–

za Inspektorat kam Visšija sadeben savet: T. Točkova, jako zmocněnkyně,

–

za bulharskou vládu: T. Mitova, S. Ruseva a R. Stojanov, jako zmocněnci,

–

za polskou vládu: B. Majczyna, jako zmocněnec,

–

za Evropskou komisi: A. Bouchagiar, C. Georgieva, H. Kranenborg a P. Van Nuffel, jako zmocněnci,

1

Žádosti o rozhodnutí o předběžné otázce se týkají výkladu čl. 19 odst. 1 druhého pododstavce SEU, jakož i čl. 2 odst. 2 písm. a), čl. 4 bodu 7, čl. 32 odst. 1 písm. b), čl. 33 odst. 3 písm. d), článku 51, čl. 57 odst. 1 písm. b) a čl. 79 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“) ve spojení s článkem 47 Listiny základních práv Evropské unie (dále jen „Listina“).

2

Tyto žádosti byly předloženy v rámci řízení zahájených Inspektorátem při Nejvyšší soudní radě (Inspektorat kam Visšija sadeben savet, Bulharsko) (dále jen „Inspektorát“) za účelem nařízení zpřístupnění údajů o bankovních účtech několika soudců a státních zástupců, jakož i jejich rodinných příslušníků Inspektorátu.

3

Body 16 a 20 odůvodnění GDPR uvádějí:

[…]

4

Článek 2 tohoto nařízení, nadepsaný „Věcná působnost“, v odstavcích 1 a 2 stanoví:

„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

[…]“

5

Článek 4 uvedeného nařízení, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

6

Článek 12 GDPR, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, v odstavci 1 stanoví:

„Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování […]. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. […]“

7

Článek 14 tohoto nařízení, nadepsaný „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, v odstavcích 1 a 2 stanoví:

„1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

2.   Kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů:

8

Článek 21 GDPR, nadepsaný „Právo vznést námitku“, v odstavci 1 stanoví:

„Subjekt údajů má z důvodů týkajících se jeho konkrétní situace právo kdykoli vznést námitku proti zpracování osobních údajů, které se jej týkají, na základě čl. 6 odst. 1 písm. e) nebo f), včetně profilování založeného na těchto ustanoveních. Správce osobní údaje dále nezpracovává, pokud neprokáže závažné oprávněné důvody pro zpracování, které převažují nad zájmy nebo právy a svobodami subjektu údajů, nebo pro určení, výkon nebo obhajobu právních nároků.“

9

Článek 32 tohoto nařízení, nadepsaný „Zabezpečení zpracování“, v odstavci 1 stanoví:

„S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, případně včetně:

[…]

[…]“

10

Článek 33 uvedeného nařízení, nadepsaný „Ohlašování případů porušení zabezpečení osobních údajů dozorovému úřadu“, v odstavcích 1 a 3 stanoví:

„1.   Jakékoli porušení zabezpečení osobních údajů správce bez zbytečného odkladu a pokud možno do 72 hodin od okamžiku, kdy se o něm dozvěděl, ohlásí dozorovému úřadu příslušnému podle článku 55, ledaže je nepravděpodobné, že by toto porušení mělo za následek riziko pro práva a svobody fyzických osob. Pokud není ohlášení dozorovému úřadu učiněno do 72 hodin, musí být současně s ním uvedeny důvody tohoto zpoždění.

[…]

3.   Ohlášení podle odstavce 1 musí přinejmenším obsahovat:

[…]

11

Kapitola VI GDPR, nadepsaná „Nezávislé dozorové úřady“, obsahuje články 51 až 59 tohoto nařízení.

12

Článek 51 tohoto nařízení, nadepsaný „Dozorový úřad“, zní takto:

„1.   Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie (dále jen „dozorový úřad“).

[…]

3.   Pokud je v některém členském státě zřízen více než jeden dozorový úřad, určí tento členský stát dozorový úřad, jenž má tyto úřady zastupovat ve sboru, a stanoví mechanismus, který zajistí, že budou ostatní dozorové úřady dodržovat pravidla týkající se mechanismu jednotnosti uvedeného v článku 63.

4.   Každý členský stát oznámí Komisi do 25. května 2018 právní ustanovení, která přijme podle této kapitoly, a bez zbytečného odkladu jakékoliv následné změny týkající se těchto ustanovení.“

13

Článek 55 uvedeného nařízení, nadepsaný „Příslušnost“, stanoví:

„1.   Každý dozorový úřad je na území svého členského státu příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením.

2.   Pokud zpracování provádějí orgány veřejné moci nebo soukromé subjekty jednající na základě čl. 6 odst. 1 písm. c) nebo e), je příslušným dozorový úřad dotčeného členského státu. V takových případech se nepoužije článek 56.

3.   Dozorové úřady nejsou příslušné k dozoru nad operacemi zpracování, které provádějí soudy jednající v rámci svých soudních pravomocí.“

14

Článek 57 GDPR, nadepsaný „Úkoly“, v odstavci 1 stanoví:

„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:

[…]

[…]“

15

Článek 58 tohoto nařízení, nadepsaný „Pravomoci“, v odstavci 1 uvádí vyšetřovací pravomoci, které má každý dozorový úřad, a v odstavci 2 nápravná opatření, která tento orgán může přijmout.

16

Kapitola VIII GDPR, nadepsaná „Právní ochrana, odpovědnost a sankce“, obsahuje články 77 až 84 tohoto nařízení.

17

Článek 77 tohoto nařízení, nadepsaný „Právo podat stížnost u dozorového úřadu“, v odstavci 1 stanoví:

„Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.“

18

Článek 78 uvedeného nařízení, nadepsaný „Právo na účinnou soudní ochranu vůči dozorovému úřadu“, v odstavci 1 stanoví:

„Aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.“

19

Článek 79 téhož nařízení, nadepsaný „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“, v odstavci 1 stanoví:

„Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením.“

20

Článek 117 odst. 2 Ústavy Bulharské republiky (Konstitucija na Republika Bulgaria), ve znění použitelném na skutkový stav v původním řízení (dále jen „bulharská ústava“), stanoví:

„Soudní moc je nezávislá. Při výkonu funkce se soudci, přísedící, státní zástupci a vyšetřovatelé řídí pouze zákonem.“

21

Článek 132a bulharské ústavy, ve znění platném ke dni podání projednávaných žádostí o rozhodnutí o předběžné otázce, stanoví:

„(1)   Při Nejvyšší soudní radě se zřizuje Inspektorát, který se skládá z vrchního inspektora a deseti inspektorů.

(2)   Vrchní inspektor je volen Národním shromážděním dvoutřetinovou většinou poslanců na funkční období pěti let.

(3)   Inspektoři jsou voleni Národním shromážděním na čtyřleté funkční období v souladu s podmínkami uvedenými v odstavci 2.

(4)   Vrchní inspektor a inspektoři mohou být znovu zvoleni, nikoli však na dvě po sobě jdoucí funkční období.

[…]

(6)   Inspektorát dohlíží nad činností soudní moci, aniž je dotčena nezávislost soudců, přísedících, státních zástupců a vyšetřovatelů při výkonu jejich funkcí. [Inspektorát] provádí kontroly bezúhonnosti a střetu zájmů soudců, státních zástupců a vyšetřovatelů, jejich majetkových přiznání, jakož i odhalování činů narušujících prestiž soudnictví a činů souvisejících s porušením nezávislosti soudců, státních zástupců a vyšetřovatelů. Při výkonu funkce jsou vrchní inspektor a inspektoři nezávislí a podléhají pouze zákonu.

(7)   Inspektorát jedná z moci úřední, na základě podnětů občanů, právnických osob a státních orgánů, včetně soudců, státních zástupců a vyšetřovatelů.

[…]

(10)   Podmínky a způsoby volby a odvolání vrchního inspektora a inspektorů, jakož i organizaci a činnost Inspektorátu stanoví zákon.“

22

Článek 46 zákona o soudní moci (Zakon za sadebnata vlast) (DV č. 64 ze dne 7. srpna 2007), ve znění použitelném na skutkový stav v původním řízení (dále jen „ZSV“), stanoví:

„Národní shromáždění volí vrchního inspektora a každého inspektora jednotlivě dvoutřetinovou většinou poslanců.“

23

Článek 54 odst. 1 a 2 tohoto zákona stanoví:

„(1)   Inspektorát:

[…]

[…]

[…]

(2)   Při provádění kontrol uvedených v odst. 1 bodě 15 plní Inspektorát úkoly a vykonává pravomoci stanovené zákonem o ochraně osobních údajů.“

24

Článek 175a odst. 1 uvedeného zákona stanoví:

„Soudci, státní zástupci a vyšetřovatelé předkládají [Inspektorátu] následující prohlášení:

25

Článek 175b odst. 4 ZSV zní následovně:

„Soudci, státní zástupci a vyšetřovatelé přiznávají majetek a příjmy manžela či manželky nebo druha či družky, jakož i svých nezletilých dětí.“

26

Článek 175d tohoto zákona stanoví:

„(1)   [Inspektorát] vede a uchovává elektronické veřejné rejstříky:

(2)   [Inspektorát] zapíše do veřejného rejstříku uvedeného v odst. 1 bodě 1 majetková přiznání a prohlášení o zájmech, jakož i prohlášení o změně přiznaných okolností. Tento zápis provádějí výhradně zaměstnanci pověření vrchním inspektorem.

[…]

(4)   Každý má právo na přístup k údajům obsaženým ve veřejném rejstříku.

(5)   Přístup je zajištěn prostřednictvím internetových stránek [Inspektorátu] v souladu s požadavky na ochranu osobních údajů.“

27

Článek 175e odst. 1 a 6 uvedeného zákona stanoví:

„(1)   [Inspektorát] ve lhůtě šesti měsíců po uplynutí lhůty pro podání prohlášení provede ověření pravdivosti poskytnutých informací. […]

[…]

(6)   [Inspektorát] může získávat informace z informačních systémů uvedených v článcích 56 a 56a zákona o úvěrových institucích. Vrchní inspektor a inspektoři mohou okresní soud [(Rajonen sad)], v jehož obvodě má daná osoba adresu místa trvalého pobytu, požádat o zpřístupnění bankovního tajemství, pokud nebyl udělen souhlas podle čl. 62 odst. 5 bodu 1 zákona o úvěrových institucích. Souhlas se uděluje u [Inspektorátu] písemně, bez notářského ověření podpisu, na formuláři schváleném vrchním inspektorem.“

28

Článek 307 odst. 2 ZSV stanoví:

„Kárným proviněním je zaviněné porušení služebních povinností, jakož i narušení důstojnosti soudní moci.“

29

Článek 311 tohoto zákona zní:

„Kárné opatření ukládá:

[…]

30

Článek 312 odst. 1 uvedeného zákona stanoví:

„Návrh na zahájení kárného řízení za účelem uložení kárného opatření soudci, státnímu zástupci a vyšetřovateli, řediteli správy soudu a zástupci ředitele správy soudu může podat:

[…]

3. [Inspektorát]:

[…]“

31

Článek 323 odst. 1 téhož zákona stanoví:

„Proti rozhodnutí pléna nebo příslušného kolegia Nejvyšší soudní rady může osoba, které bylo kárné opatření uloženo, nebo navrhovatel, pokud kárné opatření nebylo uloženo či bylo uloženo méně přísné kárné opatření, než bylo navrhováno, podat k Nejvyššímu správnímu soudu [(Varchoven administrativen sad, Bulharsko)] odvolání do 14 dnů ode dne doručení tohoto rozhodnutí.“

32

Článek 62 zákona o úvěrových institucích (Zakon za kreditnite institucii) (DV č. 59 ze dne 21. července 2006), ve znění použitelném na skutkový stav v původním řízení (dále jen „ZKI“), stanoví:

„(1)   Zaměstnancům bank, členům řídících a dozorčích orgánů bank, zástupcům [Bulharské národní banky (BNB)], zaměstnancům a členům správní rady Fondu pojištění vkladů, likvidátorům, dočasným správcům a nuceným správcům, jakož i všem ostatním osobám pracujícím pro banku se zakazuje sdělovat nebo využívat ve svůj osobní prospěch nebo ve prospěch svých rodinných příslušníků informace tvořící bankovní tajemství.

(2)   Bankovní tajemství je tvořeno skutečnostmi a okolnostmi ovlivňujícími zůstatky a transakce na účtech a vkladech klientů banky.

[…]

(5)   S výjimkou BNB a pro účely a za podmínek stanovených v článku 56 může banka poskytnout informace uvedené v odstavci 2 týkající se jednotlivých klientů pouze:

(6)   Soud může rovněž nařídit poskytnutí informací uvedených v odstavci 2 na žádost:

[…]

12. vrchního inspektora nebo inspektora [Inspektorátu].

(7)   Okresní soud [(Rajonen sad)] o žádosti uvedené v odstavci 6 rozhodne odůvodněným rozhodnutím vydaným v neveřejném zasedání nejpozději do 24 hodin od obdržení žádosti, přitom určí období, ke kterému se informace uvedené v odstavci 1 vztahují. Proti rozhodnutí soudu nelze podat opravný prostředek.

[…]“

33

Článek 6 odst. 1 zákona o ochraně osobních údajů (Zakon za zaštita na ličnite danni) (DV č. 1 ze dne 4. ledna 2002), ve znění použitelném na skutkový stav v původním řízení (dále jen „ZZLD“), zní takto:

„Komise pro ochranu osobních údajů [(Komisija za zaštita na ličnite danni, Bulharsko) (dále jen ‚KZLD‘)] je stálým a nezávislým dozorovým úřadem, který zajišťuje ochranu osob při zpracování jejich osobních údajů a při přístupu k těmto údajům, jakož i kontrolu nad dodržováním [GDPR] a tohoto zákona.“

34

Článek 17 odst. 1 a 2 tohoto zákona stanoví:

„(1)   [Inspektorát] vykonává dohled a kontrolu nad dodržováním [GDPR], tohoto zákona a aktů v oblasti ochrany osobních údajů, pokud osobní údaje zpracovává:

(2)   Pravidla výkonu činnosti uvedené v odstavci 1, včetně provádění kontrol a přezkumu řízení před Inspektorátem, stanoví předpisy uvedené v čl. 55 odst. 8 [ZSV].“

35

Článek 17a odst. 1 ZZLD stanoví:

„Při dozoru nad zpracováním osobních údajů soudem při výkonu jeho funkcí soudního orgánu, kromě případů zpracování osobních údajů pro účely čl. 42 odst. 1, Inspektorát:

36

Článek 39 ZZLD stanoví:

„(1)   V případě porušení svých práv podle [GDPR] a tohoto zákona může subjekt údajů napadnout úkony a jednání správce a zpracovatele u soudu postupem podle soudního řádu správního.

[…]

(4)   Subjekt údajů se nemůže obrátit na soud, pokud před [KZLD] probíhá řízení pro stejné porušení nebo byl proti rozhodnutí [KZLD] ohledně stejného porušení podán opravný prostředek, a neexistuje žádné pravomocné soudní rozhodnutí. [KZLD] na žádost subjektu údajů nebo soudu potvrdí, že v tomtéž sporu před ní neprobíhá řízení.

(5)   Odstavec 4 se použije rovněž v případě řízení před Inspektorátem.“

37

Dne 15. května 2023, po uplynutí lhůty pro podání ročních majetkových přiznání soudců a státních zástupců, jakož i jejich rodinných příslušníků za rok 2022 uvedené v článcích 175a a 175b ZSV, podal Inspektorát k Okresnímu soudu v Sofii (Sofijski rajonen sad, Bulharsko), který je předkládajícím soudem, žádost o zrušení bankovního tajemství týkajícího se bankovních účtů několika soudců nebo státních zástupců a jejich rodinných příslušníků na základě čl. 62 odst. 6 bodu 12 ZKI.

38

Předkládající soud v první řadě uvádí, že musí ověřit, zda má Inspektorát pravomoc takovou žádost předložit. V této souvislosti uvádí, že tento orgán, který byl zřízen novelou bulharské ústavy přijatou v roce 2007, je pověřen vyšetřováním nepatřičného ovlivňování soudců a státních zástupců, ověřováním majetkových přiznání těchto osob, jakož i odhalováním případných střetů zájmů a zásahů do nezávislosti soudnictví.

39

Předkládající soud uvádí, že se Inspektorát skládá z vrchního inspektora a deseti inspektorů volených Národním shromážděním v prvním případě na funkční období pěti let a ve druhém případě čtyř let. Funkční období všech členů Inspektorátu přitom skončilo v průběhu roku 2020, aniž Národní shromáždění přistoupilo k volbě nových členů.

40

Ústavní soud (Konstitucionen sad, Bulharsko) rozsudkem ze dne 27. září 2022 sice rozhodl, že bulharská ústava musí být vykládána v tom smyslu, že vrchní inspektor a inspektoři, jejichž funkční období uplynulo, nadále vykonávají své funkce, dokud Národní shromáždění nezvolí nové členy Inspektorátu, jelikož měl za to, že zachování úkolu svěřeného Inspektorátu je důležitější než riziko zneužití ze strany jeho členů, jejichž funkční období uplynulo. Avšak předkládající soud uvádí, že se tento rozsudek nezabýval otázkou, zda by členové Inspektorátu, kteří pokračují ve výkonu svých funkcí i po uplynutí svého funkčního období, mohli nepatřičně ovlivňovat soudní moc nebo by sami mohli být vystaveni nátlaku ze strany poslanců.

41

Uvedený soud si tedy klade otázku, zda unijní právo stanoví přísnější podmínky než bulharská ústava, jak ji vykládá Ústavní soud (Konstitucionen sad). Konkrétně s ohledem na judikaturu Soudního dvora uvedenou v rozsudku ze dne 11. května 2023, Inspecția Judiciară (C‑817/21, EU:C:2023:391, body 50 a 51), si klade otázku, zda prodloužení mandátů členů Inspektorátu může ohrozit záruky nezávislosti tohoto orgánu jakožto orgánu oprávněného zahájit kárné řízení proti soudcům a státním zástupcům, a pokud ano, jaká jsou kritéria umožňující posoudit, zda a po jakou dobu je takové prodloužení přípustné.

42

Ve druhé řadě se předkládající soud táže na úlohu a povinnosti vnitrostátních soudů v případě, že mají povolit Inspektorátu přístup k osobním údajům soudců a státních zástupců.

43

V tomto ohledu předkládající soud poznamenává, že v průběhu roku 2019 vzbudil pozornost bulharských médií závažný problém týkající se zabezpečení údajů v držení Inspektorátu. KZLD totiž konstatovala, že osobní údaje přibližně dvaceti soudců a státních zástupců v držení Inspektorátu byly protiprávně zveřejněny v plném rozsahu na internetových stránkách Inspektorátu, což vedlo KZLD k uložení pokuty Inspektorátu. Předkládající soud přitom uvádí, že nemá k dispozici žádné informace, které by mu umožnily zjistit, zda od tohoto incidentu byla přijata opatření k zajištění zabezpečení údajů.

44

Klade si otázku, zda jeho činnost spočívající v umožnění přístupu Inspektorátu k osobním údajům, na které se vztahuje bankovní tajemství, spadá do oblasti působnosti GDPR, a pokud ano, jaké by to mělo dopady na kontrolu, kterou musí provádět. V tomto ohledu zdůrazňuje, že GDPR ukládá povinnosti osobám, které zpracovávají osobní údaje, správcům a dozorovým úřadům.

45

Naproti tomu povinnosti soudu, který uděluje povolení orgánu k přístupu k takovým údajům, nejsou GDPR přímo upraveny. Je tedy třeba určit, zda takový soud musí být považován za „správce“ ve smyslu čl. 4 bodu 7 GDPR, nebo za „dozorový úřad“ ve smyslu článku 51 tohoto nařízení v rozsahu, v němž uděluje Inspektorátu povolení, bez něhož k přístupu k dotyčným údajům nemůže dojít. Inspektorát shromažďuje a ověřuje pro účely uvedené v článcích 175a a 175d ZSV údaje o majetku soudců a státních zástupců, zatímco soudy tuto činnost kontrolují tím, že udělují nebo odepírají přístup k dotčeným údajům.

46

V této souvislosti předkládající soud poznamenává, že jeho kontrola by měla být podle výkladu vnitrostátního práva v Bulharsku, čistě formální a měla by se omezit na ověření, zda osoby, vůči nimž je zrušení bankovního tajemství požadováno, mají postavení osob podléhajících povinnosti podat přiznání ve smyslu ZSV, tj. zda jsou soudci či státními zástupci nebo osobami, které jsou se soudci či státními zástupci v příbuzenském nebo jiném vztahu stanoveném tímto zákonem. Jsou-li tyto podmínky splněny, měly by soudy v zásadě vždy umožnit zrušení bankovního tajemství. Naopak tak by tomu nebylo, pokud by soudy vykonávající předběžnou kontrolu mohly být považovány za správce osobních údajů, ke kterým udělují přístup, takže by musely zajistit zabezpečení údajů podle článků 32 až 34 GDPR.

47

Ačkoli tyto soudy nemají přímý přístup k osobním údajům, na které se vztahuje bankovní tajemství, určují do jisté míry účely zpracování tím, že povolují nebo zakazují přístup k těmto údajům. Kromě toho vnitrostátní ustanovení použitelná ve věci v původním řízení neupřesňují, pokud jsou účely zpracování osobních údajů stanoveny zákonem, na který orgán se vztahují práva a povinnosti správce osobních údajů.

48

Kromě toho si předkládající soud klade otázku, zda může před povolením přístupu k údajům ověřit, zda Inspektorát přijal opatření k zajištění zpracování údajů v souladu se zákonem, aby nejednal jako pouhá registrační kancelář.

49

Nakonec, i kdyby soud pověřený povolováním přístupu Inspektorátu k osobním údajům, na které se vztahuje bankovní tajemství, neměl postavení správce nebo dozorového úřadu, vyvstává otázka, zda musí takové kontroly provádět za účelem zajištění účinné soudní ochrany stanovené v článku 79 GDPR. Toto ustanovení sice upravuje případy, kdy se subjekt údajů obrátí na soud, aby chránil svá práva. Avšak pokud je řízení o zpřístupnění údajů vedeno bez účasti subjektu údajů a vnitrostátní právo stanoví předchozí soudní přezkum, měla by být obdobná povinnost uložena z úřední povinnosti. To vyplývá rovněž z práva na účinnou právní ochranu zakotveného v článku 47 Listiny. V případě neexistence takové povinnosti by se soud vždy omezil na formální přezkum a potvrzení správního postupu, což by se mohlo jevit jako odporující cílům článku 79 GDPR.

50

Za těchto podmínek se Okresní soud v Sofii (Sofijski rajonen sad) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky, které jsou ve věcech C‑313/23, C‑316/23 a C‑332/23 formulovány totožně:

51

Rozhodnutím předsedy Soudního dvora ze dne 30. června 2023 byly věci C‑313/23, C‑316/23 a C‑332/23 pro účely písemné i ústní části řízení, jakož i pro účely rozsudku spojeny.

52

Podáním došlým kanceláři Soudního dvora dne 30. října 2024 požádal Inspektorát, aby bylo nařízeno znovuotevření písemné části řízení podle článku 83 jednacího řádu Soudního dvora. Vzhledem k tomu, že uvedený článek 83 upravuje znovuotevření ústní části řízení a v projednávané věci byla tato část řízení ukončena po přednesení stanoviska generálního advokáta, musí být tento návrh chápán tak, že směřuje ke znovuotevření ústní části řízení.

53

Na podporu svého návrhu uvádí Inspektorát v souvislosti s první předběžnou otázkou dva důvody. V první řadě došlo k nové skutečnosti, a sice ke změně čl. 132a odst. 4 bulharské ústavy v prosinci 2023 v tom smyslu, že členové Inspektorátu mohou být nyní zvoleni na dvě po sobě jdoucí funkční období. Ve druhé řadě generální advokát ve svém stanovisku nesprávně posoudil situaci dotčenou v původním řízení, když odkázal na vnitrostátní právní úpravu a stanovisko Evropské komise pro demokracii prostřednictvím práva, zvané „Benátská komise“, které nejsou pro projednávané věci relevantní.

54

V tomto ohledu je třeba připomenout, že statut Soudního dvora Evropské unie ani jednací řád neumožňují zúčastněným uvedeným v článku 23 tohoto statutu předložit vyjádření v reakci na stanovisko přednesené generálním advokátem. Dále je třeba připomenout, že podle čl. 252 druhého pododstavce SFEU předkládá generální advokát veřejně, zcela nestranně a nezávisle odůvodněná stanoviska ve věcech, které podle tohoto statutu vyžadují jeho účast. Soudní dvůr není vázán ani tímto stanoviskem, ani důvody, na jejichž základě k němu generální advokát dospěl. Nesouhlas zúčastněné strany se stanoviskem generálního advokáta tedy nemůže sám o sobě představovat důvod ke znovuotevření ústní části řízení, a to bez ohledu na otázky, kterými se generální advokát ve stanovisku zabýval (rozsudek ze dne 19. prosince 2024, Ford Italia, C‑157/23, EU:C:2024:1045, bod 26 a citovaná judikatura).

55

V souladu s článkem 83 jednacího řádu Soudní dvůr sice může kdykoli po vyslechnutí generálního advokáta nařídit zahájení nebo znovuotevření ústní části řízení, zejména má-li za to, že věc není dostatečně objasněna, nebo předložil-li některý z účastníků řízení po ukončení této části řízení novou skutečnost, která může mít rozhodující vliv na rozhodnutí Soudního dvora, anebo má-li být věc rozhodnuta na základě argumentu, který nebyl mezi zúčastněnými projednán.

56

Avšak v projednávané věci má Soudní dvůr k dispozici všechny poznatky nezbytné pro rozhodování o žádostech o rozhodnutí o předběžné otázce a projednávané věci nemusí být rozhodnuty na základě argumentů, které nebyly mezi zúčastněnými projednány. Návrh na znovuotevření ústní části řízení kromě toho nepoukazuje na žádnou novou skutečnost, jež by mohla mít rozhodující vliv na rozhodnutí, které má Soudní dvůr v těchto věcech vydat.

57

Za těchto podmínek má Soudní dvůr po vyslechnutí generálního advokáta za to, že není důvodné nařídit znovuotevření ústní části řízení.

58

Bulharská vláda vyjadřuje pochybnosti o přípustnosti žádostí o rozhodnutí o předběžné otázce z důvodu, že předkládající orgán nemá v rámci původních řízení povahu „soudu“ ve smyslu článku 267 SFEU. Řízení před tímto orgánem jsou totiž jednostranná, jelikož jsou vedena bez účasti dotčených osob. Kromě toho předmětem těchto řízení není vyřešení právního sporu, neboť jejich jediným účelem je ověřit, zda jsou splněny podmínky vyžadované pro zrušení bankovního tajemství.

59

Podle ustálené judikatury Soudního dvora platí, že při posuzování toho, zda je dotčený předkládající orgán svou povahou „soudem“ ve smyslu článku 267 SFEU, což je otázka, která je upravena výlučně unijním právem, přihlíží Soudní dvůr k souboru faktorů, jako je mimo jiné to, zda je daný orgán zřízen zákonem, zda se jedná o stálý orgán, zda má obligatorní jurisdikci, zda aplikuje právní předpisy a zda je nezávislý (v tomto smyslu viz rozsudky ze dne 29. března 2022, Getin Noble Bank, C‑132/20, EU:C:2022:235, bod 66, jakož i ze dne 7. května 2024, NADA a další, C‑115/22, EU:C:2024:384, bod 35 a citovaná judikatura).

60

Z ustálené judikatury rovněž vyplývá, že i když článek 267 SFEU nepodmiňuje možnost obrátit se na Soudní dvůr kontradiktorností řízení, v jehož rámci vnitrostátní soud pokládá předběžnou otázku, vnitrostátní soudy jsou oprávněny obrátit se na Soudní dvůr pouze tehdy, pokud před nimi probíhá spor a rozhodují v rámci řízení, které má být ukončeno rozhodnutím soudní povahy. Oprávnění orgánu obrátit se na Soudní dvůr je tudíž třeba posuzovat na základě strukturálních a funkčních kritérií. Orgán může být považován za „soud“ ve smyslu článku 267 SFEU, jestliže vykonává soudní funkce, zatímco při výkonu jiných funkcí, zejména správní povahy, mu tuto povahu přiznat nelze (v tomto smyslu viz rozsudek ze dne 3. května 2022, CityRail, C‑453/20, EU:C:2022:341, body 42 a 43, jakož i citovaná judikatura).

61

Je nesporné, že Okresní soud v Sofii (Sofijski rajonen sad) splňuje jako takový požadavky připomenuté v bodě 59 tohoto rozsudku, pokud jde o jeho zřízení zákonem, jeho stálost, aplikování právních předpisů a jeho nezávislost, ani nic ze spisu, který má Soudní dvůr k dispozici, v tomto ohledu nevyvolává pochybnosti. V projednávané věci bulharská vláda vznesla otázku, zda musí tento soud rozhodnout v rámci řízení, které má být ukončeno rozhodnutím soudní povahy. V tomto ohledu je třeba uvést, že tomuto soudu byla předložena žádost Inspektorátu o zrušení bankovního tajemství podle čl. 62 odst. 6 bodu 12 ZKI. I když bulharská vláda tvrdí, že přezkum, který musí provést předkládající soud, je čistě formální povahy, nic to nemění na tom, že předkládající soud má ověřit, zda jsou splněny zákonné podmínky, kterým podléhá zrušení bankovního tajemství, rozhodnout odůvodněným rozhodnutím a stanovit dobu, na kterou je bankovní tajemství zrušeno.

62

Konkrétně povolení, které může předkládající soud udělit, má, jak vyplývá z čl. 62 odst. 5 ZKI, nahradit souhlas subjektů údajů. Toto povolení lze uplatnit vůči bankám, u nichž mají tyto osoby bankovní účty, a umožňuje Inspektorátu přístup k osobním údajům týkajícím se těchto účtů. Kromě toho takový přístup představuje zásah do základních práv uvedených osob, která jsou zakotvena v článcích 7 a 8 Listiny [v tomto smyslu viz rozsudek ze dne 6. října 2020, État luxembourgeois (Právní ochrana proti žádosti o informace v daňové oblasti), C‑245/19 a C‑246/19, EU:C:2020:795, bod 74].

63

Za těchto podmínek funkce, které vykonává předkládající soud na základě čl. 62 odst. 6 bodu 12 ZKI, nespočívají v přijímání aktů správní povahy, proti kterým lze uplatnit soudní ochranu, ale musí být kvalifikovány jako soudní akty, jelikož tento soud má rozhodnout nezávisle, aby byla zajištěna legalita zrušení bankovního tajemství (obdobně viz usnesení ze dne 15. ledna 2004, Saetti a Frediani, C‑235/02, EU:C:2004:26, bod 23).

64

Žádosti o rozhodnutí o předběžné otázce jsou proto přípustné.

65

Úvodem je třeba připomenout, že podle ustálené judikatury platí, že v rámci postupu spolupráce mezi vnitrostátními soudy a Soudním dvorem zavedeného článkem 267 SFEU přísluší Soudnímu dvoru poskytnout vnitrostátnímu soudu užitečnou odpověď, která mu umožní rozhodnout spor, jenž mu byl předložen. Z tohoto hlediska musí Soudní dvůr případně přeformulovat otázky, které jsou mu položeny (rozsudek ze dne 30. ledna 2024, Direktor na Glavna direkcia Nacionalna policia pri MVR – Sofia, C‑118/22, EU:C:2024:97, bod 31 a citovaná judikatura).

66

I když v projednávané věci první otázka odkazuje na soudní orgán, „který může ukládat kárná opatření soudcům a má pravomoc shromažďovat údaje týkající se jejich majetku“, jak ze žádostí o rozhodnutí o předběžné otázce, tak ze spisu, který má Soudní dvůr k dispozici, vyplývá, že tento orgán kontroluje činnost soudců a státních zástupců při výkonu jejich funkcí, jejich bezúhonnost a neexistenci střetu zájmů u těchto soudců a státních zástupců a že v tomto rámci má pravomoc shromažďovat osobní údaje, které se jich týkají. Uvedený orgán je zejména v návaznosti na takové kontroly oprávněn navrhnout jinému soudnímu orgánu zahájení kárného řízení za účelem uložení kárných opatření vůči nim.

67

Jak přitom vyplývá ze žádostí o rozhodnutí o předběžné otázce, předkládající soud má za to, že okolnost, že členové Inspektorátu, kteří jsou voleni dvoutřetinovou většinou poslanců Národního shromáždění, nadále vykonávají funkci navzdory uplynutí svých funkčních období, může vyvolat otázky ohledně požadavku nezávislosti soudnictví. Tento soud si totiž klade otázku, zda členové tohoto soudního orgánu mohou v takovém kontextu nepatřičně ovlivňovat soudce a státní zástupce nebo pokračovat ve své činnosti pod tlakem poslanců Národního shromáždění.

68

První předběžná otázka se tak týká výkladu čl. 19 odst. 1 druhého pododstavce SEU ve spojení s článkem 47 Listiny pouze se zřetelem k prodloužení funkčních období členů Inspektorátu, aniž se tato otázka týká rozsahu pravomocí tohoto soudního orgánu.

69

Za těchto podmínek je třeba mít za to, že podstatou první otázky předkládajícího soudu je, zda a případně za jakých podmínek čl. 19 odst. 1 druhý pododstavec SEU ve spojení s článkem 47 Listiny brání praxi členského státu, podle které členové soudního orgánu tohoto členského státu, kteří jsou voleni jeho parlamentem na časově omezené funkční období a mají pravomoc kontrolovat činnost soudců a státních zástupců při výkonu jejich funkcí, jejich bezúhonnost a neexistenci střetu zájmů u nich, jakož i navrhovat jinému soudnímu orgánu zahájení kárného řízení za účelem uložení kárných opatření vůči nim, pokračují ve výkonu funkce po uplynutí zákonného funkčního období stanoveného ústavou uvedeného členského státu, dokud tento parlament nezvolí nové členy.

70

Polská vláda tvrdí, že Soudní dvůr nemá pravomoc odpovědět na první otázku, neboť Unie nemá žádnou pravomoc v oblasti organizace soudnictví v členských státech.

71

I když organizace soudnictví v členských státech spadá do pravomoci těchto států, musí členské státy při výkonu této pravomoci dodržovat povinnosti, které pro ně vyplývají z unijního práva, a konkrétně z čl. 19 odst. 1 druhého pododstavce SEU [v tomto smyslu viz rozsudek ze dne 9. ledna 2024, G. a další (Jmenování soudců obecných soudů v Polsku), C‑181/21 a C‑269/21, EU:C:2024:1, bod 57, jakož i citovaná judikatura].

72

Tak je tomu v případě vnitrostátních předpisů upravujících kárnou odpovědnost soudců (v tomto smyslu viz rozsudky ze dne 21. prosince 2021, Euro Box Promotion a další, C‑357/19, C‑379/19, C‑547/19, C‑811/19 a C‑840/19, EU:C:2021:1034, bod 133, jakož i ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, bod 44 a citovaná judikatura), včetně těch, které se týkají organizace a fungování soudního orgánu, který má stejně jako Inspektorát pravomoc kontrolovat činnost soudců při výkonu jejich funkce, ověřovat jejich bezúhonnost a případnou existenci střetu zájmů u těchto soudců a navrhnout jinému soudnímu orgánu zahájení kárného řízení za účelem uložení kárných opatření vůči nim.

73

Za těchto podmínek a vzhledem k tomu, že se první předběžná otázka týká výkladu unijního práva, má Soudní dvůr pravomoc na tuto otázku odpovědět.

74

Bulharská vláda a Inspektorát zpochybňují přípustnost první otázky z důvodu, že Inspektorát nemá pravomoc ukládat kárná opatření, takže tato první otázka nemá žádný vztah k předmětu původních řízení.

75

Inspektorát mimoto tvrdí, že první otázka je hypotetická. Původní řízení totiž nijak nesouvisejí s kárnými řízeními. Kromě toho konstatování porušení čl. 19 odst. 1 druhého pododstavce SEU vyžaduje strukturální porušení požadavků nezávislosti, avšak předkládající soud neupřesňuje, v čem je tvrzené porušení dotčené ve věci v původním řízení strukturální.

76

V této souvislosti je podle ustálené judikatury pouze na vnitrostátním soudu, který rozhoduje spor a musí nést odpovědnost za soudní rozhodnutí, které bude vydáno, aby posoudil s ohledem na konkrétní okolnosti věci jak nezbytnost rozhodnutí o předběžné otázce pro vydání rozsudku, tak relevanci otázek, které klade Soudnímu dvoru. Týkají-li se tedy položené otázky výkladu pravidla unijního práva, je Soudní dvůr v zásadě povinen rozhodnout [rozsudky ze dne 16. února 2023, Rzecznik Praw Dziecka a další (Odklad rozhodnutí o navrácení), C‑638/22 PPU, EU:C:2023:103, bod 47, jakož i ze dne 24. července 2023, Lin, C‑107/23 PPU, EU:C:2023:606, bod 61].

77

Na otázky týkající se unijního práva se tedy vztahuje domněnka relevance. Odmítnout rozhodnout o žádosti podané vnitrostátním soudem je ze strany Soudního dvora možné pouze tehdy, je-li zjevné, že žádaný výklad ustanovení unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jestliže se jedná o hypotetický problém nebo také jestliže Soudní dvůr nedisponuje skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny [v tomto smyslu viz rozsudky ze dne 16. února 2023, Rzecznik Praw Dziecka a další (Odklad rozhodnutí o navrácení), C‑638/22 PPU, EU:C:2023:103, bod 48, jakož i ze dne 24. července 2023, Lin, C‑107/23 PPU, EU:C:2023:606, bod 62].

78

V projednávané věci si předkládající soud klade otázku, jak naložit se žádostmi Inspektorátu o povolení přístupu k údajům o bankovních účtech několika soudců a státních zástupců, jakož i jejich rodinných příslušníků. Tento soud se zejména táže, zda unijní právo brání tomu, aby mu takový soudní orgán mohl předložit žádosti této povahy, i když funkční období všech jeho členů uplynulo již před několika lety. Jeví se tedy, že uvedenému soudu přísluší o této otázce rozhodnout incidenčně in limine litis před tím, než bude moci rozhodnout o žádostech, které mu byly předloženy. Z toho vyplývá, že požadovaný výklad unijního práva je objektivně nezbytný pro rozhodnutí, které musí předkládající soud přijmout (v tomto smyslu viz rozsudek ze dne 18. května 2021, Asociaţia Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, body 118 a 119).

79

Pokud jde o úvahy Inspektorátu uvedené v bodě 75 tohoto rozsudku, které se týkají zejména pravomocí, kterými disponuje v rámci původních řízení, a neexistence strukturálního porušení požadavků vyplývajících z čl. 19 odst. 1 druhého pododstavce SEU, tyto úvahy ve skutečnosti spadají do věcného posouzení první otázky, a nemohou tedy vést k její nepřípustnosti.

80

Z výše uvedeného plyne, že první předběžná otázka je přípustná.

81

Každý členský stát musí na základě čl. 19 odst. 1 druhého pododstavce SEU zajistit, aby orgány, které jsou jakožto „soudy“ ve smyslu vymezeném unijním právem povolány rozhodovat o otázkách týkajících se uplatňování nebo výkladu unijního práva a které jsou součástí systému procesních prostředků v oblastech pokrytých unijním právem, splňovaly požadavky na účinnou právní ochranu, včetně požadavku nezávislosti (rozsudek ze dne 11. července 2024, Hann-Invest a další, C‑554/21, C‑622/21 a C‑727/21, EU:C:2024:594, bod 47, jakož i citovaná judikatura).

82

Samotná existence účinného soudního přezkumu sloužícího k zajištění dodržování unijního práva je inherentní existenci právního státu. Z tohoto důvodu v souladu s čl. 19 odst. 1 druhým pododstavcem SEU musí členské státy stanovit systém prostředků a řízení nezbytných k zajištění dodržování práv jednotlivců na účinnou právní ochranu v oblastech pokrytých unijním právem. Zásada účinné právní ochrany práv, která pro jednotlivce vyplývají z unijního práva, na kterou odkazuje čl. 19 odst. 1 druhý pododstavec SEU, je obecnou zásadou unijního práva vyplývající z ústavních tradic společných členským státům, která byla zakotvena v článcích 6 a 13 Evropské úmluvy o ochraně lidských práv a základních svobod podepsané v Římě dne 4. listopadu 1950 a která je nyní potvrzena v článku 47 Listiny (dále jen „Listina“) (rozsudek ze dne 21. prosince 2021, Euro Box Promotion a další, C‑357/19, C‑379/19, C‑547/19, C‑811/19 a C‑840/19, EU:C:2021:1034, bod 219, jakož i citovaná judikatura).

83

Za tímto účelem je ochrana nezávislosti orgánů, které mohou rozhodovat o otázkách souvisejících s uplatňováním nebo výkladem unijního práva, zásadní, jak potvrzuje čl. 47 druhý pododstavec Listiny, který mezi požadavky plynoucími ze základního práva na účinný prostředek nápravy uvádí přístup k „nezávislému“ soudu (rozsudek ze dne 18. května 2021, Asociația Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 194, jakož i citovaná judikatura).

84

Tento požadavek nezávislosti soudů, který je inherentní poslání rozhodovat jako soud, je součástí podstaty práva na účinnou právní ochranu a základního práva na spravedlivý proces, které má zásadní význam jakožto záruka ochrany všech práv, která jednotlivcům vyplývají z unijního práva, a jako záruka zachování společných hodnot členských států uvedených v článku 2 SEU, zejména pak hodnoty právního státu. V souladu se zásadou dělby moci, která charakterizuje fungování právního státu, musí být zejména zaručena nezávislost soudů na zákonodárné a výkonné moci (rozsudek ze dne 18. května 2021, Asociaţia Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 195 a citovaná judikatura).

85

Podle ustálené judikatury vyžadují záruky nezávislosti a nestrannosti na základě unijního práva existenci pravidel, která umožní rozptýlit jakékoli legitimní pochybnosti jednotlivců o neovlivnitelnosti uvedeného orgánu vnějšími skutečnostmi a jeho neutralitě ve vztahu k zájmům vzájemně se střetávajícím ve věci (rozsudky ze dne 20. dubna 2021, Repubblika, C‑896/19, EU:C:2021:311, bod 53 a citovaná judikatura, jakož i ze dne 18. května 2021, Asociaţia Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 196).

86

Pokud jde konkrétně o pravidla upravující kárný režim soudců, požadavek nezávislosti soudů vyplývající z čl. 19 odst. 1 druhého pododstavce SEU vyžaduje, aby tento režim poskytoval nezbytné záruky, aby se zabránilo jakémukoli riziku použití takového režimu jakožto systému politické kontroly nad obsahem soudních rozhodnutí. V tomto ohledu je stanovení pravidel – kterými jsou především definována jak jednání představující kárná provinění, tak konkrétně použitelné sankce, které stanoví zásah nezávislého orgánu v souladu s postupem, který v plné míře zaručuje dodržování práv zakotvených v článcích 47 a 48 Listiny, zejména práva na obhajobu, a která zakotvují možnost napadnout rozhodnutí kárných orgánů soudní cestou – soubor základních záruk pro účely zachování nezávislosti soudní moci (rozsudky ze dne 18. května 2021, Asociația Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 198 a citovaná judikatura, jakož i ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, bod 48 a citovaná judikatura).

87

Vzhledem k tomu, že perspektiva zahájení kárného vyšetřování je s to jako taková kromě toho vyvíjet nátlak na ty, kteří mají rozhodovat, Soudní dvůr již rozhodl, že je nutné, aby orgán příslušný k vedení vyšetřování a kárného řízení jednal při výkonu svých úkolů objektivně a nestranně a aby byl za tímto účelem chráněn před jakýmkoli vnějším vlivem (rozsudky ze dne 18. května 2021, Asociația Forumul Judecătorilor din România a další, C‑83/19, C‑127/19, C‑195/19, C‑291/19, C‑355/19 a C‑397/19, EU:C:2021:393, bod 199, jakož i ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, bod 49). Tak je tomu zejména v případě soudního orgánu, který má stejně jako Inspektorát širokou pravomoc kontrolovat činnost soudců a státních zástupců při výkonu jejich funkcí, jejich bezúhonnost a neexistenci střetu zájmů na jejich straně, jakož i v návaznosti na takové kontroly navrhovat jinému soudnímu orgánu zahájení kárného řízení za účelem uložení kárných opatření vůči nim.

88

Je tedy třeba, aby všechny předpisy upravující organizaci a fungování takového orgánu, včetně pravidel upravujících postup jmenování jeho členů, byla koncipována tak, aby nemohla u jednotlivců vyvolat žádné legitimní pochybnosti o využívání pravomocí a funkcí takového orgánu jako nástroje nátlaku na soudní činnost nebo politické kontroly nad touto činností (v tomto smyslu viz rozsudek ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, body 50 a 51, jakož i citovaná judikatura).

89

Tato pravidla totiž mohou obecně přímo ovlivnit praxi uvedeného orgánu, a tedy předcházet kárným řízením, jejichž cílem nebo účinkem je vyvíjet tlak konkrétně na ty, jejichž úkolem je rozhodovat nebo zajistit politickou kontrolu své činnosti, nebo naopak tato řízení podporovat (v tomto smyslu viz rozsudek ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, bod 52).

90

V konečném důsledku bude příslušet předkládajícímu soudu, aby rozhodl o neovlivnitelnosti orgánu dotčeného ve věci v původním řízení ve vztahu k jakémukoli vnějšímu vlivu, jakož i jeho objektivitě a nestrannosti ve vztahu k plnění jeho úkolů, a to poté, co provede za tímto účelem nezbytná posouzení. Je totiž třeba připomenout, že článek 267 SFEU neopravňuje Soudní dvůr k tomu, aby aplikoval pravidla unijního práva na určitý případ, nýbrž pouze k tomu, aby se vyjádřil k výkladu Smluv a aktů přijatých orgány Evropské unie. Podle ustálené judikatury však Soudní dvůr může v rámci soudní spolupráce zavedené tímto článkem 267 SFEU na základě skutečností uvedených ve spise poskytnout vnitrostátnímu soudu prvky výkladu unijního práva, které by mohly být pro tento soud užitečné při posuzování účinků některého z ustanovení uvedeného práva (v tomto smyslu viz rozsudek ze dne 11. května 2023, Inspecţia Judiciară, C‑817/21, EU:C:2023:391, bod 58).

91

V projednávané věci se Inspektorát skládá z vrchního inspektora a deseti inspektorů, kteří jsou voleni Národním shromážděním dvoutřetinovou většinou svých členů v prvním případě na funkční období pěti let a ve druhém případě čtyř let. Podle vnitrostátních právních předpisů použitelných ke dni podání těchto žádostí o rozhodnutí o předběžné otázce nemohli být členové Inspektorátu znovu zvoleni na druhé po sobě jdoucí funkční období.

92

Pokud jde o situaci dotčenou ve věcech v původním řízení, kdy funkční období členů Inspektorátu uplynulo, aniž Národní shromáždění zvolilo jeho nové členy, vnitrostátní právní úprava podle všeho neobsahuje žádné pravidlo ohledně možnosti členů Inspektorátu, jejichž funkční období uplynulo, pokračovat ve výkonu svých funkcí. Je pravda, že podle informací předkládajícího soudu členové Inspektorátu v takové situaci v souladu s judikaturou Ústavního soudu (Konstitucionen sad) nadále vykonávají své funkce, dokud Národní shromáždění nezvolí nové členy. Nicméně kromě toho, že bulharské právo neobsahuje pravidla, která by mohla stanovit rámec pro výkon takto prodlouženého výkonu funkcí, neobsahuje ani žádné právní ustanovení, které by umožňovalo ukončit případné blokování postupu jmenování nových členů Inspektorátu, takže by prodloužení funkčních období jeho bývalých členů mohlo být v praxi bez časového omezení.

93

I když pouze členským státům přísluší rozhodnout, zda povolí výkon funkce členů soudního orgánu, který má pravomoc kontrolovat činnost soudců a státních zástupců a navrhovat zahájení kárných řízení vůči nim, po uplynutí zákonného funkčního období těchto členů za účelem zajištění kontinuity fungování tohoto orgánu, jsou členské státy povinny, rozhodnou-li se pro takové prodloužení funkčního období, zajistit, aby výkon funkce po uplynutí funkčního období spočíval na výslovném právním základě ve vnitrostátním právu obsahujícím jasná a přesná pravidla, která mohou stanovit rámec pro tento výkon.

94

Kromě toho musí členské státy zajistit, aby podmínky a pravidla, kterým takový výkon podléhá, byly koncipovány tak, aby dotyčným členům takového soudního orgánu umožnily jednat při výkonu svých úkolů objektivně a nestranně, a aby byli za tímto účelem chráněni před jakýmkoli vnějším vlivem, jak vyžaduje judikatura citovaná v bodech 87 a 88 tohoto rozsudku.

95

Dále, jak v podstatě uvedl generální advokát v bodě 58 svého stanoviska, i když se za určitých okolností může prodloužení funkčního období jevit jako nezbytné s ohledem na význam funkcí vykonávaných dotyčným soudním orgánem, nic to nemění na tom, že po uplynutí tohoto zákonného funkčního období jedná uvedený orgán bez jakéhokoli výslovného právního základu ve vnitrostátním právu obsahujícího jasná a přesná pravidla, která mohou stanovit rámec pro výkon těchto funkcí. Toto prodloužení tedy přichází v úvahu pouze výjimečně a za podmínky, že je uvedené prodloužení vymezeno jasnými a přesnými pravidly, která v praxi vylučují možnost, aby bylo časově neomezené.

96

Pokud však členský stát k takové úpravě přistoupí, nemůže změnit své právní předpisy ani svou ústavu tak, aby to vedlo ke snížení úrovně ochrany hodnoty právního státu vyjádřené zejména v článku 19 SEU, pokud jde konkrétně o záruky nezávislosti soudů na zákonodárné a výkonné moci (v tomto smyslu viz rozsudek ze dne 20. dubna 2021, Repubblika, C‑896/19, EU:C:2021:311, body 63 a 65).

97

S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 19 odst. 1 druhý pododstavec SEU ve spojení s článkem 47 Listiny musí být vykládán v tom smyslu, že zásada nezávislosti soudců brání praxi členského státu, podle které členové soudního orgánu tohoto členského státu, kteří jsou voleni jeho parlamentem na časově omezené funkční období a mají pravomoc kontrolovat činnost soudců a státních zástupců při výkonu jejich funkcí, jejich bezúhonnost a neexistenci střetu zájmů na straně těchto soudců a státních zástupců, jakož i navrhovat jinému soudnímu orgánu zahájení kárného řízení za účelem uložení kárných opatření vůči nim, pokračuje ve výkonu funkce po uplynutí zákonného funkčního období stanoveného ústavou uvedeného členského státu, dokud tento parlament nezvolí nové členy, aniž by prodloužení funkčního období, které již uplynulo, spočívalo na výslovném právním základě ve vnitrostátním právu obsahujícím jasná a přesná pravidla, která mohou stanovit rámec pro výkon těchto funkcí, a bylo zajištěno, že toto prodloužení bude v praxi časově omezeno.

98

Podstatou druhé otázky předkládajícího soudu je, zda musí být článek 2 GDPR vykládán v tom smyslu, že zpřístupnění osobních údajů, které jsou chráněny bankovním tajemstvím a které se týkají soudců a státních zástupců, jakož i jejich rodinných příslušníků, soudnímu orgánu za účelem ověření majetkových přiznání těchto soudců a státních zástupců, jakož i jejich rodinných příslušníků, přičemž dochází ke zveřejnění těchto přiznání, představuje zpracování osobních údajů, které spadá do věcné působnosti tohoto nařízení.

99

Podle ustálené judikatury poskytuje čl. 2 odst. 1 GDPR velmi širokou definici věcné působnosti GDPR. S výhradou případů uvedených v jeho čl. 2 odst. 2 a 3 se GDPR vztahuje na zpracování prováděné jak soukromými osobami, tak orgány veřejné moci, a to, jak je uvedeno v bodě 20 odůvodnění tohoto nařízení, včetně justičních orgánů (v tomto smyslu viz rozsudky ze dne 24. března 2022, Autoriteit Persoonsgegevens, C‑245/20, EU:C:2022:216, bod 25, jakož i ze dne 16. ledna 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, body 33 a 36).

100

Kromě toho Soudní dvůr již rozhodl, že ani skutečnost, že se informace, které jsou předmětem vnitrostátních ustanovení, týkají soudců, ani okolnost, že tyto informace případně mohou mít určitou souvislost s výkonem jejich funkce, nemohou jako takové vyloučit tato vnitrostátní ustanovení z působnosti nařízení GDPR [rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, bod 315].

101

Článek 2 GDPR stanoví v odstavcích 2 a 3 vyčerpávajícím způsobem výjimky z pravidla definujícího věcnou působnost tohoto nařízení stanovenou v jeho odstavci 1 a tyto výjimky, zvláště ty stanovené v odstavci 2, musí být vykládány restriktivně [v tomto smyslu viz rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 62; ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, bod 316, jakož i ze dne 16. ledna 2024, Österreichische Datenschutzbehörde, C‑33/22, EU:C:2024:46, bod 37].

102

Článek 2 odst. 2 písm. a) nařízení GDPR, který je konkrétně zmíněn ve druhé předběžné otázce, stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné „při výkonu činností, které nespadají do oblasti působnosti práva Unie“.

103

V souladu s ustálenou judikaturou je jediným cílem tohoto ustanovení, vykládaného ve světle bodu 16 odůvodnění GDPR, vyloučit z jeho působnosti zpracování osobních údajů prováděné státními orgány v rámci činnosti, která má chránit národní bezpečnost, nebo činnosti, kterou lze zařadit do téže kategorie, přičemž je třeba upřesnit, že činnosti, jejichž cílem je ochrana národní bezpečnosti, zahrnují zejména činnosti, jejichž cílem je chránit základní funkce státu a hlavní zájmy společnosti. Z toho tedy vyplývá, že skutečnost, že se jedná o činnost státu nebo orgánu veřejné moci nepostačuje k tomu, aby se tato výjimka na takovou činnost automaticky vztahovala [v tomto smyslu viz rozsudky ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 66 a 67; ze dne 8. prosince 2022, Inspektor v Inspektorata kam Visšija sadeben savet (Účel zpracování osobních údajů – Trestní vyšetřování), C‑180/21, EU:C:2022:967, bod 79, a ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, body 317 a 318].

104

I když zajištění řádného výkonu spravedlnosti v členských státech, a zejména stanovení pravidel použitelných konkrétně na postavení soudců a na výkon jejich funkce spadá do pravomoci těchto států [v tomto smyslu viz rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, bod 319], nic to nemění na tom, že takové zpracování údajů, jako je zpracování dotčené ve věci v původním řízení, jehož cílem je kontrola bezúhonnosti soudců a státních zástupců, jakož i ověření existence jejich případných střetů zájmů, nepředstavuje činnost, která má chránit národní bezpečnost, ani činnost, kterou lze zařadit do téže kategorie.

105

Kromě toho je třeba poznamenat, že zpřístupnění osobních údajů, které jsou chráněny bankovním tajemstvím a které se týkají soudců a státních zástupců, jakož i jejich rodinných příslušníků, soudnímu orgánu za účelem ověření jejich majetkových přiznání, jakož i majetkových přiznání jejich rodinných příslušníků, přičemž dochází ke zveřejnění těchto přiznání, představuje „zpracování“ ve smyslu čl. 4 bodu 2 GDPR. Takové zpřístupnění totiž představuje poskytnutí těchto osobních údajů tomuto orgánu.

106

Na druhou předběžnou otázku je tedy třeba odpovědět tak, že článek 2 GDPR musí být vykládán v tom smyslu, že zpřístupnění osobních údajů, které jsou chráněny bankovním tajemstvím a které se týkají soudců a státních zástupců, jakož i jejich rodinných příslušníků, soudnímu orgánu za účelem ověření majetkových přiznání těchto soudců a státních zástupců, jakož i jejich rodinných příslušníků, přičemž dochází ke zveřejnění těchto přiznání, představuje zpracování osobních údajů, které spadá do věcné působnosti tohoto nařízení.

107

Podstatou třetí otázky předkládajícího soudu je, zda čl. 4 bod 7 GDPR musí být vykládán v tom smyslu, že soud, který má pravomoc povolit na žádost jiného soudního orgánu, aby banka tomuto orgánu zpřístupnila údaje o bankovních účtech soudců a státních zástupců, jakož i jejich rodinných příslušníků, může být považován za správce ve smyslu tohoto ustanovení.

108

Podle čl. 4 bodu 7 GDPR zahrnuje pojem „správce“ fyzické nebo právnické osoby, orgány veřejné moci, agentury nebo jiné subjekty, které samy nebo společně s jinými určují účely a prostředky zpracování osobních údajů. Toto ustanovení rovněž stanoví, že jsou-li účely a prostředky tohoto zpracování určeny zejména právem členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení.

109

Podle ustálené judikatury Soudního dvora je cílem uvedeného ustanovení zajistit prostřednictvím široké definice pojmu „správce“ v souladu s cílem GDPR účinnou a úplnou ochranu základních práv a svobod fyzických osoba zejména vysokou úroveň ochrany práva každého na ochranu osobních údajů, které se ho týkají (v tomto smyslu viz rozsudky ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, body 28 a 29, jakož i ze dne 7. března 2024, IAB Europe, C‑604/22, EU:C:2024:214, body 53 až 55 a citovaná judikatura).

110

Za účelem určení, zda je třeba osobu nebo subjekt kvalifikovat jako správce ve smyslu čl. 4 bodu 7 GDPR, je tedy třeba zjistit, zda tato osoba nebo tento subjekt sám nebo společně s jinými určuje účely a prostředky zpracování, nebo zda jsou tyto účely a prostředky určeny vnitrostátním právem. Pokud je takové určení provedeno vnitrostátním právem, je třeba ověřit, zda toto právo určuje správce nebo stanoví zvláštní kritéria pro jeho určení (rozsudek ze dne 27. února 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, bod 27).

111

Je třeba ještě upřesnit, že s ohledem na širokou definici pojmu „správce“ ve smyslu čl. 4 bodu 7 GDPR může být určení účelů a prostředků zpracování a případně určení tohoto správce vnitrostátním právem nejen explicitní, ale i implicitní. V posledně uvedeném případě se nicméně vyžaduje, aby toto určení účelů a prostředků zpracování dostatečně jasně vyplývalo z úlohy, poslání a pravomocí svěřených dotyčné osobě nebo dotyčnému subjektu (rozsudek ze dne 27. února 2025, Amt der Tiroler Landesregierung, C‑638/23, EU:C:2025:127, bod 28).

112

Ochrana subjektů údajů by totiž byla narušena, pokud by byl čl. 4 bod 7 GDPR vykládán restriktivně tak, aby se vztahoval pouze na případy, kdy jsou účely a prostředky zpracování údajů prováděného osobou, orgánem veřejné moci, agenturou nebo subjektem výslovně určeny vnitrostátním právem, i když tyto účely a tyto prostředky v podstatě vyplývají z právních předpisů upravujících činnost dotčeného subjektu [rozsudek ze dne 11. ledna 2024, État belge (Údaje zpracované v úředním věstníku), C‑231/22, EU:C:2024:7, bod 30].

113

V projednávané věci si předkládající soud klade otázku, zda musí být považován za správce zpracování dotčeného ve věci v původním řízení, a sice zpřístupnění osobních údajů, na které se vztahuje bankovní tajemství, Inspektorátu z důvodu, že je ze zákona pověřen povolováním takového zpřístupnění.

114

V tomto ohledu má podle vnitrostátní právní úpravy použitelné ve věcech v původním řízení Inspektorát pravomoc zejména provádět kontroly týkající se bezúhonnost a neexistence střetu zájmů u soudců a státních zástupců, jakož i jejich majetkových přiznání. Za tímto účelem tato právní úprava umožňuje Inspektorátu požádat o přístup k údajům o bankovních účtech soudců a státních zástupců, jakož i jejich rodinných příslušníků. V případě, že subjekty údajů s takovým přístupem neudělily souhlas, má tento soudní orgán na základě uvedené právní úpravy pravomoc požádat o předchozí soudní povolení za účelem přístupu k uvedeným údajům.

115

Jeví se tedy, že právě vnitrostátní právní úprava použitelná ve věcech v původním řízení určuje okruh osob a údaje, které mohou být předmětem zpracování, stanovuje účely tohoto zpracování a určuje příslušný orgán, a sice Inspektorát, k dosažení těchto účelů. Soud příslušný k projednání žádosti o povolení zpřístupnění zahajuje řízení pouze na návrh Inspektorátu podaný za účelem výkonu pravomocí, které mu svěřuje vnitrostátní právo, a omezuje se na ověření, zda jsou splněny podmínky zákonnosti stanovené tímto právem. Stejně tak to není tento soud, ale Inspektorát, kdo v závislosti na použitelných vnitrostátních předpisech určuje osoby, k jejichž údajům hodlá mít přístup za účelem tohoto výkonu a ve vztahu k nimž podá k uvedenému soudu žádost o povolení.

116

I když je tedy na tomto soudu, aby posoudil, zda a do jaké míry jsou v daném případě splněny podmínky zákonnosti zpracování, neurčuje z vlastního podnětu účel zpracování ani dotčené osoby a údaje. Za těchto podmínek není správcem ve smyslu čl. 4 bodu 7 GDPR uvedený soud, nýbrž orgán příslušný k dosažení sledovaných účelů.

117

S ohledem na výše uvedené úvahy je třeba na třetí otázku odpovědět tak, že čl. 4 bod 7 GDPR musí být vykládán v tom smyslu, že soud, který má pravomoc povolit na žádost jiného soudního orgánu, aby banka tomuto orgánu zpřístupnila údaje o bankovních účtech soudců a státních zástupců, jakož i jejich rodinných příslušníků, nemůže být považován za správce ve smyslu tohoto ustanovení.

118

Podstatou čtvrté otázky předkládajícího soudu je, zda musí být článek 51 GDPR vykládán v tom smyslu, že soud, který má pravomoc povolit zpřístupnění osobních údajů jinému soudnímu orgánu, je dozorovým úřadem ve smyslu tohoto článku.

119

Článek 51 odst. 1 GDPR ukládá členským státům povinnost určit jeden nebo více nezávislých orgánů veřejné moci, které jsou pověřeny monitorováním uplatňování tohoto nařízení. Zřízení takových orgánů, které je rovněž stanoveno primárním unijním právem, a sice čl. 8 odst. 3 Listiny a čl. 16 odst. 2 SFEU, představuje zásadní prvek ochrany osob v souvislosti se zpracováním osobních údajů [v tomto smyslu viz rozsudek ze dne 8. dubna 2014, Komise v. Maďarsko, C‑288/12, EU:C:2014:237, bod 48, a posudek 1/15 (Dohoda o PNR mezi EU a Kanadou) ze dne 26. července 2017, EU:C:2017:592, bod 229].

120

Hlavním úkolem uvedených úřadů je podle čl. 51 odst. 1 a 2, jakož i čl. 57 odst. 1 písm. a) a g) GDPR monitorovat a vymáhat uplatňování tohoto nařízení a zároveň přispívat k jeho jednotnému uplatňování v Unii, a to za účelem ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnění volného pohybu těchto údajů v rámci Unie. Za tímto účelem mají různé pravomoci, které jsou jim svěřeny na základě článku 58 GDPR [v tomto smyslu viz rozsudek ze dne 4. července 2023, Meta Platforms a další (Všeobecné podmínky používání sociální sítě), C‑252/21, EU:C:2023:537, bod 45].

121

Členské státy jsou v souladu s čl. 51 odst. 4 GDPR povinny oznámit Komisi právní ustanovení a následné změny, které přijmou podle kapitoly VI tohoto nařízení, zvláště ty, které se týkají dozorového úřadu nebo dozorových úřadů, které jsou pověřeny monitorováním uplatňování uvedeného nařízení.

122

V projednávané věci ze žádné skutečnosti ve spise, který má Soudní dvůr k dispozici, nevyplývá, že by předkládající soud byl na základě bulharského práva pověřen monitorováním uplatňování GDPR a měl by zejména pravomoci, které musí mít dozorový úřad na základě článku 58 tohoto nařízení.

123

Na čtvrtou otázku je tedy třeba odpovědět tak, že článek 51 GDPR musí být vykládán v tom smyslu, že soud, který má pravomoc povolit zpřístupnění osobních údajů jinému soudnímu orgánu, není dozorovým úřadem ve smyslu tohoto článku v případě, že tento soud není členským státem, ve kterém se nachází, pověřen monitorováním uplatňování tohoto nařízení zejména s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů.

124

Pátá otázka je položena pouze pro případ, že by Soudní dvůr odpověděl na třetí nebo čtvrtou otázku kladně. Jak přitom bylo konstatováno v bodech 117 a 123 tohoto rozsudku, na třetí a čtvrtou otázku je třeba odpovědět záporně.

125

Na pátou předběžnou otázku tudíž není třeba odpovídat.

126

Podstatou šesté otázky předkládajícího soudu je, zda čl. 79 odst. 1 GDPR ve spojení s článkem 47 Listiny musí být vykládán v tom smyslu, že soud, který má pravomoc povolit jinému soudnímu orgánu zpřístupnění osobních údajů, je povinen, aniž k němu byl podán návrh na základě tohoto ustanovení, zajistit z úřední povinnosti ochranu osob, jejichž údaje jsou dotčeny, pokud jde o dodržování ustanovení tohoto nařízení týkajících se zabezpečení osobních údajů, je-li všeobecně známo, že tento orgán v minulosti porušil posledně uvedená ustanovení.

127

V tomto ohledu předkládající soud upřesňuje, že tato otázka je položena v situaci, kdy řízení, které před ním bylo zahájeno, probíhá bez účasti osob, o jejichž osobní údaje se jedná, a soudní povolení ke zpřístupnění těchto údajů Inspektorátu má nahradit souhlas těchto osob bez možnosti podat opravný prostředek. Tento soud má za to, že pokud by se omezil na čistě formální posouzení žádosti o povolení podané Inspektorátem, aniž by se ujistil, že tento orgán zajistí zabezpečení údajů subjektů údajů, byla by soudní ochrana uvedených subjektů údajů stanovená v článku 79 GDPR zbavena užitečného účinku. Za těchto podmínek si předkládající soud klade otázku, zda je povinen z úřední povinnosti zajistit dodržování pravidel v oblasti zabezpečení údajů Inspektorátem tím, že od něj bude vyžadovat, aby mu poskytl informace o bezpečnostních opatřeních přijatých na základě čl. 33 odst. 3 písm. d) tohoto nařízení.

128

V tomto ohledu je třeba připomenout, že GDPR zavádí soubor hmotněprávních a procesních pravidel týkajících se zabezpečení údajů, které musí správce dodržovat, přičemž v kapitole VIII stanoví procesní prostředky, jejichž cílem je ochrana práv subjektů údajů, jejichž osobní údaje byly zpracovány údajně v rozporu s ustanoveními uvedeného nařízení, a které mohou být těmito subjekty vykonávány souběžně a nezávisle (v tomto smyslu viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 35).

129

Vzhledem k tomu, že úroveň ochrany podle GDPR závisí na bezpečnostních opatřeních přijatých správci osobních údajů, musí být tito správci na základě toho, že nesou důkazní břemeno ohledně vhodnosti těchto opatření, motivováni k tomu, aby učinili vše, co je v jejich silách, aby zabránili provádění operací zpracování, které nejsou v souladu s tímto nařízením (rozsudek ze dne 14. prosince 2023, Nacionalna agencia za prichodite, C‑340/21, EU:C:2023:986, bod 55).

130

Kontrola dodržování bezpečnostních požadavků, kterou ukládá GDPR, přísluší jednak dozorovým úřadům a jednak vnitrostátním soudům, které poskytují soudní ochranu podle čl. 78 odst. 1 nebo čl. 79 odst. 1 GDPR.

131

Pokud jde o dozorové úřady, jejich hlavním úkolem je, jak bylo připomenuto v bodě 120 tohoto rozsudku, monitorovat a vymáhat uplatňování GDPR. Konkrétně podle článku 33 tohoto nařízení je správci musí informovat o jakémkoli porušení zabezpečení osobních údajů.

132

Kromě toho čl. 58 odst. 1 a 2 GDPR přiznává uvedeným úřadům významné vyšetřovací pravomoci, jakož i pravomoc přijímat různá nápravná opatření. V tomto ohledu je třeba upřesnit, že jsou povinny zasáhnout, pokud je přijetí jednoho nebo více nápravných opatření stanovených v čl. 58 odst. 2 tohoto nařízení s ohledem na všechny okolnosti konkrétního případu vhodné, nezbytné a přiměřené k nápravě zjištěného nedostatku a k zajištění plného dodržování uvedeného nařízení [rozsudek ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat), C‑768/21, EU:C:2024:785, bod 42].

133

Kromě toho je obzvláště důležité, aby dozorové úřady měly účinné pravomoci účinně zasáhnout proti porušování GDPR, a zejména je ukončit, a to i v případech, kdy subjekty údajů nejsou o zpracování svých osobních údajů informovány, nejsou si ho vědomy nebo v každém případě nepodaly stížnost podle čl. 77 odst. 1 tohoto nařízení (v tomto smyslu viz rozsudek ze dne 14. března 2024, Újpesti Polgármesteri Hivatal, C‑46/23, EU:C:2024:239, bod 41).

134

Tyto úřady se stejně jako vnitrostátní soudy, které poskytují soudní ochranu podle čl. 78 odst. 1 nebo čl. 79 odst. 1 GDPR, musí ujistit, že technická a organizační opatření přijatá správcem jsou vhodná k zajištění úrovně zabezpečení odpovídající danému riziku, jak vyžaduje čl. 32 odst. 1 tohoto nařízení, přičemž tato opatření konkrétně meritorně posoudí s ohledem na všechna kritéria stanovená v uvedeném článku, jakož i na konkrétní okolnosti daného případu a důkazy, které mají tyto úřady nebo soudy v tomto ohledu k dispozici (v tomto smyslu viz rozsudky ze dne 14. prosince 2023, Nacionalna agencia za prichodite, C‑340/21, EU:C:2023:986, body 43 a 45, jakož i ze dne 28. listopadu 2024, Másdi, C‑169/23, EU:C:2024:988, bod 71).

135

Naproti tomu vnitrostátní soudy, k nimž není podána žaloba za účelem soudní ochrany podle čl. 78 odst. 1 nebo čl. 79 odst. 1 GDPR, nejsou při neexistenci pravidel, která by jim výslovně přiznávala monitorovací pravomoci, povinny zajišťovat dodržování hmotněprávních ustanovení tohoto nařízení s cílem zajistit jejich užitečný účinek.

136

Vzhledem k tomu, že se předkládající soud táže zejména na účinnost soudní ochrany stanovené v čl. 79 odst. 1 GDPR, je třeba ještě za účelem poskytnutí užitečné odpovědi zdůraznit, že členské státy musí zajistit, aby konkrétní pravidla uplatňování procesních prostředků zakotvených v čl. 77 odst. 1, čl. 78 odst. 1 a čl. 79 odst. 1 tohoto nařízení skutečně odpovídala požadavkům vyplývajícím z práva na účinnou právní ochranu zakotveného v článku 47 Listiny (v tomto smyslu viz rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 51).

137

Za tímto účelem je třeba, aby správce, a sice příslušný soudní orgán, kterému byl poskytnut přístup k osobním údajům, poskytl osobám, jejichž údaje jsou dotčeny, informace vyjmenované v čl. 14 odst. 1 a 2 GDPR za podmínek uvedených v čl. 12 odst. 1 a čl. 14 odst. 3 tohoto nařízení, přičemž tyto informace jsou nezbytné k tomu, aby uvedené osoby mohly případně uplatnit svá práva, která jim přiznává uvedené nařízení, zvláště jejich právo vznést námitku proti zpracování svých osobních údajů stanovené v článku 21 GDPR, jakož i jejich právo na soudní ochranu v případě utrpěné újmy stanovené v článcích 79 a 82 tohoto nařízení (obdobně viz rozsudek ze dne 22. června 2023, Pankki S, C‑579/21, EU:C:2023:501, bod 58 a citovaná judikatura).

138

S ohledem na výše uvedené úvahy je třeba na šestou otázku odpovědět tak, že čl. 79 odst. 1 GDPR ve spojení s článkem 47 Listiny musí být vykládán v tom smyslu, že soud, který má pravomoc povolit jinému soudnímu orgánu zpřístupnění osobních údajů, není povinen, pokud k němu nebyl podán návrh na základě tohoto ustanovení, zajistit z úřední povinnosti ochranu osob, jejichž údaje jsou dotčeny, pokud jde o dodržování ustanovení tohoto nařízení týkajících se zabezpečení osobních údajů, a to i tehdy, je-li všeobecně známo, že tento orgán v minulosti porušil posledně uvedená ustanovení.

139

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto: