–

za Österreichische Datenschutzbehörde: M. Schmidl, jako zmocněnec,

–

za F. R.: C. Wirthensohn, Rechtsanwalt,

–

za Bundesministerin für Justiz: E. Riedl, jako zmocněnec,

–

za rakouskou vládu: A. Posch, J. Schmoll a C. Gabauer, jako zmocněnci,

–

za českou vládu: M. Smolek T. Suchá a J. Vláčil, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, F. Erlbacher a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 57 odst. 4 a čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi F. R., fyzickou osobou, a Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „DSB“) ve věci odmítnutí uvedeného úřadu vyhovět stížnosti týkající se údajného porušení práva F. R. na přístup k jeho osobním údajům.

3

Body 10, 11, 59, 63 a 129 odůvodnění GDPR uvádějí:

[…]

[…]

[…]

4

Článek 12 GDPR, nadepsaný „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, v odstavcích 2 a 5 stanoví:

„2.   Správce usnadňuje výkon práv subjektu údajů podle článků 15 až 22. V případech uvedených v čl. 11 odst. 2 správce neodmítne vyhovět žádosti subjektu údajů za účelem výkonu jeho práv podle článků 15 až 22, ledaže doloží, že nemůže zjistit totožnost subjektu údajů.

[…]

5.   Informace podle článků 13 a 14 a veškerá sdělení a veškeré úkony podle článků 15 až 22 a 34 se poskytují a činí bezplatně. Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď:

Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.“

5

Článek 15 GDPR, nadepsaný „Právo subjektu údajů na přístup“, v odst. 1 stanoví:

„Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím:

[…]

[…]“

6

Článek 52 GDPR, nadepsaný „Nezávislost“, v odstavci 4 stanoví:

„Každý členský stát zajistí, aby byl každý dozorový úřad vybaven lidskými, technickými a finančními zdroji, prostorami a infrastrukturou, které bude potřebovat pro účinné plnění svých úkolů a výkon svých pravomocí, včetně úkolů a pravomocí, jež je třeba plnit v rámci vzájemné pomoci, spolupráce a účasti ve sboru.“

7

Článek 57 RGPD, nadepsaný „Úkoly“, zní takto:

„1.   Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:

[…]

[…]

2.   Každý dozorový úřad usnadňuje podávání stížností uvedených v odst. 1 písm. f) takovými opatřeními, jako je poskytnutí formuláře pro podávání stížností, který lze vyplnit i v elektronické formě, aniž jsou vyloučeny jiné komunikační prostředky.

3.   Provádění úkolů každého dozorového úřadu je pro subjekty údajů a pro případné pověřence pro ochranu osobních údajů bezplatné.

4.   Jestliže jsou požadavky zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může dozorový úřad uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá dozorový úřad.“

8

Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, v odstavci 1 stanoví:

„Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.“

9

Ustanovení § 24 Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (spolkový zákon o ochraně fyzických osob v souvislosti se zpracováním osobních údajů) ze dne 17. srpna 1999 (BGBl. I, 165/1999), ve znění použitelném na skutkový stav v původním řízení, nadepsané „Stížnosti adresované úřadu pro ochranu údajů“, v odstavcích 1, 5 a 8 stanoví:

„(1)   Každý subjekt údajů má právo podat stížnost u úřadu pro ochranu údajů, jestliže se domnívá, že při zpracování osobních údajů, které se ho týkají, bylo porušeno GDPR nebo ustanovení § 1 nebo článek 2, první hlavní část.“

[…]

(5)   Pokud je shledáno, že stížnost je odůvodněná, je třeba jí vyhovět. Lze-li porušení přičíst správci v soukromém sektoru, je třeba mu nařídit, aby vyhověl žádostem žadatele o přístup, opravu, výmaz, omezení nebo předání v rozsahu nezbytném k nápravě zjištěného porušení. V rozsahu, v němž se ukáže, že stížnost je neopodstatněná, musí být zamítnuta.

[…]

(8)   Pokud úřad pro ochranu údajů neřeší stížnost nebo neinformuje subjekt údajů o pokroku v řešení stížnosti nebo o jeho výsledku do tří měsíců, může se subjekt údajů obrátit na Spolkový správní soud.“

10

Dne 17. února 2020 podal F. R. stížnost k DSB na základě čl. 77 odst. 1 GDPR pro porušení článku 15 uvedeného nařízení z důvodu, že společnost, která měla postavení správce, neodpověděla na jeho žádost o přístup k jeho osobním údajům ve lhůtě jednoho měsíce.

11

Rozhodnutím ze dne 22. dubna 2020 odmítl DSB na základě čl. 57 odst. 4 GDPR vyhovět této stížnosti z důvodu její nepřiměřenosti. V tomto ohledu zejména uvedl, že mu subjekt údajů zaslal v rozmezí přibližně 20 měsíců 77 podobných stížností proti různým správcům. Kromě toho F. R. pravidelně telefonicky kontaktoval DSB za účelem uvedení dalších skutečností a podávání dalších žádostí.

12

F. R. proti uvedenému rozhodnutí podal žalobu k Bundesverwaltungsgericht (Spolkový správní soud, Rakousko).

13

Rozsudkem ze dne 22. prosince 2022 uvedený soud žalobě vyhověl a rozhodnutí DSB zrušil. Uvedený soud v podstatě rozhodl, že nepřiměřenost žádosti ve smyslu čl. 57 odst. 4 GDPR předpokládá nejen časté opakování žádostí, ale také to, že jsou zjevně šikanózní nebo zneužívající. Přitom z odůvodnění DSB, proč odmítl vyhovět stížnosti F. R., nevyplývá existence zneužívajícího přístupu F. R. Podle téhož soudu navíc dozorový úřad, který čelí nepřiměřeným žádostem, nemůže libovolně volit mezi dvěma možnostmi stanovenými v daném ustanovení, tedy uložením přiměřeného poplatku nebo odmítnutím uvedeným žádostem vyhovět. Výběr mezi uvedenými možnostmi je na volném uvážení dozorového úřadu, jeho učinění musí tento úřad odůvodnit. Takové odůvodnění přitom v projednávané věci chybí.

14

Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko), k němuž DSB podal proti tomuto rozsudku opravný prostředek Revision a který je předkládajícím soudem, se nejprve táže, zda pojem „žádost“ uvedený v čl. 57 odst. 4 GDPR zahrnuje stížnosti podané na základě čl. 77 odst. 1 uvedeného nařízení.

15

V tomto ohledu předkládající soud uvádí, že pojem „žádost“ je sice ve výčtu úkolů dozorových úřadů uvedeném v čl. 57 odst. 1 GDPR použit výlučně v písmenu e) uvedeného ustanovení za účelem označení žádostí o informace, které těmto úřadům adresují subjekty údajů a které se týkají výkonu práv, jež jim toto nařízení přiznává. Z této okolnosti však nelze vyvodit, že se čl. 57 odst. 4 uvedeného nařízení může vztahovat pouze na vyřizování takových žádostí. Naopak kontext posledně uvedeného ustanovení, které stanoví výjimku ze zásady bezplatnosti, umožňuje spíše dospět k závěru, že pojem „žádost“, který používá, zahrnuje rovněž stížnosti, neboť vyřizování stížností je hlavním úkolem dozorových úřadů a je třeba tyto úřady zbavit povinnosti vyřizovat zjevně nedůvodné nebo nepřiměřené stížnosti.

16

Podle předkládajícího soudu by však takový výklad měl za následek omezení povinnosti dozorových úřadů zabývat se stížnostmi podle čl. 57 odst. 1 písm. f) GDPR a mohl by být v rozporu s cíli sledovanými uvedeným nařízením, zejména s cílem zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů v rámci Unie.

17

Předkládající soud má nicméně za to, že pokud by byl zvolen tento výklad, bylo by omezení práva podat stížnost zavedené čl. 57 odst. 4 GDPR přiměřené. Použití uvedeného ustanovení totiž předpokládá, že dozorový úřad předloží důkaz o zjevné neopodstatněnosti nebo nepřiměřenosti stížnosti. Mimoto rozhodnutí tohoto úřadu požadovat zaplacení přiměřených poplatků nebo odmítnout vyhovět stížnosti podléhá soudnímu přezkumu podle čl. 78 odst. 1 uvedeného nařízení.

18

Zadruhé pro případ, že by čl. 57 odst. 4 GDPR měl být vykládán v tom smyslu, že se použije na stížnosti uvedené v čl. 77 odst. 1 uvedeného nařízení, se předkládající soud táže na rozsah pojmu „nepřiměřená žádost“ ve smyslu čl. 57 odst. 4 uvedeného nařízení. Konkrétně uvedený soud poznamenává, že i když uvedené ustanovení výslovně jako příklad „nepřiměřených žádostí“ uvádí „opakování“ požadavků, nic to nemění na tom, že jako výjimka z povinnosti dozorových úřadů vyřizovat stížnosti musí být možnost odmítnout vyřízení stížnosti vykládána restriktivně, neboť tato možnost by vedla k významnému zásahu do ochrany fyzických osob při zpracování osobních údajů stanovené GDPR a odchýlila by se tak od cílů sledovaných uvedeným nařízením.

19

V této souvislosti se předkládající soud táže, zda počet stížností podaných během daného období dozorovému úřadu postačuje k učinění závěru, že stížnost je nepřiměřená, bez ohledu na okolnosti vlastní každé z uvedených individuálních stížností a bez ohledu na správce, jichž se uvedené stížnosti týkají, nebo zda je třeba zohlednit i jiné okolnosti, na jejichž základě by bylo možné dospět k závěru o existenci zneužívajícího úmyslu.

20

Zatřetí má předkládající soud za to, že použití čl. 57 odst. 4 GDPR vyvolává otázky rovněž s ohledem na právní důsledky, které je třeba vyvodit v případě zjevně nedůvodných nebo nepřiměřených žádostí. Ze znění uvedeného ustanovení totiž jasně nevyplývá, zda si dozorové úřady mohou svobodně zvolit jednu ze dvou možností, které stanoví, a sice požadovat zaplacení přiměřených poplatků za vyřízení stížnosti nebo bez dalšího odmítnout zabývat se stížností. Předkládající soud zdůrazňuje, že právní nauka je v tomto ohledu nejednotná.

21

Za těchto okolností se Verwaltungsgerichtshof (Nejvyšší správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

V případě kladné odpovědi na první otázku:

22

Podstatou první otázky předkládajícího soudu je, zda musí být čl. 57 odst. 4 GDPR vykládán v tom smyslu, že pojem „žádost“, který je v něm uveden, zahrnuje „stížnosti“ uvedené v čl. 77 odst. 1 uvedeného nařízení.

23

Předně je třeba uvést, že pojem „stížnost“ je uveden rovněž v čl. 57 odst. 1 písm. f) GDPR. Za těchto podmínek je za účelem poskytnutí užitečné odpovědi předkládajícímu soudu třeba mít za to, že podstatou první otázky uvedeného soudu je, zda čl. 57 odst. 4 uvedeného nařízení musí být vykládán v tom smyslu, že pojem „žádost“, který je v něm uveden, zahrnuje „stížnosti“ uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 uvedeného nařízení.

24

Pro výklad ustanovení unijního práva je třeba zohlednit nejen jeho znění v souladu s jeho obvyklým smyslem v běžném jazyce, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí [rozsudky ze dne 4. května 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 19 a citovaná judikatura; ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatura, jakož i ze dne 30. dubna 2024, Trade Express-L a Devnia TSIMENT, C‑395/22 a C‑428/22, EU:C:2024:374, bod 65 a citovaná judikatura].

25

Pokud jde zaprvé o znění čl. 57 odst. 1 písm. f) GDPR, stanoví, že každý dozorový úřad se na svém území „zabývá […] stížnostmi […] a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem“.

26

Článek 57 odst. 4 GDPR, uvádí, že „[j]estliže jsou požadavky zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může dozorový úřad uložit přiměřený poplatek na základě svých administrativních nákladů nebo odmítnout žádosti vyhovět. Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá dozorový úřad“.

27

Pokud jde o znění čl. 77 odst. 1 GDPR, stanoví, že „[a]niž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno [uvedené] nařízení“.

28

Žádné z ustanovení uvedených v bodech 25 až 27 tohoto rozsudku tedy pojem „žádost“ ve smyslu čl. 57 odst. 4 GDPR výslovně nedefinuje.

29

V tomto ohledu je třeba poznamenat, jak uvedl generální advokát v bodě 23 svého stanoviska, že obvyklý význam pojmu „žádost“ je v běžném jazyce obzvláště široký, neboť potenciálně zahrnuje jakoukoli výzvu učiněnou osobou nebo subjektem.

30

Je tedy nutno konstatovat, že znění ustanovení uvedených v bodech 25 až 27 tohoto rozsudku umožňuje mít za to, že stížnosti podané na základě čl. 77 odst. 1 GDPR spadají pod pojem „žádost“ ve smyslu čl. 57 odst. 4 uvedeného nařízení.

31

Tuto textovou analýzu potvrzuje i kontext, do kterého uvedená ustanovení spadají. V tomto ohledu článek 57 GDPR popisuje úkoly dozorových úřadů a podmínky jejich výkonu. Konkrétně článek 57 stanoví, že každý dozorový úřad na svém území zaprvé podle odst. 1 písm. a) monitoruje a vymáhá uplatňování tohoto nařízení, zadruhé podle odst. 1 písm. e) na požádání poskytuje všem subjektům údajů informace o výkonu jejich práv podle tohoto nařízení, a je-li to vhodné, spolupracuje za tímto účelem s dozorovými úřady v jiných členských státech, a zatřetí podle odstavce 2 usnadňuje podávání stížností uvedených v odst. 1 písm. f) takovými opatřeními, jako je poskytnutí formuláře pro podávání stížností, který lze vyplnit i v elektronické formě, aniž jsou vyloučeny jiné komunikační prostředky.

32

Kromě toho čl. 57 odst. 3 GDPR stanoví zásadu, podle které je provádění úkolů každého dozorového úřadu pro subjekty údajů a pro případné pověřence pro ochranu osobních údajů bezplatné.

33

Tím, že stanoví možnost dozorových úřadů požadovat v případě zjevně nedůvodných nebo nepřiměřených žádostí zaplacení přiměřených poplatků na základě administrativních nákladů nebo odmítnout žádosti vyhovět, tudíž čl. 57 odst. 4 uvedeného nařízení zavádí výjimku ze zásady bezplatnosti stanovené v čl. 57 odst. 3 téhož nařízení, která musí být vykládána restriktivně.

34

Jak v podstatě uvedl generální advokát v bodech 28 až 30 svého stanoviska, vzhledem k tomu, že vyřizování jim předložených žádostí dozorovými úřady je pravidlem, měly by tyto úřady být oprávněny využít možnosti stanovené v čl. 57 odst. 4 GDPR pouze ve výjimečných případech.

35

Nelze přitom z uvedených ustanovení vyvodit, že by se čl. 57 odst. 4 GDPR, když používá pojem „žádost“, měl vztahovat pouze na žádosti podle čl. 57 odst. 1 písm. e) uvedeného nařízení. Článek 57 odst. 3 uvedeného nařízení se totiž vztahuje na všechny úkoly dozorových úřadů, včetně vyřizování stížností podle čl. 57 odst. 1 písm. f) téhož nařízení.

36

V této souvislosti je třeba uvést, že vzhledem k tomu, že čl. 57 odst. 4 GDPR stanoví výjimku ze zásady bezplatnosti úkolů vykonávaných dozorovými úřady, aniž ji omezuje na některé zvláštní úkoly těchto dozorových úřadů, musí se rovněž použít na vyřizování stížností stanovených v čl. 57 odst. 1 písm. f) uvedeného nařízení, a to tím spíše, že posledně uvedený úkol představuje zásadní úkol uvedených dozorových úřadů. Mimoto se dotčený dozorový úřad musí takovými stížnostmi zabývat s veškerou náležitou péčí [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatura].

37

Naopak výklad, podle něhož se pojem „žádost“ uvedený v čl. 57 odst. 4 GDPR vztahuje pouze na žádosti spadající do působnosti čl. 57 odst. 1 písm. e) uvedeného nařízení, a nikoli na stížnosti uvedené v čl. 57 odst. 1 písm. f) a čl. 77 odst. 1 uvedeného nařízení, by zbavil první z uvedených ustanovení značné části užitečného účinku a byl by v rozporu s účinnou ochranou práv zaručených týmž nařízením (v tomto smyslu rozsudek 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 47).

38

Zatřetí, tento kontextuální výklad je v souladu s cíli GDPR. V tomto ohledu je třeba uvést, že cílem tohoto nařízení je, jak uvádí body 10 a 11 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie a posílit a podrobně vymezit práva subjektů údajů [rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace), C‑307/22, EU:C:2023:811, bod 47].

39

Řízení o stížnosti je tedy koncipováno jako mechanismus způsobilý účinně chránit práva a zájmy subjektů údajů [rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58, jakož i citovaná judikatura]. V tomto ohledu povinnost dozorových úřadů usnadnit podávání stížností a zásada bezplatnosti úkolů, které plní, stanovené v čl. 57 odst. 2 a 3 GDPR, mají umožnit každému subjektu údajů, aby se u dozorového úřadu domáhal dodržování práv, která pro něj vyplývají z uvedeného nařízení.

40

V tomto kontextu, jak uvedl generální advokát v bodě 41 svého stanoviska, sledování cíle zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie vyžaduje, aby bylo zaručeno řádné fungování dozorových úřadů tím, že se zajistí, aby tomuto cíli nebránilo podávání zjevně nedůvodných nebo nepřiměřených stížností ve smyslu čl. 57 odst. 4 GDPR. Toto ustanovení dává dozorovým úřadům možnost lépe řídit vyřizování těchto stížností, čímž se sníží zátěž, kterou pro ně tyto stížnosti mohou představovat. Pokud dozorový úřad čelí zjevně nedůvodným nebo nepřiměřeným stížnostem, možnost uložit přiměřený poplatek nebo odmítnout vyhovět takovým stížnostem je takové povahy, že zajišťuje vysokou úroveň ochrany osobních údajů.

41

S ohledem na předcházející úvahy je třeba na první otázku odpovědět tak, že čl. 57 odst. 4 GDPR musí být vykládán v tom smyslu, že v něm uvedený pojem „žádost“ zahrnuje stížnosti uvedené v čl. 57 odst. 1 písm. f) a v čl. 77 odst. 1 uvedeného nařízení.

42

Podstatou druhé otázky předkládajícího soudu je, zda čl. 57 odst. 4 GDPR musí být vykládán v tom smyslu, že pouhá okolnost, že byl podán velký počet žádostí, může dostačovat k tomu, aby byly žádosti kvalifikovány jako „nepřiměřené“ ve smyslu uvedeného ustanovení, nebo zda taková kvalifikace předpokládá mimo jiné zneužívající úmysl osoby, která tyto žádosti podala.

43

Zaprvé, jelikož pojem „nepřiměřené žádosti/požadavky“ není v GDPR definován, je v tomto ohledu třeba se ve světle judikatury připomenuté v bodě 24 tohoto rozsudku odvolat na obvyklý význam tohoto pojmu v běžném jazyce. Přitom přídavné jméno „nepřiměřený“ označuje něco, co přesahuje běžnou nebo rozumnou míru, nebo co přesahuje míru žádoucí nebo přípustnou.

44

Zadruhé ze znění čl. 57 odst. 4 GDPR vyplývá, že žádosti mohou být „nadměrné“, zejména pokud se opakují. Doslovný výklad tohoto ustanovení však neumožňuje určit, zda toto je opakování, a v důsledku toho samotný počet podaných žádostí, dostačující k odůvodnění takové kvalifikace. S ohledem na uvedenou judikaturu je tedy třeba přezkoumat dosah uvedeného ustanovení v závislosti na kontextu, do něhož je zasazen, a na cíle, které sleduje právní úprava, jejíž je součástí.

45

Pokud jde o kontext, je třeba zaprvé připomenout, že článek 12 GDPR stanoví obecné povinnosti správců, pokud jde o transparentní informace, sdělení a postupy pro výkon práv subjektu údajů. Podle odstavce 2 první věty uvedeného článku správce usnadňuje výkon práv subjektu údajů podle článků 15 až 22 uvedeného nařízení.

46

Zadruhé článek 15 GDPR, který je součástí oddílu 2 kapitoly III, týkající se informací a přístupu k osobním údajům, doplňuje rámec transparentnosti uvedeného nařízení tím, že subjektu údajů přiznává právo na přístup k jeho osobním údajům a právo na informace týkající se zpracování těchto údajů.

47

Uvedený článek 15 GDPR musí být vykládán ve světle první věty bodu 63 odůvodnění uvedeného nařízení, podle které by subjekt údajů měl mít právo na přístup ke shromážděným osobním údajům, které se ho týkají, a měl by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byl o jejich zpracování informován a mohl si ověřit jeho zákonnost. V tomto ohledu platí, že pokud uvedený subjekt podal více žádostí o přístup k jednomu nebo více správcům, aniž mu bylo vyhověno, počet stížností podaných dozorovému úřadu by mohl být totožný s počtem odmítnutí ze strany uvedených správců vůči danému subjektu. Za těchto podmínek by stanovení absolutní číselné prahové hodnoty, při jejímž překročení by uvedené stížnosti mohly být automaticky kvalifikovány jako nepřiměřené, mohlo narušit práva zaručená uvedeným nařízením.

48

Jak bylo v tomto ohledu uvedeno v bodech 33, 34 a 36 tohoto rozsudku, využití možnosti stanovené v čl. 57 odst. 4 GDPR, musí v rozsahu, v němž představuje výjimku ze zásady bezplatnosti úkolů plněných dozorovými úřady, stanovené v čl. 57 odst. 3 uvedeného nařízení, zůstat výjimečné [obdobně viz rozsudky ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258 bod 40, jakož i ze dne 8. listopadu 2022, Deutsche Umwelthilfe (Schvalování motorových vozidel), C‑873/19, EU:C:2022:857, bod 87 a citovaná judikatura]. Může k němu dojít pouze v případě zneužití práva [obdobně viz rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace), C‑307/22, EU:C:2023:811, bod 31], aniž by počet podaných stížností sám o sobě mohl představovat dostačující kritérium pro účely konstatování existence takového zneužití.

49

Článek 57 odst. 4 GDPR totiž odráží ustálenou judikaturu Soudního dvora, podle níž v unijním právu existuje obecná zásada, podle níž se právní subjekty nemohou podvodně nebo zneužívajícím způsobem dovolávat unijních právních norem (rozsudek ze dne 21. prosince 2023, BMW Bank a další, C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, bod 281, jakož i citovaná judikatura).

50

V tomto kontextu, pokud zamýšlí využít možnosti, kterou nabízí čl. 57 odst. 4 GDPR, musí dotčený dozorový úřad s ohledem na všechny relevantní okolnosti každého jednotlivého případu prokázat existenci zneužívajícího úmyslu ze strany subjektu údajů, přičemž počet jím podaných stížností není sám o sobě dostačující. Konstatovat existenci zneužívajícího úmyslu lze, pokud určitá osoba podává stížnosti, aniž je to objektivně nezbytné k ochraně práv, která jí vyplývají z uvedeného nařízení.

51

V tomto ohledu je třeba ještě připomenout, že na základě čl. 52 odst. 4 GDPR jsou členské státy povinny zajistit, aby byl každý dozorový úřad vybaven lidskými, technickými a finančními zdroji, prostorami a infrastrukturou, které bude potřebovat pro účinné plnění svých úkolů a výkon svých pravomocí. Z toho vyplývá, že tyto zdroje musí být přizpůsobeny tomu, jak subjekty údajů využívají práva podávat stížnosti u dozorových úřadů.

52

Je tedy povinností členských států poskytnout dozorovým úřadům vhodné prostředky pro vyřizování všech stížností, které jim byly předloženy, případně tyto prostředky navýšit s cílem přizpůsobit je tomu, jak subjekty údajů využívají práva podávat stížnosti podle čl. 77 odst. 1 GDPR. Dozorový úřad proto nemůže za účelem odmítnutí vyhovět stížnosti podle čl. 57 odst. 4 nařízení argumentovat tím, že subjekt údajů, který podává citelně vyšší množství stížností, než je průměrný počet stížností podávaných subjekty údajů, spotřebovává velké množství zdrojů tohoto úřadu na úkor vyřizování jiných stížností podaných jinými subjekty.

53

Mimoto jak uvedl generální advokát v bodě 76 stanoviska stížnosti podané podle čl. 77 odst. 1 GDPR hrají důležitou roli při získávání informací, které mohou mít dozorové úřady o porušování práv chráněných uvedeným nařízením. Uvedené stížnosti proto významně přispívají k zajištění jednotné a vysoké úrovně ochrany subjektů údajů v Unii a k posílení a vyjasnění jejich práv ve smyslu bodů 10 a 11 odůvodnění uvedeného nařízení.

54

Umožnit dozorovým úřadům, aby určily, že stížnosti jsou nepřiměřené jen proto, že jich je velké množství, by proto ohrozilo dosažení tohoto cíle. Velký počet stížností totiž může být přímým důsledkem toho, že několik správců nereaguje nebo odmítá vyhovět žádosti o přístup podané subjektem údajů za účelem ochrany jeho práv.

55

V tomto ohledu by izolované zohlednění počtu stížností mohlo vést ke svévolnému zásahu do práv, která pro subjekt údajů vyplývají z GDPR, takže konstatování existence nepřiměřených žádostí ve smyslu čl. 57 odst. 4 uvedeného nařízení musí být podmíněno prokázáním zneužívajícího úmyslu ze strany osoby podávající takové stížnosti.

56

Na základě konkrétních okolností každého případu je proto na dozorovém úřadu, který obdrží velký počet stížností, aby prokázal, že tento počet není vysvětlen snahou subjektu údajů získat ochranu práv, která mu vyplývají z GDPR, ale jiným účelem, který s touto ochranou nesouvisí. Tak je tomu zejména v případě, kdy tyto okolnosti ukazují, že počet stížností má za cíl bránit řádnému fungování tohoto úřadu odčerpáváním jeho zdrojů zneužívajícím způsobem.

57

V tomto ohledu mohou být množící se stížnosti podané subjektem údajů známkou nepřiměřených žádostí ze strany subjektu údajů, pokud se zdá, že tyto stížnosti nejsou objektivně odůvodněny úvahami týkajícími se ochrany práv, která subjektu údajů vyplývají z GDPR. Tak tomu může být například v případě, kdy subjekt podává dozorovému úřadu natolik vysoký počet stížností, které směřují proti velkému množství správců, s nimiž není nutně nijak spojen, že toto nepřiměřené využívání jeho práva podávat stížnosti svědčí, ve spojení s dalšími prvky, jako je obsah těchto stížností, o jeho záměru ochromit fungování tohoto úřadu tím, že jej zahltí žádostmi.

58

V projednávané věci tedy přísluší předkládajícím soudu, aby ověřil, zda DSB prokázal existenci zneužívajícího úmyslu ze strany žalovaného v původním řízení, aniž by počet jeho stížností mohl sám o sobě odůvodnit využití možnosti stanovené v čl. 57 odst. 4 GDPR.

59

S ohledem na výše uvedené úvahy je třeba na druhou otázku odpovědět tak, že čl. 57 odst. 4 GDPR musí být vykládán v tom smyslu, že žádosti nelze kvalifikovat jako „nepřiměřené“ ve smyslu tohoto ustanovení pouze z důvodu jejich počtu za určité období, neboť využití možnosti stanovené v uvedeném ustanovení je podřízeno tomu, zda je dozorovým úřadem prokázána existence zneužívajícího úmyslu subjektu, který tyto žádosti podal.

60

Podstatou třetí předběžné otázky předkládajícího soudu je, zda má být čl. 57 odst. 4 směrnice o ochraně osobních údajů vykládán v tom smyslu, že dozorový úřad se může v případě, že čelí nepřiměřeným žádostem, svobodně rozhodnout, zda uloží přiměřený poplatek na základě svých administrativních nákladů, anebo zda odmítne uvedeným žádostem vyhovět.

61

Pokud jde zaprvé o znění čl. 57 odst. 4 GDPR, je třeba konstatovat, že obě možnosti, které stanoví pro případ nepřiměřených žádostí, tedy uložení přiměřeného poplatku na základě administrativních nákladů a odmítnutí vyhovět nepřiměřeným žádostem, jsou uvedeny za sebou a jsou odděleny koordinační spojkou „nebo“, aniž by bylo možné ze zvolené formulace vyvodit pořadí podle priority mezi tou či onou možností [obdobně viz rozsudek ze dne 12. ledna 2023, Österreichische Post (Informace o příjemcích osobních údajů), C‑154/21, EU:C:2023:3, bod 31].

62

Zdá se tedy, že znění tohoto ustanovení hovoří ve prospěch výkladu, podle kterého má uvedený úřad, jakmile zjistí nepřiměřenou povahu žádostí, které jsou mu předloženy, možnost zvolit si některou z uvedených možností.

63

Pokud jde zadruhé o kontext, do něhož spadá čl. 57 odst. 4 GDPR, je třeba připomenout, že bod 59 odůvodnění GDPR uvádí, že „je třeba stanovit postupy, které by usnadnily výkon práv subjektů údajů podle tohoto nařízení, včetně mechanismů pro podávání žádostí, a případně bezplatného obdržení přístupu k osobním údajům a opravy nebo výmazu osobních údajů a pro uplatnění práva vznést námitku“. Z toho tedy vyplývá, že volbu jedné z obou možností lze učinit, pokud je v každém případě zajištěn účinný výkon práva podat stížnosti.

64

Zatřetí, výklad podaný v bodě 62 tohoto rozsudku je v souladu s cíli sledovanými GDPR.

65

V tomto ohledu je třeba připomenout, že cílem tohoto nařízení je, jak uvádí body 10 a 11 jeho odůvodnění, zajistit soudržnou a vysokou úroveň ochrany fyzických osob v rámci Unie a posílit a podrobně vymezit práva subjektů údajů [rozsudek ze dne 26. října 2023, FT (Kopie zdravotnické dokumentace), C‑307/22, EU:C:2023:811, bod 47].

66

Kromě toho z bodu 129 odůvodnění uvedeného nařízení vyplývá, že dozorový úřad je povinen nestranně a spravedlivě posuzovat, zda je taková žádost zjevně nedůvodná nebo nepřiměřená, a zajistit, aby jeho volba byla vhodná, nezbytná a přiměřená, přičemž zohlední relevantní okolnosti a zabrání zbytečným nákladům a nadměrnému nepohodlí pro subjekt údajů.

67

Proto vzhledem k významu práva podávat stížnosti s ohledem na cíl zajistit vysokou úroveň ochrany osobních údajů, k zásadnímu místu, které má vyřizování těchto stížností mezi úkoly svěřenými dozorovým úřadům, a k povinnosti těchto úřadů vyřizovat tyto stížnosti s veškerou náležitou péčí, je povinností uvedených úřadů zohlednit všechny relevantní okolnosti a zajistit, aby zvolená možnost byla vhodná, nezbytná a přiměřená.

68

V tomto ohledu by dozorový úřad mohl považovat za vhodné, v závislosti na příslušných okolnostech a s cílem ukončit zneužívání, které může být na újmu jeho řádnému fungování, uložit přiměřený poplatek na základě svých administrativních nákladů plynoucích z dodatečné pracovní zátěže způsobené nepřiměřeným počtem stížností. Odrazující účinek této možnosti by totiž mohl úřad vést k tomu, že ji upřednostní před možností rovnou odmítnout těmto stížnostem vyhovět.

69

S ohledem na bod 129 odůvodnění GDPR by dozorové úřady mohly zvážit na prvním místě uložení úhrady přiměřených poplatků založených na administrativních nákladech před tím, než odmítnou žádosti na druhém místě vyhovět, v rozsahu, v němž první z těchto opatření zasahuje do práv, která subjektům údajů vyplývají z tohoto nařízení, mírněji ve srovnání s druhým opatřením. Článek 57 odst. 4 uvedeného nařízení však neobsahuje povinnost dozorového úřadu využít nejprve a v každém případě možnost požadovat zaplacení přiměřených poplatků.

70

S ohledem na výše uvedené úvahy je třeba na třetí otázku odpovědět, že čl. 57 odst. 4 GDPR musí být vykládán v tom smyslu, že pokud dozorový úřad čelí nepřiměřeným žádostem, může si prostřednictvím odůvodněného rozhodnutí vybrat mezi uložením přiměřeného poplatku na základě svých administrativních nákladů, nebo odmítnutím žádosti vyhovět, přičemž zohlední všechny relevantní okolnosti a zajistí, aby zvolená možnost byla vhodná, nezbytná a přiměřená.

71

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto: