Spojené věci C-468/10 a C-469/10

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF)

Federación de Comercio Electrónico y Marketing Directo (FECEMD)

Administración del Estado

(žádosti o rozhodnutí o předběžné otázce podané Tribunal Supremo)

„Zpracování osobních údajů – Směrnice 95/46/ES – Článek 7 písm. f) – Přímý účinek“

Shrnutí rozsudku

1. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Úplná harmonizace – Taxativní výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné

(Směrnice Evropského parlamentu a Rady 95/46, článek 7)

2. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Podmínky zákonnosti zpracování osobních údajů

[Listina základních práv Evropské unie, články 7 a 8; směrnice Evropského parlamentu a Rady 95/46, článek 5 a čl. 7 písm. f)]

3. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Prostor pro uvážení členských států – Rozsah

(Směrnice Evropského parlamentu a Rady 95/46, článek 5)

4. Sbližování právních předpisů – Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Směrnice 95/46 – Podmínky zákonnosti zpracování osobních údajů

[Listina základních práv Evropské unie, články 7 a 8; směrnice Evropského parlamentu a Rady 95/46, čl. 7 písm. f)]

5. Základní práva – Respektování soukromého života – Ochrana osobních údajů – Přípustná omezení na základě Listiny základních práv Evropské unie

(Listina základních práv Evropské unie, články 7, 8 a čl. 52 odst. 1)

6. Akty orgánů – Směrnice – Přímý účinek – Podmínky

[Článek 249 třetí pododstavec ES; směrnice Evropského parlamentu a Rady 95/46, článek 7 písm. f)]

1. Harmonizace vnitrostátních právních předpisů obsažená ve směrnici 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů se neomezuje na minimální harmonizaci, ale vede v zásadě k úplné harmonizaci. V tomto ohledu má tato směrnice zajistit volný pohyb osobních údajů a přitom zaručit vysokou úroveň ochrany práv a zájmů osob, jichž se tyto údaje týkají. Z tohoto cíle je proto zřejmé, že článek 7 uvedené směrnice stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Z toho vyplývá, že členské státy nemohou doplnit nové zásady pro oprávněné zpracování osobních údajů, obsažené v článku 7 směrnice 95/46 ani upravovat další požadavky, které by pozměnily dosah některé ze zásad zakotvených v tomto článku.

Tento výklad není zpochybněn tím, že členské státy mohou na základě článku 5 směrnice 95/46 upřesnit podmínky, za kterých je zpracování osobních údajů zákonné. Členské státy totiž nemohou na základě posuzovací pravomoci, kterou jim poskytuje článek 5 směrnice, zavést jiné zásady pro oprávněné zpracování osobních údajů, než jsou zásady uvedené v článku 7 této směrnice, ani pozměnit prostřednictvím dalších požadavků rozsah zásad upravených v uvedeném článku 7.

(viz body 29–30, 32–33, 35–36)

2. Článek 7 písm. f) směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, vyžaduje k umožnění zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, aby kromě dodržení základních práv a svobod subjektu údajů byly tyto údaje uvedeny ve veřejně přístupných zdrojích, a tím tedy kategoricky a obecným způsobem vylučuje jakékoli zpracování údajů, které nejsou v takových zdrojích uvedeny.

Z cíle této směrnice, jímž je zajistit volný pohyb osobních údajů a přitom zaručit vysokou úroveň ochrany práv a zájmů osob, jichž se tyto údaje týkají, totiž jednak vyplývá, že článek 7 stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné. Členské státy proto nemohou doplnit nové zásady pro oprávněné zpracování osobních údajů ani upravovat další požadavky, které by pozměnily dosah některé ze zásad zakotvených v tomto článku 7. Kromě toho nemohou členské státy ani na základě článku 5 uvedené směrnice zavést jiné zásady pro oprávněné zpracování osobních údajů, než jsou zásady uvedené v článku 7, ani pozměnit prostřednictvím dalších požadavků rozsah zásad upravených v uvedeném článku 7.

Za účelem vyvážení proti sobě stojících práv a zájmů požadovaného čl. 7 písm. f) této směrnice mohou členské státy stanovit základní zásady. Mohou vzít také v úvahu okolnost, že závažnost zásahu do základních práv subjektu dotčeného uvedeným zpracováním údajů se může lišit v závislosti na skutečnosti, zda jsou dotčené údaje již uvedeny ve veřejně přístupných zdrojích, či nikoli. V tomto posledně uvedeném případě bude zásah závažnější.

V případě, kdy vnitrostátní právní úprava vylučuje pro určité kategorie osobních údajů možnost jejich zpracování tím, že pro tyto kategorie předepisuje s konečnou platností výsledek vyvážení proti sobě stojících práv a zájmů, aniž připouští odlišný výsledek z důvodu zvláštních okolností konkrétního případu, se však již nejedná o pouhé upřesnění, ale o další požadavek zakázaný čl. 7 písm. f) této směrnice.

(viz body 29–30, 32, 36, 44–49, výrok 1)

3. Směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů obsahuje pravidla vyznačující se jistou pružností a v mnoha případech ponechává na členských státech, aby upravily podrobnosti nebo si vybraly z daných možností. Je proto nutné činit rozdíl mezi vnitrostátními opatřeními, která upravují další požadavky pozměňující rozsah zásady zakotvené v článku 7 této směrnice, a vnitrostátními opatřeními, která obsahují pouze upřesnění některé z těchto zásad. První typ vnitrostátního opatření je zakázán. Pouze v rámci druhého typu vnitrostátního opatření mají členské státy podle článku 5 uvedené směrnice prostor pro uvážení.

(viz bod 35)

4. Článek 7 písm. f) směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů upravuje dvě kumulativní podmínky, které musí být splněny k tomu, aby bylo zpracování osobních údajů zákonné, a to zaprvé zpracování osobních údajů musí být nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, a zadruhé nejsou převýšeny základními právy a svobodami subjektu údajů. Druhá z těchto podmínek vyžaduje vyvažování práv a zájmů stojících v dotčeném případě proti sobě, které v zásadě závisí na konkrétních okolnostech jednotlivých případů a v jehož rámci osoba či orgán provádějící vyvážení musí zohlednit důležitost práv subjektu údajů vyplývajících z článků 7 a 8 Listiny základních práv Evropské unie.

(viz body 38, 40)

5. Respektování práva na soukromý život v souvislosti se zpracováním osobních údajů, přiznaného články 7 a 8 Listiny základních práv Evropské unie, se vztahuje na veškeré informace o identifikované nebo identifikovatelné fyzické osobě. Z článku 8 odst. 2 a čl. 52 odst. 1 Listiny nicméně vyplývá, že za určitých podmínek lze uvedené právo omezit.

(viz bod 42)

6. Ve všech případech, kdy se ustanovení směrnice z hlediska svého obsahu jeví jako bezpodmínečná a dostatečně přesná, jsou jednotlivci oprávněni dovolávat se jich u vnitrostátních soudů vůči státu, pokud tuto směrnici neprovedl ve stanovených lhůtách do vnitrostátního práva nebo ji provedl nesprávně. Tak je tomu v případě čl. 7 písm. f) směrnice 95/46 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Tato směrnice sice ponechává členským státům větší či menší prostor pro uvážení při provádění některých jejích ustanovení, uvedený čl. 7 písm. f) však vyjadřuje bezpodmínečnou povinnost.

(viz body 51–52, 55, výrok 2)

ROZSUDEK SOUDNÍHO DVORA (třetího senátu)

24. listopadu 2011(*)

„Zpracování osobních údajů – Směrnice 95/46/ES – Článek 7 písm. f) – Přímý účinek“

Ve spojených věcech C‑468/10 a C‑469/10,

jejichž předmětem jsou žádosti o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podané rozhodnutími Tribunal Supremo (Španělsko) ze dne 15. července 2010, došlými Soudnímu dvoru dne 28. září 2010, v řízeních

Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) (C‑468/10),

Federación de Comercio Electrónico y Marketing Directo (FECEMD) (C‑469/10)

proti

Administración del Estado,

za přítomnosti:

Unión General de Trabajadores (UGT) (C‑468/10 a C‑469/10),

Telefónica de España SAU (C‑468/10),

France Telecom España SA (C‑468/10 a C‑469/10),

Telefónica Móviles de España SAU (C‑469/10),

Vodafone España SA (C‑469/10),

Asociación de Usuarios de la Comunicación (C‑469/10),

SOUDNÍ DVŮR (třetí senát),

ve složení K. Lenaerts (zpravodaj), předseda senátu, R. Silva de Lapuerta, E. Juhász, T. von Danwitz a D. Šváby, soudci,

generální advokát: P. Mengozzi,

vedoucí soudní kanceláře: M. Ferreira, vrchní rada,

s přihlédnutím k písemné části řízení a po jednání konaném dne 15. září 2011,

s ohledem na vyjádření předložená:

– za Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF), C. Alonso Martínezem a A. Creus Carrerasem, abogados,

– za Federación de Comercio Electrónico y Marketing Directo (FECEMD), R. García del Poyo Vizcayou a Á. Serrano Pérezem, abogados,

– za španělskou vládu M. Muñoz Pérezem, jako zmocněncem,

– za Evropskou komisi I. Martínez del Peral a B. Martenczukem, jako zmocněnci,

s přihlédnutím k rozhodnutí, přijatému po vyslechnutí generálního advokáta, rozhodnout věc bez stanoviska,

vydává tento

Rozsudek

1 Žádosti o rozhodnutí o předběžné otázce se týkají výkladu čl. 7 písm. f) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 281, s. 31; Zvl. vyd. 13/15, s. 355).

2 Tyto žádosti byly předloženy v rámci sporů mezi Asociación Nacional de Establecimientos Financieros de Crédito (ASNEF) a Federación de Comercio Electrónico y Marketing Directo (FECEMD) na jedné straně a Administración del Estado na straně druhé.

Právní rámec

Unijní právo

Směrnice 95/46

3 Sedmý, osmý a desátý bod odůvodnění směrnice 95/46 znějí následovně:

„7) vzhledem k tomu, že rozdíly mezi členskými státy, pokud jde o úroveň ochrany práv a svobod osob, zejména práva na soukromí, mohou s ohledem na zpracování osobních údajů zabránit přenosu těchto údajů z území jednoho členského státu na území jiného členského státu; že tyto rozdíly mohou napříště vytvářet překážku výkonu celé skupiny hospodářských činností na úrovni Společenství, narušit hospodářskou soutěž a bránit správním orgánům ve výkonu povinností, které mají na základě práva Společenství; že tyto rozdíly v úrovni ochrany vyplývají z rozdílů mezi vnitrostátními právními a správními předpisy;

8) vzhledem k tomu, že pro odstranění překážek toku osobních údajů musí být úroveň ochrany práv a svobod osob v souvislosti se zpracováním těchto údajů rovnocenná ve všech členských státech; že tohoto cíle, pro vnitřní trh životně důležitého, nemůže být dosaženo pouze jednotlivými členskými státy, zejména s přihlédnutím k množství odlišností, které se v současné době vyskytují mezi vnitrostátními právními předpisy z této oblasti, a k nezbytnosti koordinovat právní předpisy členských států, aby přeshraniční tok osobních údajů byl upraven koherentně a v souladu s cílem vnitřního trhu [...]; že je tedy nezbytný zásah Společenství směřující ke sblížení právních předpisů;

[...]

10) vzhledem k tomu, že předmětem vnitrostátních právních předpisů o zpracování osobních údajů je chránit základní práva a svobody, zejména právo na soukromí uznaného [uznané rovněž] v článku 8 Evropské úmluvy o ochraně lidských práv a základních svobod [podepsané v Římě dne 4. listopadu 1950 (dále jen ‚EÚLP‘)] i v obecných zásadách práva Společenství; že z tohoto důvodu sblížení těchto právních předpisů nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany ve Společenství.“

4 Článek 1 této směrnice, nazvaný „Předmět směrnice“, zní takto:

„1. Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.

2. Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1.“

5 Článek 5 téže směrnice zní následovně:

„Členské státy upřesní v mezích ustanovení této kapitoly podmínky, za kterých je zpracovávání osobních údajů zákonné.“

6 Článek 7 směrnice 95/46 stanoví:

„Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:

a) subjekt údajů nezpochybnitelně udělil souhlas;

nebo

[...]

f) je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“

7 Článek 13 odst. 1 této směrnice stanoví:

„Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:

a) bezpečnosti státu;

b) obrany;

c) veřejné bezpečnosti;

d) předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;

e) významného hospodářského nebo finančního zájmu členského státu nebo Evropské unie včetně měnové, rozpočtové a daňové oblasti;

f) kontrolní, inspekční nebo regulační funkce vyplývající, i pouze příležitostně, z výkonu veřejné moci v případech uvedených v písmenech c), d) a e);

g) ochrany subjektu údajů nebo práv a svobod druhých.“

Vnitrostátní právo

Ústavní zákon 15/1999

8 Ústavní zákon 15/1999 o ochraně osobních údajů (BOE č. 298, ze dne 14. prosince 1999, s. 43088) provádí do španělského práva směrnici 95/46.

9 Článek 3 písm. j) ústavního zákona č. 15/1999 vyjmenovává „veřejně přístupné zdroje“ v taxativním a omezujícím výčtu následujícího znění:

„[…] databáze, do nichž může nahlížet kdokoli bez omezení nebo jiných požadavků, kromě zaplacení určité protihodnoty, je-li to nezbytné. Povahu veřejně přístupných zdrojů mají výlučně kopie voličských seznamů, telefonní seznamy podle zvláštní právní úpravy a seznamy členů profesních skupin, které obsahují pouze údaje o jménu, titulu, povolání, činnosti, úrovně dosaženého vzdělání, adrese a údaj o příslušnosti ke skupině. Povahu veřejně přístupných zdrojů mají rovněž deníky, úřední věstníky a sdělovací prostředky.“

10 Článek 6 odst. 1 ústavního zákona 15/1999 požaduje pro zpracování údajů nezpochybnitelný souhlas subjektu údajů, pokud zákon nestanoví jinak. Článek 6 odst. 2 in fine tohoto zákona stanoví, že souhlas se nevyžaduje především: „jsou-li údaje uvedeny ve veřejně přístupných zdrojích a jejich zpracování je nezbytné pro uskutečnění oprávněných zájmů správce databáze nebo třetí osoby, které jsou údaje sdělovány, za podmínky, že nebudou porušena základní práva a svobody subjektu údajů“.

11 Článek 11 odst. 1 ústavního zákona 15/1999 připomíná nezbytnost udělení souhlasu ze strany subjektu údajů k tomu, aby mohly být třetím osobám sdělovány osobní údaje, avšak druhý odstavec tohoto článku zároveň stanoví, že tento souhlas není potřebný zejména tehdy, když se jedná o údaje uvedené ve veřejně přístupných zdrojích.

Královské nařízení 1720/2007

12 Španělská vláda provedla ústavní zákon 15/1999 královským nařízením 1720/2007 (BOE č. 17, ze dne 19. ledna 2008, s. 4103).

13 Článek 10 odst. 1 královského nařízení 1720/2007 povoluje zpracování a sdělování osobních údajů, jestliže k tomu subjekt údajů předem udělí souhlas.

14 Článek 10 odst. 2 královského nařízení 1720/2007 však stanoví:

„[...] osobní údaje lze zpracovávat nebo předávat bez souhlasu subjektu údajů, když:

a) to povoluje předpis, který má sílu zákona, nebo předpis práva Společenství, a zvláště v některém z následujících případů:

– účelem zpracování nebo předání údajů je uskutečnění oprávněného zájmu správce nebo toho, komu byly údaje předány, jehož se týkají tyto předpisy, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektů údajů zakotvené v článku 1 ústavního zákona 15/1999 ze dne 13. prosince;

– zpracování nebo předání údajů je nezbytné k tomu, aby správce splnil úkol, který mu ukládá některý z těchto předpisů;

b) údaje, které jsou předmětem zpracování nebo předání, jsou uvedeny ve veřejně přístupných zdrojích a správce databáze nebo třetí osoba, které jsou údaje sdělovány, mají oprávněný zájem na jejich zpracování nebo sdělení za podmínky, že nejsou porušena základní práva a svobody subjektu údajů.

Orgány veřejné správy však mohou údaje pocházející z veřejně přístupných zdrojů sdělovat na základě tohoto odstavce správcům soukromých databází, pouze pokud jsou k tomu oprávněny předpisem, který má sílu zákona.“

Spory v původním řízení a předběžné otázky

15 ASNEF a FECEMD podaly každá správní žalobu proti několika článkům královského nařízení 1720/2007.

16 Mezi napadenými ustanoveními se nacházejí čl. 10 odst. 2 písm. a) první odrážka a písm. b) první pododstavec uvedeného nařízení, ohledně nichž mají ASNEF a FECEMD za to, že porušují čl. 7 písm. f) směrnice 95/46.

17 ASNEF a FECEMD se především domnívají, že španělské právo doplňuje k podmínce oprávněného zájmu ke zpracování údajů bez souhlasu subjektu údajů další podmínku, která není zakotvena ve směrnici 95/46, a to, aby byly údaje uvedeny ve veřejně přístupných zdrojích.

18 Tribunal Supremo má za to, že opodstatněnost žalob, které podaly ASNEF i FECEMD, závisí do značné míry na tom, jak Soudní dvůr vyloží čl. 7 písm. f) směrnice 95/46/ES. Tento soud poukazuje na to, že kdyby Soudní dvůr dospěl k závěru, že členské státy nemohou k podmínkám upraveným v tomto ustanovení připojovat dodatečné podmínky, a že lze uvedenému ustanovení přiznat přímý účinek, nemohl by se čl. 10 odst. 2 písm. b) královského nařízení 1720/2007 použít.

19 Tribunal Supremo vysvětluje, že není-li dán souhlas subjektu údajů ke zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, španělské právo vyžaduje, aby kromě dodržení základních práv a svobod subjektu údajů byly údaje uvedeny v databázích stanovených v čl. 3 písm. j) ústavního zákona č. 15/1999. V této souvislosti se uvedený soud domnívá, že tento zákon a královské nařízení 1727/2007 omezují rozsah čl. 7 písm. f) směrnice 95/46.

20 Podle názoru Tribunal Supremo představuje toto omezení překážku volnému pohybu osobních údajů, které je slučitelné se směrnicí 95/46, pouze pokud to vyžaduje zájem či základní práva a svobody subjektu údajů. Tento soud z této skutečnosti vyvozuje, že jedinou možností, jak zabránit rozporu mezi touto směrnicí a španělským právem, je mít za to, že volný pohyb osobních údajů, které jsou obsaženy v databázích odlišných od těch, které jsou uvedeny v čl. 3 písm. j) ústavního zákona 15/1999, porušuje zájem nebo základní práva a svobody subjektu údajů.

21 Tribunal Supremo se nicméně táže, zda je takový výklad v souladu s vůlí unijního zákonodárce.

22 Vzhledem k tomu, že měl Tribunal Supremo za těchto okolností za to, že řešení obou věcí, které mu byly předloženy, závisí na výkladu ustanovení unijního práva, rozhodl se přerušit řízení a položit Soudnímu dvoru následující předběžné otázky, které mají totožné znění pro obě uvedené věci:

„1) Je třeba čl. 7 písm. f) směrnice 95/46 [...] vykládat v tom smyslu, že brání vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, vyžaduje k umožnění zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, vyžaduje, aby kromě dodržení základních práv a svobod subjektu údajů byly tyto údaje uvedeny ve veřejně přístupných zdrojích?

2) Splňuje [uvedený] čl. 7 písm. f) podmínky, které stanoví judikatura Soudního dvora k tomu, aby mu byl přiznán přímý účinek?“

23 Usnesením předsedy Soudního dvora ze dne 26. října 2010 byly věci C‑468/10 a C‑469/10 spojeny pro účely písemné a ústní části řízení, jakož i pro účely rozsudku.

K předběžným otázkám

K první otázce

24 Podstatou první otázky předkládajícího soudu je, zda čl. 7 písm. f) směrnice 95/46 musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, a pro umožnění zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, vyžaduje, aby kromě dodržení základních práv a svobod subjektu údajů byly tyto údaje uvedeny ve veřejně přístupných zdrojích.

25 Článek 1 směrnice 95/46 ukládá členským státům, aby zajistily ochranu svobod a základních práv fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů (viz v tomto smyslu rozsudek ze dne 16. prosince 2008, Huber, C‑524/06, Sb. rozh. s. I‑9705, bod 47).

26 V souladu s ustanoveními kapitoly II směrnice 95/46, nazvané „Obecné podmínky pro zákonnost zpracování osobních údajů“, musí být jakékoli zpracování osobních údajů, s výhradou výjimek, které připouští článek 13 této směrnice, jednak v souladu se zásadami pro kvalitu údajů zakotvenými v článku 6 uvedené směrnice, a jednak musí odpovídat některé ze šesti zásad pro oprávněné zpracování údajů uvedených v článku 7 téže směrnice (v tomto smyslu viz rozsudek ze dne 20. května 2003, Österreichischer Rundfunk a další, C‑465/00, C‑138/01 a C‑139/01, Recueil, s. I‑4989, bod 65, jakož i výše uvedený rozsudek Huber, bod 48).

27 Ze sedmého bodu odůvodnění směrnice 95/46 vyplývá, že rozdíly mezi vnitrostátními režimy zpracovávání osobních údajů mohou vážně narušit vytvoření a fungování vnitřního trhu (viz rozsudek ze dne 6. listopadu 2003, Lindqvist, C‑101/01, Recueil, s. I‑12971, bod 79).

28 V této souvislosti je třeba připomenout, že cílem směrnice 95/46, jak vyplývá zejména z jejího osmého bodu odůvodnění, je dosáhnout ve všech členských státech rovnocenné úrovně ochrany práv a svobod osob v souvislosti se zpracováním osobních údajů. Její desátý bod odůvodnění doplňuje, že sblížení vnitrostátních právních předpisů použitelných v dané oblasti nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v Unii (v tomto smyslu viz výše uvedené rozsudky Lindqvist, bod 95, a Huber, bod 50).

29 Bylo již judikováno, že harmonizace uvedených vnitrostátních právních předpisů se neomezuje na minimální harmonizaci, ale vede k zásadně úplné harmonizaci. Právě v tomto ohledu má směrnice 95/46 zajistit volný pohyb osobních údajů a přitom zaručit vysokou úroveň ochrany práv a zájmů osob, jichž se tyto údaje týkají (viz výše uvedený rozsudek Lindqvist, bod 96).

30 Z cíle spočívajícího v zajištění rovnocenné úrovně ochrany ve všech členských státech proto vyplývá, že článek 7 směrnice 95/46 stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné.

31 Tento výklad je potvrzen spojením „může být provedeno, pouze pokud“ a spojkou „nebo“, obsaženými v článku 7 směrnice 95/46, které svědčí o taxativní a omezující povaze seznamu obsaženého v tomto článku.

32 Z toho vyplývá, že členské státy nemohou doplnit nové zásady pro oprávněné zpracování osobních údajů, obsažené v článku 7 směrnice 95/46 ani upravovat další požadavky, které by pozměnily dosah některé ze šesti zásad zakotvených v tomto článku.

33 Předchozí výklad není zpochybněn článkem 5 směrnice 95/46. Tento článek totiž zmocňuje členské státy pouze k tomu, aby v mezích kapitoly II uvedené směrnice, a tedy jejího článku 7, upřesnily podmínky, za kterých je zpracování osobních údajů zákonné.

34 Prostor pro uvážení, který mají členské státy na základě uvedeného článku 5, lze tedy použít pouze v souladu s cílem sledovaným směrnicí 95/46, spočívajícím v zachování rovnováhy mezi volným pohybem osobních údajů a ochranou soukromí (viz výše uvedený rozsudek Lindqvist, bod 97).

35 Směrnice 95/46 obsahuje pravidla vyznačující se jistou pružností a v mnoha případech ponechává na členských státech, aby upravily podrobnosti nebo si vybraly z daných možností (viz výše uvedený rozsudek Lindqvist, bod 83). Je proto nutné činit rozdíl mezi vnitrostátními opatřeními, která upravují další požadavky pozměňující rozsah zásady zakotvené v článku 7 směrnice 95/46, a vnitrostátními opatřeními, která obsahují pouze upřesnění některé z těchto zásad. První typ vnitrostátního opatření je zakázán. Pouze v rámci druhého typu vnitrostátního opatření mají členské státy podle článku 5 směrnice 95/46 prostor pro uvážení.

36 Z toho vyplývá, že členské státy nemohou na základě článku 5 směrnice 95/46 zavést jiné zásady pro oprávněné zpracování osobních údajů, než jsou zásady uvedené v článku 7 této směrnice, ani pozměnit prostřednictvím dalších požadavků rozsah šesti zásad upravených v uvedeném článku 7.

37 V projednávaném případě článek 7 písm. f) směrnice 95/46 stanoví, že zpracování osobních údajů je zákonné, pokud „je nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1“.

38 Uvedený článek 7 písm. f) upravuje dvě kumulativní podmínky, které musí být splněny k tomu, aby bylo zpracování osobních údajů zákonné, a to zaprvé zpracování osobních údajů musí být nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, a zadruhé nejsou převýšeny základními právy a svobodami subjektu údajů.

39 Z toho vyplývá, že pokud jde o zpracování osobních údajů, brání článek 7 písm. f) směrnice 95/46 každé vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, stanoví kromě obou kumulativních podmínek zmíněných v předchozím bodě další požadavky.

40 Je však třeba zohlednit skutečnost, že druhá z těchto podmínek vyžaduje vyvažování práv a zájmů stojících v dotčeném případě proti sobě, které v zásadě závisí na konkrétních okolnostech jednotlivých případů a v jehož rámci osoba či orgán provádějící vyvážení musí zohlednit důležitost práv subjektu údajů vyplývajících z článků 7 a 8 Listiny základních práv Evropské unie (dále jen „Listina“).

41 V tomto ohledu je třeba uvést, že čl. 8 odst. 1 Listiny stanoví, že „[k]aždý má právo na ochranu osobních údajů, které se jej týkají“. Toto základní právo úzce souvisí s právem na respektování soukromého života zakotveným v článku 7 Listiny (rozsudek ze dne 9. listopadu 2010, Volker und Markus Schecke a Eifert, C‑92/09 a C‑93/09, dosud nezveřejněný ve Sbírce rozhodnutí, bod 47).

42 Podle judikatury Soudního dvora platí, že respektování práva na soukromý život v souvislosti se zpracováním osobních údajů, přiznaného články 7 a 8 Listiny, se vztahuje na veškeré informace o identifikované nebo identifikovatelné fyzické osobě (viz výše uvedený rozsudek Volker und Markus Schecke a Eifert, bod 52). Z článku 8 odst. 2 a čl. 52 odst. 1 Listiny nicméně vyplývá, že za určitých podmínek lze uvedené právo omezit.

43 Členské státy musí navíc při provedení směrnice 95/46 dbát na to, aby se opíraly o výklad této směrnice, který jim umožní zajistit spravedlivou rovnováhu mezi jednotlivými základními právy a svobodami chráněnými unijním právním řádem (obdobně viz rozsudek ze dne 29. ledna 2008, Promusicae, C‑275/06, Sb. rozh. s. I‑271, bod 68).

44 Pokud jde o vyvážení požadované ustanovením čl. 7 písm. f) směrnice 95/46, je možné vzít v úvahu okolnost, že závažnost zásahu do základních práv subjektu dotčeného uvedeným zpracováním údajů se může lišit v závislosti na skutečnosti, zda jsou dotčené údaje již uvedeny ve veřejně přístupných zdrojích, či nikoli.

45 Na rozdíl od zpracování údajů uvedených ve veřejně přístupných zdrojích znamená zpracování údajů uvedených ve zdrojích, které nejsou veřejnosti přístupné, nutně to, že informace o soukromém životě subjektu údajů budou od nynějška známy správci odpovědnému za zpracování a případně třetí osobě či třetím osobám, jimž jsou údaje sděleny. Skutečný význam tohoto závažnějšího zásahu do práv dotyčného subjektu, která jsou zakotvena v článcích 7 a 8 Listiny, musí být zohledněn tím, že bude porovnán s oprávněným zájmem sledovaným správcem nebo třetími osobami, jimž jsou údaje sděleny.

46 V tomto ohledu je třeba zdůraznit, že nic nebrání tomu, aby při výkonu svého prostoru pro uvážení přiznaného článkem 5 směrnice 95/46 stanovily členské státy pro uvedené vyvážení základní zásady.

47 O upřesnění ve smyslu uvedeného článku 5 se však již nejedná v případě, kdy vnitrostátní právní úprava vylučuje pro určité kategorie osobních údajů možnost jejich zpracování tím, že pro tyto kategorie předepisuje s konečnou platností výsledek vyvážení proti sobě stojících práv a zájmů, aniž připouští odlišný výsledek z důvodu zvláštních okolností konkrétního případu.

48 Aniž je dotčen článek 8 směrnice 95/46 týkající se zpracování zvláštních kategorií údajů, což je ustanovení, jehož se spor v původním řízení netýká, brání tedy čl. 7 písm. f) této směrnice tomu, aby členský stát vyloučil kategorickým a obecným způsobem možnost zpracování určitých kategorií osobních údajů a neumožnil vyvážení proti sobě stojících práv a zájmů v konkrétním případě.

49 Vzhledem k těmto úvahám je na první otázku třeba odpovědět tak, že čl. 7 písm. f) směrnice 95/46 musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, vyžaduje k umožnění zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, aby kromě dodržení základních práv a svobod subjektu údajů byly tyto údaje uvedeny ve veřejně přístupných zdrojích, a tím tedy kategoricky a obecným způsobem vylučuje jakékoli zpracování údajů, které nejsou v takových zdrojích uvedeny.

Ke druhé otázce

50 Podstatou druhé otázky předkládajícího soudu je, zda má čl. 7 písm. f) směrnice 95/46 přímý účinek.

51 V této souvislosti je třeba připomenout, že z ustálené judikatury Soudního dvora vyplývá, že ve všech případech, kdy se ustanovení směrnice z hlediska svého obsahu jeví jako bezpodmínečná a dostatečně přesná, jsou jednotlivci oprávněni dovolávat se jich u vnitrostátních soudů vůči státu, pokud tuto směrnici neprovedl ve stanovených lhůtách do vnitrostátního práva nebo ji provedl nesprávně (viz rozsudek ze dne 3. března 2011, Auto Nikolovi, C‑203/10, dosud nezveřejněný ve Sbírce rozhodnutí, bod 61 a citovaná judikatura).

52 Nelze než konstatovat, že čl. 7 písm. f) směrnice 95/46 je ustanovením dostatečně přesným pro to, aby se jich jednotlivec mohl dovolávat a mohlo být uplatňováno vnitrostátními soudy. Navíc směrnice 95/46 sice nepopiratelně ponechává členským státům větší či menší prostor pro uvážení při provádění některých jejích ustanovení, avšak uvedený čl. 7 písm. f) vyjadřuje bezpodmínečnou povinnost (obdobně viz výše uvedený rozsudek Österreichischer Rundfunk a další, bod 100).

53 Použití výrazu „za podmínky, že“ v samotném znění čl. 7 písm. f) směrnice 95/46 není samo o sobě takové povahy, aby zpochybnilo bezpodmínečný charakter tohoto ustanovení ve smyslu uvedené judikatury.

54 Cílem tohoto výrazu je totiž zavést jeden ze dvou kumulativních prvků upravených v čl. 7 písm. f) směrnice 95/46, které podmiňují možnost zpracování osobních údajů bez souhlasu subjektu údajů. Jelikož je tento prvek definován, neodnímá uvedenému článku 7 písm. f) jeho přesný a bezpodmínečný charakter.

55 Na druhou otázku je tedy třeba odpovědět tak, že čl. 7 písm. f) směrnice 95/46 má přímý účinek.

K nákladům řízení

56 Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (třetí senát) rozhodl takto:

1) Článek 7 písm. f) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že brání vnitrostátní právní úpravě, která v případě, že není dán souhlas subjektu údajů, vyžaduje k umožnění zpracování jeho osobních údajů, které je nezbytné pro uskutečnění oprávněného zájmu správce tohoto zpracování nebo třetí osoby či třetích osob, jimž jsou tyto údaje sdělovány, aby kromě dodržení základních práv a svobod subjektu údajů byly tyto údaje uvedeny ve veřejně přístupných zdrojích, a tím tedy kategoricky a obecným způsobem vylučuje jakékoli zpracování údajů, které nejsou v takových zdrojích uvedeny.

2) Článek 7 písm. f) směrnice 95/46 má přímý účinek.

Podpisy.

* Jednací jazyk: španělština.