–

za českou vládu: L. Březinová, M. Smolek a J. Vláčil, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar a P. Ondrůšek, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 4 bodu 1, jakož i čl. 6 odst. 1 písm. c) a e) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1; oprava Úř. věst. 2018, L 127, s. 2, a oprava Úř. věst. 2021, L 74, s. 35, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi L. H. a Ministerstvem zdravotnictví (Česká republika), jehož předmětem je rozhodnutí tohoto ministerstva neposkytnout L. H. určité informace týkající se zástupců právnických osob, kteří jsou uvedeni ve smlouvách na nákup screeningových testů na covid-19 a v certifikátech týkajících se těchto testů.

3

V bodech 1, 4, 10, 14 a 154 odůvodnění GDPR je uvedeno:

[...]

[...]

[...]

[...]

4

Článek 1 GDPR, nadepsaný „Předmět a cíle“, v odstavci 2 stanoví:

„Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.“

5

Článek 4 GDPR, nadepsaný „Definice“, stanoví:

„Pro účely tohoto nařízení se rozumí:

[...]“

6

Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, stanoví:

„1.   Osobní údaje musí být:

[...]“

7

Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

[...]

2.   Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého [korektního] zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého [korektního] zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví [jak stanoví] kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

[...]“

8

Článek 86 GDPR, nadepsaný „Zpracování a přístup veřejnosti k úředním dokumentům“, je součástí kapitoly IX tohoto nařízení, která obsahuje ustanovení týkající se zvláštních situací, při nichž dochází ke zpracování. Tento článek zní:

„Osobní údaje v úředních dokumentech, které jsou v držení orgánu veřejné moci či veřejného nebo soukromého subjektu za účelem plnění úkolu ve veřejném zájmu, může tento orgán či subjekt zpřístupnit v souladu s právem Unie nebo členského státu, kterému podléhá, aby tak zajistil soulad mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů podle tohoto nařízení.“

9

Zákon č. 106/1999 Sb., o svobodném přístupu k informacím ukládá orgánům veřejné moci povinnost poskytnout informace fyzické nebo právnické osobě, která o ně požádá.

10

Podle § 8a odst. 1 tohoto zákona povinný subjekt poskytne informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje jen v souladu s právními předpisy, upravujícími jejich ochranu.

11

L. H. se obrátil na ministerstvo zdravotnictví se žádostí o informace týkající se identifikace osob, které podepsaly smlouvy na nákup screeningových testů na covid-19 uzavřené tímto ministerstvem, jakož i certifikáty týkající se těchto testů, které prokazují možnost je používat na území Unie.

12

Ministerstvo zdravotnictví žádosti L. H. částečně vyhovělo a poskytlo mu certifikáty týkající se uvedených testů, přičemž začernilo informace týkající se fyzických osob, které jménem daných právnických osob tyto certifikáty podepsaly, včetně jména, příjmení, podpisu a funkčního zařazení těchto fyzických osob a v případě několika certifikátů e-mailové adresy, telefonního čísla a webové stránky těchto právnických osob. Začernění těchto informací bylo odůvodněno ochranou osobních údajů fyzických osob uvedených v těchto certifikátech v souladu s požadavky nařízení GDPR.

13

L. H. podal k Městskému soudu v Praze (Česká republika) žalobu, kterou se domáhal zrušení rozhodnutí ministerstva zdravotnictví o poskytnutí informací v rozsahu, v jakém v něm byly uvedené informace začerněny. Uvedený soud této žalobě vyhověl, když měl za to, že ministerstvo nemůže v zásadě odmítnout poskytnutí informací představujících osobní údaje, aniž předtím o žádosti o poskytnutí těchto údajů informovalo subjekt údajů nebo si opatřilo jeho vyjádření, jak stanoví příslušná vnitrostátní judikatura. Podle daného soudu totiž ministerstvo zdravotnictví tímto jednáním ani nepřiznalo subjektům údajů postavení „účastníků řízení“ ve smyslu vnitrostátního práva ani se právně dostačujícím způsobem neujistilo, že není naplněna žádná z podmínek pro zákonnost zpracování uvedených v čl. 6 odst. 1 GDPR.

14

Ministerstvo zdravotnictví podalo proti rozhodnutí Městského soudu v Praze kasační stížnost k Nejvyššímu správnímu soudu (Česká republika), který je předkládajícím soudem. Podle tohoto ministerstva nemůže skutečnost, že neinformovalo dotyčné fyzické osoby o žádosti o poskytnutí dotčených údajů, představovat procesní vadu. Uvedené ministerstvo tvrdí, že tyto osoby vykonávají činnost z Číny a Spojeného království, kde jsou registrovány právnické osoby, které dané certifikáty vystavily, a že bydliště uvedených osob mu není známo. Nemůže je tedy v tomto ohledu informovat a konzultovat.

15

V této souvislosti si předkládající soud zaprvé klade otázku, zda údaje dotčené ve věci v původním řízení představují „osobní údaje“ ve smyslu čl. 4 bodu 1 GDPR. S ohledem na bod 14 odůvodnění tohoto nařízení se přiklání k názoru, že tyto informace představují údaje týkající se právnické osoby, které do oblasti působnosti uvedeného nařízení nespadají. Uvedený soud nicméně poznamenává, že judikatura Soudního dvora upřednostňuje široký výklad pojmu „osobní údaje“, z něhož vyplývá, že informace týkající se identifikovatelných fyzických osob, které pocházejí mimo jiné z obchodního rejstříku, pod tento pojem spadají.

16

Zadruhé pro případ, že by měl Soudní dvůr za to, že údaje dotčené ve věci v původním řízení představují osobní údaje, si předkládající soud klade otázku, zda je s unijním právem slučitelná relevantní vnitrostátní judikatura, která správci, jemuž je předložena žádost o poskytnutí těchto údajů, ukládá povinnost informovat a konzultovat subjekt údajů před poskytnutím uvedených údajů žadateli. Předkládající soud dále upřesňuje, že tato povinnost platí i v situacích, kdy samotné nařízení GDPR nevyžaduje souhlas subjektu údajů, a sice v jiných situacích, než je situace uvedená v čl. 6 odst. 1 písm. a) GDPR. Uvedená povinnost tedy jde podle jeho názoru nad rámec požadavků GDPR a činí tak přístup k dotčeným údajům potenciálně obtížnějším než v jiných členských státech. Vzhledem k rozsahu působnosti GDPR je navíc obtížné, ne-li nemožné, systematicky uplatňovat povinnost informace a předběžné konzultace, zejména v případě datových souborů týkajících se velkého počtu osob usazených v různých zemích.

17

Za těchto podmínek se Nejvyšší správní soud rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

18

Podstatou první otázky předkládajícího soudu je, zda musí být čl. 4 body 1 a 2 GDPR vykládán v tom smyslu, že poskytnutí jména, příjmení, podpisu a kontaktních údajů fyzické osoby zastupující právnickou osobu představuje zpracování osobních údajů, i když je toto poskytnutí provedeno pouze za účelem umožnění identifikace fyzické osoby oprávněné jednat jménem této právnické osoby.

19

Úvodem je třeba poznamenat, že podle informací předkládajícího soudu jsou právnické osoby, které vystavily certifikáty dotčené ve sporu v původním řízení, usazeny ve třetích zemích, a sice v Číně a Spojeném království. I když takové právnické osoby mohou za určitých podmínek podléhat pravidlům zveřejňování stanoveným směrnicí Evropského parlamentu a Rady (EU) 2017/1132 ze dne 14. června 2017 o některých aspektech práva obchodních společností (Úř. věst. 2017, L 169, s. 46), zejména pokud jde o povinné zveřejňování totožnosti osob, které jsou oprávněny zastupovat tyto právnické osoby vůči třetím osobám, nic ve spise, který má Soudní dvůr k dispozici, nenasvědčuje tomu, že by tato směrnice byla v projednávané věci relevantní.

20

Po této úvodní poznámce je třeba připomenout, že podle čl. 4 bodu 1 GDPR se „osobním údajem“ rozumí „veškeré informace o identifikované nebo identifikovatelné fyzické osobě“. „Identifikovatelnou fyzickou osobou“ je ve smyslu tohoto ustanovení „fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“.

21

Podle ustálené judikatury použití výrazu „veškeré informace“ v definici pojmu „osobní údaje“ uvedené v tomto ustanovení odráží cíl unijního normotvůrce přiznat tomuto pojmu široký význam, který potenciálně zahrnuje všechny druhy informací, a to jak objektivní, tak subjektivní, ve formě názoru nebo hodnocení pod podmínkou, že jsou „o“ dotčené osobě. Informace je o identifikované nebo identifikovatelné fyzické osobě, pokud vzhledem ke svému obsahu, účelu nebo účinku souvisí s identifikovatelnou osobou (rozsudky ze dne 7. března 2024, IAB Europe, C‑604/22, EU:C:2024:214, body 36 a 37, jakož i ze dne 4. října 2024, Agencia po vpisvanijata,C‑200/23, EU:C:2024:827, body 130 a 131, jakož i citovaná judikatura).

22

Informace o totožnosti identifikovaných nebo identifikovatelných fyzických osob, které jsou jako statutární orgán společnosti nebo členové takového orgánu oprávněny zastupovat společnost vůči třetím osobám, představují „osobní údaje“ ve smyslu čl. 4 bodu 1 GDPR. Skutečnost, že tyto informace spadají do kontextu profesní činnosti, nemůže tyto informace zbavit kvalifikace osobních údajů (obdobně viz rozsudek ze dne 9. března 2017, Manni, C‑398/15, EU:C:2017:197, body 32 a 34, jakož i citovaná judikatura).

23

Jak poznamenala Komise, takový výklad nemůže být vyvrácen bodem 14 odůvodnění GDPR. Druhá věta tohoto bodu odůvodnění totiž odkazuje zejména na „název“ a „kontaktní údaje“ právnické osoby, a nikoli fyzické osoby jednající jménem právnické osoby nebo na její účet.

24

V projednávané věci je třeba konstatovat, že jméno a příjmení identifikované nebo identifikovatelné fyzické osoby představují osobní údaje ve smyslu čl. 4 bodu 1 GDPR. Totéž platí pro podpis takové fyzické osoby (v tomto smyslu viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 136).

25

Pokud jde o ostatní kontaktní údaje dotčené ve věci v původním řízení, je na předkládajícím soudu, aby s ohledem na judikaturu připomenutou v bodě 21 tohoto rozsudku ověřil, zda tyto kontaktní údaje souvisejí s identifikovanou nebo identifikovatelnou fyzickou osobou.

26

Pokud jde o pojem „zpracování“ ve smyslu čl. 4 bodu 2 GDPR, toto ustanovení ho definuje jako „jak[ou]koliv operac[i] nebo soubor operací, které jsou prováděny s osobními údaji nebo soubory osobních údajů pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“.

27

Z výrazu „jakákoliv operace“ tedy vyplývá, že normotvůrce měl v úmyslu koncipovat tento pojem široce, což potvrzuje demonstrativní povaha operací vyjmenovaných v uvedeném ustanovení, která je vyjádřena výrazem „jako je“, přičemž tyto operace zahrnují zpřístupnění přenosem, šíření a jakékoliv jiné zpřístupnění a mohou být automatizované nebo neautomatizované (v tomto smyslu viz rozsudek ze dne 7. března 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, body 29 a 30, jakož i citovaná judikatura).

28

V každém případě ze znění čl. 4 bodu 2 GDPR nijak nevyplývá, že by unijní normotvůrce zamýšlel kvalifikovat tyto operace jako „zpracování“ v závislosti na jejich účelu.

29

Takový výklad je v souladu s cílem sledovaným GDPR, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, kterým je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 21 a citovaná judikatura).

30

V projednávané věci poskytnutí takových údajů, jako je jméno, příjmení, podpis a kontaktní údaje fyzické osoby zastupující právnickou osobu, spadá pod pojem „zpracování“ ve smyslu čl. 4 bodu 2 GDPR. Jak vyplývá z bodů 27 až 29 tohoto rozsudku, okolnost, že jediným účelem poskytnutí takových údajů je umožnit identifikaci fyzické osoby oprávněné jednat jménem právnické osoby, je pro účely kvalifikace jako „zpracování“ ve smyslu tohoto ustanovení irelevantní.

31

S ohledem na výše uvedené úvahy je třeba na první otázku odpovědět tak, že čl. 4 body 1 a 2 GDPR musí být vykládán v tom smyslu, že poskytnutí jména, příjmení, podpisu a kontaktních údajů fyzické osoby zastupující právnickou osobu představuje zpracování osobních údajů. Okolnost, že jediným účelem tohoto poskytnutí je umožnit identifikaci fyzické osoby oprávněné jednat jménem této právnické osoby, je v tomto ohledu irelevantní.

32

Podstatou druhé otázky předkládajícího soudu je, zda musí být čl. 6 odst. 1 písm. c) a e) GDPR vykládán v tom smyslu, že brání vnitrostátní judikatuře ukládající správci, který je orgánem veřejné moci odpovědným za zajištění souladu mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů, povinnost informovat a konzultovat dotčenou fyzickou osobu před poskytnutím úředních dokumentů obsahujících takové údaje.

33

V souladu s cílem sledovaným nařízením GDPR, jak byl připomenut v bodě 29 tohoto rozsudku, musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů uvedenými v článku 5 tohoto nařízení a musí splňovat podmínky zákonnosti zpracování vyjmenované v jeho článku 6 (rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 22 a citovaná judikatura).

34

V tomto ohledu čl. 5 odst. 1 písm. a) GDPR stanoví, že osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem.

35

Článek 6 odst. 1 písm. c) GDPR stanoví, že zpracování může být zákonné, pokud je nezbytné pro splnění právní povinnosti, která se na správce vztahuje. Podle čl. 6 odst. 1 písm. e) tohoto nařízení může být takové zpracování rovněž zákonné, pokud je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.

36

V souladu s čl. 6 odst. 2 GDPR mohou členské státy zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tohoto článku tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a korektního zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak jsou uvedeny v kapitole IX GDPR.

37

Článek 6 odst. 3 GDPR stanoví, že základ pro zpracování podle odst. 1 písm. c) a e) tohoto článku 6 musí být podle okolností stanoven unijním právem nebo právem členského státu, které se na správce vztahuje. Příslušný právní základ musí splňovat cíl veřejného zájmu a musí být přiměřený sledovanému legitimnímu cíli. Tento právní základ může rovněž obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel GDPR, jako jsou zejména obecné podmínky, kterými se řídí zákonnost zpracování správcem, nebo jednotlivé operace zpracování a postupy zpracování, jakož i další opatření k zajištění zákonného a korektního zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, uvedené v kapitole IX GDPR.

38

Dále je třeba uvést, že v oblasti přístupu veřejnosti k úředním dokumentům článek 86 GDPR, který je součástí kapitoly IX tohoto nařízení, stanoví, že osobní údaje v úředních dokumentech, které jsou v držení orgánu veřejné moci či veřejného nebo soukromého subjektu za účelem plnění úkolu ve veřejném zájmu, může tento orgán či subjekt zpřístupnit v souladu s unijním právem nebo právem příslušného členského státu, aby zajistil soulad mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů.

39

Tento článek musí být vykládán ve světle zaprvé bodu 4 odůvodnění GDPR, který zejména uvádí, že právo na ochranu osobních údajů není právem absolutním, zadruhé bodu 154 odůvodnění tohoto nařízení, z něhož mimo jiné vyplývá, že přístup veřejnosti k úředním dokumentům lze považovat za přístup ve veřejném zájmu, a zatřetí judikatury, podle níž zásada transparentnosti, jak vyplývá z článků 1 a 10 SEU, jakož i z článku 15 SFEU, umožňuje občanům blíže se účastnit rozhodovacího procesu a zaručuje, že správní orgány budou mít ve vztahu k občanům v demokratickém systému větší legitimitu, účinnost a odpovědnost (rozsudek ze dne 22. listopadu 2022, Luxembourg Business Registers, C‑37/20 a C‑601/20, EU:C:2022:912, bod 60 a citovaná judikatura).

40

Jak vyplývá z bodu 10 odůvodnění GDPR, členské státy jsou sice oprávněny zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat uplatňování pravidel tohoto nařízení, avšak tyto státy musí využít svého prostoru pro uvážení za podmínek a v mezích stanovených uvedeným nařízením a musí vykonávat legislativní činnost způsobem, jenž nezasáhne do jeho obsahu a cílů (v tomto smyslu viz rozsudek ze dne 30. března 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, bod 59 a citovaná judikatura).

41

Kromě toho v souladu se zásadou proporcionality se musí členské státy ujistit, že praktické důsledky, zejména organizační povahy, způsobené dodatečnými požadavky, které stanovily, nejsou nepřiměřené (v tomto smyslu viz rozsudek ze dne 21. prosince 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 67).

42

V projednávané věci se na zpracování dotčené ve věci v původním řízení může vztahovat jak písm. c), tak písm. e) článku 6 odst. 1 GDPR, jelikož je správci uloženo zákonem č. 106/1999 Sb. při plnění úkolu ve veřejném zájmu, který spočívá v zajištění přístupu veřejnosti k úředním dokumentům. V tomto ohledu je nesporné, že tento zákon ukládá orgánům veřejné moci povinnost poskytnout informace, včetně úředních dokumentů, osobám, které o ně požádají.

43

Pokud však požadované informace obsahují osobní údaje, uvedený zákon stanoví, že tyto údaje mohou být poskytnuty jen v souladu s právními předpisy upravujícími jejich ochranu, které – jak poznamenává předkládající soud – zahrnují GDPR. Z předkládacího rozhodnutí vyplývá, že judikatura předkládajícího soudu stanoví doplňující povinnosti k těm, které jsou výslovně stanovené tímto nařízením. Ukládá totiž orgánům veřejné moci povinnost informovat a konzultovat subjekt údajů před každým poskytnutím uvedených údajů.

44

Pokud jde o slučitelnost takové vnitrostátní judikatury, jako je judikatura dotčená ve věci v původním řízení, s GDPR, je třeba konstatovat, že podle ustanovení uvedených v bodech 36 a 37 tohoto rozsudku mohou členské státy zavést konkrétní ustanovení, aby zajistily zákonné a korektní zpracování u jiných zvláštních situací, při nichž dochází ke zpracování, jako je situace uvedená v článku 86 GDPR. V tomto ohledu může být taková judikatura součástí právního základu pro zpracování ve smyslu čl. 6 odst. 3 GDPR.

45

V důsledku toho čl. 6 odst. 1 písm. c) a e) GDPR v zásadě nebrání vnitrostátní judikatuře, která stanoví povinnost informovat a konzultovat subjekt údajů před každým poskytnutím osobních údajů, které se ho týkají. Taková povinnost totiž může zajistit zákonné, korektní a transparentní zpracování ve vztahu k tomuto subjektu ve smyslu čl. 5 odst. 1 písm. a) GDPR tím, že mu umožní vyjádřit se k zamýšlenému poskytnutí uvedených osobních údajů. Tato povinnost tak přispívá k dosažení cíle připomenutého v bodě 29 tohoto rozsudku a zároveň umožňuje orgánu veřejné moci dosáhnout souladu vyžadovaného článkem 86 GDPR s plnou znalostí věci.

46

Nicméně s ohledem na judikaturu připomenutou v bodech 40 a 41 tohoto rozsudku by absolutní uplatňování uvedené povinnosti mohlo vést k nepřiměřenému omezení práva veřejnosti na přístup k úředním dokumentům. Lze si totiž představit, že z různých důvodů se informování nebo konzultace subjektu údajů mohou ukázat jako nemožné nebo vyžadující nepřiměřené úsilí. V takovém kontextu by poukazování na praktickou nemožnost informovat tento subjekt a konzultovat jej jako na důvod pro systematické odmítání jakéhokoli poskytování informací, které se ho týkají, vedlo k tomu, že by byla vyloučena veškerá snaha o zajištění souladu dotčených zájmů, přestože je zajišťování jejich souladu výslovně stanoveno v článku 86 GDPR.

47

Je patrné – s výhradou ověření provedeného předkládajícím soudem – že v projednávaném případě ministerstvo zdravotnictví založilo své rozhodnutí neposkytnout všechny požadované informace pouze na této praktické nemožnosti, aniž jakkoliv usilovalo o zajištění souladu dotčených zájmů.

48

S ohledem na všechny výše uvedené úvahy je třeba na druhou otázku odpovědět tak, že čl. 6 odst. 1 písm. c) a e) GDPR ve spojení s článkem 86 tohoto nařízení musí být vykládán v tom smyslu, že nebrání vnitrostátní judikatuře ukládající správci, který je orgánem veřejné moci odpovědným za zajištění souladu mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů, povinnost informovat a konzultovat dotčenou fyzickou osobu před poskytnutím úředních dokumentů obsahujících takové údaje, za předpokladu, že taková povinnost není nesplnitelná nebo nevyžaduje nepřiměřené úsilí, a tudíž neznamená nepřiměřené omezení práva veřejnosti na přístup k těmto dokumentům.

49

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto: