písm. a) alebo na článku 9 ods. 2 písm. a), existencia práva kedykoľvek svoj súhlas odvolať bez toho, aby to malo vplyv na zákonnosť spracúvania založeného na súhlase udelenom pred jeho odvolaním;

„1. Dotknutá osoba má tiež právo dosiahnuť u prevádzkovateľa bez zbytočného odkladu vymazanie osobných údajov, ktoré sa jej týkajú, a prevádzkovateľ je povinný bez zbytočného odkladu vymazať osobné údaje, ak je splnený niektorý z týchto dôvodov:

…

b) dotknutá osoba odvolá súhlas, na základe ktorého sa spracúvanie vykonáva, podľa článku 6 ods. 1 písm. a) alebo článku 9 ods. 2 písm. a), a ak neexistuje iný právny základ pre spracúvanie;

…

d) osobné údaje sa spracúvali nezákonne;

…

e) iné dôležité ciele všeobecného verejného záujmu Únie alebo členského štátu…

f) ochranu nezávislosti súdnictva a súdnych konaní;

…

i) ochranu dotknutej osoby alebo práv a slobôd iných;

j) vymáhanie občianskoprávnych nárokov.

2. Konkrétne musí každé legislatívne opatrenie uvedené v odseku 1 obsahovať osobitné ustanovenia, ktoré v relevantných prípado[ch] upravujú aspoň:

g) riziká pre práva a slobody dotknutých osôb a

h) práva dotknutých osôb na informovanie o obmedzení, pokiaľ tým nie je ohrozený účel obmedzenia.“

Nemecké právo

Základný zákon Spolkovej republiky Nemecko

15 Článok 92 Grundgesetz für die Bundesrepublik Deutschland (Základný zákon Spolkovej republiky Nemecko) z 23. mája 1949 (BGBl. 1949 I, s. 1) stanovuje:

„Právomoc vykonávať spravodlivosť je zverená sudcom; vykonáva ho Bundesverfassungsgericht (Spolkový ústavný súd, Nemecko), spolkové súdy stanovené týmto základným zákonom a súdy spolkových krajín.“

17 Ustanovenie § 286 tohto zákonníka, nazvaného „Voľné hodnotenie dôkazov“, stanovuje:

„1. Vzhľadom na priebeh pojednávania a závery prípadného dokazovania súd podľa vlastného presvedčenia slobodne rozhodne, či sa má skutkové tvrdenie považovať za pravdivé alebo nepravdivé. Vo svojom rozhodnutí uvedie dôvody, ktoré odôvodňujú jeho presvedčenie.

2. Súd je viazaný zákonnými pravidlami v oblasti dokazovania len v prípadoch uvedených v tomto zákone.“

18 Ustanovenie § 355 uvedeného poriadku s názvom „Bezprostrednosť vykonávania dôkazov“ znie:

„1. Dokazovanie prebieha pred súdom, ktorý rozhoduje vo veci samej. Iný člen tohto súdu alebo iný súd môže vykonať dokazovanie len v prípadoch stanovených týmto zákonom.

2. Proti rozhodnutiu, ktorým sa stanovuje spôsob vykonávania dôkazov, nie je prípustný opravný prostriedok.“

„1. Osobné údaje zamestnancov sa smú spracúvať na účely pracovnoprávneho vzťahu, ak je to potrebné na rozhodnutie o vzniku pracovnoprávneho vzťahu, alebo po vzniku pracovnoprávneho vzťahu na jeho vykonávanie alebo jeho skončenie, alebo na výkon práv či dodržiavanie povinností súvisiacich so zastupovaním záujmov zamestnancov, ktoré vyplývajú zo zákona alebo z nástroja upravujúceho kolektívne pracovnoprávne vzťahy, podnikovej alebo služobnej dohody (kolektívna zmluva). Na účely odhaľovania trestných činov sa osobné údaje zamestnancov môžu spracúvať pod podmienkou, že existuje podozrenie založené na konkrétnych nepriamych dôkazoch, ktoré musia byť preukázané a podľa ktorých dotknutá osoba spáchala trestný čin v rámci pracovnoprávneho vzťahu, že spracúvanie je nevyhnutné na odhalenie trestného činu a že neprevažuje oprávnený záujem zamestnanca alebo zamestnancov na vylúčení spracúvania, a najmä že povaha a rozsah spracúvania nie sú neprimerané vo vzťahu k dôvodom, ktoré k nemu viedli.

2. Ak ku spracúvaniu osobných údajov zamestnancov dochádza na základe súhlasu, treba na účely posúdenia, či bol súhlas poskytnutý slobodne, zohľadniť najmä závislosť zamestnanca v pracovnoprávnom vzťahu, ako aj okolnosti, za ktorých bol súhlas udelený. Slobodný charakter súhlasu možno preukázať najmä vtedy, ak pre zamestnanca existuje právna alebo hospodárska výhoda, alebo ak sa záujmy zamestnávateľa zhodujú so záujmami zamestnanca. Súhlas musí mať písomnú alebo elektronickú formu, pokiaľ si osobitné okolnosti nevyžadujú inú formu. Zamestnávateľ je povinný písomne informovať zamestnanca o účele spracúvania údajov a o jeho práve odvolať svoj súhlas, ktoré je stanovené v článku 7 ods. 3 [GDPR].

…“

Spor vo veci samej a prejudiciálne otázky

21 Spoločnosť NTH, ktorá sa zaoberá vykurovaním a klimatizáciou, zamestnávala EM, ktorá bola manželkou konateľa spoločnosti NTH.

22 Dňa 31. októbra 2019 sa pracovný pomer medzi spoločnosťou NTH a EM skončil. Následne až do rozluky s konateľom HTN, ku ktorej došlo 26. júna 2022, mala EM naďalej prístup do priestorov NTH a používala počítače, ktoré sa v nich nachádzali.

23 Bezprostredne po tejto rozluke, konajúc najmä prostredníctvom svojho zamestnanca F., ktorý je synom konateľa spoločnosti NTH a EM, táto spoločnosť preukázala, že EM predala na svoj vlastný účet prostredníctvom online predajnej platformy eBay tovar, ktorého vlastníctvo si NTH nárokuje a ktorý mal pri ďalšom predaji celkovú hodnotu 13 217,09 eura. Vzhľadom na kúpnu cenu tohto tovaru a výšku administratívnych nákladov, ktoré vznikli v dôsledku potreby nahradenia tohto tovaru, predstavuje celková výška škody, ktorá vznikla NTH 46 567,91 eura.

24 EM popiera, že uvedený tovar predala bez vedomia spoločnosti NTH. Malo ísť totiž najmä o tovar vrátený zákazníkmi, alebo o chybný či zastaraný tovar, ktorý NTH nemohla použiť, a teda tovar, ktorý už pre ňu nemal žiadnu hodnotu. NTH ho bezodplatne postúpila EM, ktorá ho predala s cieľom pokryť náklady domácnosti, ktorú tvorila spolu s konateľom spoločnosti NTH.

29 Podľa uvedeného súdu však judikatúra Súdneho dvora predovšetkým neumožňuje jasne určiť, či sú pravidlá nemeckého procesného práva dostatočne presné na to, aby spĺňali požiadavky GDPR, najmä pokiaľ ide o kritériá, ktoré sa majú uplatniť na určenie okolností, za ktorých je použitie takýchto údajov zakázané, ďalej, či sa nemecké súdy môžu v rámci výkonu svojej súdnej právomoci pri spracúvaní týchto údajov opierať o článok 17 ods. 3 písm. e) GDPR, a napokon, aké sú kritériá, na základe ktorých je potrebné podrobne posúdiť, či je spracúvanie údajov vykonávané v rámci výkonu tejto právomoci povolené, predovšetkým ak údaje mohli byť účastníkom konania získané nezákonne, ako je to v prejednávanej veci.

32 Pre prípad, že by Súdny dvor dospel k záveru, že súdne úkony týkajúce sa spracúvania údajov, ktoré porušujú základné práva, musia byť založené na právnych ustanoveniach, ktoré obsahujú takéto spresnenia, sa predkladajúci vnútroštátny súd pýta, či vnútroštátne pravidlá, o aké ide vo veci samej, spĺňajú požiadavky stanovené v GDPR. Tieto pravidlá totiž neuvádzajú podmienky, ktoré musia byť splnené, ani kritériá, ktoré treba zvážiť, aby bolo možné určiť, či je prípustné, aby súd vzal do úvahy skutkové okolnosti, ktoré uvádza účastník konania, alebo aby vykonal dôkazy predložené týmto účastníkom. Predkladajúci vnútroštátny súd sa konkrétne pýta na vplyv neexistencie ustanovenia, ktoré by upravovalo prípady, keď dotknutý účastník konania získal osobné údaje, o ktoré sa opiera, nezákonne, či prípady, keď sa opiera o dôkazy, ktoré získal nezákonným použitím osobných údajov. Pýta sa tiež na to, aký vplyv má skutočnosť, že pravidlá, ktoré v nemeckom práve upravujú používanie takýchto údajov vyplývajú výlučne z judikatúry.

33 V druhom rade predkladajúci vnútroštátny súd uvádza, že Bundesarbeitsgericht (Spolkový pracovný súd, Nemecko) vo svojej judikatúre uviedol, že z článku 17 GDPR jasne vyplýva, že spracúvanie osobných údajov súdom prichádza do úvahy, aj keď sa získavanie týchto údajov, ktoré účastník konania vykonal pred začatím súdneho konania alebo počas mimosúdneho konania, ukáže ako nezákonné podľa GDPR alebo vnútroštátneho práva na ochranu údajov, a preto nie je potrebné obrátiť sa na Súdny dvor s návrhom na začatie prejudiciálneho konania.

39 Predkladajúci vnútroštátny súd po druhé zdôrazňuje, že v čase keď NTH na účely konania vo veci samej získala niektoré údaje uložené v jej informačnom systéme, už EM tento informačný systém dlho nepoužívala. Okrem toho tento súd uvádza, že článok 5 ods. 1 písm. e) GDPR v podstate stanovuje, že osobné údaje sa môžu uchovávať najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú. Preto sa pýta, aké dôsledky má pre uplatňovanie tohto ustanovenia skutočnosť, že tieto údaje boli získané už dávno predtým, resp., že boli uchovávané počas dlhého obdobia, a napokon, že existovali zmluvné povinnosti vymazania, ktoré neboli dodržané.

40 Po tretie sa predkladajúci vnútroštátny súd pýta, či je dostatočné, aby sa účastník konania odvolával na všeobecný záujem na dôkaze, alebo či právo Únie neukladá povinnosť zohľadniť iné aspekty, z ktorých by vyplývalo, že záujem na získavaní dôkazov si zaslúži ochranu aj napriek zásahu do práva druhého účastníka konania.

41 Po štvrté sa tento súd pýta na možnosť zamestnávateľa, ktorý je žalobcom, odvolávať sa v situácii, o akú ide vo veci samej, na článok 47 ods. 2 Charty s cieľom odôvodniť ním vykonané získavanie a spracúvanie osobných údajov, ako aj na dôsledky, ktoré treba vyvodiť zo skutočnosti, že tento zamestnávateľ mohol porušiť svoje informačné povinnosti podľa článku 13 GDPR.

42 Po piate uvedený súd uvádza, že v bode 55 rozsudku z 2. marca 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), Súdny dvor rozhodol, že na účely zohľadnenia článku 5 ods. 1 GDPR, a najmä zásady „minimalizácie údajov“ uvedenej v písmene c) tohto ustanovenia, je vnútroštátny súd povinný určiť, či je sprístupnenie osobných údajov primerané a relevantné na účely zabezpečenia cieľa sledovaného uplatniteľnými ustanoveniami vnútroštátneho práva a či tento cieľ nemožno dosiahnuť použitím menej invazívnych dôkazných prostriedkov, pokiaľ ide o ochranu osobných údajov veľkého počtu tretích osôb, ako je napríklad vypočutie vybraných svedkov. Pýta sa teda, či je toto riešenie uplatniteľné v prejednávanej veci, keďže by napríklad mohli byť dotknuté údaje kupujúcich online predajnej platformy eBay.

cc) má sa ustanovenie článku 17 ods. 3 písm. e) GDPR chápať tak, že zákaz použitia údajov, ktoré boli pôvodne získané nezákonným spôsobom, v rámci výkonu súdnej právomoci je vylúčený vždy, a teda súd je povinný tieto údaje použiť vždy, ak k pôvodnému získavaniu údajov nedošlo v tajnosti a slúži na preukázanie úmyselného porušenia povinnosti?

3. Bez ohľadu na to, či sa na spracúvanie osobných údajov uskutočnené v rámci výkonu súdnej právomoci vzťahuje článok 17 ods. 3 písm. e) GDPR alebo článok 6 ods. 1 prvý pododsek písm. c) alebo e), článok 6 ods. 3, článok 9 GDPR alebo iné ustanovenia práva Únie:

a) vyžadujú zásady nevyhnutnosti a ‚minimalizácie údajov‘ zakotvené v článku 52 ods. 1 druhej vete [Charty] a v článku 5 ods. 1 písm. a) GDPR, pokiaľ ide najmä o spracúvanie údajov, ktoré boli pôvodne získané alebo uchovávané nezákonným spôsobom, vyčerpávajúce posúdenie proporcionality a vyváženie zo strany súdov?

b) Aký vplyv má článok 5 ods. 1 písm. e) nariadenia 2016/679, podľa ktorého sa osobné údaje môžu uchovávať najviac dovtedy, kým je to potrebné na účely, na ktoré sa osobné údaje spracúvajú, na následné úkony spracúvania osobných údajov uskutočnené v rámci výkonu súdnej právomoci, najmä v prípadoch, keď

– pôvodné získavanie údajov slúžilo na iné účely, alebo

– k pôvodnému nezákonnému získavaniu údajov došlo už dávno, alebo

d) Vzhľadom na to, že článok 47 ods. 2 [Charty] zaručuje právo na účinnú súdnu ochranu a najmä na spravodlivý proces, podľa ktorého musia mať účastníci občianskoprávneho konania v zásade možnosť dostatočne odôvodniť účel súdnej ochrany, ktorú požadujú, a predložiť o tom dôkaz, má toto ustanovenie za následok, že spracúvanie osobných údajov zamestnanca, ktorý je žalobcom a ktoré zamestnávateľ získal nezákonným spôsobom, uskutočnené v rámci výkonu súdnej právomoci, sa môže javiť ako nevhodné a neprimerané v užšom zmysle len vtedy, ak sa ukáže, že získavanie údajov predstavuje z hľadiska práva Únie závažné porušenie článkov 7 a 8 [Charty] a iné možné sankcie voči zamestnávateľovi (napr. právo na náhradu škody podľa článku 82 GDPR a uloženie pokút podľa článku 83 GDPR) by boli úplne nedostatočné, alebo je potrebné sa domnievať, že iné menej závažné porušenia práva na ochranu údajov, ku ktorým došlo pri pôvodnom získavaní údajov, samy osebe postačujú na odôvodnenie nevhodnosti a neprimeranosti?

e) Musí súd pri rozhodovaní o tom, či v rámci výkonu svojej súdnej právomoci využije údaje pôvodne získané účastníkom konania alebo treťou osobou, zohľadniť, či si osoba, ktorá údaje získala, splnila informačné povinnosti, ktoré jej vyplývajú z článku 13 GDPR? Ak áno, za akých podmienok a podľa akých kritérií má súd túto skutočnosť zohľadniť?

f) Vzťahuje sa povinnosť súdu dodržiavať GDPR a [Chartu], aj na situáciu, keď spracúva osobné údaje tretích osôb? Akým spôsobom ovplyvňuje prípadné porušenie práva na ochranu osobných údajov vo vzťahu k tretím osobám počas pôvodného získavania údajov následné spracúvanie údajov uskutočnené súdom v rámci výkonu súdnej právomoci v spore medzi dvoma účastníkmi konania? Môže sa účastník konania dovolávať porušenia, ku ktorému nedošlo vo vzťahu k nemu, ale vo vzťahu k tretej osobe, alebo takúto možnosť nemá?“

O prvej otázke

47 Na úvod je potrebné uviesť, že položená otázka vychádza z predpokladu, že spracúvanie osobných údajov vykonávané súdom v rámci výkonu jeho súdnej právomoci sa môže zakladať len na článku 6 ods. 1 písm. e) GDPR, ktorý sa týka spracúvania osobných údajov, ktoré je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.

48 Na jednej strane je však nutné poznamenať, že v určitých situáciách sa na to isté spracúvanie môžu vzťahovať viaceré alternatívne podmienky zákonnosti.

49 Na druhej strane, hoci určité spracúvanie osobných údajov vykonávané súdom možno považovať za nevyhnutné na splnenie takejto úlohy realizovanej vo verejnom záujme alebo na výkon jeho verejnej moci, spracúvanie osobných údajov, ktoré môže vykonať súd, ako vo veci samej v rámci návrhov účastníkov konania na vykonanie dôkazov, má špecifickú črtu, ktorá spočíva v tom, že je v zásade nevyhnutné na splnenie zákonnej povinnosti tohto súdu, a to rozhodnúť o prípustnosti týchto návrhov na vykonanie dôkazov, a v prípade ak boli tieto dôkazy vyhlásené za prípustné na základe kritérií stanovených na tento účel vnútroštátnym právom, zohľadniť ich pri vydávaní svojho rozhodnutia.

50 Súdny dvor preto dospel k záveru, že na účely poskytnutia užitočnej odpovede predkladajúcemu vnútroštátnemu súdu treba preskúmať jednotlivé otázky, ktoré mu boli v prejednávanej veci položené, z hľadiska článku 6 ods. 1 písm. c) GDPR, a nie z hľadiska článku 6 ods. 1 písm. e) tohto nariadenia.

54 V tejto súvislosti je podľa článku 4 bodu 2 GDPR pojem „spracúvanie“ definovaný ako operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami.

55 Použitie výrazu „[každá operácia]“ v tejto súvislosti znamená, že normotvorca Únie zamýšľal priznať pojmu „spracúvanie“ široký rozsah (rozsudok z 5. decembra 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 50 a citovaná judikatúra).

56 Je pravda, že na to, aby spracúvanie osobných údajov patrilo do pôsobnosti GDPR, je podľa článku 2 ods. 1 tohto nariadenia ešte potrebné, aby toto spracúvanie bolo úplne alebo čiastočne automatizované, alebo ak spracúvanie nie je automatizované, aby dotknuté údaje tvorili súčasť informačného systému alebo aby boli určené na to, aby tvorili súčasť informačného systému.

57 Na jednej strane však spracúvanie osobných údajov treba považovať za úplne alebo čiastočne automatizované v zmysle tohto ustanovenia, ak zahŕňa použitie technických operácií bez akéhokoľvek ľudského zásahu (pozri v tomto zmysle a analogicky rozsudok zo 6. novembra 2003, Lindqvist, C‑101/01, EU:C:2003:596, bod 26).

58 Na druhej strane článok 4 bod 6 GDPR definuje pojem „informačný systém“ ako akýkoľvek usporiadaný súbor osobných údajov, ktoré sú prístupné podľa určených kritérií, bez ohľadu na to, či ide o systém centralizovaný, decentralizovaný alebo distribuovaný na funkčnom alebo geografickom základe.

63 Po druhé je potrebné uviesť, že hlavný cieľ sledovaný GDPR, ktorý vyplýva najmä z jeho článku 1, ako aj z odôvodnení 1, 2, 7 a 10 tohto nariadenia, spočíva predovšetkým v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na ochranu súkromného života v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, bod 26 a citovanú judikatúru).

64 V súlade s týmto cieľom musí každé spracúvanie osobných údajov, ktoré patrí do pôsobnosti GDPR, rešpektovať zásady stanovené v kapitole II tohto nariadenia, ako aj práva dotknutých osôb stanovené v jeho kapitole III, na to aby bolo zákonné (pozri v tomto zmysle rozsudok z 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 43 a citovanú judikatúru).

65 Podľa článku 6 ods. 1 prvého pododseku GDPR je spracúvanie osobných údajov, ktoré patrí do pôsobnosti tohto nariadenia, zákonné len vtedy a v tom rozsahu, v akom sa naň vzťahuje aspoň jedna z alternatívnych podmienok zákonnosti stanovených v tomto ustanovení [pozri v tomto zmysle rozsudok z 5. júna 2023, Komisia/Poľsko (Nezávislosť a súkromný život sudcov), C‑204/21, EU:C:2023:442, bod 335 a citovanú judikatúru].

66 Pokiaľ však ide o spracúvanie založené na alternatívnej podmienke zákonnosti stanovenej v článku 6 ods. 1 prvom pododseku písm. c) GDPR, článok 6 ods. 3 prvý pododsek GDPR spresňuje, že základ pre toto spracúvanie musí byť stanovený právom Únie alebo právom členského štátu vzťahujúcom sa na prevádzkovateľa uvedeného spracúvania.

71 Ako však zdôrazňuje predkladajúci vnútroštátny súd, Súdny dvor vyvodil z článku 8 ods. 2 Charty, ktorý sám osebe len odráža a konkretizuje požiadavku stanovenú v článku 52 Charty, podľa ktorej akékoľvek obmedzenie výkonu základných práv uznaných Chartou musí byť najmä stanovené zákonom [pozri v tomto zmysle rozsudok z 20. novembra 2025, Policejní prezidium (Uchovávanie biometrických a genetických údajov), C‑57/23, EU:C:2025:905, bod 51], a že každý právny základ, ktorý umožňuje zásah do práva na ochranu osobných údajov, musí vymedzovať rozsah obmedzenia výkonu tohto práva, ktoré môže spôsobiť (pozri v tomto zmysle rozsudok zo 6. októbra 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 65 a citovanú judikatúru).

75 Navyše podľa tejto judikatúry Európskeho súdu pre ľudské práva, uvedený význam pojmu „zákon“ vo výraze „v súlade so zákonom“ uvedenom v článku 8 ods. 2 EDĽP znamená, že tento pojem sa vzťahuje na platný text, ako ho vyložili príslušné súdy (pozri v tomto zmysle rozsudok ESĽP, 23. januára 2025, H. W. v. Francúzsko, CE:ECHR:2025:0123JUD001380521, bod 65).

76 Okrem toho odôvodnenie 41 GDPR výslovne uvádza, že keď sa v tomto nariadení odkazuje na právny základ alebo legislatívne opatrenie, nemusí sa tým nevyhnutne vyžadovať legislatívny akt prijatý parlamentom, bez toho, aby boli dotknuté požiadavky vyplývajúce z ústavného poriadku dotknutého členského štátu. Takýto právny základ alebo legislatívne opatrenie by však mali byť jasné a presné a ich uplatňovanie by malo byť predvídateľné pre tie osoby, na ktoré sa vzťahujú, a to v súlade s judikatúrou Súdneho dvora a Európskeho súdu pre ľudské práva.

77 Požiadavku uvedenú v článku 6 ods. 3 GDPR, podľa ktorej je potrebné stanoviť právny základ pre každé spracúvanie založené na alternatívnych podmienkach zákonnosti stanovených v článku 6 ods. 1 prvom pododseku písm. c) a e) tohto nariadenia, musí byť teda chápaná tak, že nevyhnutne nevyžaduje existenciu legislatívneho aktu, keďže pojem „právo členského štátu vzťahujúce sa na prevádzkovateľa“, sa môže vzťahovať aj na vnútroštátnu judikatúru, pokiaľ je táto judikatúra jasná a presná a jej uplatňovanie je predvídateľné pre osoby podliehajúce súdnej právomoci (pozri v tomto zmysle rozsudok z 12. novembra 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV, C‑17/22 a C‑18/22, EU:C:2024:738, body 71 a 72).

80 Vzhľadom na všetky predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 6 ods. 1 prvý pododsek písm. c) a článok 6 ods. 3 GDPR v spojení s článkom 8 ods. 2 a článkom 52 Charty sa má vykladať v tom zmysle, že nebráni vnútroštátnej právnej úprave, ktorá v súvislosti s použitím osobných údajov v rámci preskúmania skutkových okolností a vykonania dokazovania súdom stanovuje iba to, že účastníci konania sú povinní predložiť pravdivé a podrobné skutkové okolnosti a tomuto súdu ukladá povinnosť ich v plnom rozsahu zohľadniť pred prípadným posúdením týchto skutočností bez toho, aby táto vnútroštátna právna úprava obsahovala ustanovenia týkajúce sa okolností a podmienok, za ktorých uvedený súd môže použiť skutočnosti a dôkazy predložené účastníkmi konania obsahujúce osobné údaje, za predpokladu, že existuje jasná, presná a predvídateľná vnútroštátna judikatúra, ktorá sama osebe stanovuje okolnosti a podmienky, za ktorých môže súd použiť skutočnosti a dôkazy predložené účastníkmi konania obsahujúce osobné údaje, a ak táto judikatúra zodpovedá cieľu verejného záujmu a je mu primeraná.

O druhej otázke písm. a)

81 Svojou druhou otázkou písm. a) sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 17 ods. 3 písm. e) GDPR vykladať v tom zmysle, že stanovuje alternatívnu podmienku zákonnosti, ktorú môže spracúvanie spĺňať, aby bolo v súlade s článkom 5 ods. 1 písm. a) tohto nariadenia, a ktorá sa odlišuje od podmienok vymenovaných v článku 6 ods. 1 prvom pododseku GDPR.

82 V tejto súvislosti treba pripomenúť, že podľa článku 5 ods. 1 písm. a) GDPR musí byť každé spracúvanie osobných údajov najmä zákonné, čo znamená, ako bolo pripomenuté v bode 64 tohto rozsudku, že toto spracúvanie je v súlade so všetkými zásadami stanovenými v kapitole II GDPR a rešpektuje práva dotknutých osôb stanovené v jeho kapitole III.

86 Vzhľadom na vyššie uvedené úvahy treba na druhú otázku písm. a) odpovedať tak, že článok 17 ods. 3 písm. e) GDPR sa má vykladať v tom zmysle, že toto ustanovenie nestanovuje alternatívnu podmienku zákonnosti, ktorú by spracúvanie mohlo spĺňať, aby bolo v súlade s článkom 5 ods. 1 písm. a) GDPR, a ktorá by sa odlišovala od jednej z podmienok vymenovaných v článku 6 ods. 1 prvom pododseku GDPR.

O druhej otázke písm. b)

87 Vzhľadom na odpoveď na druhú otázku písm. a) nie je potrebné odpovedať na druhú otázku písm. b).

O tretej otázke písm. a)

88 Na úvod treba uviesť, že zásada „minimalizácie údajov“, ktorej sa výlučne týka tretia otázka písm. a), nie je uvedená v článku 5 ods. 1 písm. a) GDPR, ako sa vzhľadom na znenie tejto otázky zrejme domnieva predkladajúci vnútroštátny súd, ale v článku 5 ods. 1 písm. c) tohto nariadenia.

89 Okrem toho z návrhu na začatie prejudiciálneho konania vyplýva, že keď tento súd odkazuje na preskúmanie proporcionality zamýšľaného spracúvania a na „zváženie“ vyčerpávajúcej povahy dotknutých záujmov, pýta sa na to, či je podľa článku 52 ods. 1 druhej vety Charty pri každom uskutočnenom spracúvaní osobných údajov potrebné overiť, či údaje spracúvané pri tejto príležitosti umožňujú dosiahnuť cieľ sledovaný týmto spracúvaním, ako aj to, či sú tieto údaje na dosiahnutie cieľa striktne nevyhnutné a či závažnosť zásahu do základných práv, ktorú so sebou prináša zohľadnenie takýchto údajov na účely vykonania predmetného spracúvania, je úmerná záujmu, ktorý pre prevádzkovateľa predstavuje použitie týchto údajov na účely vykonania uvedeného spracúvania.

92 Konkrétnejšie, výnimky z ochrany osobných údajov a jej obmedzenia sa uskutočňujú v medziach toho, čo je striktne nevyhnutné, pričom ak sa ponúka výber medzi viacerými opatreniami vhodnými na dosiahnutie sledovaných legitímnych cieľov, je potrebné prikloniť sa k najmenej obmedzujúcemu opatreniu. Okrem toho cieľ všeobecného záujmu nemožno oprávnene sledovať bez zohľadnenia skutočnosti, že ho treba zosúladiť so základnými právami, ktorých sa dotklo predmetné opatrenie, a to vyváženým posúdením cieľa všeobecného záujmu a dotknutých práv, aby sa zabezpečilo, že nepríjemnosti spôsobené týmto opatrením nebudú neprimerané vo vzťahu k sledovaným cieľom. Možnosť odôvodniť obmedzenie práv zaručených v článkoch 7 a 8 Charty teda treba posudzovať prostredníctvom merania závažnosti zásahu, ktorý spôsobí takéto obmedzenie, a overenia, či je dôležitosť cieľa všeobecného záujmu sledovaného týmto obmedzením priamo úmerná tejto závažnosti (rozsudok z 21. marca 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, bod 83 a citovaná judikatúra).

93 V dôsledku toho dodržiavanie zásady proporcionality vyžaduje, aby bolo možné obmedziť základné práva zaručené Chartou len vtedy, ak po prvé predmetné opatrenie sleduje jeden alebo viacero cieľov všeobecného záujmu uznaných Úniou, a či je skutočne spôsobilé umožniť dosiahnutie týchto cieľov, po druhé, či sú zásahy, ktoré z toho vyplývajú, obmedzené na to, čo je striktne nevyhnutné v tom zmysle, že uvedené ciele nemožno primerane dosiahnuť rovnako účinným spôsobom inými prostriedkami, ktoré menej zasahujú do týchto základných práv dotknutých osôb, a po tretie, či tieto zásahy nie sú neprimerané vo vzťahu k týmto cieľom, čo zahŕňa najmä vyváženie týchto cieľov a závažnosti uvedených zásahov (rozsudok z 21. marca 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, bod 84 a citovaná judikatúra).

98 Pokiaľ ide o tretiu podmienku pripomenutú v bode 91 tohto rozsudku, treba konštatovať, že splnenie jednej z alternatívnych podmienok zákonnosti uvedených v článku 6 ods. 1 prvom pododseku GDPR už v zásade obmedzuje spracúvanie, ktorého predmetom môžu byť dotknuté údaje, a to nielen na spracúvanie nevyhnutné na dosiahnutie oprávneného cieľa, ale aj na dosiahnutie oprávneného záujmu, ktorý presahuje závažnosť zásahu do základných práv zaručených v článkoch 7 a 8 Charty, ktorý toto spracúvanie môže spôsobiť.

99 Pokiaľ ide o spracúvanie, na ktoré sa vzťahuje článok 6 ods. 1 prvý pododsek písm. c) GDPR, teda spracúvanie nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa, článok 6 ods. 3 druhý pododsek tohto nariadenia výslovne stanovuje, že právo Únie alebo právo členských štátov, ktoré predstavuje právny základ takéhoto spracúvania, a teda stanovuje povinnosť, ktorej splnenie si vyžaduje spracúvanie, musí spĺňať cieľ verejného záujmu a musí byť primerané sledovanému oprávnenému cieľu.

100 Toto posledné uvedené ustanovenie tak výslovne zakotvuje požiadavku, aby zákonná povinnosť, ktorej podlieha prevádzkovateľ a ktorá slúži ako základ pre spracúvanie osobných údajov, bola výsledkom vyváženia vykonaného pri prijímaní tohto právneho základu, a to na jednej strane základných práv na rešpektovanie súkromného života a na ochranu osobných údajov zakotvených v článkoch 7 a 8 Charty, a oprávnených cieľov, ktoré pri tejto príležitosti sleduje právo Únie alebo právo členských štátov, na strane druhej (pozri analogicky rozsudok zo 4. októbra 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 124 a citovanú judikatúru).

O tretej otázke písm. b) až d)

104 Vzhľadom na to, čo bolo uvedené v bode 49 tohto rozsudku, treba konštatovať, že svojou treťou otázkou písm. b) až d) sa predkladajúci vnútroštátny súd v podstate pýta, či sa články 7 a 8 Charty, článok 5 ods. 1 GDPR, článok 6 ods. 1 prvý pododsek písm. c) GDPR v spojení s jeho článkom 6 ods. 3 a zásada „minimalizácie údajov“ majú vykladať v tom zmysle, že bránia tomu, aby vnútroštátny súd použil dôkazy obsahujúce osobné údaje, ktoré boli získané v rozpore s právom na ochranu súkromného života a právom na ochranu osobných údajov účastníkom konania, ktorý mu tieto údaje preniesol, ak tento účastník konania nemá na takomto spracúvaní oprávnený záujem, ktorý presahuje obyčajný záujem na preukázaní uvádzaných skutočností.

105 V tejto súvislosti treba na jednej strane zdôrazniť, že hoci právo na ochranu súkromného života a právo na ochranu osobných údajov uvedené v článkoch 7 a 8 Charty môžu v určitých situáciách kolidovať s právom na účinný prostriedok nápravy, ktoré je zaručené v článku 47 Charty, pokiaľ ide o spracúvanie osobných údajov, na ktoré sa vzťahuje GDPR, mechanizmy, ktoré umožňujú dosiahnuť spravodlivú rovnováhu medzi rôznymi základnými právami a dotknutými záujmami sú zakotvené v tomto nariadení (pozri v tomto zmysle rozsudok zo 17. júna 2021, M.I.C.M., C‑597/19, EU:C:2021:492, bod 112).

106 Konkrétne primeranosť porušení práva na ochranu súkromného života a práva na ochranu osobných údajov, uvedených v článkoch 7 a 8 Charty, ktoré môžu byť spôsobené spracúvaním patriacim do pôsobnosti GDPR, je zaručená kombinovaným uplatnením zásad stanovených v článku 5 ods. 1 tohto nariadenia a požiadaviek vyplývajúcich z alternatívnych podmienok zákonnosti uvedených článku 6 ods. 1 prvom pododseku uvedeného nariadenia, prípadne v spojení s jeho článkom 6 ods. 3.

112 Pokiaľ teda ide o alternatívnu podmienku zákonnosti uvedenú v článku 6 ods. 1 prvom pododseku písm. f) GDPR, skutočnosť, že prevádzkovateľ vedel alebo mal vedieť, že určité údaje, ktoré mu boli prenesené, boli predtým získané alebo uchovávané nezákonným spôsobom, vylučuje, aby získavanie týchto údajov týmto prevádzkovateľom po ich prenose mohlo byť považované za získavanie, ktoré sleduje oprávnené záujmy, a v dôsledku toho za získavanie, ktoré spĺňa túto alternatívnu podmienku zákonnosti.

113 Treba však konštatovať, že spracúvanie osobných údajov súdom uskutočnené v súvislosti s osobnými údajmi uvedenými v návrhoch účastníkov konania na vykonanie dôkazov je v zásade nevyhnutné na dodržanie zákonnej povinnosti tohto súdu, a to povinnosti rozhodnúť o prípustnosti týchto návrhov na vykonanie dôkazov, a ak boli tieto návrhy na vykonanie dôkazov na základe kritérií stanovených na tento účel vnútroštátnym právom vyhlásené za prípustné, taktiež povinnosti zohľadniť ich pri vydaní svojho rozhodnutia.

114 Článok 6 ods. 1 prvý pododsek písm. c) GDPR pritom neuvádza žiadnu požiadavku, ktorá by vylučovala, že súd sa môže opierať o túto alternatívnu podmienku zákonnosti, ak boli dotknuté osobné údaje obsiahnuté v návrhu na vykonanie dôkazov, osobou, ktorá ich preniesla, predtým spracúvané nezákonne v zmysle tohto nariadenia.

115 Je pravda, že článok 6 ods. 3 GDPR spresňuje, že právny základ spracúvania osobných údajov, ktoré je založené na článku 6 ods. 1 prvom pododseku písm. c) tohto nariadenia, musí byť stanovený v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa, že tento právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia potrebám tohto spracúvania, a že právo Únie alebo právo tohto členského štátu musí v každom prípade spĺňať cieľ verejného záujmu a musí byť primerané sledovanému oprávnenému cieľu (pozri v tomto zmysle rozsudok z 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 31).

119 Ďalej treba dospieť k záveru, že takáto povinnosť umožňuje dosiahnutie tohto cieľa verejného záujmu a je na jeho dosiahnutie striktne nevyhnutná, a to aj v prípade, ak by dotknuté údaje boli získané nezákonne. Keďže právo na spravodlivý proces vyžaduje, aby súd rozhodol o prípustnosti návrhov na vykonanie dôkazov predložených účastníkmi konania, a ak sú tieto návrhy na vykonanie dôkazov prípustné, aby ich zohľadnil pri vydaní svojho rozhodnutia, nezdá sa, že by akékoľvek iné opatrenie mohlo tento cieľ dosiahnuť rovnako účinne ako opatrenie, ktoré spočíva v tom, že súdom umožňuje spracúvať osobné údaje uvedené v návrhoch na vykonanie dôkazov predložených účastníkmi konania.

120 Napokon je potrebné pripomenúť, že ako potvrdzuje odôvodnenie 4 GDPR, právo na ochranu osobných údajov nie je absolútnym právom, ale musí sa posudzovať vo vzťahu k jeho funkcii v spoločnosti a musí byť vyvážené v súlade so zásadou proporcionality s inými základnými právami, akým je právo na účinnú súdnu ochranu zaručené v článku 47 Charty (pozri v tomto zmysle rozsudok z 2. marca 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 49).

121 Vzhľadom na základnú funkciu, ktorú v spoločnosti zohráva právo na spravodlivý proces, sa povinnosť súdu spracúvať osobné údaje uvedené v návrhoch účastníkov konania na vykonanie dôkazov nezdá byť spôsobilá neprimerane zasiahnuť do práva na ochranu súkromného života a práva na ochranu osobných údajov, ktoré sú zaručené v článkoch 7 a 8 Charty, a to ani v prípade, že tieto údaje boli získané v rozpore s týmito právami.

126 Naproti tomu po tom, čo súd konštatoval, že dokumenty obsahujúce osobné údaje, ktoré mu boli prenesené, sú z hľadiska pravidiel stanovených na tento účel vnútroštátnym právom prípustné, tento súd musí pred ich založením do spisu preskúmať, či sú tieto údaje obmedzené na tie, ktoré sú nevyhnutné vzhľadom na sledované účely, t. j. umožniť mu, aby vydal čo najinformovanejšie rozhodnutie s ohľadom na relevantné okolnosti veci a dodržal zásadu kontradiktórnosti, alebo či je potrebné, aby prijal určité opatrenia na zníženie počtu takto dotknutých údajov, ako je čiastočná alebo úplná anonymizácia dotknutých dokumentov, bez toho, aby boli dotknuté práva týchto ostatných účastníkov konania.

127 Okolnosť, že dotknuté údaje boli získané v rozpore s právom na ochranu súkromného života a právom na ochranu osobných údajov, ktoré sú uvedené v článkoch 7 a 8 Charty, sa však sama osebe nezdá byť rozhodujúca, keďže kritériá stanovené v článku 5 ods. 1 písm. c) GDPR vyžadujú, aby tieto údaje boli primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na sledované účely.

128 Pokiaľ ide v druhom rade o osobné údaje použité pri spracúvaní, ktoré súd vykonáva s cieľom prijať rozhodnutie, vzhľadom na právo na spravodlivý proces je v zásade potrebné považovať všetky údaje, ktoré sa nachádzajú v dokumentoch vyhlásených za prípustné a založených do spisu, za primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účel takéhoto spracúvania, pretože tento súd je v súlade s uvedeným právom na spravodlivý proces povinný zohľadniť všetky tieto dôkazy najmä na účely posúdenia ich relevantnosti.

130 Vzhľadom na všetky predchádzajúce úvahy treba na tretiu otázku písm. b) až d) odpovedať tak, že články 7 a 8 Charty, článok 5 ods. 1 GDPR, článok 6 ods. 1 prvý pododsek písm. c) tohto nariadenia v spojení s jeho článkom 6 ods. 3 a zásada „minimalizácie údajov“ sa majú vykladať v tom zmysle, že nebránia tomu, aby vnútroštátny súd použil dôkazy obsahujúce osobné údaje, ktoré boli získané v rozpore s právom na ochranu súkromného života a právom na ochranu osobných údajov účastníkom konania, ktorý mu tieto údaje preniesol, ak tento účastník konania nemá na takomto spracúvaní oprávnený záujem, ktorý presahuje obyčajný záujem na preukázaní uvádzaných skutočností. Naproti tomu tento súd musí pred sprístupnením týchto údajov účastníkom konania alebo tretím osobám overiť, či sú takéto údaje obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa takéto sprístupnenie uskutočňuje, a prípadne prijať určité opatrenia na minimalizáciu zásahu do práva na ochranu osobných údajov, ktorý by takýmto sprístupnením mohol byť spôsobený.

O tretej otázke písm. e)

131 Svojou treťou otázkou písm. e) sa predkladajúci vnútroštátny súd v podstate pýta, či sa má článok 13 ods. 1 a 2 GDPR vykladať v tom zmysle, že bráni tomu, aby vnútroštátny súd v rámci výkonu svojej súdnej právomoci použil údaje, ktoré boli získané osobou, ktorá si nesplnila informačné povinnosti, ktoré jej vyplývajú z tohto ustanovenia.

132 V tejto súvislosti z článku 13 ods. 1 a 2 GDPR vyplýva, že v prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe informácie vymenované v týchto odsekoch.

O tretej otázke písm. f)

137 Svojou treťou otázkou písm. f) sa predkladajúci vnútroštátny súd v podstate pýta, či sa má GDPR vykladať v tom zmysle, že súd je v rámci výkonu svojej súdnej právomoci povinný dbať na dodržiavanie tohto nariadenia, keď spracúva osobné údaje týkajúce sa tretích osôb v pred ním prebiehajúcom konaní, a či právo Únie vyžaduje, aby sa jeden z účastníkov tohto konania mohol dovolávať toho, že tieto údaje boli v zmysle uvedeného nariadenia získané alebo uchovávané iným účastníkom konania v rozpore s právami, ktoré týmto tretím osobám vyplývajú z toho istého nariadenia.

138 V tejto súvislosti z článku 288 ZFEÚ vyplýva, že nariadenie je aktom so všeobecnou platnosťou, je záväzné vo svojej celistvosti a je priamo uplatniteľné vo všetkých členských štátoch.

139 Vzhľadom na to, že zásady uvedené v kapitole II GDPR sa uplatňujú bez ohľadu na akékoľvek úvahy týkajúce sa procesného postavenia dotknutých osôb či na skutočnosť, že prevádzkovateľom je súd, toto nariadenie sa má v spojení s článkom 288 ZFEÚ vykladať v tom zmysle, že súd je v rámci výkonu svojej súdnej právomoci povinný dodržiavať uvedené nariadenie, keď spracúva osobné údaje týkajúce sa tretích osôb v pred ním prebiehajúcom konaní.

140 Naopak, pokiaľ ide o otázku, či sa účastník konania môže dovolávať nezákonnosti, ku ktorej došlo v neprospech tretej osoby, ak v práve Únie v tejto súvislosti neexistuje žiadne ustanovenie, táto otázka patrí do procesnej autonómie členských štátov.

141 Je pravda, že pokiaľ ide o žaloby určené na zaručenie ochrany práv, ktoré osobám podliehajúcim súdnej právomoci vyplývajú z práva Únie, podľa zásady procesnej autonómie uplatniteľnej v prípade, ak v práve Únie neexistuje príslušné ustanovenie, procesné podmienky týchto žalôb nesmú byť ani menej výhodné ako procesné podmienky, ktoré upravujú podobné situácie podľa vnútroštátneho práva (zásada ekvivalencie), ani nesmú viesť k praktickej nemožnosti alebo nadmernému sťaženiu výkonu práv priznaných právom Únie (zásada efektivity) (pozri v tomto zmysle rozsudok zo 6. októbra 2020, La Quadrature du Net a i., C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 223, ako aj citovanú judikatúru).

1. Článok 6 ods. 1 prvý pododsek písm. c) a článok 6 ods. 3 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov), v spojení s článkom 8 ods. 2 a článkom 52 Charty základných práv Európskej únie

sa má vykladať v tom zmysle, že:

nebráni vnútroštátnej právnej úprave, ktorá v súvislosti s použitím osobných údajov v rámci preskúmania skutkových okolností a vykonania dokazovania súdom stanovuje iba to, že účastníci konania sú povinní predložiť pravdivé a podrobné skutkové okolnosti a tomuto súdu ukladá povinnosť ich v plnom rozsahu zohľadniť pred prípadným posúdením týchto skutočností bez toho, aby táto vnútroštátna právna úprava obsahovala ustanovenia týkajúce sa okolností a podmienok, za ktorých uvedený súd môže použiť skutočnosti a dôkazy predložené účastníkmi konania obsahujúce osobné údaje, za predpokladu, že existuje jasná, presná a predvídateľná vnútroštátna judikatúra, ktorá sama osebe stanovuje okolnosti a podmienky, za ktorých môže súd použiť skutočnosti a dôkazy predložené účastníkmi konania obsahujúce osobné údaje, a ak táto judikatúra zodpovedá cieľu verejného záujmu a je tomuto cieľu primeraná.

2. Článok 17 ods. 3 písm. e) nariadenia 2016/679

sa má vykladať v tom zmysle, že:

toto ustanovenie nestanovuje alternatívnu podmienku zákonnosti, ktorú by spracúvanie mohlo spĺňať, aby bolo v súlade s článkom 5 ods. 1 písm. a) tohto nariadenia, a ktorá by sa odlišovala od jednej z podmienok vymenovaných v článku 6 ods. 1 prvom pododseku uvedeného nariadenia.

5. Článok 13 ods. 1 a 2 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

nebráni tomu, aby vnútroštátny súd v rámci výkonu svojej súdnej právomoci použil údaje, ktoré boli získané účastníkom konania alebo treťou osobou, ktorí si nesplnili informačné povinnosti, ktoré im vyplývajú z tohto ustanovenia.

6. Nariadenie 2016/679

sa má vykladať v tom zmysle, že:

súd je v rámci výkonu svojej súdnej právomoci povinný dbať na dodržiavanie tohto nariadenia, keď spracúva osobné údaje týkajúce sa tretích osôb v konaní. Právo Únie nevyžaduje, aby sa jeden z účastníkov tohto konania mohol dovolávať toho, že tieto údaje boli v zmysle uvedeného nariadenia získané alebo uchovávané iným účastníkom konania v rozpore s právami, ktoré týmto tretím osobám vyplývajú z toho istého nariadenia.