C-205/25

proti

Bayerisches Landesamt für Datenschutzaufsicht

[návrh na začatie prejudiciálneho konania, ktorý podal Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko)]

„ Návrh na začatie prejudiciálneho konania – Ochrana fyzických osôb v súvislosti so spracúvaním osobných údajov – Nariadenie (EÚ) 2016/679 – Článok 15 – Žiadosť dotknutej osoby o prístup k jej osobným údajom – Článok 77 – Údaje obsiahnuté v spise dozorného orgánu konajúceho v rámci konania o sťažnosti – Článok 4 bod 7 – Pojem ‚prevádzkovateľ‘ – Článok 23 – Obmedzenia práva na prístup – Vnútroštátna právna úprava vylučujúca akýkoľvek prístup k spisu “

I. Úvod

1. Predmetom tohto návrhu na začatie prejudiciálneho konania, ktorý podal Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko) podľa článku 267 ZFEÚ, je výklad článku 4 bodov 7 a 21 a článkov 15, 23 a 77 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov)( 2 ) (ďalej len „GDPR“).

3. Súdny dvor má rozhodnúť o otázke, či dozorný orgán pre ochranu údajov možno v rámci konania o sťažnosti začatého podľa článku 77 GDPR považovať za „prevádzkovateľa“ v zmysle článku 4 bodu 7 GDPR a v akom rozsahu je povinný splniť povinnosti prístupu stanovené v článku 15 GDPR. Má najmä preskúmať, či právo Únie bráni vnútroštátnej právnej úprave, ktorá dotknutým osobám vylučuje akékoľvek právo na prístup k spisu. Toto posúdenie sa musí vykonať s prihliadnutím na článok 23 GDPR, ktorý z určitých dôvodov všeobecného záujmu umožňuje obmedziť povinnosti prístupu stanovené v tomto nariadení, ako aj na článok 8 ods. 2 Charty základných práv Európskej únie (ďalej len „Charta“), ktorý zaručuje každému právo na prístup k zhromaždeným údajom, ktoré sa ho týkajú. V tejto súvislosti bude musieť Súdny dvor zvážiť na jednej strane požiadavku transparentnosti správneho postupu a na druhej strane potrebu zabezpečiť účinnosť vyšetrovaní v oblasti ochrany údajov.

II. Právny rámec

A. Právo Únie

4. V prejednávanej veci sú relevantné články 8 a 52 Charty, článok 16 ZFEÚ, ako aj článok 4 body 1, 2, 7 a 9 a články 5, 15, 23, 51, 57, 58 a 77 GDPR.

B. Nemecká právna úprava

5. Podľa § 18 Bayerisches Datenschutzgesetz (bavorský zákon o ochrane údajov, ďalej len „BayDSG“) je Landesamt dozorným orgánom pre neverejné subjekty.

9. Pán Lindenberg podal 13. mája 2022 sťažnosť v oblasti ochrany údajov na Landesamt, ktorý začal konanie o preskúmaní voči tretej osobe. E‑mailom z 11. októbra 2022 Landesamt informoval pána Lindenberga, že zistil porušenia ochrany údajov, ktorých sa dopustila osoba, ktorej sa sťažnosť týka. Dodal, že po uplynutí lehoty stanovenej na nápravu týchto porušení bude osobe, ktorej sa sťažnosť týka, uložená pokuta, ak spácha nové porušenia. E‑mailom z toho istého dňa pán Lindenberg požiadal o poskytnutie dodatočných podrobností týkajúcich sa opatrení prijatých Landesamt. Keďže tento úrad tejto žiadosti nevyhovel, pán Lindenberg e‑mailom z 11. októbra 2022 požiadal na základe článku 15 ods. 1 a 3 GDPR o úplné informácie.

10. Landesamt e‑mailom a rozhodnutím z 20. októbra 2022 žiadosť o prístup k údajom podľa článku 15 ods. 1 a ods. 3 GDPR zamietol. Toto zamietnutie odôvodnil tým, že výslovné ustanovenie § 20 ods. 2 BayDSG vylučuje právo na prístup k spisom a záznamom dozorných orgánov a na nahliadnutie do nich.

11. Pán Lindenberg podal proti tomuto rozhodnutiu žalobu na Bayerisches Verwaltungsgericht Ansbach (Bavorský správny súd Ansbach, Nemecko), ktorý je vnútroštátnym súdom predkladajúcim návrh na začatie prejudiciálneho konania, v ktorej žiadal, aby uložil Landesamt povinnosť poskytnúť mu kópiu všetkých údajov zo spisu týkajúceho sa konania o sťažnosti, ktoré sa začalo 13. mája 2022.

12. Landesamt poskytol 23. februára 2024 elektronický prístup k spisu týkajúcemu sa konania o preskúmaní začatého na základe sťažnosti pána Lindenberga bez toho, aby však v tejto súvislosti uznal akúkoľvek zákonnú povinnosť.

„1. Má sa článok 15 [GDPR] v spojení s článkom 4 bodom 7 [GDPR] vykladať v tom zmysle, že dozorný orgán podľa článku 4 bodu 21 tohto nariadenia, ktorý koná v rámci konania o sťažnosti začatého dotknutou osobou podľa článku 77 uvedeného nariadenia, je zároveň ,prevádzkovateľom‘ v zmysle článku 15 v spojení s článkom 4 bodom 7 toho istého nariadenia, a preto je povinný poskytnúť dotknutej osobe prístup k údajom na základe článku 15 [GDPR]?

2. V prípade, že odpoveď na prvú otázku je kladná: Má sa právo Únie, najmä článok 23 [GDPR], vykladať v tom zmysle, že mu odporuje vnútroštátne ustanovenie – ako je § 20 ods. 2 [BayDSG], o ktorý ide vo veci samej –, podľa ktorého paušálne neexistuje právo na prístup k údajom alebo nahliadnutie do spisov a záznamov dozorných orgánov podľa článku 4 bodu 21 [GDPR]“

IV. Konanie na Súdnom dvore

18. Návrh na začatie prejudiciálneho konania z 19. februára 2025 bol do kancelárie Súdneho dvora doručený 17. marca 2025.

19. Landesamt, bulharská a lotyšská vláda, ako aj Európska komisia predložili písomné pripomienky v lehote stanovenej v článku 23 Štatútu Súdneho dvora Európskej únie.

20. Na pojednávaní 22. januára 2026 predniesli svoje pripomienky zástupcovia pána Lindenberga, Landesamt, bulharskej vlády, ako aj Komisie.

23. Právna analýza teda bude pozostávať z dvoch po sebe nasledujúcich fáz. Na jednej strane bude potrebné určiť, či a v akom rozsahu možno dozorný orgán považovať za „prevádzkovateľa“ v rámci konania o sťažnosti, aby bol viazaný povinnosťami prístupu zakotvenými v GDPR( 3 ). Na druhej strane a len v prípade kladnej odpovede bude potrebné posúdiť otázku, či všeobecné, nediferencované a preventívne vylúčenie z práva na prístup k spisom dozorných orgánov je zlučiteľné s harmonizovaným režimom GDPR vzhľadom na požiadavky administratívnej transparentnosti, ochrany údajov, inštitucionálnej nezávislosti a účinnosti mechanizmov dohľadu, ktoré musia byť vyvážené bez toho, aby bola akákoľvek z týchto požiadaviek zbavená svojej podstaty.( 4 )

B. O prvej otázke

1. O kvalifikácii dozorného orgánu ako „prevádzkovateľa“ podľa článku 4 bodu 7 GDPR

24. Pokiaľ ide o prípadnú kvalifikáciu dozorného orgánu ako „prevádzkovateľa“, ktorá je predmetom prvej prejudiciálnej otázky, treba na úvod pripomenúť právnu definíciu tohto pojmu, ako je uvedená v článku 4 bode 7 GDPR. Podľa tohto ustanovenia sa za „prevádzkovateľa“ považuje „fyzická alebo právnická osoba, orgán verejnej moci, agentúra alebo iný subjekt, ktorý sám alebo v spojení s inými určí účely a prostriedky spracúvania osobných údajov“. V tejto súvislosti treba pripomenúť, že uvedený pojem je podľa ustálenej judikatúry Súdneho dvora predmetom extenzívneho výkladu.( 5 )

25. V prvom rade treba konštatovať, že táto zákonná definícia sa výslovne vzťahuje na „orgány verejnej moci“. Samotné znenie článku 4 bodu 7 GDPR teda nijako nevylučuje možnosť kvalifikovať dozorný orgán ako „prevádzkovateľa“. Normotvorca Únie zámerne upustil od rozlišovania medzi súkromnými a verejnoprávnymi subjektmi, o čom svedčí viacero odôvodnení, ktoré výslovne odkazujú na spracúvanie osobných údajov orgánmi verejnej moci. Okrem toho skutočnosť, že dozorný orgán je v článku 4 bode 21 GDPR definovaný ako nezávislý orgán verejnej moci zriadený členským štátom podľa článku 51, nemožno vzhľadom na široký a funkčný rozsah , ktorý toto nariadenie priznáva pojmu „prevádzkovateľ“( 6 ), vykladať tak, že bráni jeho prípadnej kvalifikácii ako takého.

29. V článku 77 ods. 1 GDPR sa každej dotknutej osobe priznáva právo podať sťažnosť bez akýchkoľvek osobitných formálnych požiadaviek a bez rizika nákladov, a to aj dozornému orgánu členského štátu jej obvyklého pobytu, miesta výkonu práce alebo miesta údajného porušenia. Keďže toto právo predstavuje podstatný prvok systému ochrany zavedeného týmto nariadením, nemožno ho vykladať ani uplatňovať spôsobom, ktorý by prakticky znemožnil alebo nadmerne sťažil jeho výkon.( 9 )

30. Treba zdôrazniť, že podanie sťažnosti neposkytuje dozornému orgánu iba všeobecnú možnosť preskúmania, ale ukladá mu konkrétnu povinnosť prešetriť spis úplne, starostlivo a nestranne. Z judikatúry Súdneho dvora totiž vyplýva, že v súlade s článkom 57 ods. 1 písm. f) GDPR je každý dozorný orgán povinný vybavovať sťažnosti podané na jeho území, preskúmať ich povahu v potrebnom rozsahu a vybavovať ich so všetkou náležitou starostlivosťou, ktorá sa vyžaduje.( 10 )

31. Z toho vyplýva, že dozorný orgán nemôže odmietnuť vybaviť sťažnosť z dôvodov týkajúcich sa výlučne hospodárnosti správnych orgánov alebo z dôvodov vhodnosti. Rovnako je zakázané obmedziť svoju činnosť na neformálnu mediáciu alebo na úlohu obyčajného sprostredkovateľa. Naopak, je povinná preskúmať údajné skutkové a právne porušenie a prípadne účinne uplatniť nápravné právomoci, ktoré jej priznáva právo Únie.( 11 )

32. Právomoci vymenované v článku 58 GDPR sa podľa judikatúry musia vykladať s ohľadom na ich účel, ktorým je zabezpečiť plnú účinnosť tohto nariadenia. Súdny dvor zdôraznil povinnosť kontrolných orgánov prijať „vhodné a potrebné“ nápravné opatrenia v prípade zisteného porušenia a využiť všetky nástroje, ktoré majú k dispozícii. Táto požiadavka zahŕňa presadzovanie práva, keďže nečinnosť môže ohroziť potrebný účinok uvedeného nariadenia.( 12 )

36. V tejto súvislosti treba zdôrazniť, že v rámci postupu založeného na článku 77 GDPR sa dozorný orgán neobmedzuje na prijímanie údajov. Naopak, vykonáva súbor autonómnych a štruktúrovaných úkonov, ktoré realizuje na účely plnenia svojho zákonného poslania v oblasti preskúmavania, vyšetrovania a kontroly . Spracúvanie sa totiž začína podaním sťažnosti, ktorá obsahuje údaje týkajúce sa sťažovateľa a prípadne dotknutého prevádzkovateľa alebo identifikovateľných tretích strán. Tieto informácie – ktoré spadajú pod pojem „osobné údaje“ v zmysle článku 4 bodu 1 GDPR – sú zaznamenané, vložené do spisu a uchovávané vo vnútorných systémoch dozorného orgánu, čo už zahŕňa materiálne a organizačné operácie predstavujúce „spracúvanie“.( 14 )

37. Tieto operácie sú súčasťou úloh, ktoré článok 57 ods. 1 GDPR zveruje dozorným orgánom, ako sa uvádza v týchto návrhoch. Medzi tieto úlohy patrí najmä preskúmanie sťažností [písmeno f)], ako aj výkon vyšetrovacích a rozhodovacích právomocí [písmeno h)]. Pri plnení týchto úloh orgány konajú v rámci funkčnej a rozhodovacej autonómie zaručenej právom Únie, čo je autonómia, ktorá je konkrétne vyjadrená v spôsobe, akým sa vyšetrujú sťažnosti a akým sa vykonávajú kontrolné právomoci, ktoré z nich vyplývajú.

38. V priebehu konania dozorný orgán vecne a právne preskúma skutočnosti, ktoré mu boli predložené. Zhromažďuje, organizuje, analyzuje a hodnotí údaje na základe uplatniteľného normatívneho rámca. K ďalším spracovateľským operáciám dochádza aj vtedy, keď si vyžiada dodatočné informácie od prevádzkovateľa – voči ktorému sťažnosť smeruje a ktorý je predmetom vyšetrovania – alebo keď nahliadne do ďalších dokumentov, ktoré môžu obsahovať osobné údaje. Tieto informácie následne prijme, zaznamená, analyzuje a uchováva dozorný orgán. Rovnako prepojenie týchto prvkov s prípadnými už existujúcimi spismi alebo informáciami možno považovať za „spracúvanie“.

43. Dozorný orgán tiež v zásadných otázkach samostatne rozhoduje o prostriedkoch spracúvania. Určuje, aké osobné údaje sa zhromažďujú, v akej forme sa zaznamenávajú, štruktúrujú a uchovávajú, podľa akých kritérií sa vytvárajú spisy, organizujú digitálne archívy alebo evidujú dôkazné prostriedky, ako aj technické alebo organizačné postupy používané na analýzu, ďalšie spracovanie alebo interné sprístupňovanie údajov. Rovnako rozhoduje o tom, či je potrebné zaslať dotknutej osobe žiadosti o informácie, aké doplňujúce informácie je potrebné vyžiadať, akými metódami sa budú spájať a ako dlho sa budú uchovávať. Táto právomoc výberu a organizácie zjavne presahuje plnenie iba pomocnej alebo podriadenej úlohy.

44. Skutočne vykonané spracovateľské operácie potvrdzujú túto rozhodovaciu autonómiu. Dozorný orgán zaregistruje sťažnosť, otvorí svoje vlastné spisy, uchováva a organizuje prijaté údaje, ako aj údaje, ktoré zhromažďuje, vykoná svoje skutkové a právne posúdenie, vyžiada si ďalšie dokumenty, zaznamená vyšetrovacie úkony a na základe svojej vlastnej analýzy prijme procesné a vecné rozhodnutia. Spracúvanie teda neslúži len na technickú správu správneho spisu, ale je základom samostatného vyšetrovania, posudzovania a rozhodovania, ktoré právo Únie zveruje výlučne dozornému orgánu.

45. Okolnosť, že táto činnosť patrí do výkonu úlohy stanovenej zákonom, nevylučuje postavenie „prevádzkovateľa“. Súdny dvor viackrát pripomenul, že verejné orgány možno považovať za „prevádzkovateľov“, ak pri rozhodovaní o konkrétnych spôsoboch spracúvania disponujú mierou voľnej úvahy.( 17 ) V tejto súvislosti je potrebné poznamenať, že Landesamt sám počas pojednávania uznal, že disponuje mierou voľnej úvahy pri určovaní svojich úloh, a to aj v rámci vybavovania sťažností,( 18 ) pričom táto miera voľnosti je vyjadrením jeho autonómie.

48. Nezávislosť dozorných orgánov zakotvená v článku 52 GDPR a opätovne potvrdená v odôvodnení 117 si vyžaduje, aby tieto orgány boli kvalifikovaní ako „prevádzkovatelia“ v prípade operácií týkajúcich sa osobných údajov, ktoré vykonávajú pri plnení svojich úloh vyplývajúcich zo zákona. Iba autonómne určenie účelov a prostriedkov dotknutých operácií spracúvania spolu so zodpovednosťou, ktorá z toho vyplýva, im umožňuje vykonávať svoje právomoci dohľadu a dodržiavania predpisov úplne nezávisle od subjektov, nad ktorými vykonávajú dohľad. Ak by sa v rámci vybavovania sťažností považovali len za jednoduchých vykonávateľov cieľov vymedzených tretími osobami, ohrozilo by to ich inštitucionálnu autonómiu, dostali by sa do vzťahu závislosti voči kontrolovaným prevádzkovateľom a zbavilo by požiadavku zodpovednosti stanovenú právom Únie jej podstaty. Dozorný orgán teda musí sám prevziať zodpovednosť za spracúvanie osobných údajov vykonávané v rámci konania o sťažnosti, pričom sa voči nemu v plnom rozsahu uplatňujú práva dotknutých osôb stanovené v GDPR.( 19 )

49. Napokon, ak by dozorný orgán nebol kvalifikovaný ako „prevádzkovateľ“ v rámci vybavovania sťažností, dotknutá osoba by bola vo veľkej miere zbavená ochrany vo vzťahu k ústrednému prvku spracúvania jej údajov. Práva dotknutých osôb stanovené v článkoch 12 až 22 GDPR, najmä právo na prístup uvedené v článku 15, možno totiž uplatniť len voči prevádzkovateľovi. Bez tejto kvalifikácie by dotknutá osoba nemohla vedieť, aké údaje orgán získava a spracúva v rámci sťažnosti, ani požiadať o ich opravu, vymazanie alebo obmedzenie. Spracúvanie údajov vykonávané orgánom by tak nebolo podrobené žiadnym požiadavkám na transparentnosť a zodpovednosť, hoci práve tento orgán je poverený zabezpečením ochrany práv dotknutých osôb. Nekvalifikovanie ako „prevádzkovateľa“ by teda vytvorilo štrukturálny nedostatok ochrany, ktorý by dotknutú osobu vo vzťahu k dozornému orgánu zbavila základných záruk stanovených v GDPR( 20 ).

3. O existencii práva sťažovateľa na prístup na základe článku 15 GDPR

54. Ako bolo uvedené v týchto návrhoch, z kvalifikácie dozorného orgánu ako „prevádzkovateľa“ vyplýva pre tento orgán povinnosť zabezpečiť dodržiavanie práv, ktoré dotknutým osobám priznáva kapitola III GDPR. Medzi tieto práva patrí najmä právo na prístup zakotvené v článku 15 tohto nariadenia.

55. V rámci konania začatého podľa článku 77 GDPR má sťažovateľ v zásade tiež postavenie „dotknutej osoby“ v zmysle tohto nariadenia. V tejto súvislosti môže od dozorného orgánu požadovať, aby mu potvrdil, či sa spracúvajú osobné údaje, ktoré sa ho týkajú. V prípade pozitívnej lustrácie právo na prístup zahŕňa aj všetky informácie taxatívne vymenované v článku 15 ods. 1 písm. a) až h) GDPR, medzi ktoré patria najmä účely spracúvania, kategórie dotknutých údajov, príjemcovia alebo kategórie príjemcov, doba uchovávania, ako aj informácie týkajúce sa práv, ktoré má dotknutá osoba k dispozícii.

a) Právo získať „kópiu“ podľa článku 15 ods. 3 GDPR

56. Právo na prístup okrem iného zahŕňa právo dotknutej osoby získať kópiu údajov podľa článku 15 ods. 3 GDPR. Toto ustanovenie ukladá prevádzkovateľovi povinnosť oznámiť dotknutej osobe repliku jej osobných údajov v zrozumiteľnej forme, ktorá umožní presne pochopiť rozsah a spôsoby ich spracovania. Účelom tohto práva je umožniť dotknutej osobe overiť, ktoré údaje, ktoré sa jej týkajú, sa spracúvajú, identifikovať ich zdroj, pochopiť ich účely a poznať prípadných príjemcov.( 22 )

57. Súdny dvor rozhodol, že kópia musí byť poskytnutá za podmienok, ktoré umožňujú účinné preskúmanie zákonnosti spracúvania, ako aj účinné uplatňovanie ostatných práv zakotvených v GDPR.( 23 ) Pojem „kópia“ sa nevzťahuje na dokument ako taký, ale na osobné údaje, ktoré obsahuje; dôležité je, aby boli tieto údaje poskytnuté úplne, jasne a tak, aby bolo možné z nich vyvodiť ich význam. Na zabezpečenie účinnosti tohto práva sa môže ukázať ako nevyhnutné poskytnutie výňatkov z dokumentov alebo dokonca celých dokumentov alebo výňatkov z databáz, ktoré obsahujú spracúvané osobné údaje.( 24 )

59. Toto právo na prístup stanovené v článku 15 GDPR, ktoré je vlastné režimu ochrany osobných údajov, však nemožno stotožňovať so všeobecným právom na prístup k správnemu spisu ani so všeobecnou požiadavkou administratívnej transparentnosti . Toto ustanovenie má výlučne za cieľ zabezpečiť transparentnosť spracúvania, aby dotknutá osoba mohla kontrolovať jeho zákonnosť a účinne uplatňovať práva, ktoré z toho vyplývajú, najmä právo na opravu, vymazanie („právo na zabudnutie“), obmedzenie spracúvania alebo právo namietať.( 25 ) Na druhej strane však nezakotvuje ani všeobecné právo na prístup k informáciám, ktoré má v držbe administratíva, ani právo na nahliadnutie do interných dokumentov, a už vôbec nie právo na zverejnenie informácií týkajúcich sa vnútorného procesu rokovania alebo rozhodovania verejného orgánu. Je to zjavné pri porovnaní práva na prístup podľa článku 15 GDPR s ostatnými právami na prístup zakotvenými v práve Únie a vo vnútroštátnom práve.

60. Po prvé článok 15 a článok 77 ods. 2 GDPR sledujú odlišné účely, a preto ich treba striktne rozlišovať. Článok 77 ods. 2 stanovuje procesné právo na informácie o stave a výsledku vybavovania sťažnosti, ale nepriznáva právo na prístup k údajom alebo dokumentom na základe predpisov o ochrane údajov. Zatiaľ čo článok 15 nariadenia má za cieľ zaručiť jednotlivcovi kontrolu nad vlastnými osobnými údajmi, článok 77 ods. 2 sa týka požiadavky procesnej transparentnosti pri správnom vybavovaní sťažností. Tieto ustanovenia, ktoré sú samostatné, pokiaľ ide o ich predmet a rozsah, nemožno zamieňať ani navzájom nahradiť. Ide o nezávislé právne režimy, ktoré majú odlišnú normatívnu logiku, podliehajú vlastným podmienkam výkonu a nemajú sa navzájom prekrývať ani nahrádzať.

63. Okrem toho treba pripomenúť, že právo na prístup stanovené v článku 15 GDPR môže podliehať určitým obmedzeniam podľa článku 23 ods. 1 tohto nariadenia, pokiaľ sú splnené podmienky, ktoré stanovuje. Tento aspekt je predmetom druhej prejudiciálnej otázky, ktorou sa budem zaoberať v nasledujúcej časti.

4. Predbežný záver

64. Vzhľadom na predchádzajúce úvahy sa domnievam, že na prvú otázku treba odpovedať tak, že článok 15 v spojení s článkom 4 bodom 7 GDPR sa má vykladať v tom zmysle, že dozorný orgán v zmysle článku 4 bodu 21 tohto nariadenia, ak koná v rámci konania o sťažnosti na základe článku 77 uvedeného nariadenia, má tiež postavenie „prevádzkovateľa“ v zmysle toho istého nariadenia, a je teda povinný zaručiť dotknutej osobe právo na prístup stanovené v článku 15 GDPR.

C. O druhej otázke

1. Obmedzenia práva na prístup k osobným údajom uvedené v článku 23 GDPR

65. Svojou druhou otázkou predkladajúci vnútroštátny súd žiada o objasnenie vzťahu medzi článkom 23 GDPR a vnútroštátnym ustanovením, ktoré rovnako ako § 20 ods. 2 BayDSG vo všeobecnosti vylučuje akékoľvek právo na prístup k údajom alebo na nahliadnutie pred dozorným orgánom pre ochranu údajov. Odpoveď na túto otázku si vyžaduje dôkladnú analýzu štruktúry GDPR, ako vyplýva z jeho znenia, jeho účelu a relevantných odôvodnení, ako aj uplatňovania zásad stanovených Súdnym dvorom týkajúcich sa možných obmedzení práv dotknutých osôb.

69. V súlade so zásadami, ktorými sa riadi mechanizmus spolupráce medzi súdmi Únie a vnútroštátnymi súdmi zavedený článkom 267 ZFEÚ, podľa ktorých výklad vnútroštátneho práva patrí výlučne do právomoci vnútroštátnych súdov( 29 ) a Súdny dvor je povinný vychádzať zo spresnení, ktoré tieto súdy poskytli, pokiaľ ide o obsah a rozsah tohto práva( 30 ), budem vychádzať z týchto skutočností.

2. Zlučiteľnosť všeobecného vylúčenia z práva na prístup stanoveného v článku 15 GDPR s článkom 23 tohto nariadenia

70. V ďalšej časti týchto návrhov posúdim, či všeobecné vylúčenie práva na prístup podľa článku 15 GDPR môže byť odôvodnené vzhľadom na vyššie uvedené legislatívne ciele. Budem tiež analyzovať otázku, či takáto právna úprava spĺňa dodatočné požiadavky, ktoré článok 23 GDPR ukladá na akékoľvek obmedzenie tohto práva.

a) Existencia legitímneho cieľa

1) Ochrana dôvernosti osobných údajov tretích osôb

71. Ochrana dôvernosti osobných údajov tretích osôb predstavuje legitímny cieľ v zmysle GDPR, ktorý môže v zásade odôvodniť obmedzenia práv priznaných dotknutým osobám. V tejto súvislosti treba uviesť, že pokiaľ ide o právo na prístup stanovené v článku 15 GDPR, odôvodnenie 63 tohto nariadenia spresňuje, že „uvedené právo by sa nemalo nepriaznivo dotknúť práv alebo slobôd iných osôb“. Treba teda zohľadniť skutočnosť, že ako vyplýva z odôvodnenia 4 tohto nariadenia, právo na ochranu osobných údajov nie je absolútnym právom, pretože sa musí posudzovať so zreteľom na jeho úlohu v spoločnosti a musí byť vyvážené s inými základnými právami.( 31 )

3) Ochrana verejnej bezpečnosti

75. Z dôvodov úplnosti treba uviesť, že návrh na začatie prejudiciálneho konania uvádza ako prípadný dôvod na odôvodnenie aj ochranu verejnej bezpečnosti v zmysle článku 23 ods. 1 písm. c) GDPR, pričom však neposkytuje presnejšie informácie. Treba však súhlasiť s posúdením predkladajúceho vnútroštátneho súdu a Komisie, podľa ktorého sa takéto odvolanie nezdá byť dôvodné. Vzhľadom na skutkové okolnosti vo veci samej, ako ich uviedol vnútroštátny súd, sa totiž takéto obmedzenie zjavne nezdá byť relevantné. Toto odôvodnenie bude v dôsledku toho vylúčené z nasledujúcej analýzy.

b) Požiadavky stanovené regulačným rámcom GDPR

76. Na jednej strane treba konštatovať, že záujem na dôvernosti osobných údajov tretích osôb je riadne zohľadnený vnútroštátnou právnou úpravou, akou je § 20 ods. 2 BayDSG, keďže kategoricky zakazuje sprístupnenie takýchto údajov. Okrem toho nemožno vylúčiť, že neexistencia spolupráce dozorných orgánov v rámci vybavovania žiadostí o prístup môže viesť k prerozdeleniu ľudských a materiálnych zdrojov do iných oblastí, ktoré by prípadne mohlo viesť k určitému nárastu efektívnosti.

77. Na druhej strane takéto okolnosti vyvolávajú pochybnosti, pokiaľ ide o ich súlad s normatívnym rámcom zavedeným normotvorcom Únie pri prijímaní GDPR, a najmä so všeobecnou štruktúrou tohto nariadenia, ktorá je založená na rovnováhe medzi viacerými záujmami: transparentnosť spracúvania údajov, zachovanie dôvernosti, ak je to potrebné, a účinná ochrana týchto záujmov zo strany dozorných orgánov. Vnútroštátna právna úprava, ktorá primerane neodráža vyváženie týchto záujmov, preto nemôže spĺňať požiadavky článku 23 ods. 1 GDPR. To isté platí, ak sa zdá, že možno uvažovať o opatreniach, ktoré menej zasahujú do základných práv, ale sú rovnako účinné na dosiahnutie sledovaných cieľov.( 34 )

80. Okrem toho sa v odôvodnení 60 GDPR pripomína, že transparentnosť je základnou zásadou spracúvania osobných údajov, ktorá sa vzťahuje aj na činnosť orgánov verejnej moci. Hoci niektoré informácie môžu byť dočasne vyňaté z poskytovania v rámci konania o sťažnosti, najmä s cieľom neohroziť predchádzanie trestným činom, ich odhaľovanie alebo vyšetrovanie,( 36 ) takáto výhrada musí zostať striktne nevyhnutná a primeraná a nesmie viesť k úplnému znemožneniu transparentnosti voči dotknutej osobe. Vnútroštátne ustanovenie, ktoré vylučuje akúkoľvek formu prístupu bez rozlišovania medzi osobnými údajmi a internými dokumentmi, je teda v rozpore so štruktúrou GDPR.

81. Súdny dvor tiež rozhodol, že s ohľadom na článok 52 ods. 1 Charty musia byť obmedzenia, ktoré môžu byť uložené na základné právo, v súlade nielen so zásadami zákonnosti a proporcionality, ale aj so zásadou vyžadujúcou rešpektovanie „podstaty“ dotknutého práva.( 37 ) V odôvodnení 4 GDPR sa opätovne potvrdzuje, že ochrana osobných údajov predstavuje základné právo zakotvené v článku 8 Charty, ktorého obmedzenia môžu nastať len pri dodržaní zásady proporcionality. Úplné vylúčenie práva na prístup však vedie k tomu, že dotknutá osoba je zbavená samotnej podstaty tohto práva a bráni jej kontrolovať, hoci len minimálne, spracúvanie, ktorého je predmetom.

82. V odôvodnení 75 GDPR sa ďalej zdôrazňuje, že neexistencia alebo nedostatočná transparentnosť sama osebe predstavuje riziko, ktoré môže vážne ovplyvniť práva a slobody dotknutých osôb. Právna úprava, ktorá úplne zbavuje dotknutú osobu možnosti oboznámiť sa so spracúvaním, ktoré sa jej týka, vytvára práve tú rizikovú situáciu, ktorej chcel normotvorca zabrániť.

86. Pokiaľ ide o uvádzanú potrebu zabezpečiť nezávislý a účinný výkon úloh dozorných orgánov, nezdá sa, ako by výkon práva na prístup stanoveného v článku 15 GDPR mohol ohroziť tento cieľ. Treba súhlasiť s posúdením predkladajúceho vnútroštátneho súdu, podľa ktorého nezávislosť dozorných orgánov vôbec neznamená, že zákonnosť spracúvania osobných údajov, ktoré vykonávajú, by mala byť vyňatá z kontroly dotknutej osoby. Riziko prípadného „vplyvu“, ktorý by mohol byť podporený prístupom k informáciám, ako tvrdí Landesamt, treba preto vylúčiť.

89. Z návrhu na začatie prejudiciálneho konania vyplýva, že § 20 ods. 2 BayDSG predstavuje osobitosť nemeckého právneho poriadku, keďže žiadna iná spolková krajina nestanovuje porovnateľné vylúčenie práva na prístup. Takáto izolácia z normatívneho hľadiska je vážnym náznakom toho, že obmedzenie tohto rozsahu nemožno považovať za nevyhnutné alebo primerané v zmysle článku 23 ods. 1 GDPR. Keďže všetky ostatné dozorné orgány vykonávajú svoje úlohy bez toho, aby všeobecne obmedzovali práva dotknutých osôb, je ťažké tvrdiť, že takéto opatrenie je nevyhnutné na riadne fungovanie orgánu alebo na ochranu práv tretích osôb. Právna úprava špecifická pre jednu spolkovú krajinu, ktorá výrazne viac obmedzuje práva zaručené GDPR než tie, ktoré boli prijaté v iných častiach vnútroštátneho územia, zrejme nespĺňa požiadavky koherencie, nevyhnutnosti a proporcionality vyplývajúce z práva Únie.

90. Treba teda konštatovať, že pokiaľ ide o oba uvádzané ciele, ochranu práv tretích osôb a zachovanie riadneho plnenia úloh dozorných orgánov, menej obmedzujúce, diferencované opatrenia v súlade s právom Únie umožňujú dosiahnuť sledované výsledky bez toho, aby sa odstránila podstata práva na prístup a bez toho, aby bola odstránená transparentnosť požadovaná vo vzťahu k dotknutej osobe, a bez toho, aby bola dotknutá možnosť preskúmať zákonnosť vykonaného spracúvania.

91. Ďalším kritickým aspektom je skutočnosť, že § 20 ods. 2 BayDSG neumožňuje identifikovať cieľ sledovaný vnútroštátnym zákonodarcom. Ako vyplýva z informácií poskytnutých predkladajúcim vnútroštátnym súdom, prípravné práce sa obmedzujú na uvedenie článku 23 GDPR ako právneho základu, pričom však neodkazujú na jeden z cieľov vymenovaných v tomto ustanovení. Tento článok 23 pritom vyžaduje, aby účel obmedzenia jasne vyplýval zo samotného ustanovenia, čo je nevyhnutnou podmienkou účinného preskúmania dodržiavania zásad nevyhnutnosti a proporcionality.

1. Článok 15 v spojení s článkom 4 bodom 7 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa má vykladať v tom zmysle, že:

dozorný orgán v zmysle článku 4 bodu 21 tohto nariadenia, keď koná v rámci konania o sťažnosti na základe článku 77 uvedeného nariadenia, má tiež postavenie „prevádzkovateľa“ v zmysle toho istého nariadenia, a je teda povinný zaručiť dotknutej osobe právo na prístup stanovené v článku 15 tohto istého nariadenia 2016/679.

2. Článok 23 nariadenia 2016/679

sa má vykladať v tom zmysle, že:

bráni takému vnútroštátnemu ustanoveniu, akým je ustanovenie stanovené v § 20 ods. 2 bavorského zákona o ochrane údajov, ktoré ako také vylučuje existenciu práva na prístup k údajom na základe článku 15 tohto nariadenia voči bavorskému orgánu na ochranu údajov.

7 Vo všeobecnom nariadení o ochrane údajov sa výslovne nevymedzuje, čo je „sťažnosť“, ale znenie článku 77 to naznačuje. Podľa usmernení Európskeho výboru pre ochranu údajov (European Data Protection Board, EDPB) je sťažnosť podaním adresovaným dozornému orgánu zo strany identifikovanej fyzickej osoby, alebo subjektu spĺňajúceho podmienky článku 80, ktorý sa domnieva, že spracúvanie jeho údajov predstavuje porušenie nariadenia GDPR. EDPB uvádza, že tento pojem sa neobmedzuje na porušenie práv uvedených v kapitole III, ale vo všeobecnejšom zmysle zahŕňa akékoľvek porušenie nariadenia vyplývajúce zo spracúvania osobných údajov podávateľa sťažnosti (EDPB, „Interný dokument 6/2020 o predbežných krokoch na vybavovanie sťažností: prijateľnosť a posudzovanie sťažností“, prijatý 15. decembra 2020, s. 3).

8 Pozri rozsudky zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 58); z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu osobných údajov konať) (C‑768/21, EU:C:2024:785, bod 35), a z 9. januára 2025, Österreichische Datenschutzbehörde (Neprimerané žiadosti) (C‑416/23, EU:C:2025:3, bod 39).

9 Pozri rozsudok Súdu EZVO z 10. decembra 2020, Adpublisher AG/J & K (spojené veci E‑11/19 a E‑12/19, bod 45).

10 Pozri rozsudky zo 6. októbra 2015, Schrems (C‑362/14, EU:C:2015:650, bod 63); zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 107); zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu) (C‑26/22 a C‑64/22, EU:C:2023:958, bod 56), a z 26. septembra 2024, Land Hessen (Povinnosť orgánu na ochranu osobných údajov konať) (C‑768/21, EU:C:2024:785, bod 32).

15 Ako uviedol Súd EZVO vo svojom rozsudku z 10. decembra 2020, Adpublisher AG/J & K (spojené veci E‑11/19 a E‑12/19, bod 60), dozorný orgán je podľa článku 57 ods. 1 písm. h) GDPR oprávnený začať vyšetrovanie z úradnej moci. V rámci preskúmania sťažnosti sa teda môže vyjadriť k iným nárokom alebo k inému predmetu sporu, ako sú tie, ktoré uvádza sťažovateľ. Účinnosť postupu podávania sťažností vyžaduje, aby dozorný orgán nebol pri výkone svojich vyšetrovacích právomocí obmedzovaný spôsobom, akým sťažovateľ formuloval relevantné právne otázky vo svojej sťažnosti.

16 Zdá sa, že dozorné orgány vybavujú sťažnosti buď na základe ustanovení vnútroštátneho práva, alebo na základe vlastného uváženia. Zdá sa, že existujú aj rozdiely v spracúvaní sťažností podľa pragmatických kritérií alebo v rámci zjednodušeného postupu (pozri v tejto súvislosti GONZÁLEZ FUSTER, G., a i.: The right to lodge a data protection complaint: ok, but then what? – An empirical study of current practices under the GDPR. In: Access Now , Open Universiteit, 2022, s. 30).

17 Pozri rozsudky z 11. januára 2024, État belge (Údaje spracúvané úradným vestníkom) (C‑231/22, EU:C:2024:7, bod 39), a z 27. februára 2025, Amt der Tiroler Landesregierung (C‑638/23, EU:C:2025:127, bod 49).

18 Landesamt na žiadosť Súdneho dvora uviedol svoju správnu prax v oblasti vybavovania sťažností. V tejto súvislosti spresnil, že sťažovatelia môžu adresovať žiadosti, a to aj elektronicky, príslušným zamestnancom Landesamt a požiadať o prístup k spisu. Z tohto vysvetlenia jasne vyplýva, že spôsoby, akými Landesamt vybavuje sťažnosti, najmä pokiaľ ide o získané údaje, prijaté organizačné opatrenia a uskutočnené vyšetrovania, patria do autonómie, ktorú mu priznáva GDPR pri výkone jeho úloh.

25 Pozri rozsudky z 20. decembra 2017, Nowak (C‑434/16, EU:C:2017:994, bod 57); z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov) (C‑154/21, EU:C:2023:3, bod 38), a zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 35).

26 ZANFIR‑FORTUNA, G.: Article 15. Right of access by the data subject, ako aj KUNER, C., BYGRAVE, L. A., DOCKSEY, C. (ed.): The EU General Data Protection Regulation (GDPR): A Commentary . Oxford 2020, s. 452, zdôrazňujú, že je dôležité rozlišovať medzi právom na prístup k svojim osobným údajom zakotveným v článku 15 GDPR a právom na prístup k verejným informáciám. Tieto dve práva vychádzajú z rôznych normatívnych cieľov: cieľom prvého z nich je zabezpečiť transparentnosť voči osobe, ktorej údaje sú zhromažďované a spracúvané prevádzkovateľom (transparentnosť inter partes ), zatiaľ čo cieľom druhého je zabezpečiť transparentnosť vo vzťahu k verejnosti, pokiaľ ide o informácie, ktoré majú hodnotu alebo verejný záujem (transparentnosť erga omnes ).

27 GUMZEJ, N.: DPA powers toward effective and transparent GDPR enforcement: the case of Croatia. In: Juridical Tribune – Review of Comparative and International Law , zv. 13, č. 2 (2023), s. 210, odkazuje na platné zákony o slobodnom prístupe k informáciám.

28 SCHEMMER, F.: Der Auskunftsanspruch der DS‑GVO – Umfang des datenschutzrechtlichen Auskunftsanspruchs gem. Art. 15 DS‑GVO und dessen Grenzen. In: Zeitschrift für das gesamte Informationsrecht , 2024, č. 5, s. 210.

29 Pozri rozsudky zo 6. marca 2007, Placanica a i. (C‑338/04, C‑359/04 a C‑360/04, EU:C:2007:133, bod 34), a z 21. júna 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, bod 240).

36 Pozri v tejto súvislosti EDPS, Guidelines 10/2020 on restrictions under Article 23 GDPR (version 2.1) , prijaté 13. októbra 2021, body 65 – 67 a 82, v ktorých sa odporúča dočasné obmedzenie výkonu určitých práv dotknutých osôb s cieľom neohroziť administratívne vyšetrovania.

37 Pozri rozsudok z 8. apríla 2014, Digital Rights Ireland a i. (C‑293/12 a C‑594/12, EU:C:2014:238, bod 38); zo 6. októbra 2015, Schrems (C‑362/14, EU:C:2015:650, bod 94); zo 16. júla 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 174), a zo 6. októbra 2020, La Quadrature du Net a i. (C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 121).

38 Vo svojej ustálenej judikatúre Súdny dvor pripomenul tento cieľ a zdôraznil, že ochrana osobných údajov je zaručená tak článkom 16 ZFEÚ, ako aj článkom 8 Charty, čím toto právo zakotvuje v dvoch ustanoveniach primárneho práva Únie (pozri rozsudok z 12. januára 2023 Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 43).

39 Pozri rozsudok z 22. júna 2023, Pankki S (C‑579/21, EU:C:2023:501, bod 53 a nasl.).

40 Pozri rozsudok zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF (C‑487/21, EU:C:2023:369, bod 44).

41 Pozri bod 59 a nasl. vyššie.