–

za lotyšskou vládu původně V. Soņeca a K. Pommere, poté K. Pommere, jako zmocněnkyněmi,

–

za nizozemskou vládu M. K. Bulterman a M. Noort, jako zmocněnkyněmi,

–

za rakouskou vládu J. Schmoll a G. Kunnertem, jako zmocněnci,

–

za portugalskou vládu L. Inez Fernandesem, P. Barros da Costa, A. C. Guerra a I. Oliveira, jako zmocněnci,

–

za švédskou vládu C. Meyer-Seitz, H. Shev, H. Eklinder, R. Shahsavan Eriksson, A. Runeskjöld, M. Salborn Hodgson, O. Simonssonem a J. Lundbergem, jako zmocněnci,

–

za Evropskou komisi D. Nardim, H. Kranenborgem a I. Rubene, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu článků 5, 6 a 10 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; opravy Úř. věst. 2018, L 127, s. 2, a Úř. věst. 2021, L 74, s. 35; dále jen „GDPR“), článku 1 odst. 2 písm. cc) směrnice Evropského parlamentu a Rady 2003/98/ES ze dne 17. listopadu 2003 o opakovaném použití informací veřejného sektoru (Úř. věst. 2003, L 345, s. 90; Zvl. vyd. 13/32, s. 701), ve znění směrnice Evropského parlamentu a Rady 2013/37/EU ze dne 26. června 2013 (Úř. věst. 2013, L 175, s. 1) (dále jen „směrnice 2003/98“), jakož i zásad přednosti unijního práva a právní jistoty.

2

Tato žádost byla předložena v rámci řízení zahájeného na návrh B ve věci legality vnitrostátní právní úpravy přístupu veřejnosti k osobním údajům týkajícím se trestných bodů uložených za dopravní přestupky.

3

Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355), byla s účinkem od 25. května 2018 zrušena nařízením GDPR. Článek 3 této směrnice, nadepsaný „Oblast působnosti“, zněl takto:

„1.   Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.

2.   Tato směrnice se nevztahuje na zpracování osobních údajů:

[…]“

4

V bodech 1, 4, 10, 16, 19, 39, 50 a 154 odůvodnění GDPR je uvedeno:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

Článek 1 tohoto nařízení, nadepsaný „Předmět a cíle“, stanoví:

„1.   Toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů a pravidla týkající se volného pohybu osobních údajů.

2.   Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.

3.   Volný pohyb osobních údajů v Unii není z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán.“

6

Článek 2 uvedeného nařízení, nadepsaný „Věcná působnost“, v odstavcích 1 a 2 stanoví:

„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

7

Článek 4 téhož nařízení, nadepsaný „Definice“, zní:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]“

8

Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

9

Článek 6 tohoto nařízení, nadepsaný „Zákonnost zpracování“, v odstavci 1 stanoví:

„Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.“

10

Článek 10 uvedeného nařízení, nadepsaný „Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů“, stanoví:

„Zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 6 odst. 1 se může provádět pouze pod dozorem orgánu veřejné moci, nebo pokud je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů. Jakýkoli souhrnný rejstřík trestů může být veden pouze pod dozorem orgánu veřejné moci.“

11

Článek 51 téhož nařízení, nadepsaný „Dozorový úřad“, v odstavci 1 stanoví:

„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen ‚dozorový úřad‘).“

12

Článek 85 GDPR, nadepsaný „Zpracování a svoboda projevu a informací“, v odstavci 1 stanoví:

„Členské státy uvedou prostřednictvím právních předpisů právo na ochranu osobních údajů podle tohoto nařízení do souladu s právem na svobodu projevu a informací, včetně zpracování pro novinářské účely a pro účely akademického, uměleckého či literárního projevu.“

13

Článek 86 tohoto nařízení, nadepsaný „Zpracování a přístup veřejnosti k úředním dokumentům“, stanoví:

„Osobní údaje v úředních dokumentech, které jsou v držení orgánu veřejné moci či veřejného nebo soukromého subjektu za účelem plnění úkolu ve veřejném zájmu, může tento orgán či subjekt zpřístupnit v souladu s právem Unie nebo členského státu, kterému podléhá, aby tak zajistil soulad mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů podle tohoto nařízení.“

14

Článek 87 uvedeného nařízení, nadepsaný „Zpracování národních identifikačních čísel“, zní:

„Členské státy mohou dále stanovit zvláštní podmínky pro zpracování národních identifikačních čísel nebo jakýchkoliv jiných všeobecně uplatňovaných identifikátorů. V takovém případě se národní identifikační číslo nebo jakýkoliv jiný všeobecně uplatňovaný identifikátor použije pouze v závislosti na vhodných zárukách práv a svobod daného subjektu údajů podle tohoto nařízení.“

15

Článek 94 téhož nařízení stanoví:

„1.   Směrnice [95/46] se zrušuje s účinkem ode dne 25. května 2018.

2.   Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení. […]“

16

V bodech 10, 11 a 13 odůvodnění směrnice 2016/680 je uvedeno:

[…]

17

Článek 3 této směrnice stanoví:

„Pro účely této směrnice se rozumějí:

[…]

7.   ‚příslušným orgánem‘:

[…]“

18

Bod 21 odůvodnění směrnice 2003/98 zní:

„Tato směrnice by měla být prováděna a uplatňována v plné shodě se zásadami ochrany osobních údajů v souladu se směrnicí [95/46].“

19

Článek 1 směrnice 2003/98, nadepsaný „Předmět a oblast působnosti“, stanoví:

„1.   Tato směrnice stanoví minimální soubor pravidel pro opakované použití a praktické prostředky pro usnadnění opakovaného použití stávajících dokumentů, které mají subjekty veřejného sektoru členských států v držení.

2.   Tato směrnice se nepoužije na:

[…]

[…]

3.   Tato směrnice je založena na režimech přístupu jednotlivých členských států a tyto nejsou jejími ustanoveními dotčeny.

4.   Tato směrnice ponechává nedotčenu a nijak neovlivňuje úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů podle ustanovení předpisů Unie a vnitrostátních předpisů, a zejména nemění závazky a práva podle směrnice [95/46].

[…]“

20

Článek 96 Latvijas Republikas Satversme (Ústava Lotyšské republiky, dále jen „Ústava Lotyšska“) stanoví:

„Každý má právo na respektování svého soukromého života, obydlí a korespondence.“

21

Podle čl. 1 odst. 5 Informācijas atklātības likums (zákon o svobodném přístupu k informacím) ze dne 29. října 1998 (Latvijas Vēstnesis, 1998, č. 334/335) platí, že opakované použití spočívá v použití veřejně přístupných informací, které byly vytvořeny určitým orgánem a jsou v jeho držení, pro komerční nebo nekomerční účely, které se odlišují od původního účelu, ke kterému byly tyto informace vytvořeny, pokud je toto použití uskutečňováno soukromou osobou a nespadá do výkonu veřejné moci.

22

V souladu s článkem 4 tohoto zákona se veřejně přístupnými informacemi rozumí informace, které nespadají do kategorie informací, k nimž je přístup omezen.

23

Článek 5 uvedeného zákona v odstavci 1 stanoví, že přístup k informacím je omezen tehdy, když jsou tyto informace určeny omezenému okruhu osob v rámci plnění jejich úkolů či pracovních povinností a pokud zpřístupnění nebo ztráta těchto informací kvůli jejich povaze a obsahu brání nebo může bránit činnostem orgánu či narušuje nebo může narušit zájmy osob chráněné zákony. V odstavci 2 tohoto článku je zdůrazněno, že informace se považují za informace, k nimž je omezen přístup, jestliže to mimo jiné stanoví zákon, a v odstavci 6 tohoto článku je uvedeno, že informace, které již byly zveřejněny, nelze považovat za informace, k nimž je omezen přístup.

24

Podle čl. 10 odst. 3 téhož zákona lze veřejně přístupné informace poskytnout na žádost; žadatel přitom nemusí konkrétně zdůvodnit, proč má na získání těchto informací zájem, a přístup k těmto informacím mu nemůže být odepřen proto, že se ho netýkají.

25

Článek 141 Ceļu satiksmes likums (zákon o silničním provozu) ze dne 1. října 1997 (Latvijas Vēstnesis, 1997, č. 274/276), ve znění použitelném na spor v původním řízení (dále jen „zákon o silničním provozu“), nadepsaný „Přístup k informacím uchovávaným v národním registru vozidel a jejich řidičů […]“, v odstavci 2 stanoví:

„Informace o […] oprávnění osoby k řízení vozidel, informace o pokutách uložených za dopravní přestupky, které nebyly zaplaceny ve lhůtě stanovené zákonem, a další informace nacházející se v národním registru vozidel a jejich řidičů […] jsou veřejně přístupné.“

26

Článek 431 zákona o silničním provozu, nadepsaný „Systém trestných bodů“, v odstavci 1 stanoví:

„S cílem ovlivnit chování řidičů vozidel prostřednictvím podpory bezpečného řízení vozidel a dodržování předpisů o silničním provozu, jakož i ve snaze minimalizovat rizika ohrožení života, zdraví a majetku osob se přestupky, jichž se řidiči vozidel dopustí, zapisují do rejstříku trestů a trestné body se zaznamenávají do národního registru vozidel a jejich řidičů.“

27

Podle bodů 1 a 4 Ministru kabineta noteikumi Nr. 551 „Pārkāpumu uzskaites punktu sistēmas piemērošanas noteikumi“ (nařízení rady ministrů č. 551 o pravidlech používání systému trestných bodů) ze dne 21. června 2004 (Latvijas Vēstnesis, 2004, č. 102) se trestné body za přestupky spáchané v oblasti silničního provozu řidiči vozidel automaticky zaznamenají v den uplynutí lhůty pro podání odvolání proti rozhodnutí o uložení správní sankce.

28

Podle bodu 7 tohoto nařízení se trestné body odstraní, pokud u nich došlo k promlčení.

29

Podle bodu 12 uvedeného nařízení se vůči řidičům v závislosti na počtu trestných bodů přijímají různá opatření, jako jsou výstrahy, výcvik či přezkoušení v oblasti bezpečnosti silničního provozu nebo zákaz výkonu oprávnění k řízení vozidla po určitou dobu.

30

Jak vyplývá z čl. 32 odst. 1 Satversmes tiesas likums (zákon o Ústavním soudu) ze dne 5. června 1996 (Latvijas Vēstnesis, 1996, č. 103), rozsudek Latvijas Republikas Satversmes tiesa (Ústavní soud, Lotyšsko) je od okamžiku vyhlášení konečný a vykonatelný. Podle čl. 32 odst. 3 tohoto zákona se ustanovení právního předpisu, které Latvijas Republikas Satversmes tiesa (Ústavní soud) prohlásil za neslučitelné s právní normou vyšší právní síly, považuje za neplatné ode dne zveřejnění rozsudku zmíněného soudu, nerozhodne-li tento soud jinak.

31

B je fyzická osoba, které byly za jeden či několik dopravních přestupků uloženy trestné body. Podle zákona o silničním provozu a nařízení č. 551 ze dne 21. června 2004 zaznamenalo Ceļu satiksmes drošības direkcija (ředitelství pro bezpečnost silničního provozu, Lotyšsko) (dále jen „CSDD“) tyto trestné body do národního registru vozidel a jejich řidičů.

32

Vzhledem k tomu, že informace o uvedených trestných bodech obsažené v tomto registru jsou veřejně přístupné a podle B byly kromě toho pro účely opakovaného použití zpřístupněny několika hospodářským subjektům, B podal u Latvijas Republikas Satversmes tiesa (Ústavní soud) ústavní stížnost, ve které navrhoval, aby zmíněný soud přezkoumal, zda je čl. 141 odst. 2 zákona o silničním provozu v souladu se základním právem na respektování soukromého života, které je zakotveno v článku 96 Ústavy Lotyšska.

33

Do řízení byl coby orgán, který zákon o silničním provozu přijal, přibrán Latvijas Republikas Saeima (Parlament Lotyšské republiky, dále jen „Parlament Lotyšska“). Kromě toho bylo vyslechnuto CSDD, které zpracovává údaje o trestných bodech uložených za dopravní přestupky, Datu valsts inspekcija (úřad pro ochranu údajů), který je v Lotyšsku dozorovým úřadem ve smyslu článku 51 GDPR, a několik dalších orgánů a osob.

34

V rámci původního řízení Parlament Lotyšska potvrdil, že podle čl. 141 odst. 2 zákona o silničním provozu může získat informace o trestných bodech uložených určité osobě kdokoliv, a to buď na základě přímého dotazu směřovaného CSDD, nebo prostřednictvím služeb poskytovaných komerčními subjekty zabývajícími se opakovaným použitím údajů.

35

Zdůraznil, že toto ustanovení je přípustné, neboť je odůvodněno cílem spočívajícím ve zvýšení bezpečnosti silničního provozu. Tento všeobecný zájem podle jeho názoru vyžaduje, aby osoby, které porušují pravidla silničního provozu, a to zejména ty, které tato pravidla porušují systematicky a se špatnými úmysly, byly otevřeně identifikovány a aby řidiči vozidel byli prostřednictvím této transparentnosti od páchání přestupků odrazováni.

36

Uvedené ustanovení je kromě toho podle Parlamentu Lotyšska odůvodněno právem na přístup k informacím, které je stanoveno v Ústavě Lotyšska.

37

Parlament Lotyšska podotkl, že informace obsažené v národním registru vozidel a jejich řidičů jsou v praxi zpřístupňovány pod podmínkou, že žadatel o informace uvede národní identifikační číslo řidiče, o němž chce být informován. Důvodem této podmínky pro získání informací je, že na rozdíl od jména určité osoby, které se může shodovat se jménem jiných osob, je národní identifikační číslo jedinečným identifikátorem.

38

CSDD poznamenalo, že čl. 141 odst. 2 zákona o silničním provozu neomezuje přístup veřejnosti k údajům o trestných bodech ani opakované použití těchto údajů. Pokud jde o smlouvy, které uzavírá s komerčními subjekty zabývajícími se opakovaným použitím údajů, CSDD zdůraznilo, že tyto smlouvy nepočítají s právním převodem údajů a že subjekty zabývající se opakovaným použitím údajů musí zajistit, aby informace předané jejich zákazníkům nepřekračovaly rámec informací, které lze získat od CSDD. V rámci těchto smluv kromě toho nabyvatel potvrzuje, že poskytnuté informace použije v souladu s cíli uvedenými ve smlouvě a s platnou právní úpravou.

39

Datu valsts inspekcija (úřad pro ochranu údajů) uvedl, že má o souladu čl. 141 odst. 2 zákona o silničním provozu s článkem 96 Ústavy Lotyšska, v němž je zakotveno právo na respektování soukromého života, pochybnosti. Podle jeho názoru není jednoznačně vymezeno, jaký má zpracování prováděné na základě ustanovení dotčeného ve věci v původním řízení význam a cíl, takže nelze vyloučit, že je toto zpracování nevhodné či nepřiměřené. Ačkoliv totiž statistiky o dopravních nehodách v Lotyšsku svědčí o snižování počtu nehod, není doloženo, že k tomuto příznivému vývoji přispěl systém trestných bodů a přístup veřejnosti k informacím, které se ho týkají.

40

Latvijas Republikas Satversmes tiesa (Ústavní soud) předně konstatuje, že se dotčená stížnost týká čl. 141 odst. 2 zákona o silničním provozu pouze v tom rozsahu, v němž je na základě tohoto ustanovení veřejnosti umožněn přístup k trestným bodům zaznamenaným do národního registru vozidel a jejich řidičů.

41

Zmíněný soud dále uvádí, že trestné body jsou osobní údaje a že je v rámci posuzování práva na respektování soukromého života zakotveného v článku 96 Ústavy Lotyšska třeba přihlédnout k GDPR a v obecnější rovině i k článku 16 SFEU a článku 8 Listiny.

42

Pokud jde o cíle lotyšské právní úpravy v oblasti silničního provozu, zmíněný soud uvedl, že protiprávní jednání řidičů, která jsou v Lotyšsku kvalifikována jako přestupky, se zapisují do rejstříku trestů zejména za účelem podpory bezpečnosti silničního provozu a trestné body se zaznamenávají do národního registru vozidel a jejich řidičů.

43

Pokud jde konkrétně o národní registr vozidel a jejich řidičů, předkládající soud uvádí, že z něj lze zjistit počet spáchaných dopravních přestupků a v závislosti na tomto počtu uplatňovat různá opatření. Cílem systému trestných bodů zaznamenaných v tomto registru je tedy zvýšit bezpečnost silničního provozu tím, že je umožněno rozlišit řidiče vozidel, kteří porušují pravidla silničního provozu systematicky a se špatnými úmysly, a řidiče, kteří se protiprávních jednání dopouštějí příležitostně. Takový systém rovněž může preventivně ovlivňovat chování účastníků silničního provozu tím, že je motivuje k dodržování právní úpravy v oblasti silničního provozu.

44

Tentýž soud poznamenává, že je nesporné, že čl. 141 odst. 2 zákona o silničním provozu přiznává každému právo požadovat a získat od CSDD informace obsažené v národním registru vozidel a jejich řidičů, které se týkají trestných bodů uložených řidičům. V tomto ohledu potvrzuje, že v praxi se tyto informace poskytnou osobě, která o ně požádá, pokud tato osoba uvede národní identifikační číslo dotyčného řidiče.

45

Latvijas Republikas Satversmes tiesa (Ústavní soud) dále upřesňuje, že trestné body jsou klasifikovány jako veřejně přístupné informace, a spadají proto do působnosti zákona o svobodném přístupu k informacím; lze je tedy opakovaně použít pro komerční nebo nekomerční účely, které se odlišují od původního účelu, ke kterému byly tyto informace vytvořeny.

46

Pro účely výkladu a uplatnění článku 96 Ústavy Lotyšska v souladu s unijním právem se zmíněný soud zaprvé táže, zda informace o trestných bodech patří mezi informace uvedené v článku 10 GDPR, tedy mezi „osobní údaje týkající se odsouzení v trestních věcech a trestných činů“. Kdyby tomu tak bylo, bylo by možno konstatovat, že čl. 141 odst. 2 zákona o silničním provozu odporuje požadavku obsaženému v uvedeném článku 10, podle něhož se zpracování osobních údajů uvedených v tomto ustanovení může provádět pouze „pod dozorem orgánu veřejné moci“ nebo jestliže existují „vhodné záruky, pokud jde o práva a svobody subjektů údajů“.

47

Uvedený soud poznamenává, že čl. 8 odst. 5 směrnice 95/46, který ponechal na každém členském státu, aby posoudil, zda je třeba rozšířit působnost zvláštních pravidel v oblasti údajů týkajících se trestných činů a odsouzení v trestních věcech i na údaje týkající se správních deliktů a správních sankcí, byl v Lotyšsku s účinností od 1. září 2007 proveden takovým způsobem, že osobní údaje týkající se správních deliktů, stejně jako údaje týkající se trestných činů a odsouzení v trestních věcech, mohou být zpracovávány pouze osobami uvedenými v zákoně a v případech stanovených zákonem.

48

Tentýž soud kromě toho zdůrazňuje, že oblast působnosti článku 10 GDPR musí být v souladu s bodem 4 odůvodnění tohoto nařízení posuzována s přihlédnutím k funkci základních práv ve společnosti. V těchto souvislostech by se přitom cíl spočívající v zabránění tomu, aby odsouzení osoby mělo nepřiměřený negativní dopad na její soukromý a profesní život, mohl uplatnit jak v případě odsouzení v trestních věcech, tak v případě správních deliktů. V tomto kontextu je třeba zohlednit judikaturu Evropského soudu pro lidská práva týkající se připodobnění některých správních věcí věcem trestním.

49

Latvijas Republikas Satversmes tiesa (Ústavní soud) se zadruhé táže na to, jakou působnost má článek 5 GDPR. Konkrétně se ptá, zda lotyšský zákonodárce splnil povinnost – která je uvedena v odstavci 1 písm. f) tohoto článku – podle níž musí být při zpracování osobních údajů zachována „integrita a důvěrnost“. Poznamenává, že s čl. 141 odst. 2 zákona o silničním provozu, který tím, že povoluje přístup k informacím o trestných bodech, umožňuje zjistit, zda byla určitá osoba uznána vinnou ze spáchání dopravního přestupku, nejsou spjata žádná zvláštní opatření zaručující bezpečnost těchto údajů.

50

Uvedený soud se zatřetí táže, zda je při posuzování slučitelnosti čl. 141 odst. 2 zákona o silničním provozu s právem na respektování soukromého života relevantní směrnice 2003/98. Z této směrnice totiž vyplývá, že opakované použití osobních údajů lze povolit pouze při dodržení uvedeného práva.

51

S ohledem na judikaturu Soudního dvora, podle níž má výklad unijního práva podaný v rozhodnutích o předběžné otázce účinky erga omnes a ex tunc, se uvedený soud začtvrté táže, zda může v případě neslučitelnosti čl. 141 odst. 2 zákona o silničním provozu s článkem 96 Ústavy Lotyšska, vykládaným ve světle GDPR a Listiny, zachovat časové účinky uvedeného čl. 141 odst. 2 až do dne vyhlášení svého rozsudku, a to s ohledem na velké množství dotčených právních vztahů.

52

V tomto ohledu Latvijas Republikas Satversmes tiesa (Ústavní soud) uvádí, že podle lotyšského práva musí být akt, který zmíněný soud prohlásí za protiústavní, považován za neplatný ode dne vyhlášení jeho rozsudku, nerozhodne-li tento soud jinak. Vysvětluje, že v tomto ohledu musí zajistit rovnováhu mezi zásadou právní jistoty na jedné straně a základními právy jednotlivých dotčených osob na straně druhé.

53

Za těchto podmínek se Latvijas Republikas Satversmes tiesa (Ústavní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

54

Podstatou první otázky předkládajícího soudu je, zda musí být článek 10 GDPR vykládán v tom smyslu, že se vztahuje na zpracování osobních údajů týkajících se trestných bodů uložených řidičům vozidel za dopravní přestupky, které spočívá ve zpřístupnění takových údajů veřejnosti.

55

Podle článku 10 GDPR platí, že zpracování osobních údajů týkajících se odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření na základě čl. 6 odst. 1 se může provádět pouze pod dozorem orgánu veřejné moci, nebo pokud je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů.

56

V této souvislosti je třeba předně ověřit, zda informace týkající se trestných bodů zpřístupněné třetím osobám podle právní úpravy dotčené ve věci v původním řízení představují „osobní údaje“ ve smyslu čl. 4 bodu 1 GDPR a zda uvedené zpřístupnění představuje „zpracování“ takových údajů ve smyslu čl. 4 bodu 2 uvedeného nařízení, které spadá do věcné působnosti tohoto nařízení, jak je definována v jeho článku 2.

57

V tomto ohledu je třeba zaprvé konstatovat, že z předkládacího rozhodnutí vyplývá, že lotyšská právní úprava stanoví, že trestné body se ukládají řidičům vozidel, kteří se dopustili dopravního přestupku a byla jim uložena peněžitá nebo jiná sankce. Tyto body zaznamenává veřejný subjekt CSDD do národního registru vozidel a jejich řidičů ke dni uplynutí lhůty pro podání odvolání proti rozhodnutí o uložení této sankce.

58

Z uvedeného rozhodnutí rovněž vyplývá, že dopravní přestupky a sankce, kterými jsou postihovány, spadají v Lotyšsku do oblasti správního práva a cílem připsání trestných bodů není uložit další sankci, nýbrž upozornit dotčené řidiče a motivovat je k bezpečnějšímu způsobu řízení. Je-li dosaženo určitého počtu trestných bodů, dotyčné osobě může být na určitou dobu zakázáno řídit.

59

Z tohoto rozhodnutí rovněž vyplývá, že právní úprava dotčená ve věci v původním řízení ukládá CSDD povinnost zpřístupnit informace týkající se trestných bodů uložených určitému řidiči každému, kdo o přístup k těmto informacím požádá. CSDD v tomto směru vyžaduje pouze to, aby osoba, která uvedené informace požaduje, dotčeného řidiče náležitě identifikovala, a to tak, že uvede jeho národní identifikační číslo.

60

Je tedy nutno konstatovat, že informace týkající se trestných bodů, které se vztahují k identifikované fyzické osobě, jsou „osobními údaji“ ve smyslu čl. 4 bodu 1 GDPR a že jejich zpřístupnění třetím osobám ze strany CSDD představuje „zpracování“ ve smyslu čl. 4 bodu 2 GDPR.

61

Zadruhé je třeba konstatovat, že zpřístupnění těchto informací spadá pod velmi širokou definici věcné působnosti GDPR, jak je uvedena v jeho čl. 2 odst. 1, a nepatří mezi způsoby zpracování osobních údajů, které z této působnosti vylučuje čl. 2 odst. 2 písm. a) a d) GDPR.

62

Co se totiž týče čl. 2 odst. 2 písm. a) GDPR, ten stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“. Tato výjimka z použitelnosti GDPR musí být, podobně jako ostatní výjimky stanovené v jeho čl. 2 odst. 2, vykládána restriktivně (v tomto smyslu viz rozsudky ze dne 9. července 2020, Land Hessen, C‑272/19, EU:C:2020:535, bod 68, jakož i ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 84).

63

V tomto ohledu je třeba čl. 2 odst. 2 písm. a) tohoto nařízení vykládat ve spojení s jeho čl. 2 odst. 2 písm. b) a bodem 16 odůvodnění, v němž je uvedeno, že se zmíněné nařízení nevztahuje na zpracování osobních údajů v souvislosti s „činnostmi, které nespadají do působnosti práva Unie, jako jsou činnosti týkající se národní bezpečnosti“ ani na zpracování osobních údajů při výkonu „činností v rámci společné zahraniční a bezpečnostní politiky Unie“.

64

Z toho vyplývá, že čl. 2 odst. 2 písm. a) a b) GDPR zčásti navazuje na čl. 3 odst. 2 první odrážku směrnice 95/46. Z toho plyne, že čl. 2 odst. 2 písm. a) a b) GDPR nelze vykládat tak, že má širší působnost než výjimka vyplývající z čl. 3 odst. 2 první odrážky směrnice 95/46, který již z působnosti této směrnice vylučoval mimo jiné i zpracování osobních údajů v rámci „činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o [EU, ve znění před přijetím Lisabonské smlouvy], a v každém případě […] zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu […]“.

65

Jak přitom Soudní dvůr opakovaně rozhodl, z působnosti uvedené směrnice bylo vyloučeno pouze zpracování osobních údajů prováděné v rámci činnosti států nebo státních orgánů, která byla ve zmíněném čl. 3 odst. 2 výslovně uvedena, nebo v rámci činnosti, kterou bylo možno zařadit do téže kategorie (v tomto smyslu viz rozsudky ze dne 6. listopadu 2003, Lindqvist, C‑101/01, EU:C:2003:596, body 42 až 44; ze dne 27. září 2017, Puškár, C‑73/16, EU:C:2017:725, body 36 a 37, jakož i ze dne 10. července 2018, Jehovan todistajat, C‑25/17, EU:C:2018:551, bod 38).

66

Z toho vyplývá, že čl. 2 odst. 2 písm. a) GDPR ve světle bodu 16 odůvodnění tohoto nařízení musí být považován za ustanovení, jehož jediným cílem je vyloučit z působnosti uvedeného nařízení zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, takže pouhá skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se tato výjimka na takovou činnost automaticky vztahovala (v tomto smyslu viz rozsudek ze dne 9. července 2020, Land Hessen, C‑272/19, EU:C:2020:535, bod 70).

67

Činnosti uvedené v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, zahrnují – jak v podstatě rovněž uvedl generální advokát v bodech 57 a 58 svého stanoviska – zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti.

68

Činnosti související s bezpečností silničního provozu však takový cíl nesledují, a do kategorie činností uvedených v čl. 2 odst. 2 písm. a) GDPR, jejichž cílem je ochrana národní bezpečnosti, je tudíž nelze zařadit.

69

Pokud jde dále o čl. 2 odst. 2 písm. d) GDPR, ten stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení“. Jak vyplývá z bodu 19 odůvodnění uvedeného nařízení, tato výjimka je odůvodněna tím, že na zpracování osobních údajů, které provádí příslušné orgány za takovými účely, se vztahuje konkrétnější unijní akt, a sice směrnice 2016/680, která byla přijata ve stejný den jako GDPR a která v čl. 3 odst. 7 definuje, co se rozumí „příslušným orgánem“, přičemž taková definice musí být obdobně použita i na čl. 2 odst. 2 písm. d).

70

Z bodu 10 odůvodnění směrnice 2016/680 vyplývá, že pojem „příslušný orgán“ musí být vykládán v souvislosti s ochranou osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce s přihlédnutím k úpravám, které se v tomto ohledu mohou vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytné. V bodě 11 odůvodnění této směrnice je kromě toho upřesněno, že GDPR se použije na zpracování osobních údajů prováděné „příslušným orgánem“ ve smyslu čl. 3 odst. 7 zmíněné směrnice, ale pro jiné účely, než jsou účely uvedené v této směrnici.

71

S ohledem na informace, které má Soudní dvůr k dispozici, nic nenasvědčuje tomu, že by CSDD bylo možno považovat při výkonu činností dotčených ve věci v původním řízení – které spočívají v tom, že s cílem zajištění bezpečnosti silničního provozu veřejnosti zpřístupňuje osobní údaje týkající se trestných bodů – za „příslušný orgán“ ve smyslu čl. 3 odst. 7 směrnice 2016/680, a že by tedy takové činnosti mohly spadat pod výjimku stanovenou v čl. 2 odst. 2 písm. d) GDPR.

72

Zpřístupňování osobních údajů týkajících se trestných bodů uložených řidičům vozidel za dopravní přestupky prováděné CSDD tudíž spadá do věcné působnosti GDPR.

73

Pokud jde o otázku, zda se na takové zpřístupňování použije článek 10 GDPR, jde o to, zda takto zpřístupněné informace představují osobní údaje týkající se „odsouzení v trestních věcech a trestných činů či souvisejících bezpečnostních opatření“ ve smyslu tohoto ustanovení, jejichž zpracování „se může provádět pouze pod dozorem orgánu veřejné moci“, ledaže je „povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů“.

74

V tomto ohledu je třeba připomenout, že účelem zmíněného článku 10 je zajistit zvýšenou ochranu při zpracování, které může z důvodu zvláštní citlivosti dotčených údajů zvláště závažným způsobem zasáhnout do základních práv na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, bod 44].

75

Vzhledem k tomu, že se údaje, na které odkazuje článek 10 GDPR, týkají jednání, která společnost neschvaluje, může poskytnutí přístupu k takovým údajům subjekt údajů stigmatizovat, a představovat tak závažný zásah do jeho soukromého či profesního života.

76

V projednávaném případě je pravda, že rozhodnutí lotyšských orgánů, v nichž jsou postihovány dopravní přestupky, se – jak zdůraznila lotyšská vláda v odpovědích na otázky Soudního dvora – zapisují do rejstříku trestů, k němuž má veřejnost přístup pouze v omezených případech, a ne do registru vozidel a jejich řidičů, k němuž je podle čl. 141 odst. 2 zákona o silničním provozu umožněn volný přístup. Jak ovšem zdůraznil předkládající soud, zpřístupňování osobních údajů týkajících se trestných bodů, které se zapisují do zmíněného registru, ze strany CSDD veřejnosti umožňuje zjistit, zda se určitá osoba dopustila dopravních přestupků, a pokud ano, dovodit z toho jejich závažnost a četnost. Takový režim zpřístupňování informací o trestných bodech tedy znamená, že je poskytován přístup k osobním údajům týkajícím se dopravních přestupků.

77

Má-li být zjištěno, zda takový přístup představuje zpracování osobních údajů týkajících se „trestných činů“ ve smyslu článku 10 GDPR, je třeba zaprvé poznamenat, že tento pojem – jak vyplývá zejména z historie vzniku GDPR – odkazuje výlučně na protiprávní činy označené za trestné. I když Evropský parlament navrhl, aby byl v tomto ustanovení výslovně uveden i výraz „správní sankce“ (Úř. věst. 2017, C 378, s. 430), tento návrh nebyl přijat. Tato okolnost je o to významnější, že ustanovení, které článku 10 GDPR předcházelo, a sice čl. 8 odst. 5 směrnice 95/46, který v prvním pododstavci odkazoval na „protiprávní jednání“ a „rozsudky v trestních věcech“, v druhém pododstavci členským státům umožňoval „stanovit, že údaje týkající se správních sankcí […] budou rovněž zpracovávány pod kontrolou orgánu veřejné moci“. Ze znění tohoto čl. 8 odst. 5 jako celku tedy jasně vyplývá, že pojmem „trestný čin“ se rozumí pouze protiprávní činy označené za trestné.

78

Za těchto podmínek je třeba mít za to, že pokud unijní normotvůrce v článku 10 GDPR úmyslně neuvedl přídavné jméno „správní“, chtěl vyhradit zvýšenou ochranu upravenou v tomto ustanovení pouze pro trestněprávní oblast.

79

Tento výklad je potvrzen – jak uvedl generální advokát v bodech 74 až 77 svého stanoviska – tím, že na „trestné činy“ je poukázáno v několika jazykových zněních článku 10 GDPR, a to například v němčině (Straftaten), španělštině (infracciones penales), italštině (reati), litevštině (nusikalstamas veikas), maltštině (reati) a nizozemštině (strafbare feiten).

80

Zadruhé skutečnost, že dopravní přestupky jsou v Lotyšsku kvalifikovány jako správní delikty, není při posuzování toho, zda se na tyto přestupky vztahuje článek 10 GDPR, relevantní.

81

V tomto ohledu je třeba připomenout, že znění ustanovení unijního práva, které výslovně neodkazuje na právo členských států za účelem vymezení svého smyslu a rozsahu, musí být zpravidla vykládáno autonomním a jednotným způsobem v celé Unii (rozsudky ze dne 19. září 2000, Linster, C‑287/98, EU:C:2000:468, bod 43, a ze dne 1. října 2019, Planet49, C‑673/17, EU:C:2019:801, bod 47).

82

V projednávaném případě je třeba nejprve uvést, že pokud jde o rozsah výrazů uvedených v článku 10 GDPR, a to zejména výrazů „trestné činy“ a „odsouzení v trestních věcech“, toto nařízení na vnitrostátní právní řády neodkazuje.

83

Z bodu 10 odůvodnění GDPR dále vyplývá, že cílem tohoto nařízení je přispět k dotvoření prostoru svobody, bezpečnosti a práva tím, že bude zajištěna soudržná a vysoká úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů; předpokladem naplnění tohoto cíle přitom je, aby tato úroveň ochrany byla rovnocenná a jednotná ve všech členských státech. Kdyby se však zvýšená ochrana upravená v tomto ustanovení vztahovala na zpracování osobních údajů týkajících se dopravních přestupků pouze v některých členských státech a v jiných nikoliv, a to pouze proto, že v posledně uvedených členských státech nejsou tyto přestupky kvalifikovány jako trestné činy, takovému cíli by to odporovalo.

84

Jak konečně uvedl generální advokát v bodě 84 svého stanoviska, tento závěr je potvrzen i bodem 13 odůvodnění směrnice 2016/680, v němž je uvedeno, že „pojem trestného činu ve smyslu této směrnice by měl být autonomním pojmem unijního práva, jak jej vykládá Soudní dvůr Evropské unie“.

85

Z toho vyplývá, že pojem „trestný čin“, který je rozhodující pro určení toho, zda se na osobní údaje týkající se takových dopravních přestupků, jako jsou dopravní přestupky dotčené ve věci v původním řízení, uplatní článek 10 GDPR, musí být v celé Unii vykládán autonomním a jednotným způsobem, přičemž tento výklad je třeba nalézt s přihlédnutím k cíli tohoto ustanovení a k jeho kontextu, aniž je v tomto ohledu rozhodující, jakým způsobem kvalifikuje tyto přestupky dotčený členský stát, jelikož tato kvalifikace se může v jednotlivých zemích lišit (v tomto smyslu viz rozsudek ze dne 14. listopadu 2013, Baláž, C‑60/12, EU:C:2013:733, body 26 a 35).

86

Zatřetí je třeba posoudit, zda „trestný čin“ ve smyslu článku 10 GDPR představují takové dopravní přestupky, jako jsou dopravní přestupky, na jejichž základě dochází tomu, že se do registru vozidel a jejich řidičů zaznamenávají trestné body, které lze podle sporného ustanovení zpřístupnit třetím osobám.

87

Podle judikatury Soudního dvora jsou pro posuzování trestní povahy protiprávního jednání relevantní tři kritéria. Prvním kritériem je právní kvalifikace protiprávního jednání ve vnitrostátním právu, druhým kritériem je samotná povaha protiprávního jednání a třetím kritériem je stupeň přísnosti sankce, která dotčené osobě hrozí (v tomto smyslu viz rozsudky ze dne 5. června 2012, Bonda, C‑489/10, EU:C:2012:319, bod 37; ze dne 20. března 2018, Garlsson Real Estate a další, C‑537/16, EU:C:2018:193, bod 28, jakož i ze dne 2. února 2021, Consob, C‑481/19, EU:C:2021:84, bod 42).

88

I v případě protiprávních jednání, která ve vnitrostátním právu jako „trestná“ kvalifikována nejsou, může taková povaha vyplývat ze samotné povahy předmětného protiprávního jednání a ze stupně přísnosti sankcí, které za něj mohou být uloženy (v tomto smyslu viz rozsudek ze dne 20. března 2018, Garlsson Real Estate a další, C‑537/16, EU:C:2018:193, body 28 a 32).

89

Co se týče kritéria souvisejícího se samotnou povahou protiprávního jednání, je třeba ověřit, zda dotčená sankce sleduje zejména represivní účel; pouhá okolnost, že sleduje i preventivní účel ji sama o sobě její kvalifikace coby trestní sankce nemůže zbavit. Je totiž v samotné povaze trestních sankcí, že sledují jak represi, tak prevenci protiprávních jednání. Naproti tomu opatření, které se omezuje na nahrazení újmy způsobené předmětným protiprávním jednáním, trestní povahu nemá (v tomto smyslu viz rozsudky ze dne 5. června 2012, Bonda, C‑489/10, EU:C:2012:319, bod 39, jakož i ze dne 20. března 2018, Garlsson Real Estate a další, C‑537/16, EU:C:2018:193, bod 33). Je přitom nesporné, že připsání trestných bodů za dopravní přestupky, stejně jako pokuty nebo jiné sankce, které mohou být za tyto přestupky uloženy, nemá za cíl pouze náhradu újmy, která byla uvedenými přestupky případně způsobena, ale sleduje i účel represivní.

90

Pokud jde o kritérium týkající se stupně přísnosti sankcí, které mohou být za spáchání těchto přestupků uloženy, je třeba nejprve uvést, že k připsání trestných bodů vedou pouze dopravní přestupky určité závažnosti, a že tedy takové přestupky mohou vést k uložení sankcí o určité přísnosti. Připsání trestných bodů dále zpravidla doplňuje sankci uloženou v případě spáchání takového přestupku, což je ostatně i případ právní úpravy dotčené ve věci v původním řízení, jak bylo uvedeno v bodě 58 tohoto rozsudku. Nakonec je třeba uvést, že kumulace uvedených bodů má sama o sobě právní důsledky, jako je povinnost přezkoušení, či dokonce zákaz řízení.

91

Tato analýza je potvrzena judikaturou Evropského soudu pro lidská práva, podle které je nehledě na tendenci dopravní přestupky v některých státech „dekriminalizovat“ nutno mít ve všeobecné rovině za to, že tato protiprávní jednání mají s ohledem na preventivní i represivní cíl ukládaných sankcí a stupeň přísnosti, kterého mohou tyto sankce dosahovat, trestní povahu (v tomto smyslu viz rozsudky ESLP ze dne 21. února 1984, Öztürk v. Německo, CE:ECHR:1984:0221JUD 000854479, body 49 až 53; ze dne 29. června 2007, O’Halloran a Francis v. Spojené království, CE:ECHR:2007:0629JUD 001580902, body 33 až 36, a ze dne 4. října 2016, Rivard v. Švýcarsko, CE:ECHR:2016:1004JUD 002156312, body 23 a 24).

92

Kvalifikace dopravních přestupků, které mohou vést k připsání trestných bodů, coby „trestného činu“ ve smyslu článku 10 GDPR rovněž odpovídá účelu tohoto ustanovení. Zpřístupnění osobních údajů týkajících se dopravních přestupků, a to včetně trestných bodů uložených za jejich spáchání, totiž může s ohledem na skutečnost, že takové přestupky představují ohrožení bezpečnosti silničního provozu, vyvolat nesouhlas společnosti a vést ke stigmatizaci subjektu údajů, a to zejména za situace, kdy tyto body svědčí o určité závažnosti nebo četnosti uvedených přestupků.

93

Z toho vyplývá, že dopravní přestupky, které mohou vést k připsání trestných bodů, spadají pod pojem „trestné činy“ uvedený v článku 10 GDPR.

94

S ohledem na všechny výše uvedené úvahy je třeba na první položenou otázku odpovědět tak, že článek 10 GDPR musí být vykládán v tom smyslu, že se vztahuje na zpracování osobních údajů týkajících se trestných bodů uložených řidičům vozidel za dopravní přestupky.

95

Podstatou druhé otázky předkládajícího soudu je, zda musí být ustanovení GDPR vykládána v tom smyslu, že brání vnitrostátní právní úpravě, která veřejnému subjektu pověřenému vedením registru, do něhož se zaznamenávají trestné body uložené řidičům vozidel za dopravní přestupky, ukládá povinnost zpřístupnit tyto údaje každé osobě, která o to požádá, přičemž tato osoba nemusí prokázat, že má na získání uvedených údajů zvláštní zájem.

96

V tomto ohledu je třeba připomenout, že každé zpracování osobních údajů musí být v souladu se zásadami týkajícími se zpracování údajů, které jsou uvedeny v článku 5 GDPR, a musí odpovídat některé ze zásad týkajících se zákonnosti zpracování, které jsou vyjmenovány v článku 6 uvedeného nařízení (v tomto smyslu viz rozsudek ze dne 16. ledna 2019, Deutsche Post, C‑496/17, EU:C:2019:26, bod 57 a citovaná judikatura).

97

Pokud jde o zásady týkající se zpracování osobních údajů, je pravda, že předkládající soud poukazuje konkrétně na zásady „integrity“ a „důvěrnosti“, které jsou zakotveny v čl. 5 odst. 1 písm. f) GDPR. Z dotazů uvedeného soudu však vyplývá, že chce v obecnější rovině zjistit, zda lze zpracování osobních údajů dotčené ve věci v původním řízení považovat za zákonné s ohledem na všechna ustanovení uvedeného nařízení, a zejména s ohledem na zásadu proporcionality.

98

Z toho vyplývá, že v odpovědi, která bude uvedenému soudu poskytnuta, je třeba přihlédnout i k dalším zásadám zakotveným v čl. 5 odst. 1 uvedeného nařízení, a to zejména k zásadě „minimalizace údajů“ uvedené v písmeni c) tohoto ustanovení, podle níž musí být osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, a která uvedenou zásadu proporcionality vyjadřuje (v tomto smyslu viz rozsudek ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, bod 48).

99

Pokud jde o zásady týkající se zákonnosti zpracování, článek 6 GDPR obsahuje taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby tedy mohlo být zpracování považováno za oprávněné, musí spadat pod jeden z případů stanovených ve zmíněném článku 6 (v tomto smyslu viz rozsudek ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, body 37 a 38). V tomto ohledu může zpracování osobních údajů dotčené ve věci v původním řízení, které spočívá v tom, že CSDD veřejnosti zpřístupňuje údaje, jež se týkají trestných bodů uložených za dopravní přestupky, spadat pod čl. 6 odst. 1 písm. e) GDPR, podle kterého je zpracování zákonné, pokud je v odpovídajícím rozsahu „nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce“.

100

Kromě toho je třeba konstatovat, že jelikož se na osobní údaje týkající se trestných bodů uložených řidičům vozidel za dopravní přestupky – jak bylo konstatováno v bodě 94 tohoto rozsudku – vztahuje článek 10 GDPR, jejich zpracování podléhá dalším omezením uvedeným v tomto ustanovení. Podle zmíněného ustanovení v této souvislosti platí, že zpracování těchto údajů „se může provádět pouze pod dozorem orgánu veřejné moci“, ledaže „ je povoleno právem Unie nebo členského státu poskytujícím vhodné záruky, pokud jde o práva a svobody subjektů údajů“. V uvedeném ustanovení je kromě toho upřesněno, že „[j]akýkoli souhrnný rejstřík trestů může být veden pouze pod dozorem orgánu veřejné moci“.

101

V projednávaném případě je nesporné, že zpracování osobních údajů dotčené ve věci v původním řízení, a sice zpřístupňování údajů, jež se týkají trestných bodů uložených za dopravní přestupky, veřejnosti, provádí veřejný subjekt – CSDD – který je správcem ve smyslu čl. 4 bodu 7 GDPR (obdobně viz rozsudek ze dne 9. března 2017, Manni, C‑398/15, EU:C:2017:197, bod 35). Nesporné je ovšem i to, že do těchto údajů po jejich zpřístupnění nahlíží osoby, které o jejich zpřístupnění požádaly, a tyto osoby je případně uchovávají nebo šíří. Vzhledem k tomu, že toto další zpracování údajů již není prováděno „pod dozorem“ CSDD nebo jiného orgánu veřejné moci, vnitrostátní právo, které povoluje, aby CSDD uvedené údaje zpřístupňovalo, musí poskytovat „vhodné záruky, pokud jde o práva a svobody subjektů údajů“.

102

Soulad takové vnitrostátní právní úpravy, jako je právní úprava dotčená ve věci v původním řízení, s GDPR je tudíž třeba posoudit s ohledem na obecné podmínky zákonnosti, a to zejména ty, které jsou stanoveny v čl. 5 odst. 1 písm. c) a v čl. 6 odst. 1 písm. e) GDPR, a na zvláštní omezení stanovená v článku 10 tohoto nařízení.

103

V tomto ohledu je třeba konstatovat, že žádné z těchto ustanovení obecně a absolutně nezakazuje, aby byl orgán veřejné moci podle vnitrostátní právní úpravy oprávněn, či dokonce povinen zpřístupnit osobní údaje osobám, které o to požádají.

104

Ačkoli čl. 5 odst. 1 písm. c) GDPR podmiňuje zpracování osobních údajů dodržením zásady „minimalizace údajů“, ze znění tohoto ustanovení jasně vyplývá, že nemá za cíl zavést takový obecný a absolutní zákaz a že zejména nebrání tomu, aby osobní údaje byly veřejnosti zpřístupněny, je-li toto zpřístupnění nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci ve smyslu čl. 6 odst. 1 písm. e) tohoto nařízení. To platí i v případě, že se na dotčené údaje vztahuje článek 10 GDPR, pokud právní předpisy, které toto zpřístupňování povolují, poskytují vhodné záruky, pokud jde o práva a svobody subjektů údajů [v tomto smyslu viz rozsudek ze dne 24. září 2019, GC a další (Odstranění odkazů na citlivé údaje), C‑136/17, EU:C:2019:773, bod 73].

105

V této souvislosti je třeba připomenout, že základní práva na respektování soukromého života a na ochranu osobních údajů nejsou absolutními výsadami, ale musí být nahlížena v souvislosti s jejich funkcí ve společnosti a musí být v rovnováze s ostatními základními právy. Základní práva lze omezit, pokud je omezení v souladu s čl. 52 odst. 1 Listiny stanoveno zákonem a respektuje podstatu těchto práv a zásadu proporcionality. Podle posledně uvedené zásady mohou být omezení zavedena pouze tehdy, když jsou nezbytná a skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Musí být činěna v mezích toho, co je nezbytně nutné, a právní úprava, která s sebou přináší dotčený zásah, musí stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, body 172 až 176).

106

Má-li být tudíž určeno, zda je takové zpřístupňování osobních údajů týkajících se trestných bodů veřejnosti, jako je zpřístupňování dotčené ve věci v původním řízení, nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci ve smyslu čl. 6 odst. 1 písm. e) GDPR a zda právní úprava umožňující takové zpřístupňování poskytuje vhodné záruky, pokud jde o práva a svobody subjektů údajů, ve smyslu článku 10 tohoto nařízení, je třeba ověřit zejména to, zda se s ohledem na závažnost zásahu do základních práv na respektování soukromého života a na ochranu osobních údajů způsobeného uvedeným zpřístupněním jeví tento zásah jako odůvodněný a zejména přiměřený ve vztahu k dosažení sledovaných cílů.

107

V projednávaném případě je třeba uvést, že Parlament Lotyšska ve vyjádření před předkládajícím soudem a lotyšská vláda ve vyjádření před Soudním dvorem tvrdí, že zpřístupňování osobních údajů týkajících se trestných bodů komukoliv, kdo o to požádá, provádí CSDD coby úkol ve veřejném zájmu, který spočívá ve zvyšování bezpečnosti silničního provozu a jehož cílem je v tomto kontextu zejména umožnit identifikaci řidičů vozidel, kteří systematicky porušují pravidla silničního provozu, a ovlivnit chování účastníků silničního provozu tím, že jsou motivováni k tomu, aby se chovali podle uvedených pravidel.

108

V tomto ohledu je třeba připomenout, že zvýšení bezpečnosti silničního provozu je cílem obecného zájmu uznávaným Unií (v tomto smyslu viz rozsudek ze dne 23. dubna 2015, Aykul, C‑260/13, EU:C:2015:257, bod 69 a citovaná judikatura). Členské státy tedy mohou bezpečnost silničního provozu kvalifikovat jako „úkol prováděný ve veřejném zájmu“ ve smyslu čl. 6 odst. 1 písm. e) GDPR.

109

Mají-li ovšem být splněny podmínky upravené v posledně uvedeném ustanovení, je nezbytné, aby zpřístupnění osobních údajů týkajících se trestných bodů zaznamenaných do registru vedeného CSDD skutečně odpovídalo cíli obecného zájmu, který spočívá ve zvýšení bezpečnosti silničního provozu, a nepřekračovalo přitom meze toho, co je k dosažení tohoto cíle nezbytné.

110

Jak je zdůrazněno v bodě 39 odůvodnění GDPR, tento požadavek nezbytnosti není naplněn, pokud lze sledovaného cíle obecného zájmu přiměřeně dosáhnout stejně účinným způsobem jinými prostředky, které by méně zasahovaly do základních práv subjektů údajů, zejména pak do práva na respektování soukromého života a na ochranu osobních údajů, která jsou zaručena v článcích 7 a 8 Listiny; výjimky ze zásady ochrany takových údajů a její omezení přitom musí být činěny v mezích toho, co je naprosto nezbytné (v tomto smyslu viz rozsudek ze dne 11. prosince 2019, Asociaţia de Proprietari bloc M5A-ScaraA, C‑708/18, EU:C:2019:1064, body 46 a 47).

111

Jak přitom vyplývá z praxe členských států, každý z nich má v tomto směru k dispozici celou řadu prostředků, mezi něž patří zejména možnost dopravní přestupky odrazujícím způsobem postihovat, a to především tak, že je dotčeným řidičům odebráno oprávnění k řízení vozidla a i porušení takového zákazu pak lze postihnout účinnými tresty; není přitom nutné o přijetí takových opatření informovat veřejnost. Z této praxe rovněž vyplývá, že lze přijmout i řadu různých preventivních opatření spočívajících například v kampaních zaměřených na zvyšování kolektivního povědomí nebo v přijímání individuálních opatření spočívajících v tom, že je řidiči uložena povinnost absolvovat výcvik nebo přezkoušení, aniž je nutné o přijetí takových individuálních opatření informovat veřejnost. Ze spisu, který má Soudní dvůr k dispozici, přitom nevyplývá, že by se lotyšský zákonodárce takovými opatřeními zabýval a upřednostnil je před přijetím právní úpravy dotčené ve věci v původním řízení.

112

Jak nadto bylo uvedeno v bodě 92 tohoto rozsudku, zpřístupnění osobních údajů týkajících se dopravních přestupků, včetně údajů týkajících se trestných bodů uložených za jejich spáchání, může představovat závažný zásah do základních práv na respektování soukromého života a na ochranu osobních údajů, jelikož může vyvolat nesouhlas společnosti a vést ke stigmatizaci subjektu údajů.

113

S ohledem na citlivost předmětných údajů a závažnost uvedeného zásahu do základních práv na respektování soukromého života a na ochranu osobních údajů subjektů údajů a s ohledem na skutečnost, že vzhledem k závěrům uvedeným v bodě 111 tohoto rozsudku nic nenasvědčuje tomu, že by cíle spočívajícího ve zvýšení bezpečnosti silničního provozu nemohlo být přiměřeně dosaženo stejně účinným způsobem jinými prostředky, které by do základních práv zasahovaly méně, nelze považovat za prokázané, že takový systém zpřístupňování osobních údajů, které se týkají trestných bodů uložených za dopravní přestupky, je pro dosažení tohoto cíle nezbytný (obdobně viz rozsudek ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert, C‑92/09 a C‑93/09, EU:C:2010:662, bod 86).

114

Ačkoliv tedy může být důvodné rozlišovat řidiče, kteří porušují pravidla silničního provozu systematicky a se špatnými úmysly, a řidiče, kteří se přestupků dopouštějí příležitostně, nelze mít za to, že pro účely zvýšení bezpečnosti silničního provozu musí být identifikace první kategorie těchto řidičů prováděna širokou veřejností nebo že s ní musí být sdílena; lze dokonce pochybovat o tom, zda může právní úprava dotčená ve věci v původním řízení dosáhnout prvního z cílů uvedených v bodě 107 tohoto rozsudku.

115

Ze spisu, který má Soudní dvůr k dispozici, ostatně vyplývá, že CSDD zpřístupňuje veřejnosti nejen údaje týkající se trestných bodů uložených řidičům, kteří porušují pravidla silničního provozu systematicky a se špatnými úmysly, ale i údaje týkající se trestných bodů uložených řidičům, kteří se přestupků dopouštějí příležitostně. Vše tedy nasvědčuje tomu, že jelikož právní úprava dotčená ve věci v původním řízení počítá s všeobecným přístupem veřejnosti k trestným bodům, v každém případě překračuje meze toho, co je nezbytné k dosažení cíle spočívajícího v boji proti systematickému porušování pravidel silničního provozu se špatnými úmysly.

116

Pokud jde o druhý cíl sledovaný právní úpravou dotčenou ve věci v původním řízení, který je připomenut v bodě 107 tohoto rozsudku, z uvedeného spisu vyplývá, že ačkoliv bylo v Lotyšsku možné pozorovat tendenci snižování počtu dopravních nehod, na základě žádné skutečnosti nelze učinit závěr, že by tato tendence souvisela spíše se zpřístupňováním informací o trestných bodech než se zavedením systému trestných bodů jako takového.

117

Závěr uvedený v bodě 113 tohoto rozsudku není vyvrácen ani skutečností, že CSDD v praxi podmiňuje zpřístupnění dotčených osobních údajů tím, že žadatel musí uvést národní identifikační číslo řidiče, o němž chce být informován.

118

I kdyby totiž – jak uvedla lotyšská vláda – zpřístupnění národních identifikačních čísel veřejnými subjekty, které vedou registry obyvatel, podléhalo přísným požadavkům, a odpovídalo tak článku 87 GDPR, nic by to neměnilo na tom, že právní úprava dotčená ve věci v původním řízení, tak jak je uplatňována CSDD, umožňuje komukoliv, kdo zná národní identifikační číslo určitého řidiče, získat bez dalších podmínek osobní údaje týkající se trestných bodů, které byly tomuto řidiči uloženy. Takový režim zpřístupňování může vést k situaci, kdy se tyto údaje zpřístupní osobám, které se snaží získat informace o trestných bodech uložených určité osobě z důvodů, jež nesouvisejí s cílem obecného zájmu spočívajícím ve zvýšení bezpečnosti silničního provozu.

119

Závěr uvedený v bodě 113 tohoto rozsudku není vyvrácen ani tím, že národní registr vozidel a jejich řidičů je úředním dokumentem ve smyslu článku 86 GDPR.

120

Ačkoliv totiž přístup veřejnosti k úředním dokumentům představuje – jak vyplývá z bodu 154 odůvodnění tohoto nařízení – veřejný zájem, který může odůvodnit zpřístupnění osobních údajů obsažených v takových dokumentech, tento přístup musí být v souladu se základními právy na respektování soukromého života a na ochranu osobních údajů, jak ostatně výslovně vyžaduje zmíněný článek 86. Především s ohledem na citlivost údajů týkajících se trestných bodů uložených za dopravní přestupky a závažnost zásahu do základních práv na respektování soukromého života a na ochranu osobních údajů subjektů údajů, k němuž zpřístupnění těchto údajů vede, je přitom třeba konstatovat, že tato práva mají před zájmem veřejnosti na přístupu k úředním dokumentům, a zejména k národnímu registru vozidel a jejich řidičů, přednost.

121

Kromě toho je třeba uvést, že z téhož důvodu nelze vykládat právo na svobodu informací zakotvené v článku 85 GDPR v tom smyslu, že odůvodňuje zpřístupnění osobních údajů týkajících se trestných bodů uložených za dopravní přestupky každému, kdo o ně požádá.

122

S ohledem na vše výše uvedené je třeba na druhou otázku odpovědět tak, že ustanovení GDPR, zejména jeho čl. 5 odst. 1, čl. 6 odst. 1 písm. e) a článek 10, musí být vykládána v tom smyslu, že brání vnitrostátní právní úpravě, která veřejnému subjektu pověřenému vedením registru, do něhož se zaznamenávají trestné body uložené řidičům vozidel za dopravní přestupky, ukládá povinnost zpřístupnit tyto údaje veřejnosti, přičemž osoba žádající o přístup nemusí prokázat, že má na získání uvedených údajů zvláštní zájem.

123

Podstatou třetí otázky předkládajícího soudu je, zda ustanovení GDPR, zejména jeho čl. 5 odst. 1 písm. b) a článek 10, jakož i čl. 1 odst. 2 písm. cc) směrnice 2003/98 musí být vykládána v tom smyslu, že brání vnitrostátní právní úpravě, která veřejnému subjektu pověřenému vedením registru, do něhož se zaznamenávají trestné body uložené řidičům vozidel za dopravní přestupky, umožňuje zpřístupnit tyto údaje hospodářským subjektům za účelem opakovaného použití.

124

Jak zdůrazňuje předkládající soud, tato otázka vychází ze skutečnosti, že CSDD uzavírá s hospodářskými subjekty smlouvy, na jejichž základě jim poskytuje osobní údaje týkající se trestných bodů zaznamenaných do národního registru vozidel a jejich řidičů, a to především proto, aby každý, kdo chce získat informace o trestných bodech uložených určitému řidiči, mohl tyto údaje získat nejen od CSDD, ale i od těchto hospodářských subjektů.

125

Z odpovědi na druhou otázku vyplývá, že ustanovení GDPR, zejména jeho čl. 5 odst. 1, čl. 6 odst. 1 písm. e) a článek 10, musí být vykládána v tom smyslu, že brání vnitrostátní právní úpravě, která veřejnému subjektu pověřenému vedením registru, do něhož se zaznamenávají trestné body uložené řidičům vozidel za dopravní přestupky, ukládá povinnost zpřístupnit tyto údaje veřejnosti, přičemž osoba žádající o přístup nemusí prokázat, že má na získání uvedených údajů zvláštní zájem.

126

Tatáž ustanovení musí být ze stejných důvodů, jako jsou důvody uvedené v odpovědi na druhou otázku, vykládána v tom smyslu, že brání i vnitrostátní právní úpravě, která veřejnému subjektu umožňuje zpřístupnit takové údaje hospodářským subjektům, aby je tyto subjekty mohly opakovaně použít a zpřístupnit veřejnosti.

127

Pokud jde konečně o čl. 1 odst. 2 písm. cc) směrnice 2003/98, jehož se třetí položená otázka rovněž týká, je třeba konstatovat, že – jak uvedl generální advokát v bodech 128 a 129 svého stanoviska – toto ustanovení není při určování toho, zda pravidla unijního práva v oblasti ochrany osobních údajů brání takové právní úpravě, jako je právní úprava dotčená ve věci v původním řízení, relevantní.

128

Bez ohledu na to, zda údaje týkající se trestných bodů uložených řidičům za dopravní přestupky spadají do působnosti směrnice 2003/98, totiž musí být rozsah ochrany těchto údajů v každém případě vymezen na základě GDPR, jak plyne z bodu 154 odůvodnění tohoto nařízení a z bodu 21 odůvodnění a čl. 1 odst. 4 této směrnice, ve spojení s čl. 94 odst. 2 GDPR, jelikož čl. 1 odst. 4 uvedené směrnice v podstatě stanoví, že tato směrnice ponechává nedotčenu a nijak neovlivňuje úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů podle předpisů Unie a zejména nemění závazky a práva podle GDPR.

129

S ohledem na výše uvedené je třeba na třetí otázku odpovědět tak, že ustanovení GDPR, zejména jeho čl. 5 odst. 1, čl. 6 odst. 1 písm. e) a článek 10, musí být vykládána v tom smyslu, že brání vnitrostátní právní úpravě, která veřejnému subjektu pověřenému vedením registru, do něhož se zaznamenávají trestné body uložené řidičům vozidel za dopravní přestupky, umožňuje zpřístupnit tyto údaje hospodářským subjektům za účelem opakovaného použití.

130

Podstatou čtvrté otázky předkládajícího soudu je, zda musí být zásada přednosti unijního práva vykládána v tom smyslu, že brání tomu, aby ústavní soud členského státu, u kterého je podána stížnost proti vnitrostátní právní úpravě, která se s ohledem na rozhodnutí Soudního dvora vydané v řízení o předběžné otázce ukáže jako neslučitelná s unijním právem, rozhodl na základě zásady právní jistoty, že právní účinky této právní úpravy zůstanou zachovány až do dne vyhlášení rozsudku, kterým zmíněný ústavní soud o této ústavní stížnosti s konečnou platností rozhodne.

131

Jak vyplývá z předkládacího rozhodnutí, tato otázka je položena kvůli velkému množství právních vztahů, na které má vnitrostátní právní úprava dotčená ve věci v původním řízení dopad, a kvůli tomu, že podle čl. 32 odst. 3 zákona o Ústavním soudu a související judikatury může předkládající soud při plnění své úlohy spočívající v zajištění rovnováhy mezi zásadou právní jistoty a základními právy dotčených osob omezit zpětný účinek svých rozsudků ve snaze zabránit tomu, aby tyto rozsudky vážně zasáhly do práv jiných osob.

132

V tomto ohledu je třeba připomenout, že výklad ustanovení unijního práva, který podává Soudní dvůr při výkonu pravomoci, jež mu přiznává článek 267 SFEU, objasňuje a upřesňuje význam a dosah těchto ustanovení tak, jak musí být nebo měla být chápána a používána od okamžiku jejich vstupu v platnost. Soudní dvůr mohou jen zcela výjimečně přimět okolnosti k tomu, aby na základě obecné zásady právní jistoty, která je vlastní unijnímu právnímu řádu, omezil možnost všech zúčastněných osob dovolávat se ustanovení, jehož výklad podal, za účelem zpochybnění právních vztahů založených v dobré víře. Aby bylo možné o takovém omezení rozhodnout, je nezbytné, aby byla splněna dvě podstatná kritéria, a to dobrá víra zúčastněných kruhů a riziko závažných obtíží (rozsudky ze dne 6. března 2007, Meilicke, C‑292/04, EU:C:2007:132, body 34 a 35; ze dne 22. ledna 2015, Balazs, C‑401/13 a C‑432/13, EU:C:2015:26, body 49 a 50, a ze dne 29. září 2015, Gmina Wrocław, C‑276/14, EU:C:2015:635, body 44 a 45).

133

Takovéto omezení lze podle ustálené judikatury Soudního dvora připustit pouze v samotném rozsudku, kterým se rozhoduje o požadovaném výkladu. Je totiž nutné, aby časové účinky požadovaného výkladu ustanovení unijního práva, který podává Soudní dvůr, byly určeny v jediném okamžiku. Zásada, že omezení lze připustit pouze v samotném rozsudku, kterým se rozhoduje o požadovaném výkladu, zaručuje rovné zacházení s členskými státy a ostatními právními subjekty ve vztahu k tomuto právu, a splňuje tak požadavky, jež vyplývají ze zásady právní jistoty (rozsudek ze dne 6. března 2007, Meilicke, C‑292/04, EU:C:2007:132, body 36 a 37; v tomto smyslu viz rozsudky ze dne 23. října 2012, Nelson a další, C‑581/10 a C‑629/10, EU:C:2012:657, bod 91, jakož i ze dne 7. listopadu 2018, O’Brien, C‑432/17, EU:C:2018:879, bod 34).

134

Časové účinky rozhodnutí Soudního dvora v řízení o předběžné otázce proto nemohou záviset na datu vyhlášení rozsudku, kterým předkládající soud s konečnou platností rozhodne ve věci v původním řízení, ani na tom, jak předkládající soud posoudí nutnost zachovat právní účinky dotčené vnitrostátní právní úpravy.

135

Podle zásady přednosti unijního práva totiž nelze připustit, aby ustanovení vnitrostátního práva, i kdyby byla ústavní povahy, narušovala jednotnost a účinnost tohoto práva (v tomto smyslu viz rozsudky ze dne 26. února 2013, Melloni, C‑399/11, EU:C:2013:107, bod 59, jakož i ze dne 29. července 2019, Pelham a další, C‑476/17, EU:C:2019:624, bod 78). I kdyby naléhavé důvody právní jistoty mohly výjimečně vést k dočasnému pozastavení vylučovacího účinku, který má přímo použitelné ustanovení unijního práva vůči vnitrostátnímu právu, které je s tímto ustanovením v rozporu, podmínky takového pozastavení může stanovit pouze Soudní dvůr (v tomto smyslu viz rozsudek ze dne 8. září 2010, Winner Wetten, C‑409/06, EU:C:2010:503, body 61 a 67).

136

Vzhledem k tomu, že v projednávaném případě nebyla prokázána existence rizika závažných obtíží plynoucího z výkladu, který Soudní dvůr provedl v tomto rozsudku, časové účinky tohoto rozsudku není namístě omezit, jelikož kritéria uvedená v bodě 132 tohoto rozsudku jsou kumulativní.

137

S ohledem na výše uvedené je třeba na čtvrtou otázku odpovědět tak, že zásada přednosti unijního práva musí být vykládána v tom smyslu, že brání tomu, aby ústavní soud členského státu, u kterého je podána stížnost proti vnitrostátní právní úpravě, která se s ohledem na rozhodnutí Soudního dvora vydané v řízení o předběžné otázce ukáže jako neslučitelná s unijním právem, rozhodl na základě zásady právní jistoty, že právní účinky této právní úpravy zůstanou zachovány až do dne vyhlášení rozsudku, kterým zmíněný ústavní soud o této ústavní stížnosti s konečnou platností rozhodne.

138

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto: