null
ROZSUDEK SOUDNÍHO DVORA (pátého senátu)
18. června 2026(*)
„ Řízení o předběžné otázce – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení (EU) 2016/679 – Článek 5 odst. 1 písm. e) – Omezení uložení – Článek 6 odst. 1 první pododstavec písm. e) – Zákonnost zpracování údajů v souvislosti se zaměstnáním v rámci soudního řízení – Článek 17 odst. 3 písm. e) – Neexistence povinnosti vymazat tyto údaje v případě zpracování nezbytného pro určení, výkon nebo obhajobu právních nároků v soudním řízení – Údaje získané zaměstnavatelem za účelem prokázání závažného porušení povinností ze strany zaměstnance – Použití protiprávně získaných důkazů“
Ve věci C‑484/24,
jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Landesarbeitsgericht Niedersachsen (Zemský pracovní soud spolkové země Dolní Sasko, Německo) ze dne 8. května 2024, došlým Soudnímu dvoru dne 10. července 2024, v řízení
NTH Haustechnik GmbH
proti
EM,
SOUDNÍ DVŮR (pátý senát),
ve složení: M. L. Arastey Sahún, předsedkyně senátu, J. Passer, E. Regan (zpravodaj), D. Gratsias a B. Smulders, soudci,
generální advokát: D. Spielmann,
za soudní kancelář: G. Chiapponi, rada,
s přihlédnutím k písemné části řízení a po jednání konaném dne 2. července 2025,
s ohledem na vyjádření, která předložili:
– za německou vládu: J. Möller a P.-L. Krüger, jako zmocněnci,
– za maďarskou vládu: M. Z. Fehér, K. Szíjjártó a Zs. Biró-Tóth, jako zmocněnci,
– za finskou vládu: A. Laine a H. Leppo, jako zmocněnkyně,
– za Evropskou komisi: A. Bouchagiar, F. Erlbacher a H. Kranenborg, jako zmocněnci,
po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 16. října 2025,
vydává tento
Rozsudek
1 Žádost o rozhodnutí o předběžné otázce se týká výkladu článků 5, 6, 9, 13 a 17 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
2 Tato žádost byla předložena v rámci sporu mezi společností NTH Haustechnik GmbH (dále jen „NTH“) a její bývalou zaměstnankyní EM ohledně náhrady škody, která této společnosti údajně vznikla v důsledku neoprávněného internetového prodeje zboží, které jí patřilo.
Právní rámec
Unijní právo
3 V bodech 1, 2, 4, 7, 10, 20, 39 a 41 odůvodnění GDPR je uvedeno:
„(1) Ochrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem. Ustanovení čl. 8 odst. 1 Listiny základních práv Evropské unie (dále jen ‚Listina‘) a čl. 16 odst. 1 [SFEU] přiznávají každému právo na ochranu osobních údajů, které se jej týkají.
(2) Zásady a pravidla ochrany fyzických osob v souvislosti se zpracováním jejich osobních údajů by bez ohledu na jejich státní příslušnost nebo bydliště měly respektovat jejich základní práva a svobody, zejména právo na ochranu osobních údajů. Cílem tohoto nařízení je přispět k dotvoření prostoru svobody, bezpečnosti a práva a hospodářské unie, k hospodářskému a sociálnímu pokroku, k posílení a sblížení ekonomik v rámci vnitřního trhu a k dobrým životním podmínkám fyzických osob.
[...]
(4) Zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost.
[...]
(7) Tento vývoj vyžaduje pevný a soudržnější rámec pro ochranu osobních údajů v [Evropské] [u]nii, jenž by se opíral o důsledné vymáhání práva, a to s ohledem na nezbytnost nastolit důvěru, která umožní rozvoj digitální ekonomiky na celém vnitřním trhu. Fyzické osoby by měly mít možnost kontrolovat své vlastní osobní údaje. Měla by být posílena právní a praktická jistota fyzických osob, hospodářských subjektů a orgánů veřejné moci.
[...]
(10) S cílem zajistit soudržnou a vysokou úroveň ochrany fyzických osob a odstranit překážky bránící pohybu osobních údajů v rámci Unie by měla být úroveň ochrany práv a svobod fyzických osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech. V celé Unii je třeba zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů. Pokud jde o zpracování osobních údajů z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, měly by mít členské státy možnost zachovat či zavést vnitrostátní předpisy za účelem dále konkretizovat uplatňování pravidel tohoto nařízení. Ve spojení s obecnými a horizontálními právními předpisy o ochraně údajů provádějícími směrnici [Evropského parlamentu a Rady] 95/46/ES [ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355)] existuje v členských státech několik právních předpisů specifických pro určitá odvětví v oblastech, ve kterých je třeba přijmout konkrétnější ustanovení. Toto nařízení rovněž poskytuje členským státům určitý prostor ke stanovení vlastních pravidel, včetně pravidel pro zpracování zvláštních kategorií osobních údajů [...] V tomto rozsahu nařízení nevylučuje, aby právo členského státu stanovilo okolnosti konkrétních situací, při nichž dochází ke zpracování, včetně přesnějšího určení podmínek, za nichž je zpracování osobních údajů zákonné.
[...]
(20) Toto nařízení se mimo jiné vztahuje na činnost soudů a dalších justičních orgánů, a proto by právo Unie nebo členského státu mohlo stanovit operace a postupy zpracování v souvislosti se zpracováním osobních údajů soudy a dalšími justičními orgány. Pravomoc dozorových úřadů by neměla zahrnovat zpracování osobních údajů, pokud soudy jednají v rámci svých soudních pravomocí, aby byla zajištěna nezávislost soudnictví při plnění soudních funkcí, včetně rozhodování. Dozor nad takovými operacemi zpracování by mělo být možné svěřit zvláštním subjektům v rámci justičního systému členského státu, které by zejména měly zajistit soulad s pravidly tohoto nařízení, posilovat povědomí členů justičních orgánů o jejich povinnostech podle tohoto nařízení a zabývat se stížnostmi souvisejícími s takovými operacemi zpracování.
[...]
(39) Jakékoliv zpracování osobních údajů by mělo být prováděno zákonným a spravedlivým způsobem. Pro fyzické osoby by mělo být transparentní, že osobní údaje, které se jich týkají, jsou shromažďovány, používány, konzultovány nebo jinak zpracovávány, jakož i v jakém rozsahu tyto osobní údaje jsou či budou zpracovány. Zásada transparentnosti vyžaduje, aby všechny informace a všechna sdělení týkající se zpracování těchto osobních údajů byly snadno přístupné a srozumitelné a podávané za použití jasných a jednoduchých jazykových prostředků. Tato zásada se dotýká zejména informování subjektů údajů o totožnosti správce a účelech zpracování a o dalších záležitostech v zájmu zajištění spravedlivého a transparentního zpracování ve vztahu k dotčeným fyzickým osobám a jejich práva získat potvrzení a na sdělení zpracovávaných osobních údajů, které se jich týkají. Fyzické osoby by měly být upozorněny na to, jaká rizika, pravidla, záruky a práva existují v souvislosti se zpracováním jejich osobních údajů a jak mají v souvislosti s tímto zpracováním uplatňovat svá práva. Zejména je zapotřebí, aby konkrétní účely, pro které jsou osobní údaje zpracovávány, byly jednoznačné a legitimní a aby byly stanoveny v okamžiku shromažďování osobních údajů. Osobní údaje by měly být přiměřené, relevantní a omezené na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány. Je nezbytné zejména zajistit, aby byla doba, po kterou jsou osobní údaje uchovávány, omezena na nezbytné minimum. Osobní údaje by měly být zpracovány pouze tehdy, nemůže-li být účelu zpracování přiměřeně dosaženo jinými prostředky. [...]
[...]
(41) Odkazy v tomto nařízení na právní základ či legislativní opatření neznamenají nutně legislativní akt přijatý parlamentem, aniž jsou dotčeny požadavky vyplývající z ústavního řádu dotčeného členského státu. Tento právní základ či legislativní opatření by však měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora Evropské unie [...] a Evropského soudu pro lidská práva.“
4 Článek 1 GDPR, nadepsaný „Předmět a cíle“, stanoví:
„1. Toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů a pravidla týkající se volného pohybu osobních údajů.
2. Toto nařízení chrání základní práva a svobody fyzických osob, a zejména jejich právo na ochranu osobních údajů.
3. Volný pohyb osobních údajů v Unii není z důvodu ochrany fyzických osob v souvislosti se zpracováním osobních údajů omezen ani zakázán.“
5 Článek 2 GDPR, nadepsaný „Věcná působnost“, v odstavcích 1 a 2 stanoví:
„1. Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.
2. Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:
a) při výkonu činností, které nespadají do oblasti působnosti práva Unie;
b) členskými státy při výkonu činností, které spadají do oblasti působnosti hlavy V kapitoly 2 Smlouvy o EU;
c) fyzickou osobou v průběhu výlučně osobních či domácích činností;
d) příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.“
6 Článek 4 GDPR, nadepsaný „Definice“, stanoví:
„Pro účely tohoto nařízení se rozumí:
[...]
2) ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;
[...]
6) ‚evidencí‘ jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií, ať již je centralizovaný, decentralizovaný, nebo rozdělený podle funkčního či zeměpisného hlediska;
[...]“
7 Kapitola II GDPR, nadepsaná „Zásady“, obsahuje články 5 až 11 tohoto nařízení.
8 Článek 5 GDPR, nadepsaný „Zásady zpracování osobních údajů“, v odstavci 1 stanoví:
„1. Osobní údaje musí být:
a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem (‚zákonnost, korektnost a transparentnost‘);
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely (‚účelové omezení‘);
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány (‚minimalizace údajů‘);
[...]
e) uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů (‚omezení uložení‘);
[...]“
9 Článek 6 GDPR, nadepsaný „Zákonnost zpracování“, stanoví:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo za účelem přijetí opatření na žádost subjektu údajů před uzavřením smlouvy;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.
2. Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.
3. Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:
a) právem Unie nebo
b) právem členského státu, které se na správce vztahuje.
Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, včetně obecných podmínek, kterými se řídí zákonnost zpracování správcem, typu osobních údajů, které mají být zpracovány, dotčených subjektů údajů, subjektů, kterým lze osobní údaje poskytnout, a účelu tohoto poskytování, účelového omezení, doby uložení a jednotlivých operací zpracování a postupů zpracování, jakož i dalších opatření k zajištění zákonného a spravedlivého zpracování, jako jsou opatření pro jiné zvláštní situace, při nichž dochází ke zpracování, než stanoví kapitola IX. Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.
4. Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:
a) jakoukoli vazbu mezi účely, kvůli nimž byly osobní údaje shromážděny, a účely zamýšleného dalšího zpracování;
b) okolnosti, za nichž byly osobní údaje shromážděny, zejména pokud jde o vztah mezi subjekty údajů a správcem;
c) povahu osobních údajů, zejména zda jsou zpracovávány zvláštní kategorie osobních údajů podle článku 9 nebo osobní údaje týkající se odsouzení v trestních věcech a trestných činů podle článku 10;
d) možné důsledky zamýšleného dalšího zpracování pro subjekty údajů;
e) existenci vhodných záruk, mezi něž může patřit šifrování nebo pseudonymizace.“
10 Článek 9 GDPR, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví:
„1. Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
2. Odstavec 1 se nepoužije, pokud jde o některý z těchto případů:
[...]
f) zpracování je nezbytné pro určení, výkon nebo obhajobu právních nároků nebo pokud soudy jednají v rámci svých soudních pravomocí;
[...]
3. Osobní údaje uvedené v odstavci 1 mohou být zpracovávány pro účely uvedené v odst. 2 písm. h), jsou-li tyto údaje zpracovány pracovníkem vázaným služebním tajemstvím podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány nebo na jeho odpovědnost nebo jinou osobou rovněž vázanou povinností mlčenlivosti podle práva Unie nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány.
4. Členské státy mohou zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu.“
11 Kapitola III GDPR, nadepsaná „Práva subjektu údajů“, obsahuje články 12 až 23 tohoto nařízení.
12 Článek 13 nařízení GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:
„1. Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:
a) totožnost a kontaktní údaje správce a jeho případného zástupce;
b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů;
c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;
d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);
e) případné příjemce nebo kategorie příjemců osobních údajů;
f) případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.
2. Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:
a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;
b) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;
c) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založená na souhlasu před jeho odvoláním;
d) existence práva podat stížnost u dozorového úřadu;
e) skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutný pro uzavření smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů;
f) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.
3. Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.
4. Odstavce 1, 2 a 3 se nepoužijí, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.“
13 Článek 17 GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, stanoví:
„1. Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
[...]
b) subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
[...]
d) osobní údaje byly zpracovány protiprávně;
[...]
3. Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:
[...]
e) pro určení, výkon nebo obhajobu právních nároků.“
14 Článek 23 GDPR, nadepsaný „Omezení“, stanoví:
„1. Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:
[...]
e) jiné důležité cíle obecného veřejného zájmu Unie nebo členského státu [...]
f) ochranu nezávislosti soudnictví a soudních řízení;
[...]
i) ochranu subjektu údajů nebo práv a svobod druhých;
j) vymáhání občanskoprávních nároků.
2. Každé legislativní opatření uvedené v odstavci 1 zejména obsahuje konkrétní ustanovení, alespoň, je-li to relevantní, pokud jde o:
a) účely zpracování nebo kategorie zpracování;
b) kategorie osobních údajů;
c) rozsah zavedených omezení;
d) záruky proti zneužití údajů nebo protiprávnímu přístupu k nim či jejich protiprávnímu předání;
e) specifikaci správců nebo kategorie správců;
f) doby uložení a platné záruky s ohledem na povahu, rozsah a účely zpracování nebo kategorie zpracování;
g) rizika z hlediska práv a svobod subjektů údajů; a
h) právo subjektů údajů být informováni o daném omezení, pokud toto informování nemůže být na újmu účelu omezení.“
Německé právo
Základní zákon Spolkové republiky Německo
15 Článek 92 Grundgesetz für die Bundesrepublik Deutschland (Základní zákon Spolkové republiky Německo) ze dne 23. května 1949 (BGBl. 1949 I, s. 1), stanoví:
„Výkon soudní moci je svěřen soudcům; vykonává ji Bundesverfassungsgericht (Spolkový ústavní soud, Německo), spolkové soudy stanovené tímto Základním zákonem a soudy spolkových zemí.“
Občanský soudní řád
16 Ustanovení § 138 Zivilprozessordnung (občanský soudní řád) ve znění použitelném na spor v původním řízení, nadepsané „Povinnost osvětlit skutkový stav; povinnost vypovídat pravdivě“, stanoví:
„1. Účastníci řízení jsou povinni vylíčit skutkové okolnosti pravdivě a nic nezamlčet.
2. Každý účastník řízení je povinen se vyjádřit ke skutečnostem tvrzeným protistranou.
3. Skutečnosti, které nejsou výslovně popřeny, se považují za nesporné, pokud z ostatních vyjádření účastníka řízení nevyplývá, že je zamýšlí zpochybnit.
4. Prohlášení účastníka řízení, že o určité skutečnosti neví, je přípustné pouze ohledně skutečností, které se netýkají jeho vlastního jednání nebo vlastního vnímání.“
17 Ustanovení § 286 tohoto zákona, nadepsané „Volné hodnocení důkazů“, stanoví:
„1. Soud rozhodne na základě celého obsahu jednání a závěrů případného dokazování podle své volné úvahy, zda je třeba považovat skutkové tvrzení za pravdivé nebo nepravdivé. V rozhodnutí uvede důvody, které byly určující pro jeho přesvědčení.
2. Soud je vázán zákonnými pravidly v oblasti dokazování pouze v případech uvedených v tomto zákoně.“
18 Ustanovení § 355 uvedeného zákona, nadepsané „Bezprostřednost provádění důkazů“, stanoví:
„1) Dokazování probíhá před soudem rozhodujícím ve věci samé. Pouze v případech stanovených tímto zákonem může být svěřeno členovi tohoto soudu nebo jinému soudu.
2) Proti rozhodnutí nařizujícímu způsob provedení důkazů nelze podat opravný prostředek.“
Spolkový zákon o ochraně údajů
19 Ustanovení § 3 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů) ze dne 30. června 2017 (BGBl. 2017 I, s. 2097) ve znění použitelném na spor v původním řízení, nadepsaný „Zpracování osobních údajů orgány veřejné moci“, stanoví:
„Zpracování osobních údajů orgánem veřejné moci je přípustné, pokud je nezbytné pro plnění úkolu, který spadá do pravomoci správce údajů, nebo do výkonu veřejné moci, kterým je pověřen správce.“
[...]“
20 Ustanovení § 26 spolkového zákona o ochraně údajů ve znění použitelném na spor v původním řízení, nadepsaný „Zpracování osobních údajů v souvislosti se zaměstnáním“, stanoví:
„1) Osobní údaje zaměstnanců lze pro účely pracovního poměru zpracovávat, pokud je to nezbytné pro rozhodnutí o vzniku pracovního poměru nebo po vzniku pracovního poměru pro jeho naplňování nebo ukončení, jakož i pro výkon práv nebo plnění povinností, které souvisí se zastupováním zájmů zaměstnanců, které vyplývají ze zákona nebo z kolektivní smlouvy vyššího stupně, z podnikové dohody nebo kolektivní dohody týkající se veřejné služby (kolektivní smlouvy). Za účelem odhalování trestných činů mohou být osobní údaje zaměstnanců zpracovávány za předpokladu, že existuje důvodné podezření založené na konkrétních indiciích, které musí být prokázány, že se subjekt údajů dopustil trestného činu v rámci pracovního poměru, že zpracování je nezbytné pro odhalení trestného činu a že nepřevažuje oprávněný zájem zaměstnance nebo zaměstnanců na vyloučení zpracování, a zejména pokud povaha a rozsah zpracování nejsou nepřiměřené důvodům, které vedly k tomuto porušení.
2) Je-li zpracování osobních údajů zaměstnanců prováděno na základě souhlasu, je třeba pro posouzení, zda byl souhlas udělen dobrovolně, zohlednit zejména závislé postavení zaměstnance v rámci pracovního poměru, jakož i okolnosti, za nichž byl souhlas udělen. Dobrovolnost souhlasu může být prokázána zejména tehdy, existuje-li pro zaměstnance právní nebo hospodářské zvýhodnění, nebo pokud zaměstnavatel a zaměstnanec mají shodné zájmy. Souhlas musí být učiněn písemně nebo elektronicky, pokud zvláštní okolnosti nevyžadují jinou formu. Zaměstnavatel je povinen písemně informovat zaměstnance o účelu zpracování údajů a o právu odvolat jeho souhlas, které je stanoveno v čl. 7 odst. 3 [GDPR].
[...]
5) Správce musí přijmout vhodná opatření s cílem zajistit, že budou dodrženy zejména zásady zpracování osobních údajů uvedené v článku 5 [GDPR].
6) Práva účasti organizací zastupujících zaměstnance zůstávají nezměněna.
7) Odstavce 1 až 6 se použijí rovněž v případech, kdy jsou osobní údaje, včetně zvláštních kategorií osobních údajů zaměstnanců, zpracovávány, aniž jsou obsaženy v evidenci nebo určeny k tomu, aby v ní obsaženy byly.
8) ‚Zaměstnanci‘ se pro účely tohoto zákona rozumí:
1. pracovnice a pracovníci, včetně dočasných pracovnic a pracovníků zaměstnaných prostřednictvím agentury ve vztahu k uživateli;
[...]“
Spor v původním řízení a předběžné otázky
21 Společnost NTH, která provozuje topenářskou a klimatizační činnost, zaměstnávala EM, která byla provdána za jejího jednatele.
22 Dne 31. října 2019 pracovní poměr mezi společností NTH a EM skončil. Ta měla až do rozluky s jednatelem NTH, k níž došlo 26. června 2022, nadále přístup do prostor společnosti NTH a používala počítače, které se v nich nacházely.
23 Bezprostředně po této rozluce zjistila společnost NTH, která jednala především prostřednictvím jejího zaměstnance F., který je synem jednatele společnosti NTH a EM, že EM prodala přes internetovou prodejní platformu eBay na vlastní účet zboží, o němž NTH tvrdí, že má k němu vlastnické právo, a to v celkové hodnotě 13 217,09 eura. Vzhledem ke kupní ceně tohoto zboží a výši administrativních nákladů způsobených nutností je nahradit činí celková výše škody, která takto společnosti NTH vznikla, údajně 46 567,91 eura.
24 EM popírá, že uvedené zboží prodala bez vědomí NTH. Toto zboží bylo podle jejího tvrzení hlavně zbožím, které zákazníci vrátili, nebo které bylo vadné či zastaralé a které společnost NTH nemohla používat, a nemělo již tedy pro ni žádnou hodnotu. Společnost NTH je bezúplatně převedla na EM, která je prodala za účelem pokrytí nákladů na domácnost, kterou vedla společně s jednatelem společnosti NTH.
25 Landesarbeitsgericht Niedersachsen (Zemský pracovní soud spolkové země Dolní Sasko, Německo), který je předkládajícím soudem, uvádí, že společnost NTH se o prodejích uskutečněných EM dozvěděla tak, že se přihlásila k jejímu soukromému účtu na internetové prodejní platformě eBay. Zaměstnanec F. k tomu použil přihlašovací jméno a heslo EM na této prodejní platformě.
26 Pokud jde o způsob, jakým se tento zaměstnanec dozvěděl toto přihlašovací jméno a heslo, jednatel společnosti NTH tvrdí, že zaměstnanec F. získal informace o používání uvedené platformy ze strany EM tím, že nahlédl do historie prohlížeče na počítači, který patří této společnosti a jejž EM používala, a že uvedené heslo zjistil nahlédnutím do „rodinné složky“ vytvořené na jejím serveru. EM tvrdí, že toto heslo v počítačovém úložišti společnosti NTH neuchovávala. Uvádí naopak, že jednatel společnosti NTH nahlásil ztrátu mobilního telefonu registrovaného na jméno podniku, který používala, aby mohl požádat příslušného telefonního operátora o novou kartu SIM (Subscriber Identity Module, modul identity účastníka), což mu umožnilo použít telefonní číslo spojené s tímto telefonem ke změně hesla k jejímu soukromému účtu na této platformě a získat k němu přístup.
27 Předkládající soud nevylučuje, že ke shromáždění údajů, které společnost NTH provedla, aby zjistila, jaké prodeje EM uskutečnila na internetové prodejní platformě eBay, došlo protiprávně.
28 Uvedený soud se každopádně přiklání k názoru, že údaje získané společností NTH představují zpracování údajů ve smyslu GDPR.
29 Podle uvedeného soudu však judikatura Soudního dvora neumožňuje jednoznačně určit, zaprvé zda jsou pravidla německého procesního práva dostatečně přesná, aby splňovala požadavky GDPR zejména na kritéria, která je třeba použít k určení, za jakých okolností je použití takových údajů zakázáno, zadruhé zda se německé soudy mohou v rámci výkonu své soudní činnosti opírat za účelem zpracování těchto údajů o čl. 17 odst. 3 písm. e) GDPR a zatřetí podle jakých kritérií je třeba podrobně zkoumat, zda je zpracování údajů prováděné v rámci výkonu této činnosti přípustné, zejména pokud mohly být údaje získány jednou ze stran protiprávně, jako je tomu v projednávané věci.
30 Konkrétně předkládající soud v první řadě uvádí, že podle čl. 6 odst. 3 prvního pododstavce GDPR musí být základ pro zpracování podle odst. 1 písm. c) a e) tohoto článku v případě neexistence ustanovení unijního práva stanoven právem členského státu, které se na správce vztahuje, a který musí podle druhého pododstavce tohoto čl. 6 odst. 3, jak jej vykládá tento soud, vymezit účely uvedeného zpracování. Podle uvedeného soudu navíc z judikatury Soudního dvora vyplývající z rozsudku ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely) (C‑175/20, EU:C:2022:124, bod 83), vyplývá, že ke splnění požadavku přiměřenosti, který je vyjádřen v čl. 5 odst. 1 písm. c) GDPR, musí právní úprava, na které je zpracování založeno, stanovit jasná a přesná pravidla pro rozsah, jakož i použití předmětného opatření a vymezení minimálních požadavků, a zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů.
31 Předkládající soud si tedy klade otázku, zda musí být čl. 6 odst. 3 druhý pododstavec GDPR vykládán v tom smyslu, že pokud soud v rámci výkonu své soudní činnosti učiní úkon, kterým zasahuje do základních práv jedné ze stran, a provádí s tím související zpracování údajů, stačí, aby toto zpracování bylo nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, anebo zda musí právní základ tohoto zpracování zejména s ohledem na čl. 8 odst. 2 Listiny upřesňovat okolnosti a podmínky, za nichž mohou být údaje předložené účastníky řízení tímto soudem použity.
32 Pro případ, že Soudní dvůr dospěje k závěru, že soudní úkony spočívající ve zpracování údajů, které porušují základní práva, musí být založeny na právních ustanoveních obsahujících taková upřesnění, se předkládající soud táže, zda taková vnitrostátní pravidla, jako jsou pravidla dotčená ve věci v původním řízení, splňují požadavky stanovené GDPR. Tato pravidla totiž neobsahují údaj o podmínkách, které musí být splněny, ani o kritériích, která je třeba poměřit, aby bylo možné určit, zda je soud oprávněn zohlednit skutkové okolnosti, na které se účastník řízení odvolává, nebo provést důkazní návrhy tohoto účastníka řízení. Předkládající soud si zejména klade otázku, jaký dopad má skutečnost, že neexistuje ustanovení, které by upravovalo případy, kdy dotčený účastník řízení získal osobní údaje, o které se opírá, protiprávně nebo případy, kdy se opírá o důkazy, které získal protiprávním použitím osobních údajů. Dále si klade otázku, jaký dopad má výlučně soudní povaha pravidel upravujících v německém právu používání takových údajů.
33 Ve druhé řadě předkládající soud uvádí, že Bundesarbeitsgericht (Spolkový pracovní soud, Německo) ve své judikatuře uvedl, že z článku 17 GDPR jasně vyplývá, že zpracování osobních údajů soudem je možné, i když se získání těchto údajů účastníkem řízení ve fázi před zahájením soudního řízení nebo v mimosoudní fázi ukáže jako protiprávní podle GDPR nebo příslušného vnitrostátního práva na ochranu údajů, takže není důvod předložit Soudnímu dvoru žádost o rozhodnutí o předběžné otázce.
34 Bundesarbeitsgericht dále uvádí, že čl. 17 odst. 3 písm. e) GDPR sice stanoví výjimku z práva na výmaz údajů, které byly zpracovány protiprávně, a to v rozsahu, v němž je toto zpracování „nezbytné“ pro určení, výkon nebo obhajobu právních nároků, avšak toto ustanovení se týká pouze tohoto práva na výmaz.
35 Předkládající soud má každopádně za to, že je třeba si položit otázku, zda základ pro zpracování osobních údajů ze strany vnitrostátních soudů v rámci výkonu jejich soudní činnosti představují čl. 6 odst. 1 písm. e) nebo čl. 9 odst. 2 písm. f) nebo zda se tyto soudy mohou rovněž opírat o čl. 17 odst. 3 písm. e) GDPR.
36 Pro případ, že by Soudní dvůr dospěl k závěru, že čl. 17 odst. 3 písm. e) GDPR může představovat takový základ pro zpracování prováděné v rámci výkonu soudní činnosti vnitrostátních soudů, se předkládající soud táže, jak má být toto ustanovení použito, a zda zahrnuje i zákaz použít údaje, například když původní shromáždění údajů nebylo provedeno skrytě a bylo použito k prokázání úmyslného porušení povinnosti.
37 Ve třetí řadě si předkládající soud klade otázku ohledně hmotněprávních kritérií, kterými se musí řídit úkony zpracování údajů prováděné v rámci výkonu soudních činností.
38 Uvedený soud se především táže, zda zaprvé v případě protiprávně získaných údajů, jejichž pravost a věcná správnost však nejsou jako takové zpochybňovány, musí vnitrostátní soudy zkoumat přiměřenost a provést důkladné poměření dotčených zájmů. Táže se rovněž, zda tyto soudy musí posoudit, zda je třeba takovou situaci odlišit od situace, kdy protistrana zpochybňuje jak způsob získání dotčených údajů tím, že jej označí za protiprávní, tak jejich pravost nebo věcnou správnost.
39 Zadruhé předkládající soud zdůrazňuje, že když společnost NTH zajistila pro účely původního řízení některé údaje, které byly uloženy v jejím počítačovém systému, EM jej již dávno nepoužívala. Tento soud dále uvádí, že čl. 5 odst. 1 písm. e) GDPR v podstatě stanoví, že osobní údaje mohou být uchovávány pouze po dobu, která není delší, než je nezbytné pro účely, pro které jsou zpracovávány. Klade si tedy otázku, jaké důsledky je třeba pro použití tohoto ustanovení vyvodit ze skutečnosti, že tyto údaje byly shromážděny již dávno, či dokonce byly uchovávány po dlouhou dobu, a také z toho, že existovaly smluvní povinnosti výmazu, které nebyly dodrženy.
40 Zatřetí si předkládající soud klade otázku, zda postačuje, aby se účastník řízení dovolával obecného zájmu na dokazování, nebo zda unijní právo nevyžaduje zohlednění dalších aspektů, z nichž vyplývá, že zájem na získání důkazů vyžaduje ochranu i přes zásah do práva jiného účastníka řízení.
41 Začtvrté by chtěl uvedený soud vědět, zda se zaměstnavatel, který podal žalobu, může v takové situaci, jako je situace dotčená ve věci v původním řízení, dovolávat čl. 47 odst. 2 Listiny, aby odůvodnil získání a zpracování osobních údajů, které provedl, a jaké důsledky je třeba vyvodit ze skutečnosti, že tento zaměstnavatel možná porušil své informační povinnosti podle článku 13 GDPR.
42 Zapáté uvedený soud uvádí, že v bodě 55 rozsudku ze dne 2. března 2023, Norra Stockholm Bygg (C‑268/21, EU:C:2023:145), rozhodl Soudní dvůr, že za účelem zohlednění čl. 5 odst. 1 GDPR, a zejména zásady „minimalizace údajů“ uvedené v písm. c) tohoto ustanovení, musí vnitrostátní soud určit, zda je zpřístupnění osobních údajů přiměřené a relevantní za účelem zajištění cíle sledovaného použitelnými ustanoveními vnitrostátního práva a zda tohoto cíle nelze dosáhnout použitím důkazních prostředků, které méně narušují ochranu osobních údajů velkého počtu třetích osob, jako je například výslech vybraných svědků. Táže se tedy, zda je toto řešení použitelné na projednávanou věc, jelikož by mohly být dotčeny například údaje kupujících na internetové prodejní platformě eBay.
43 Za těchto podmínek se Landesarbeitsgericht Niedersachsen (Zemský pracovní soud spolkové země Dolní Sasko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1) Splňují ustanovení článku 92 Základního zákona [Spolkové republiky Německo] a § 138, § 286, § 355 a násl. občanského soudního řádu [ve znění použitelném na spor v původním řízení] v případě autonomní činnosti zpracování údajů prováděné pro soudní účely, na kterou se vztahuje čl. 6 odst. 1 písm. e) a čl. 6 odst. 3 [GDPR], požadavek určitosti vyplývající z čl. 8 odst. 2 a čl. 52 odst. 1 [Listiny] a čl. 5 odst. 1 písm. c) [GDPR], pokud je činnost zpracování prováděná pro soudní účely spojena se zásahy do základních práv z hlediska některého účastníka řízení nebo třetí osoby?
2) a) Může vnitrostátní soud při zpracování – zejména osobních – údajů vycházet z toho, že mu toto zpracování umožňuje čl. 17 odst. 3 písm. e) GDPR, nebo představují výlučný základ pro činnosti zpracování prováděné pro soudní účely články 6 a 9 GDPR?
b) V případě, že čl. 17 odst. 3 písm. e) GDPR může v zásadě tvořit právní základ pro činnost zpracování prováděnou pro soudní účely:
aa) Je tomu tak i v případech, kdy k původnímu shromáždění těchto údajů ze strany účastníka řízení nebo třetí osoby nedošlo zákonným způsobem?
bb) Vede zpracování údajů, které byly původně shromážděny protiprávně, v souladu s obecně platnou zásadou korektnosti [čl. 5 odst. 1 písm. a) GDPR] z hlediska sekundárního práva k omezení zpracování prováděného pro soudní účely, takže čl. 17 odst. 3 písm. e) GDPR se použije pouze za určitých podmínek nebo v určitých mezích?
cc) Musí být ustanovení čl. 17 odst. 3 písm. e) GDPR chápáno v tom smyslu, že zákaz použití údajů, které byly původně získány protiprávně, v soudním řízení se neuplatní vždy, tedy že soud má tyto údaje použít vždy, když původní shromáždění údajů neproběhlo skrytě a bylo použito k prokázání úmyslně spáchaného porušení povinnosti?
3) Bez ohledu na to, zda se na činnost zpracování údajů prováděnou pro soudní účely vztahuje čl. 17 odst. 3 písm. e) GDPR nebo čl. 6 odst. 1 písm. c), resp. písm. e), čl. 6 odst. 3 či článek 9 GDPR nebo jiná ustanovení unijního práva:
a) Je ze zásad ochrany údajů spočívajících v nezbytnosti a minimalizaci údajů, stanovených v čl. 52 odst. 1 druhé větě [Listiny] a čl. 5 odst. 1 písm. a) GDPR, zejména s ohledem na zpracování údajů, které byly původně shromážděny nebo uloženy protiprávně, třeba vyvodit, že je nutné, aby soudy provedly zevrubné posouzení proporcionality a zvážení?
b) Jaký dopad má čl. 5 odst. 1 písm. e) GDPR, který stanoví, že osobní údaje mohou být uloženy po dobu ne delší, než vyžaduje jejich účel, na následnou činnost zpracování údajů prováděnou pro soudní účely, a to zejména v případech, kdy:
– původní shromažďování údajů mělo jiné účely nebo
– k původnímu protiprávnímu shromažďování údajů došlo před dlouhou dobou nebo
– nezákonné ukládání pokračovalo po delší dobu nebo
– protiprávní shromažďování údajů se týká údajů, které byly – případně protiprávně – uloženy již před dlouhou dobou, nebo
– orgán nebo osoba zpracovávající nebo shromažďující údaje se jednostranně nebo na základě individuální či kolektivní smlouvy zaváže, že je do určité doby vymaže, avšak tento výmaz neprovede?
c) Vyplývá z unijního práva a zejména z článku 8 [Listiny], čl. 6 odst. 1 písm. c) nebo e), čl. 6 odst. 3 nebo článku 9 GDPR, že vnitrostátní soud může důkazy, při jejichž opatření byla porušena osobnostní práva, použít pouze v případě, že existuje legitimní zájem účastníka řízení zatíženého důkazním břemenem, který překračuje rámec pouhého zájmu na předložení důkazu, nebo z unijního práva v tomto ohledu nevyplývají žádné požadavky, v důsledku čehož je na vnitrostátním právním řádu, aby stanovil příslušná pravidla?
d) Vyplývá z čl. 47 druhého pododstavce [Listiny] který zaručuje právo na účinnou soudní ochranu, a zejména na spravedlivý proces, podle kterého musí účastníci občanského soudního řízení v zásadě být s to dostatečně odůvodnit účel, který sledují uplatněním práva na právní ochranu, a prokázat, že zpracování osobních údajů žalujícího zaměstnance, které byly protiprávně shromážděny zaměstnavatelem, v soudním řízení, se může ukázat jako nevhodné a nepřiměřené v užším slova smyslu pouze tehdy, pokud dané shromažďování údajů podle unijního práva představuje závažné porušení článků 7 a 8 [Listiny] a jiné možné sankce pro zaměstnavatele (např. náhrada újmy podle článku 82 GDPR a uložení správních pokut podle článku 83 GDPR) by byly zcela nedostatečné, nebo se o nevhodnost a nepřiměřenost může jednat již v případě jiných, méně závažných porušení právních předpisů o ochraně údajů při původním shromažďování údajů?
e) Musí soud při rozhodování o tom, zda v rámci činnosti zpracování údajů prováděné pro soudní účely použije údaje, které původně shromáždil některý účastník řízení nebo třetí osoba, zohlednit, zda osoba, která tyto údaje shromáždila, splnila informační povinnosti stanovené v článku 13 GDPR? Pokud ano, za jakých podmínek a podle jakých kritérií má soud tuto skutečnost zohlednit?
f) Zahrnuje skutečnost, že soud je při zpracovávání osobních údajů vázán GDPR a [Listinou], rovněž osobní údaje třetích osob? Jakým způsobem se porušení právních předpisů o ochraně údajů, ke kterému popřípadě došlo ve vztahu k třetím osobám při původním shromažďování údajů, odrazí na následném zpracování těchto údajů pro soudní účely v rámci sporu mezi dvěma účastníky řízení? Může účastník řízení namítat protiprávnost jednání, k němuž došlo nikoli ve vztahu k němu, nýbrž ve vztahu ke třetím osobám, anebo takovou možnost nemá?“
K předběžným otázkám
K přípustnosti
44 Úvodem je třeba připomenout, že i když se podle ustálené judikatury na otázky týkající se výkladu unijního práva položené vnitrostátním soudem v právním a skutkovém rámci, který tento soud vymezí v rámci své odpovědnosti a jehož správnost nepřísluší Soudnímu dvoru ověřovat, vztahuje domněnka relevance, jsou takové otázky nepřípustné, je-li zjevné, že žádaný výklad unijního práva nemá žádný vztah k realitě nebo předmětu sporu v původním řízení, jedná-li se o hypotetický problém nebo také nedisponuje-li Soudní dvůr skutkovými nebo právními poznatky nezbytnými pro užitečnou odpověď na otázky, které jsou mu položeny [v tomto smyslu viz rozsudek ze dne 18. června 2024, Bundesrepublik Deutschland (Účinek rozhodnutí o přiznání postavení uprchlíka), C‑753/22, EU:C:2024:524, bod 44 a citovaná judikatura].
45 V projednávané věci předkládající soud ve svých otázkách vícekrát odkazuje na článek 9 GDPR, který se týká zvláštních kategorií osobních údajů, a sice těch, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.
46 Vzhledem k tomu, že ze spisu, který má Soudní dvůr k dispozici, vyplývá, že o takové údaje se ve sporu v původním řízení nejedná, musí být předběžné otázky položené předkládajícím soudem považovány v rozsahu, v němž se týkají výkladu článku 9 GDPR, za nepřípustné.
K první otázce
47 Úvodem je nutno uvést, že položená otázka vychází z předpokladu, že zpracování osobních údajů prováděné soudem v rámci výkonu jeho soudní činnosti se může zakládat pouze na čl. 6 odst. 1 písm. e) GDPR, jenž se týká zpracování osobních údajů, které je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce.
48 Zaprvé je třeba poznamenat, že v určitých situacích se na stejné zpracování může vztahovat několik alternativních podmínek zákonnosti.
49 Zadruhé mohou být sice některá zpracování osobních údajů prováděná soudem považována za nezbytná pro splnění takového úkolu ve veřejném zájmu nebo za zpracování spadající do výkonu takové veřejné moci, avšak zpracování osobních údajů, které může soud provádět při předkládání důkazních návrhů účastníků řízení, jako je tomu ve věci dotčené v původním řízení, vykazuje specifičnost v tom, že je v zásadě nezbytné ke splnění právní povinnosti tohoto soudu, která spočívá v rozhodnutí o přípustnosti těchto důkazních návrhů, a pokud budou tyto návrhy prohlášeny za přípustné z hlediska kritérií stanovených za tímto účelem vnitrostátním právem, povinnosti zohlednit je při vydání jeho rozhodnutí.
50 Soudní dvůr má tedy za to, že k poskytnutí užitečné odpovědi předkládajícímu soudu je třeba jednotlivé otázky, které mu byly položeny v projednávané věci, posoudit z hlediska čl. 6 odst. 1 písm. c) GDPR, a nikoli z hlediska čl. 6 odst. 1 písm. e) tohoto nařízení.
51 Za těchto podmínek je tedy podstatou první otázky předkládajícího soudu to, zda musí být čl. 6 odst. 1 první pododstavec písm. c) a odst. 3 GDPR ve spojení s čl. 8 odst. 2 a článkem 52 Listiny vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která v souvislosti s použitím osobních údajů v rámci posuzování skutkového stavu a provádění důkazů soudem stanoví pouze to, že účastníci řízení musí podrobně a pravdivě uvést všechny skutečnosti, a tomuto soudu ukládá, aby je před jejich případným posouzením plně zohlednil, aniž obsahuje údaje o okolnostech a podmínkách, za nichž může uvedený soud skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použít.
52 V první řadě je třeba připomenout, že za současného stavu unijního práva je věcí pouze vnitrostátního práva, aby stanovilo pravidla přípustnosti a posouzení skutkových okolností a důkazů (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 223, jakož i ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 127).
53 Podle čl. 2 odst. 1 GDPR se však toto nařízení vztahuje s výhradou určitých případů uvedených v jeho čl. 2 odst. 2 a 3 na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny. Vzhledem k tomu, že zpracování prováděná soudy a dalšími justičními orgány nespadají mezi případy uvedené v tomto čl. 2 odst. 2 a 3, může se tedy uvedené nařízení použít na zpracování prováděná těmito soudy a orgány, jak ostatně potvrzuje bod 20 jeho odůvodnění.
54 V této souvislosti se podle čl. 4 bodu 2 GDPR rozumí pojmem „zpracování“ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení.
55 Použití výrazu „jakákoliv operace“ v této souvislosti znamená, že unijní normotvůrce zamýšlel přiznat pojmu „zpracování“ široký dosah (rozsudek ze dne 5. prosince 2023, Nacionalinis visuomenės sveikatos centras, C‑683/21, EU:C:2023:949, bod 50 a citovaná judikatura).
56 Je pravda, že k tomu, aby zpracování osobních údajů spadalo do působnosti GDPR, je podle čl. 2 odst. 1 tohoto nařízení ještě třeba, aby toto zpracování bylo zcela nebo částečně automatizované, nebo pokud je zpracování neautomatizované, aby údaje byly obsaženy v evidenci nebo do ní byly zařazeny.
57 Zaprvé zpracování osobních údajů musí být považováno za zcela nebo částečně automatizované ve smyslu tohoto ustanovení, pokud zahrnuje použití technických operací bez jakéhokoli lidského zásahu (v tomto smyslu a obdobně viz rozsudek ze dne 6. listopadu 2003, Lindqvist, C‑101/01, EU:C:2003:596, bod 26).
58 Zadruhé čl. 4 bod 6 GDPR definuje „evidenci“ jako jakýkoliv strukturovaný soubor osobních údajů přístupných podle zvláštních kritérií, ať již je centralizovaný, decentralizovaný, nebo rozdělený podle funkčního či zeměpisného hlediska.
59 Ačkoli přípustnost důkazních návrhů nespadá do působnosti GDPR, je třeba mít za to, že soud provádí zpracování osobních údajů ve smyslu tohoto nařízení, pokud mimo jiné vkládá dokumenty obsahující osobní údaje do takového spisu, jako je spis dotčený ve věci v původním řízení, za předpokladu, že tento spis spadá pod pojem „evidence“ ve smyslu čl. 2 odst. 1 a čl. 4 bodu 6 GDPR.
60 Stejně tak provádí soud zpracování ve smyslu GDPR, pokud jsou mu takové dokumenty předány v elektronické podobě a tento soud do těchto údajů nahlíží, extrahuje je, uchovává nebo je používá.
61 Vzhledem k tomu, že každé předání údajů jinému správci, který se liší od předchozího, má za následek z toho plynoucí úkon shromažďování ze strany tohoto správce [v tomto smyslu viz rozsudek ze dne 30. dubna 2024, La Quadrature du Net a další (Osobní údaje a boj proti porušování autorských práv), C‑470/21, EU:C:2024:370, bod 62], je třeba mít za to, že konkrétně soud provádí takový úkon shromažďování, pokud na základě elektronických dokumentů, které mu byly předány účastníkem řízení, shromažďuje určité osobní údaje obsažené v těchto dokumentech.
62 V projednávané věci bude muset předkládající soud s ohledem na výše uvedené úvahy ověřit, zda lze na zpracování osobních údajů dotčená ve věci v původním řízení lze nahlížet tak, že spadají do působnosti GDPR, a to buď proto, že se týkají údajů, které jsou podle určitých kritérií dostupné z procesního spisu v této věci, nebo proto, že jsou zpracování zcela nebo zčásti automatizovaná, což je zejména ten případ, kdy důkazy byly předány v elektronické podobě a uvedená zpracování spočívala v nahlížení do osobních údajů, extrahování, uchovávání nebo použití osobních údajů z těchto důkazů.
63 Ve druhé řadě je nutno uvést, že hlavní cíl sledovaný GDPR, jak vyplývá zejména z jeho článku 1, jakož i z bodů 1, 2, 7 a 10 odůvodnění tohoto nařízení, spočívá v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí v souvislosti se zpracováním osobních údajů, zakotveného v čl. 8 odst. 1 Listiny a v čl. 16 odst. 1 SFEU (v tomto smyslu viz rozsudek ze dne 4. října 2024, Koninklijke Nederlandse Lawn Tennisbond, C‑621/22, EU:C:2024:858, bod 26 a citovaná judikatura).
64 K tomu, aby bylo každé zpracování osobních údajů spadající do působnosti GDPR v souladu s tímto cílem zákonné, musí být v souladu se zásadami stanovenými v kapitole II tohoto nařízení, jakož i s právy subjektů údajů uvedenými v jeho kapitole III (v tomto smyslu viz rozsudek ze dne 2. března 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 43 a citovaná judikatura).
65 Podle čl. 6 odst. 1 prvního pododstavce GDPR je zpracování osobních údajů spadající do oblasti působnosti tohoto nařízení zákonné, pouze pokud splňuje alespoň jednu z alternativních podmínek zákonnosti uvedených v tomto ustanovení [v tomto smyslu viz rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, bod 335, jakož i citovaná judikatura].
66 Pokud jde o zpracování založené na alternativní podmínce zákonnosti stanovené v čl. 6 odst. 1 prvním pododstavci písm. c) GDPR, čl. 6 odst. 3 první pododstavec GDPR upřesňuje, že základ pro toto zpracování musí být stanoven právem Unie nebo právem členského státu, které se na správce vztahuje.
67 Článek 6 odst. 3 první pododstavec GDPR tedy vyžaduje, aby pro zpracování osobních údajů prováděné na základě této alternativní podmínky zákonnosti existoval právní základ ve vnitrostátním právu, jelikož právo Unie neupravuje podmínky pro předkládání skutkových okolností a provádění důkazů u vnitrostátních soudů (v tomto smyslu viz rozsudek ze dne 2. března 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 32).
68 Pokud jde o formu a obsah, které musí mít tento právní základ, vyžaduje toto ustanovení s výhradou požadavků souvisejících s případem uvedeným ve třetí větě čl. 6 odst. 3 GDPR, pouze to, aby v případě zpracování podle čl. 6 odst. 1 prvního pododstavci písm. c) tohoto nařízení byly v uvedeném právním základu vymezeny účely tohoto zpracování, tento právní základ odpovídal cíli veřejného zájmu a byl tomuto cíli přiměřený.
69 Naproti tomu z čl. 6 odst. 3 GDPR ani z jiného ustanovení tohoto nařízení nevyplývá, že v právním základu ve vnitrostátním právu musí být uveden cíl, který tento základ sleduje, přičemž „cílem“ je třeba rozumět obecné účely dotčeného zpracování a „účely“ specifické a konkrétní účely tohoto zpracování [v tomto smyslu viz rozsudek ze dne 20. listopadu 2025, Policejní prezidium (Uchovávání biometrických a genetických údajů), C‑57/23, EU:C:2025:905, bod 81].
70 Je pravda, že pokud zákonodárce členského státu přijme právní základ umožňující zpracování na základě čl. 6 odst. 1 prvního pododstavce písm. c) GDPR, uplatňuje tím unijní právo, takže podle článku 51 Listiny musí být takový právní základ v souladu s Listinou.
71 Předkládající soud v této souvislosti zdůrazňuje, že Soudní dvůr vyvodil z čl. 8 odst. 2 Listiny, který sám o sobě pouze odráží a konkretizuje požadavek stanovený v článku 52 Listiny, podle kterého musí být každé omezení výkonu základních práv uznaných touto Listinou stanoveno zejména zákonem [v tomto smyslu viz rozsudek ze dne 20. listopadu 2025, Policejní prezidium (Uchovávání biometrických a genetických údajů), C‑57/23, EU:C:2025:905, bod 51], že každý právní základ dovolující zásah do práva na ochranu osobních údajů musí sám definovat rozsah omezení výkonu tohoto práva, k němuž může vést (v tomto smyslu viz rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 65 a citovaná judikatura).
72 Soudní dvůr kromě toho ohledně požadavku stanoveného v článku 52 Listiny rozhodl, že každý zásah do práva na ochranu osobních údajů musí být prováděn v souladu se zásadou proporcionality, což vyžaduje, aby každá právní úprava, která vede k takovému zásahu, stanovila jasná a přesná pravidla pro rozsah a použití dotčeného opatření a vymezila minimální požadavky, tak aby osoby, jejichž osobní údaje jsou zpracovávány, měly dostatečné záruky umožňující účinně chránit tyto údaje před rizikem zneužití, jakož i proti jakémukoli neoprávněnému přístupu k těmto údajům a jejich protiprávnímu využívání [v tomto smyslu viz rozsudky ze dne 24. února 2022, Valsts ieņēmumu dienests (Zpracování osobních údajů pro daňové účely), C‑175/20, EU:C:2022:124, bod 55, jakož i citovaná judikatura, a ze dne 16. listopadu 2023, Roos a další v. Parlament, C‑458/22 P, EU:C:2023:871, bod 69, jakož i citovaná judikatura].
73 Právní základ pro zpracování údajů musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracování takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné (v tomto smyslu viz rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 176 a citovaná judikatura).
74 Soudní dvůr však s odkazem na ustálenou judikaturu Evropského soudu pro lidská práva rovněž upřesnil, že výraz „zákon“ použitý v čl. 8 odst. 2 Listiny ve formulaci „důvod stanovený zákonem“ musí být chápán ve věcném, a nikoli formálním smyslu slova (v tomto smyslu viz rozsudek ze dne 16. listopadu 2023, Roos a další v. Parlament, C‑458/22 P, EU:C:2023:871, bod 61 a citovaná judikatura).
75 Podle této judikatury Evropského soudu pro lidská práva pak uvedený smysl pojmu „zákon“ ve výrazu „v souladu se zákonem“ obsaženém v čl. 8 odst. 2 EÚLP znamená, že tento pojem odkazuje na platný text v té podobě, v jaké jej vyložily příslušné soudy (v tomto smyslu viz rozsudek ESLP, 23. ledna 2025, H. W. v. Francie, CE:ECHR:2025:0123JUD001380521, bod 65).
76 Kromě toho je v bodě 41 odůvodnění GDPR výslovně uvedeno, že odkazy v tomto nařízení na právní základ či legislativní opatření neznamenají nutně legislativní akt přijatý parlamentem, aniž jsou dotčeny požadavky vyplývající z ústavního řádu dotčeného členského státu. Tento právní základ či legislativní opatření by však měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora Evropské unie a Evropského soudu pro lidská práva.
77 Požadavek stanovený v čl. 6 odst. 3 GDPR, aby byl pro jakékoli zpracování založené na alternativních podmínkách zákonnosti obsažených v čl. 6 odst. 1 prvním pododstavci písm. c) a e) tohoto nařízení stanoven právní základ, musí být tedy chápán tak, že nutně nevyžaduje existenci legislativního aktu, jelikož pojem „právo členského státu, které se na správce vztahuje“, může zahrnovat i vnitrostátní judikaturu, pokud je tato judikatura jasná a přesná a její použití je pro osoby, na něž se vztahuje, předvídatelné (v tomto smyslu viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV C‑17/22 a C‑18/22, EU:C:2024:738, body 71 a 72).
78 Navíc vzhledem k tomu, že čl. 6 odst. 3 druhý pododstavec GDPR vyžaduje, aby právní základ dotčeného zpracování odpovídal cíli veřejného zájmu a byl přiměřený sledovanému legitimnímu cíli, musí tyto podmínky splňovat i taková judikatura (v tomto smyslu viz rozsudek ze dne 12. září 2024, HTB Neunte Immobilien Portfolio a Ökorenta Neue Energien Ökostabil IV C‑17/22 a C‑18/22, EU:C:2024:738, bod 73, jakož i citovaná judikatura).
79 V projednávané věci z předkládacího rozhodnutí vyplývá, že právní předpisy dotčené ve věci v původním řízení nestanoví podmínky, které musí být splněny, aby důkazy nebo skutečnosti obsahující osobní údaje, které byly předtím zpracovány protiprávně, byly považovány za přípustné. Aby se tedy předkládající soud ujistil, že jsou tato ustanovení v souladu s GDPR, bude muset ověřit, zda jsou předmětem jasné, přesné a předvídatelné judikatury, která sama vymezuje okolnosti a podmínky, za nichž mohou být skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použity soudem, odpovídá cíli veřejného zájmu a je tomuto cíli přiměřená.
80 S ohledem na výše uvedené je třeba na první otázku odpovědět tak, že čl. 6 odst. 1 první pododstavec písm. c) a odst. 3 RPGD ve spojení s čl. 8 odst. 2 a článkem 52 Listiny musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, která v případě zpracování osobních údajů prováděného v rámci posuzování skutkového stavu a provádění důkazů soudem stanoví pouze to, že účastníci řízení musí podrobně a pravdivě uvést všechny skutečnosti a tomuto soudu ukládá, aby je před jejich případným posouzením plně zohlednil, aniž obsahuje údaje o okolnostech a podmínkách, za nichž může uvedený soud skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použít, jestliže existuje jasná, přesná a předvídatelná vnitrostátní judikatura, která sama vymezuje okolnosti a podmínky, za nichž mohou být skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použity soudem, tato judikatura odpovídá cíli veřejného zájmu a je tomuto cíli přiměřená.
K druhé otázce písm. a)
81 Podstatou druhé otázky písm. a) předkládajícího soudu je, zda musí být čl. 17 odst. 3 písm. e) GDPR vykládán v tom smyslu, že stanoví alternativní podmínku zákonnosti, kterou může zpracování splňovat, aby bylo v souladu s čl. 5 odst. 1 písm. a) tohoto nařízení, a která se liší od některé z podmínek uvedených v čl. 6 odst. 1 prvním pododstavci GDPR.
82 V tomto ohledu je nutno připomenout, že podle čl. 5 odst. 1 písm. a) GDPR musí být každé zpracování osobních údajů mimo jiné zákonné, což znamená, jak bylo připomenuto v bodě 64 tohoto rozsudku, že musí být v souladu se všemi zásadami uvedenými v kapitole II GDPR a musí být při něm dodržena práva subjektů údajů stanovená v kapitole III tohoto nařízení.
83 V rámci těchto zásad stanoví čl. 6 odst. 1 první pododstavec GDPR taxativní a vyčerpávající výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Aby tedy mohlo být zpracování považováno v souladu s čl. 5 odst. 1 písm. a) GDPR za zákonné, musí spadat pod některý z případů stanovených v tomto čl. 6 odst. 1 prvním pododstavci [v tomto smyslu viz rozsudek ze dne 4. května 2023, Bundesrepublik Deutschland (Elektronická soudní schránka), C‑60/22, EU:C:2023:373, bod 56 a citovaná judikatura].
84 Je pravda, že podle čl. 17 odst. 3 písm. e) GDPR se právo subjektů údajů na výmaz jejich údajů ze strany správce, a to především, jak vyplývá z čl. 17 odst. 1 písm. d) tohoto nařízení, pokud byly tyto údaje zpracovány protiprávně, neuplatní, pokud je toto zpracování nezbytné pro určení, výkon nebo obhajobu právních nároků.
85 Skutečnost, že čl. 17 odst. 3 písm. e) GDPR zavádí výjimku z tohoto práva na výmaz, však neznamená, že toto ustanovení musí být vykládáno tak, že jako takové stanoví samostatnou alternativní podmínku zákonnosti, na níž by mohlo být založeno zpracování osobních údajů, které je nezbytné pro určení, výkon nebo obhajobu právních nároků, aby bylo v souladu s čl. 5 odst. 1 písm. a) GDPR. Vzhledem k tomu, že výčet alternativních podmínek zákonnosti uvedených v čl. 6 odst. 1 prvním pododstavci GDPR je taxativní a vyčerpávající, jak vyplývá z bodu 83 tohoto rozsudku, nelze situaci uvedenou v čl. 17 odst. 3 písm. e) tohoto nařízení považovat za takovou alternativní podmínku zákonnosti.
86 S ohledem na výše uvedené je třeba na druhou otázku písm. a) odpovědět tak, že čl. 17 odst. 3 písm. e) GDPR musí být vykládán v tom smyslu, že nestanoví alternativní podmínku zákonnosti, kterou by mohlo zpracování splňovat, aby bylo v souladu s čl. 5 odst. 1 písm. a) GDPR, a která by se lišila od některé z podmínek uvedených v čl. 6 odst. 1 prvním pododstavci GDPR.
Ke druhé otázce písm. b)
87 Vzhledem k odpovědi na druhou otázku písm. a) není důvodné odpovídat na druhou otázku písm. b).
Ke třetí otázce písm. a)
88 Úvodem je třeba uvést, že zásada „minimalizace údajů“, které se týká výlučně třetí otázka písm. a), není, jak se zřejmě domnívá předkládající soud s ohledem na znění této otázky, uvedena v čl. 5 odst. 1 písm. a) GDPR, ale v čl. 5 odst. 1 písm. c) tohoto nařízení.
89 Kromě toho ze žádosti o rozhodnutí o předběžné otázce vyplývá, že když tento soud zmiňuje posouzení přiměřenosti zamýšleného zpracování a vyčerpávající povahu „poměření“ dotčených zájmů, klade si otázku, zda je podle čl. 52 odst. 1 druhé věty Listiny nezbytné u každého prováděného zpracování osobních údajů ověřit, že jsou údaje zpracovávané v této souvislosti takové povahy, že umožňují dosažení cíle sledovaného tímto zpracováním a jsou nezbytně nutné pro jeho dosažení, a že závažnost zásahu do základních práv, který s sebou nese zohlednění těchto údajů za účelem dotčeného zpracování, je úměrná zájmu, který pro správce představuje použití těchto údajů k provedení uvedeného zpracování.
90 Je tedy třeba mít za to, že podstatou třetí otázky písm. a) předkládajícího soudu je, zda musí být čl. 5 odst. 1 písm. c) GDPR ve spojení s čl. 52 odst. 1 druhou větou Listiny vykládán v tom smyslu, že zásada „minimalizace údajů“ vyžaduje, aby soud zajistil u každého zpracování osobních údajů, které provádí, dodržení zásady proporcionality tím, že se ujistí, že údaje zpracovávané v této souvislosti jsou takové povahy, že umožňují dosažení cíle sledovaného tímto zpracováním a jsou pro jeho dosažení nezbytně nutné, a že závažnost zásahu do základních práv, který s sebou nese zohlednění těchto údajů za účelem dotčeného zpracování, je úměrná zájmu, který pro tento soud představuje použití těchto údajů k provedení uvedeného zpracování.
91 V této souvislosti vyplývá v první řadě z tohoto čl. 52 odst. 1 druhé věty, že k tomu, aby bylo možné omezit výkon základních práv zaručených Listinou při dodržení zásady proporcionality musí být tato omezení nezbytná a skutečně odpovídat cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého.
92 Konkrétně výjimky z ochrany osobních údajů a jejich omezení jsou činěny v mezích toho, co je nezbytně nutné, přičemž se rozumí, že pokud se nabízí volba mezi více opatřeními vhodnými k dosažení sledovaných legitimních cílů, je třeba zvolit nejméně omezující opatření. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy, aby se zajistilo, že nepříznivé následky způsobené tímto opatřením nebudou nepřiměřené vzhledem ke sledovaným cílům. Možnost odůvodnit omezení práv zaručených v článcích 7 a 8 Listiny musí být tedy posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (rozsudek ze dne 21. března 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, bod 83 a citovaná judikatura).
93 Dodržení zásady proporcionality proto vyžaduje, aby omezení základních práv zaručených Listinou mohla být zavedena pouze tehdy, jestliže zaprvé dotčené opatření sleduje jeden nebo více cílů obecného zájmu uznaných Unií a je skutečně vhodné k dosažení těchto cílů, zadruhé zásahy, které z něj plynou, jsou omezeny na to, co je nezbytně nutné v tom smyslu, že uvedených cílů nelze rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do těchto základních práv dotčených osob, a zatřetí jestliže uvedené zásahy nejsou nepřiměřené ve vztahu k cílům, což mimo jiné předpokládá zvážení těchto cílů a závažnosti uvedených zásahů (rozsudek ze dne 21. března 2024, Landeshauptstadt Wiesbaden, C‑61/22, EU:C:2024:251, bod 84 a citovaná judikatura).
94 Ve druhé řadě čl. 5 odst. 1 písm. c) stanoví, že zpracovávané osobní údaje musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, takže toto ustanovení podmiňuje zpracování osobních údajů dodržením zásady „minimalizace údajů“ [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 104].
95 Tato zásada je sice „vyjádřením“ zásady proporcionality [v tomto smyslu viz rozsudek ze dne 9. ledna 2025, Mousse, C‑394/23, EU:C:2025:2, bod 24 a citovaná judikatura], avšak tato okolnost neznamená, že uvedené ustanovení samo o sobě provádí zásadu proporcionality, a tedy i tři podmínky připomenuté v bodě 91 tohoto rozsudku.
96 V tomto ohledu je nutno poznamenat, že požadavky stanovené v čl. 5 odst. 1 písm. c) GDPR, které postačují k odůvodnění toho, že toto ustanovení lze považovat za vyjádření zásady proporcionality, umožňují zaručit, že rozhodnutí použít určité údaje namísto jiných splňuje první dvě podmínky vyplývající z dodržení této zásady.
97 Zaprvé ze samotného smyslu výrazů „přiměřené“ a „relevantní“ vyplývá, že pokud údaje splňují tyto dva požadavky, mohou dosáhnout účelů daného zpracování, a zvláště naplnění jeho cíle. Zadruhé vzhledem k tomu, že tyto údaje jsou omezeny na to, co je nezbytné z hlediska účelů, pro které jsou zpracovávány, jsou omezeny i z hlediska obecněji sledovaného cíle, pokud bylo rozhodnuto použít tyto údaje k provedení dotčeného zpracování.
98 Pokud jde o třetí podmínku připomenutou v bodě 91 tohoto rozsudku, je nutno konstatovat, že splnění jedné z alternativních podmínek zákonnosti uvedených v čl. 6 odst. 1 prvním pododstavci GDPR je již v zásadě takové povahy, že omezuje zpracování, jehož předmětem mohou být dotčené údaje, na taková zpracování, která jsou nejen nezbytná k dosažení legitimního cíle, ale také představují legitimní zájem převažující nad závažností zásahu do základních práv zaručených v článcích 7 a 8 Listiny, který je spojen s tímto zpracováním.
99 Co se týče zpracování, na která se vztahuje čl. 6 odst. 1 první pododstavec písm. c) GDPR, a sice zpracování nezbytná pro splnění právní povinnosti, která se na správce vztahuje, čl. 6 odst. 3 druhý pododstavec tohoto nařízení výslovně stanoví, že unijní právo nebo právo členských států, které slouží jako právní základ pro taková zpracování a stanoví tedy povinnost, která musí být při zpracování dodržena, musí splňovat cíl veřejného zájmu a být přiměřené sledovanému legitimnímu cíli.
100 Posledně uvedené ustanovení tak výslovně zakotvuje požadavek, aby právní povinnost, která se vztahuje na správce a slouží jako základ pro zpracování osobních údajů, byla výsledkem poměření základních práv na respektování soukromého života a na ochranu osobních údajů zakotvených v článcích 7 a 8 Listiny a legitimních cílů sledovaných v této souvislosti unijním právem nebo právem členských států, které musí být provedeno při přijetí tohoto právního základu (obdobně viz rozsudek ze dne 4. října 2024, Agencia po vpisvanijata, C‑200/23, EU:C:2024:827, bod 124 a citovaná judikatura).
101 Vzhledem k tomu, že podle čl. 5 odst. 1 písm. c) GDPR mohou být pro zpracování použity pouze údaje, které jsou přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, a pokud je tato povinnost výsledkem takového poměření, jsou údaji, které takové požadavky splňují, nutně pouze ty, jejichž zpracování představuje legitimní zájem, který převažuje nad závažností zásahu do základních práv zaručených v článcích 7 a 8 Listiny, s nímž je uvedené zpracování spojeno.
102 V případech zpracování osobních údajů, které musí soud provést v souvislosti s posuzováním důkazních návrhů účastníků řízení, je nutno konstatovat, vzhledem k tomu, že taková zpracování jsou nezbytná k dodržení práva na spravedlivý proces, že za účelem dodržení zásady „minimalizace údajů“ musí tento soud pouze ověřit, že údaje, které zpracovává, splňují podmínky stanovené v čl. 5 odst. 1 písm. c) GDPR, aniž musí konkrétně z tohoto důvodu, a tedy nad rámec povinnosti stanovené v čl. 6 odst. 3 druhém pododstavci GDPR, aby právní základ ukládající dotčená zpracování byl přiměřený sledovanému legitimnímu cíli, provést poměření dotčených zájmů bez ohledu na to, zda je toto poměření vyčerpávající povahy, či nikoli.
103 S ohledem na výše uvedené je třeba na třetí otázku písm. a) odpovědět tak, že čl. 5 odst. 1 písm. c) GDPR ve spojení s čl. 52 odst. 1 druhou větou Listiny musí být vykládán v tom smyslu, že zásada „minimalizace údajů“ nevyžaduje, aby soud zajistil u každého zpracování osobních údajů, které provádí, dodržení zásady proporcionality tím, že se ujistí, že údaje zpracovávané v této souvislosti jsou takové povahy, že umožňují dosažení cíle sledovaného tímto zpracováním a jsou pro jeho dosažení nezbytně nutné, a že závažnost zásahu do základních práv, který s sebou nese zohlednění těchto údajů za účelem uvedeného zpracování, je úměrná zájmu, který pro tento soud představuje použití těchto údajů k provedení uvedeného zpracování, za předpokladu, že jsou splněny podmínky stanovené v čl. 5 odst. 1 písm. c) GDPR.
Ke třetí otázce písm. b) až d)
104 S ohledem na to, co bylo uvedeno v bodě 49 tohoto rozsudku, je třeba mít za to, že podstatou třetí otázky písm. b) až d) předkládajícího soudu je, zda články 7 a 8 Listiny, čl. 5 odst. 1 GDPR, čl. 6 odst. 1 první pododstavec písm. c) GDPR ve spojení s jeho čl. 6 odst. 3 a zásada „minimalizace údajů“ musí být vykládány v tom smyslu, že brání tomu, aby vnitrostátní soud použil důkazy obsahující osobní údaje, které účastník řízení, jenž mu je předal, získal v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů, pokud tento účastník řízení nemá na takovém zpracování legitimní zájem, který by převažoval nad zájmem spočívajícím pouze v prokázání skutečností, které tvrdí.
105 V tomto ohledu je třeba zaprvé zdůraznit, že i když u zpracování osobních údajů, na které se vztahuje GDPR, může právo na ochranu soukromého života a právo na ochranu osobních údajů, která jsou uvedena v článcích 7 a 8 Listiny, v určitých situacích odporovat právu na účinnou právní ochranu zaručenému v článku 47 Listiny, jsou v samotném nařízení zakotveny mechanismy umožňující nalézt spravedlivou rovnováhu mezi jednotlivými proti sobě stojícími základními právy a zájmy (v tomto smyslu viz rozsudek ze dne 17. června 2021, M. I. C. M., C‑597/19, EU:C:2021:492, bod 112).
106 Konkrétně je přiměřenost zásahů do práva na ochranu soukromého života a práva na ochranu osobních údajů uvedených v článcích 7 a 8 Listiny, které mohou být důsledkem zpracování spadajícího do působnosti GDPR, zaručena vzájemným použitím zásad stanovených v čl. 5 odst. 1 tohoto nařízení a požadavků vyplývajících z jednotlivých alternativních podmínek zákonnosti stanovených v čl. 6 odst. 1 prvním pododstavci uvedeného nařízení, případně ve spojení s čl. 6 odst. 3 tohoto nařízení.
107 Pokud jsou tedy splněny podmínky zákonného zpracování osobních údajů podle tohoto nařízení, má se v zásadě za to, že toto zpracování splňuje rovněž požadavky stanovené v článcích 7 a 8 Listiny [rozsudek ze dne 5. června 2023, Komise v. Polsko (Nezávislost a soukromý život soudců), C‑204/21, EU:C:2023:442, bod 332].
108 Zadruhé, jak v podstatě zdůraznil generální advokát v bodě 32 svého stanoviska, ani čl. 5 odst. 1 písm. e) GDPR, ani žádné z dalších práv a zásad uvedených v kapitolách II a III tohoto nařízení obecně a absolutně nezakazují, aby takový orgán veřejné moci, jako je soud, zohlednil osobní údaje, které byly předtím předmětem protiprávního zpracování ze strany osoby, která mu je předala, ve smyslu uvedeného nařízení.
109 Je pravda, že čl. 5 odst. 1 písm. a) GDPR stanoví zásadu, že zpracování osobních údajů musí být nejen zákonné a transparentní, ale i korektní.
110 Z bodu 39 odůvodnění tohoto nařízení však vyplývá, že cílem sledovaným touto zásadou korektnosti, který se shoduje s cílem zásady transparentnosti, je zajistit, aby se subjekty údajů dozvěděly o tom, že jsou jejich osobní údaje zpracovávány, a obdržely v této souvislosti informace nezbytné k uplatnění svých práv.
111 Dopad okolnosti, že zpracovávané údaje byly předtím předmětem protiprávního zpracování ze strany účastníka řízení, který je předal, ve smyslu čl. 5 odst. 1 písm. a) GDPR, závisí tedy na alternativní podmínce zákonnosti, kterou správce použije, aby toto zpracování odůvodnil. Některé z těchto alternativních podmínek mohou být totiž z důvodu požadavků, které stanoví, v případě výskytu takových údajů nepoužitelné.
112 Pokud jde tedy o alternativní podmínku zákonnosti uvedenou v čl. 6 odst. 1 prvním pododstavci písm. f) GDPR, skutečnost, že správce věděl nebo měl vědět, že některé údaje, které mu byly předány, byly předtím získány nebo uchovávány protiprávně, vylučuje, aby získání těchto údajů tímto správcem po jejich předání mohlo být považováno za takové, že jím jsou sledovány legitimní zájmy, a že tedy splňuje tuto alternativní podmínku zákonnosti.
113 Je však nutno konstatovat, že zpracování osobních údajů prováděné soudem v souvislosti s osobními údaji uvedenými v důkazních návrzích účastníků řízení je v zásadě nezbytné ke splnění právní povinnosti tohoto soudu, a sice povinnosti rozhodnout o přípustnosti těchto důkazních návrhů, a pokud budou tyto důkazní návrhy shledány přípustnými z hlediska kritérií stanovených za tímto účelem vnitrostátním právem, povinnosti zohlednit je při vydání jeho rozhodnutí.
114 Článek 6 odst. 1 první pododstavec písm. c) GDPR přitom nestanoví žádný požadavek, který by mohl vyloučit možnost soudu opírat se o tuto alternativní podmínku zákonnosti, jestliže dotčené osobní údaje obsažené v důkazním návrhu byly předtím ze strany osoby, která mu je předala, zpracovány protiprávně ve smyslu tohoto nařízení.
115 Článek 6 odst. 3 GDPR zajisté upřesňuje, že základ pro zpracování osobních údajů, jež jsou založena na čl. 6 odst. 1 prvním pododstavci písm. c) tohoto nařízení, musí být vymezen unijním právem nebo právem členského státu, které se na správce vztahuje, že tento právní základ může obsahovat konkrétní ustanovení pro přizpůsobení uplatňování pravidel tohoto nařízení, potřebám, které tato zpracování sledují, a že unijní právo nebo právo tohoto členského státu musí v každém případě splňovat cíl veřejného zájmu a být přiměřené sledovanému legitimnímu cíli (v tomto smyslu viz rozsudek ze dne 2. března 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 31).
116 Pokud jde o tuto podmínku přiměřenosti a požadavky této podmínky, je třeba uvést, že podle judikatury připomenuté v bodě 91 tohoto rozsudku musí být zaprvé právní základ, na němž je dotčené zpracování založeno, takové povahy, aby umožnilo dosažení sledovaného cíle veřejného zájmu, zadruhé musí povolovat pouze ta zpracování, která jsou omezena na to, co je nezbytně nutné, což předpokládá, že neexistují jiná opatření, která by méně zasahovala do práv a svobod subjektů údajů a umožňovala dosáhnout tohoto cíle stejně účinným způsobem, a zatřetí aby tento právní základ byl přiměřený v úzkém smyslu, takže po zvážení všech relevantních skutečností jím nemohou být povolena žádná zpracování, která vedou k omezením práv a svobod subjektů údajů, jež jsou nepřiměřená vzhledem k významu, který má dosažení uvedeného cíle.
117 Okolnost, že se právní povinnost, která vyžaduje zpracování osobních údajů obsažených v důkazních návrzích předložených účastníky řízení, použije rovněž na osobní údaje získané účastníkem řízení, který je předal soudu, v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů, se přitom nejeví jako okolnost, která by vylučovala, že tento právní základ může takové požadavky splňovat.
118 Pokud jde nejprve o první požadavek připomenutý v bodě 91 tohoto rozsudku, v případě zpracování osobních údajů soudem je třeba mít za to, že právní povinnost tohoto soudu rozhodnout o přípustnosti důkazních návrhů předložených účastníky řízení, a jsou-li tyto důkazní návrhy přípustné, zohlednit je při vydání jeho rozhodnutí, sleduje cíl veřejného zájmu, neboť se týká dodržení základního práva, a sice práva na spravedlivý proces, které je zakotveno v článku 47 Listiny.
119 Dále je nutno vycházet z toho, že tato povinnost umožňuje dosažení tohoto cíle veřejného zájmu a je nezbytně nutná k jeho dosažení, ačkoli byly dotyčné údaje získány protiprávně. Vzhledem k tomu, že právo na spravedlivý proces vyžaduje, aby soud rozhodl o přípustnosti důkazních návrhů předložených účastníky řízení, a jsou-li tyto důkazní návrhy přípustné, aby je zohlednil při vydání svého rozhodnutí, není především zřejmé, že by existovalo jiné opatření, jímž by bylo možné dosáhnout takového cíle stejně účinně jako opatřením umožňujícím soudům zpracovávat osobní údaje obsažené v důkazních návrzích účastníků řízení.
120 A konečně je třeba připomenout, že jak je potvrzeno v bodě 4 odůvodnění GDPR, právo na ochranu osobních údajů není právem absolutním, ale musí být posuzováno v souvislosti s jeho funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy, jako je právo na účinnou soudní ochranu, zaručené v článku 47 Listiny (v tomto smyslu viz rozsudek ze dne 2. března 2023, Norra Stockholm Bygg, C‑268/21, EU:C:2023:145, bod 49).
121 S ohledem na zásadní funkci, kterou má ve společnosti právo na spravedlivý proces, nepředstavuje povinnost soudu zpracovávat osobní údaje obsažené v důkazních návrzích účastníků řízení, včetně případů, kdy byly tyto údaje získány v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů, podle všeho nepřiměřený zásah do těchto práv, která jsou zaručena v článcích 7 a 8 Listiny.
122 Povinnost soudu, aby v souladu s právem na spravedlivý proces zpracovával veškeré osobní údaje obsažené v důkazních návrzích, splňuje proto požadavky čl. 6 odst. 3 GDPR, a to i v případě, že by se tato povinnost týkala údajů získaných v rozporu s osobnostními právy a účastník řízení, který je předal tomuto soudu, by neměl na takovém zpracování legitimní zájem, který by převažoval nad zájmem spočívajícím v pouhém prokázání tvrzených skutečností.
123 Údaje použité v této souvislosti však musí být v souladu s čl. 5 odst. 1 písm. c) GDPR omezeny na údaje, které jsou přiměřené, relevantní a nezbytné s ohledem na účely, pro které jsou zpracovávány.
124 Pokud jde v tomto ohledu v první řadě o osobní údaje použité v souvislosti se zpracováním, která soud provádí za účelem rozhodnutí o přípustnosti důkazních návrhů a relevanci skutečností tvrzených účastníkem řízení z hlediska pravidel vnitrostátního práva použitelného v dané oblasti, je nutno zdůraznit, že právo na spravedlivý proces, které je uznáno v článku 47 Listiny, znamená, že účastníci řízení musí mít možnost předložit soudu důkazní návrhy, které považují za relevantní.
125 V případě žalob určených k ochraně práv, která jednotlivcům vyplývají z unijního práva, nepředstavuje tedy okolnost, že soud musí za účelem rozhodnutí o přípustnosti důkazních návrhů zpracovávat osobní údaje, v zásadě žádné porušení zásady „minimalizace údajů“, neboť právě v této fázi jsou tyto údaje přiměřené, relevantní a nezbytné k tomu, aby tento soud mohl o této přípustnosti rozhodnout. Totéž platí pro žaloby, v jejichž rámci není uplatňováno unijní právo, je-li právem dotyčného členského státu přiznáno účastníkům řízení právo s podobným dosahem, jako je právo na spravedlivý proces zaručené v článku 47 Listiny.
126 Naproti tomu poté, co soud konstatuje, že dokumenty obsahující osobní údaje, které mu byly předány, jsou přípustné z hlediska pravidel stanovených za tímto účelem vnitrostátním právem, musí před jejich založením do spisu zkoumat, zda se tyto údaje omezují na ty, které jsou nezbytné s ohledem na sledované účely, a sice umožnit tomuto soudu vydat co nejpodloženější rozhodnutí s ohledem na relevantní okolnosti věci a dodržet zásadu kontradiktornosti, nebo zda je třeba, aby přijal určitá opatření ke snížení množství dotyčných údajů, jako je částečná nebo úplná anonymizace dotčených dokumentů, aniž tím budou porušena práva těchto ostatních účastníků řízení.
127 Okolnost, že dotyčné údaje byly získány v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů uvedenými v článcích 7 a 8 Listiny, se však sama o sobě nejeví jako rozhodující, jelikož kritéria stanovená v čl. 5 odst. 1 písm. c) GDPR vyžadují, aby tyto údaje byly přiměřené, relevantní a omezené na to, co je nezbytné ve vztahu ke sledovaným účelům.
128 Co se týče ve druhé řadě osobních údajů použitých v souvislosti se zpracováním, které provádí soud za účelem přijetí svého rozhodnutí, všechny údaje obsažené v dokumentech, které byly prohlášeny za přípustné a zařazeny do spisu, musí být považovány z hlediska práva na spravedlivý proces v zásadě za přiměřené, relevantní a omezené na to, co je nezbytné s ohledem na účel takového zpracování, neboť v souladu s tímto právem na spravedlivý proces je tento soud povinen zohlednit všechny tyto důkazy, aby především posoudil jejich relevanci.
129 Pokud jde ve třetí řadě a na posledním místě o zpřístupnění takových údajů soudem při doručení nebo zveřejnění jeho rozsudku, takové zpracování vyžaduje, aby k zajištění toho, že tyto údaje budou omezeny na to, co je nezbytné s ohledem na účely, pro které jsou zpracovávány, tento soud zohlednil mimo jiné nejen nezbytnost umožnit výkon rozhodnutí, vyrozumět třetí osoby, které by rovněž mohly být dotčeny danými skutečnostmi, a ochranu jednotlivce před zneužitím tajnosti soudního řízení (v tomto smyslu viz rozsudek ESLP ze dne 2. června 2022, Straume v. Lotyšsko, CE:ECHR:2022:0602JUD005940214, bod 124), ale rovněž možnost přijmout určitá opatření, jako je anonymizace nebo pseudonymizace těchto údajů, aby se minimalizovalo porušení práva na ochranu osobních údajů, k němuž by takové zpřístupnění mohlo vést.
130 S ohledem na výše uvedené je třeba na třetí otázku písm. b) až d) odpovědět tak, že články 7 a 8 Listiny, čl. 5 odst. 1 GDPR, čl. 6 odst. 1 první pododstavec písm. c) tohoto nařízení ve spojení s jeho čl. 6 odst. 3 a zásada „minimalizace údajů“ musí být vykládány v tom smyslu, že nebrání tomu, aby vnitrostátní soud použil důkazy obsahující osobní údaje, které účastník řízení, jenž mu je předal, získal v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů, pokud tento účastník řízení nemá na takovém zpracování legitimní zájem, který by převažoval nad zájmem spočívajícím pouze v prokázání skutečností, které tvrdí. Naproti tomu tento soud musí před zpřístupněním těchto údajů účastníkům řízení nebo třetím osobám ověřit, zda jsou takové údaje omezeny na to, co je nezbytné s ohledem na účely, pro které k takovému zpřístupnění dochází, a případně přijmout určitá opatření k minimalizaci porušení práva na ochranu osobních údajů, k němuž by takové zpřístupnění mohlo vést.
Ke třetí otázce písm. e)
131 Podstatou třetí otázky písm. e) předkládajícího soudu je, zda musí být čl. 13 odst. 1 a 2 GDPR vykládán v tom smyslu, že brání tomu, aby vnitrostátní soud použil v rámci výkonu své soudní činnosti údaje získané osobou, která nesplnila informační povinnosti, které pro ni vyplývají z tohoto ustanovení.
132 V této souvislosti z čl. 13 odst. 1 a 2 GDPR vyplývá, že pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne mu správce v okamžiku získání těchto údajů informace uvedené v těchto odstavcích.
133 Vzhledem k tomu, že toto ustanovení je součástí kapitoly III GDPR, je třeba mít za to, že uvedené odstavce stanoví podmínky, které musí být dodrženy, aby získání osobních údajů bylo zákonné.
134 Povinnost stanovená v tomto článku 13 přispívá také ke splnění požadavku stanoveného v čl. 5 odst. 1 písm. a) GDPR, který je součástí kapitoly II tohoto nařízení, podle něhož musí být osobní údaje zpracovávány korektně a transparentně, takže musí být dodržena i z tohoto důvodu.
135 Ačkoli není třeba určit, zda čl. 17 odst. 3 písm. e) GDPR musí být za účelem zachování svého užitečného účinku vykládán v tom smyslu, že skutečnost, že dotyčný účastník řízení dotčené údaje získal, aniž dodržel tuto povinnost, nemá za následek, že zpracování spočívající v předání důkazů obsahujících tyto údaje soudu musí být považováno za protiprávní, je nutno připomenout, jak bylo konstatováno v bodě 108 tohoto rozsudku, že ani čl. 5 odst. 1 GDPR, ani žádné z dalších práv a zásad uvedených v kapitolách II a III tohoto nařízení obecně a absolutně nezakazují správci zohlednit osobní údaje, které byly předtím osobou, jež mu je předala, předmětem protiprávního zpracování ve smyslu GDPR.
136 Na třetí otázku písm. e) je proto třeba odpovědět tak, že čl. 13 odst. 1 a 2 GDPR musí být vykládán v tom smyslu, že nebrání tomu, aby vnitrostátní soud použil v rámci výkonu své soudní činnosti údaje získané účastníkem řízení nebo třetí osobou, kteří nesplnili informační povinnosti, které pro ně vyplývají z tohoto ustanovení.
Ke třetí otázce písm. f)
137 Podstatou třetí otázky písm. f) předkládajícího soudu je, zda GDPR musí být vykládáno v tom smyslu, že soud je v rámci výkonu své soudní činnosti povinen dbát na dodržování tohoto nařízení, jestliže zpracovává osobní údaje třetích osob v řízení, které před ním probíhá, a zda unijní právo vyžaduje, aby se některý z účastníků tohoto řízení mohl dovolávat toho, že tyto údaje byly protistranou získány nebo uchovávány protiprávně ve smyslu uvedeného nařízení v rozporu s právy, která pro tyto třetí osoby vyplývají z téhož nařízení.
138 V této souvislosti z článku 288 SFEU vyplývá, že nařízení je aktem s obecnou působností, který je závazný v celém rozsahu a přímo použitelný ve všech členských státech.
139 Vzhledem k tomu, že se zásady uvedené v kapitole II GDPR použijí bez ohledu na jakékoli úvahy týkající se procesní situace subjektů údajů nebo na okolnost, že správcem údajů je soud, musí být toto nařízení ve spojení s článkem 288 SFEU vykládáno v tom smyslu, že soud je při výkonu své soudní činnosti povinen dodržovat uvedené nařízení, pokud zpracovává osobní údaje týkající se třetích osob v řízení, které před ním probíhá.
140 Pokud jde naproti tomu o otázku, zda se účastník řízení může dovolávat protiprávnosti, k níž došlo na úkor třetí osoby, tato otázka spadá do procesní autonomie členských států, jelikož unijní právo danou oblast neupravuje.
141 Je pravda, že pokud jde o žaloby určené k zajištění ochrany práv, která jednotlivcům vyplývají z unijního práva, nesmí být na základě zásady procesní autonomie, která se použije v případě, že unijní právo neobsahuje v dané oblasti žádné ustanovení, procesní podmínky těchto žalob méně příznivé než ty, které se týkají obdobných situací na základě vnitrostátního práva (zásada rovnocennosti), a nesmí být takové povahy, aby v praxi znemožňovaly nebo nadměrně ztěžovaly výkon práv přiznaných unijním právem (zásada efektivity) (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 223 a citovaná judikatura).
142 Tyto procesní podmínky musí být navíc rovněž v souladu s právem na spravedlivý proces, který je zaručen v článku 47 Listiny, přičemž Listina se podle jejího článku 51 použije ve všech situacích, kdy členské státy uplatňují unijní právo.
143 Je však nutno konstatovat, že ani zásada efektivity, ani právo na spravedlivý proces zaručené v článku 47 Listiny v zásadě nevyžadují, aby byla účastníkům soudního řízení přiznána možnost dovolávat se porušení GDPR, ke kterému došlo na úkor třetích osob v tomto řízení.
144 Na třetí otázku písm. f) je tedy třeba odpovědět tak, že GDPR musí být vykládáno v tom smyslu, že soud je v rámci výkonu své soudní činnosti povinen zajistit dodržování tohoto nařízení, jestliže zpracovává osobní údaje třetích osob v řízení. Unijní právo nevyžaduje, aby se některý z účastníků tohoto řízení mohl dovolávat toho, že tyto údaje byly protistranou získány nebo uchovávány protiprávně ve smyslu uvedeného nařízení v rozporu s právy, která pro tyto třetí osoby vyplývají z téhož nařízení.
K nákladům řízení
145 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.
Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto:
1) Článek 6 odst. 1 první pododstavec písm. c) a odst. 3 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) ve spojení s čl. 8 odst. 2 a článkem 52 Listiny základních práv Evropské unie
musí být vykládán v tom smyslu, že
nebrání vnitrostátní právní úpravě, která v případě zpracování osobních údajů prováděného v rámci posuzování skutkového stavu a provádění důkazů soudem pouze stanoví, že účastníci řízení musí podrobně a pravdivě uvést všechny skutečnosti, a tomuto soudu ukládá, aby je před jejich případným posouzením plně zohlednil, aniž obsahuje údaje o okolnostech a podmínkách, za nichž může uvedený soud skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použít, jestliže existuje jasná, přesná a předvídatelná vnitrostátní judikatura, která sama vymezuje okolnosti a podmínky, za nichž mohou být skutečnosti a důkazy předložené účastníky řízení obsahující osobní údaje použity soudem, tato judikatura odpovídá cíli veřejného zájmu a je tomuto cíli přiměřená.
2) Článek 17 odst. 3 písm. e) nařízení 2016/679
musí být vykládán v tom smyslu, že
toto ustanovení nestanoví alternativní podmínku zákonnosti, kterou by mohlo zpracování splňovat, aby bylo v souladu s čl. 5 odst. 1 písm. a) tohoto nařízení, a která by se lišila od některé z podmínek uvedených v čl. 6 odst. 1 prvním pododstavci uvedeného nařízení.
3) Článek 5 odst. 1 písm. c) nařízení 2016/679 ve spojení s čl. 52 odst. 1 druhou větou Listiny základních práv
musí být vykládán v tom smyslu, že
zásada „minimalizace údajů“ nevyžaduje, aby soud zajistil u každého zpracování osobních údajů, které provádí, dodržení zásady proporcionality tím, že se ujistí, že údaje zpracovávané v této souvislosti jsou takové povahy, že umožňují dosažení cíle sledovaného tímto zpracováním a jsou pro jeho dosažení nezbytně nutné, a že závažnost zásahu do základních práv, který s sebou nese zohlednění těchto údajů za účelem uvedeného zpracování, je úměrná zájmu, který pro tento soud představuje použití těchto údajů k provedení uvedeného zpracování, za předpokladu, že jsou splněny podmínky stanovené v čl. 5 odst. 1 písm. c) nařízení 2016/679.
4) Články 7 a 8 Listiny základních práv, čl. 5 odst. 1 nařízení 2016/679, čl. 6 odst. 1 první pododstavec písm. c) tohoto nařízení ve spojení s jeho čl. 6 odst. 3 a zásada „minimalizace údajů“
musí být vykládány v tom smyslu, že
nebrání tomu, aby vnitrostátní soud použil důkazy obsahující osobní údaje, které účastník řízení, jenž mu je předal, získal v rozporu s právem na ochranu soukromého života a právem na ochranu osobních údajů, pokud tento účastník řízení nemá na takovém zpracování legitimní zájem, který by převažoval nad zájmem spočívajícím pouze v prokázání tvrzených skutečností. Naproti tomu tento soud musí před zpřístupněním těchto údajů účastníkům řízení nebo třetím osobám ověřit, zda jsou takové údaje omezeny na to, co je nezbytné s ohledem na účely, pro které k takovému zpřístupnění dochází, a případně přijmout určitá opatření k minimalizaci porušení práva na ochranu osobních údajů, k němuž by takové zpřístupnění mohlo vést.
5) Článek 13 odst. 1 a 2 nařízení 2016/679
musí být vykládán v tom smyslu, že
nebrání tomu, aby vnitrostátní soud použil v rámci výkonu své soudní činnosti údaje získané účastníkem řízení nebo třetí osobou, kteří nesplnili informační povinnosti, které pro ně vyplývají z tohoto ustanovení.
6) Nařízení 2016/679
musí být vykládáno v tom smyslu, že
soud je v rámci výkonu své soudní činnosti povinen zajistit dodržování tohoto nařízení, jestliže zpracovává osobní údaje třetích osob v řízení. Unijní právo nevyžaduje, aby se některý z účastníků tohoto řízení mohl dovolávat toho, že tyto údaje byly protistranou získány nebo uchovávány protiprávně ve smyslu uvedeného nařízení v rozporu s právy, která pro tyto třetí osoby vyplývají z téhož nařízení.
Podpisy
* Jednací jazyk: němčina.