–

za „SS“ SIA M. Ruķersem,

–

za lotyšskou vládu původně K. Pommere, V. Soņeca a L. Juškeviča, poté K. Pommere, jako zmocněnkyněmi,

–

za belgickou vládu J.-C. Halleuxem a P. Cottinem, jako zmocněnci, ve spolupráci s C. Molitorem, avocat,

–

za řeckou vládu E.-M. Mamouna a O. Patsopoulou, jako zmocněnkyněmi,

–

za španělskou vládu původně J. Rodríguez de la Rúa Puigem a S. Jiménez Garcíou, poté J. Rodríguez de la Rúa Puigem, jako zmocněnci,

–

za Evropskou komisi původně H. Kranenborgem a D. Nardim, jakož i I. Rubene, poté H. Kranenborgem a I. Rubene, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, a oprava Úř. věst. 2018, L 127, s. 2), zejména jeho čl. 5 odst. 1.

2

Tato žádost byla předložena v rámci sporu mezi společností „SS“ SIA a Valsts ieņēmumu dienests (daňová správa, Lotyšsko) (dále jen „lotyšská daňová správa“) ve věci žádosti o sdělení informací týkajících se inzerátů na prodej vozidel zveřejněných na internetových stránkách společnosti SS.

3

Nařízení 2016/679, které je založeno na článku 16 SFEU, se podle svého čl. 99 odst. 2 použije ode dne 25. května 2018.

4

V bodech 1, 4, 10, 19, 26, 31, 39, 41 a 50 odůvodnění tohoto nařízení se uvádí:

[…]

[…]

[…]

[…]

[…]

[…]

[…]

[…]

5

Článek 2 nařízení 2016/679, nadepsaný „Věcná působnost“, stanoví:

„1.   Toto nařízení se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

2.   Toto nařízení se nevztahuje na zpracování osobních údajů prováděné:

[…]“

6

Článek 4 tohoto nařízení, nadepsaný „Definice“, zní takto:

„Pro účely tohoto nařízení se rozumí:

[…]

[…]

[…]“

7

Článek 5 uvedeného nařízení, nadepsaný „Zásady zpracování osobních údajů“, zní:

„1.   Osobní údaje musí být:

2.   Správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit (‚odpovědnost‘).“

8

Článek 6 téhož nařízení, nadepsaný „Zákonnost zpracování“, stanoví:

„1.   Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

2.   Členské státy mohou zachovat nebo zavést konkrétnější ustanovení, aby přizpůsobily používání pravidel tohoto nařízení ohledně zpracování ke splnění odst. 1 písm. c) a e) tím, že přesněji určí konkrétní požadavky na zpracování a jiná opatření k zajištění zákonného a spravedlivého zpracování, a to i u jiných zvláštních situací, při nichž dochází ke zpracování, jak stanoví kapitola IX.

3.   Základ pro zpracování podle odst. 1 písm. c) a e) musí být stanoven:

Účel zpracování musí vycházet z tohoto právního základu, nebo pokud jde o zpracování uvedené v odst. 1 písm. e), musí být toto zpracování nutné pro splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. […] Právo Unie nebo členského státu musí splňovat cíl veřejného zájmu a musí být přiměřené sledovanému legitimnímu cíli.

4.   Pokud zpracování pro jiný účel, než pro který byly osobní údaje shromážděny, není založeno na souhlasu subjektu údajů nebo na právu Unie či členského státu, který v demokratické společnosti představuje nutné a přiměřené opatření k zajištění cílů uvedených v čl. 23 odst. 1, zohlední správce v zájmu zjištění toho, zda je zpracování pro jiný účel slučitelné s účely, pro něž byly osobní údaje původně shromážděny, mimo jiné:

9

Článek 13 odst. 3 nařízení 2016/679 zní:

„Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.“

10

Článek 14 tohoto nařízení stanoví:

„1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

[…]

[…]

5.   Odstavce 1 až 4 se nepoužijí, pokud a do té míry, v níž:

[…]

[…]“

11

Článek 23 odst. 1 písm. e) uvedeného nařízení zní:

„Právo Unie nebo členského státu, které se na správce nebo zpracovatele vztahuje, může prostřednictvím legislativního opatření omezit rozsah povinností a práv uvedených v článcích 12 až 22 a v článku 34, jakož i v článku 5, v rozsahu, v jakém ustanovení tohoto článku odpovídají právům a povinnostem stanoveným v článcích 12 až 22, jestliže takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené opatření v demokratické společnosti s cílem zajistit:

[…]

[…]“

12

Článek 25 odst. 2 nařízení 2016/679 stanoví:

„Správce zavede vhodná technická a organizační opatření k zajištění toho, aby se standardně zpracovávaly pouze osobní údaje, jež jsou pro každý konkrétní účel daného zpracování nezbytné. Tato povinnost se týká množství shromážděných osobních údajů, rozsahu jejich zpracování, doby jejich uložení a jejich dostupnosti. Tato opatření zejména zajistí, aby osobní údaje nebyly standardně bez zásahu člověka zpřístupněny neomezenému počtu fyzických osob.“

13

Body 10 a 11 odůvodnění směrnice 2016/680 uvádějí:

14

Článek 3 této směrnice stanoví:

„Pro účely této směrnice se rozumějí:

[…]

7. ‚příslušným orgánem‘:

[…]“

15

Podle čl. 15 odst. 6 likums „Par nodokļiem un nodevām“ (zákon o daních a poplatcích, Latvijas Vēstnesis, 1995, č. 26), ve znění použitelném na spor v původním řízení (dále jen „zákon o daních a poplatcích“), je poskytovatel internetových inzertních služeb povinen na žádost lotyšské daňové správy poskytnout informace, které má k dispozici, týkající se daňových poplatníků, kteří s využitím jeho služeb zveřejnili inzeráty.

16

Společnost SS je poskytovatelem internetových inzertních služeb usazeným v Lotyšsku.

17

Dne 28. srpna 2018 lotyšská daňová správa zaslala společnosti SS žádost o sdělení na základě čl. 15 odst. 6 zákona o daních a poplatcích, v níž tuto společnost vyzvala, aby obnovila přístup, který měla tato daňová správa k identifikačním číslům vozidel, kterých se týká inzerát zveřejněný na internetovém portálu uvedené společnosti, jakož i k telefonním číslům prodejců, a aby jí nejpozději dne 3. září 2018 poskytla informace o inzerátech zveřejněných v období od 14. července do 31. srpna 2018 v rubrice nadepsané „Osobní automobil“ na tomto portálu.

18

Tato žádost upřesňovala, že tyto informace obsahující odkaz na inzerát, text tohoto inzerátu, značku, model, identifikační číslo a cenu vozidla, jakož i telefonní číslo prodejce musí být předloženy elektronicky ve formátu umožňujícím filtrování nebo výběr údajů.

19

Kromě toho v případě, že by přístup k informacím uvedeným v inzerátech zveřejněných na dotčeném internetovém portálu nemohl být obnoven, byla společnost SS vyzvána, aby uvedla důvod tohoto neobnovení a poskytla nejpozději třetí den každého měsíce příslušné informace týkající se inzerátů zveřejněných v předchozím měsíci.

20

Vzhledem k tomu, že společnost SS měla za to, že žádost lotyšské daňové správy o sdělení není v souladu se zásadami proporcionality a minimalizace osobních údajů zakotvenými v nařízení 2016/679, podala proti této žádosti stížnost ke generálnímu řediteli zastupujícímu lotyšskou daňovou správu.

21

Rozhodnutím ze dne 30. října 2018 uvedená správa tuto stížnost zamítla, přičemž zejména uvedla, že v rámci zpracování osobních údajů, o které jde ve věci v původním řízení, vykonává lotyšská daňová správa pravomoci, které jsou jí svěřeny zákonem.

22

Společnost SS podala k administratīvā rajona tiesa (okresní správní soud, Lotyšsko) žalobu znějící na zrušení tohoto rozhodnutí. Vedle argumentů, které uvedla ve své stížnosti, v žalobě tvrdila, že uvedené rozhodnutí neuvádí konkrétní účel zpracování osobních údajů zamýšleného lotyšskou daňovou správou, ani množství údajů nezbytných k tomuto zpracování, což je v rozporu s čl. 5 odst. 1 nařízení 2016/679.

23

Rozsudkem ze dne 21. května 2019 administratīvā rajona tiesa (okresní správní soud) tuto žalobu zamítl, přičemž v podstatě uvedl, že lotyšská daňová správa byla oprávněna požadovat přístup k informacím týkajícím se všech osob a v neomezeném množství, ledaže by tyto informace byly považovány za neslučitelné s účely výběru daní. Tento soud měl mimoto za to, že se na tuto správu nevztahují ustanovení nařízení 2016/679.

24

Společnost SS podala proti tomuto rozsudku odvolání k předkládajícímu soudu, přičemž tvrdila, že lotyšská daňová správa podléhá ustanovením nařízení 2016/679 a že tato správa tím, že vyžadovala měsíčně a bez časového omezení značné množství osobních údajů týkajících se neomezeného počtu inzerátů, aniž identifikovala daňové poplatníky, vůči kterým byla zahájena daňová kontrola, porušila zásadu proporcionality.

25

Předkládající soud uvádí, že v rámci sporu v původním řízení není zpochybňováno, že vyhovění dotčené žádosti o sdělení je vnitřně spjato se zpracováním osobních údajů, ani že lotyšská daňová správa má právo na získání informací, které má poskytovatel služeb zprostředkovávání reklamy na internetu k dispozici a které jsou nezbytné k provedení zvláštních opatření v oblasti výběru daní.

26

Spor v původním řízení se týká množství a druhu informací, které může lotyšská daňová správa požadovat, omezené či neomezené povahy těchto informací, jakož i otázky, zda sdělovací povinnost, které podléhá společnost SS, musí být časově omezena.

27

Předkládající soud má zejména za to, že mu přísluší určit, zda je za okolností věci v původním řízení zpracování osobních údajů prováděno ve vztahu k subjektům údajů transparentně, zda jsou informace uvedené v dotčené žádosti o sdělení požadovány pro určité, výslovně vyjádřené a legitimní účely a zda je zpracování osobních údajů prováděno pouze v rozsahu, v němž je skutečně nezbytné k výkonu funkcí lotyšské daňové správy ve smyslu čl. 5 odst. 1 nařízení 2016/679.

28

Za tímto účelem je nezbytné vymezit kritéria umožňující posoudit, zda žádost lotyšské daňové správy o sdělení respektuje podstatu základních svobod a práv a zda žádost o sdělení dotčená ve věci v původním řízení může být považována za nezbytnou a přiměřenou v demokratické společnosti za účelem zajištění důležitých cílů Unie a lotyšských veřejných zájmů v rozpočtové a daňové oblasti.

29

Za těchto podmínek se Administratīvā apgabaltiesa (regionální správní soud, Lotyšsko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

30

Podstatou první otázky předkládajícího soudu je, zda musí být ustanovení nařízení 2016/679 vykládána v tom smyslu, že požadavkům stanoveným tímto nařízením, zejména požadavkům uvedeným v jeho čl. 5 odst. 1, podléhá shromažďování informací, které zahrnují značné množství osobních údajů, daňovou správou členského státu od hospodářského subjektu.

31

K podání odpovědi na tuto otázku je třeba zaprvé ověřit, zda taková žádost spadá do věcné působnosti nařízení 2016/679, jak je definována v jeho čl. 2 odst. 1, a zadruhé zda nepatří mezi zpracování osobních údajů, která čl. 2 odst. 2 tohoto nařízení z této působnosti vylučuje.

32

Zaprvé se podle čl. 2 odst. 1 nařízení 2016/679 toto nařízení vztahuje na zcela nebo částečně automatizované zpracování osobních údajů a na neautomatizované zpracování těch osobních údajů, které jsou obsaženy v evidenci nebo do ní mají být zařazeny.

33

Článek 4 bod 1 nařízení 2016/679 upřesňuje, že „osobními údaji“ se rozumějí veškeré informace o identifikované nebo identifikovatelné fyzické osobě, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby. Bod 26 odůvodnění tohoto nařízení v tomto ohledu upřesňuje, že při určování, zda je fyzická osoba identifikovatelná, by se mělo přihlédnout ke všem prostředkům, o nichž lze rozumně předpokládat, že je správce nebo jiná osoba použijí pro přímou či nepřímou identifikaci dané fyzické osoby.

34

V rámci sporu v původním řízení je nesporné, že informace, jejichž sdělení lotyšská daňová správa požaduje, jsou osobními údaji ve smyslu čl. 4 bodu 1 nařízení 2016/679.

35

Podle čl. 4 bodu 2 tohoto nařízení představuje „zpracování“ ve smyslu uvedeného nařízení shromažďování, konzultace, sdělení prostřednictvím přenosu nebo jakékoli jiné zpřístupnění osobních údajů. Ze znění tohoto ustanovení, zejména z výrazu „jakákoliv operace“, vyplývá, že unijní normotvůrce zamýšlel přiznat pojmu „zpracování“ široký dosah. Tento výklad je potvrzen demonstrativní povahou výčtu operací uvedených v tomto ustanovení, vyjádřenou slovním spojením „jako je“.

36

Lotyšská daňová správa v projednávané věci požaduje, aby dotyčný hospodářský subjekt obnovil přístup útvarů této správy k identifikačním číslům vozidel, kterých se týká inzerát zveřejněný na jeho internetovém portálu, a aby mu poskytl informace o inzerátech zveřejněných na tomto portálu.

37

Taková žádost, kterou daňová správa členského státu požaduje od hospodářského subjektu sdělení a zpřístupnění osobních údajů, které je podle vnitrostátní právní úpravy tohoto členského státu tento hospodářský subjekt povinen poskytnout a zpřístupnit, zahajuje proces „shromáždění“ těchto údajů ve smyslu čl. 4 bodu 2 nařízení 2016/679.

38

Kromě toho sdělení a zpřístupnění uvedených údajů této správě dotčeným hospodářským subjektem znamená „zpracování“ ve smyslu tohoto čl. 4 bodu 2.

39

Zadruhé je třeba zkoumat, zda lze mít za to, že operace, kterou se daňová správa členského státu snaží získat od hospodářského subjektu osobní údaje týkající se některých daňových poplatníků, je vyňata z působnosti nařízení 2016/679 na základě jeho čl. 2 odst. 2.

40

V tomto ohledu je třeba nejprve připomenout, že toto ustanovení stanoví výjimky z působnosti tohoto nařízení, jak je vymezena v jeho čl. 2 odst. 1, a že tyto výjimky musí být vykládány striktně (rozsudek ze dne 16. července 2020, Facebook Ireland a Schrems, C‑311/18, EU:C:2020:559, bod 84).

41

Konkrétně čl. 2 odst. 2 písm. d) nařízení 2016/679 stanoví, že se toto nařízení nevztahuje na zpracování osobních údajů prováděné příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení.

42

Jak vyplývá z bodu 19 odůvodnění tohoto nařízení, tato výjimka je odůvodněna tím, že na zpracování osobních údajů, které provádí příslušné orgány za takovými účely, se vztahuje konkrétní unijní akt, a sice směrnice 2016/680, která byla přijata ve stejný den jako nařízení 2016/679 a která v čl. 3 bodu 7 definuje, co se rozumí „příslušným orgánem“, přičemž taková definice musí být obdobně použita i na čl. 2 odst. 2 písm. d) tohoto nařízení [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, body 69].

43

Z bodu 10 odůvodnění směrnice 2016/680 vyplývá, že pojem „příslušný orgán“ musí být vykládán v souvislosti s ochranou osobních údajů v oblasti justiční spolupráce v trestních věcech a policejní spolupráce s přihlédnutím k úpravám, které se v tomto ohledu mohou vzhledem ke specifické povaze těchto oblastí ukázat jako nezbytné. V bodě 11 odůvodnění této směrnice je kromě toho upřesněno, že se nařízení 2016/679 použije na zpracování osobních údajů prováděné „příslušným orgánem“ ve smyslu čl. 3 odst. 7 zmíněné směrnice, ale pro jiné účely, než jsou účely uvedené v této směrnici [rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 70].

44

Žádá-li tedy daňová správa členského státu hospodářský subjekt o poskytnutí osobních údajů týkajících se některých daňových poplatníků pro účely výběru daně a boje proti daňovým únikům, nic nenasvědčuje tomu, že by tato správa mohla být považována za „příslušný orgán“ ve smyslu čl. 3 bodu 7 směrnice 2016/680, a tudíž ani tomu, že by takové žádosti o informace mohly spadat pod výjimku stanovenou v čl. 2 odst. 2 písm. d) nařízení 2016/679.

45

Kromě toho, i když není vyloučeno, že by osobní údaje dotčené ve věci v původním řízení mohly být použity v rámci trestních stíhání, která by mohla být vedena v případě protiprávního jednání v daňové oblasti proti určitým subjektům údajů, nejeví se, že by tyto údaje byly shromažďovány s konkrétním cílem vedení takových trestních stíhání nebo v rámci činností státu v oblasti trestního práva (v tomto smyslu viz rozsudek ze dne 27. září 2017, Puškár, C‑73/16, EU:C:2017:725, bod 40).

46

Shromažďování osobních údajů týkajících se inzerátů na prodej vozidel zveřejněných na internetových stránkách hospodářského subjektu daňovou správou členského státu tudíž spadá do věcné působnosti nařízení 2016/679, a tato správa tedy musí dodržovat zejména zásady zpracování osobních údajů stanovené v článku 5 tohoto nařízení.

47

S ohledem na všechny výše uvedené úvahy je třeba na první otázku odpovědět tak, že ustanovení nařízení 2016/679 musí být vykládána v tom smyslu, že požadavkům stanoveným tímto nařízením, zejména požadavkům uvedeným v jeho čl. 5 odst. 1, podléhá shromažďování informací, které zahrnují značné množství osobních údajů, daňovou správou členského státu od hospodářského subjektu.

48

Podstatou druhé otázky předkládajícího soudu je, zda musí být ustanovení nařízení 2016/679 vykládána v tom smyslu, že se daňová správa členského státu může odchýlit od ustanovení čl. 5 odst. 1 tohoto nařízení, i když jí takové právo nebylo přiznáno vnitrostátním právem tohoto členského státu.

49

Úvodem je třeba připomenout, že jak vyplývá z bodu 10 jeho odůvodnění, je cílem nařízení 2016/679 mimo jiné zajistit vysokou úroveň ochrany fyzických osob v rámci Unie.

50

Za tímto účelem stanoví kapitoly II a III nařízení 2016/679 zásady, jimiž se řídí zpracování osobních údajů, jakož i práva subjektu údajů, která musí dodržovat každé zpracování osobních údajů. Konkrétně musí být každé zpracování osobních údajů zejména v souladu se zásadami zpracování takových údajů stanovenými v článku 5 uvedeného nařízení (v tomto smyslu viz rozsudek ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 208).

51

Článek 23 nařízení 2016/679 nicméně dovoluje Unii a členským státům přijmout „legislativní opatření“ omezující rozsah povinností a práv stanovených zejména v článku 5 tohoto nařízení za předpokladu, že odpovídají právům a povinnostem stanoveným v článcích 12 až 22 uvedeného nařízení, pokud takové omezení respektuje podstatu základních svobod a práv a představuje v demokratické společnosti nezbytné a přiměřené opatření k zajištění důležitých cílů obecného veřejného zájmu Unie nebo dotčeného členského státu, jako je zejména důležitý hospodářský nebo finanční zájem, včetně rozpočtových a daňových záležitostí.

52

V tomto ohledu z bodu 41 odůvodnění nařízení 2016/679 vyplývá, že odkaz v tomto nařízení na „legislativní opatření“ nutně neznamená, že je vyžadováno přijetí legislativního aktu parlamentem.

53

Je však třeba připomenout, že jak je uvedeno v bodě 4 jeho odůvodnění, nařízení 2016/679 ctí všechna základní práva a zachovává svobody a zásady uznané v Listině, které jsou zakotveny ve Smlouvách, mezi něž patří zejména ochrana osobních údajů.

54

Podle čl. 52 odst. 1 první věty Listiny musí přitom být každé omezení výkonu práv a svobod uznaných touto Listinou, mezi něž patří zejména právo na respektování soukromého života zaručené článkem 7 Listiny a právo na ochranu osobních údajů zakotvené v jejím článku 8, stanoveno zákonem, což zejména znamená, že právní základ, který umožňuje zásah do těchto práv, musí sám definovat rozsah omezení výkonu dotyčného práva (v tomto smyslu viz rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 65 a citovaná judikatura).

55

V tomto ohledu Soudní dvůr mimoto rozhodl, že právní úprava zahrnující opatření umožňující takový zásah musí stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a vymezit minimální požadavky, tak aby osoby, jejichž osobní údaje byly předány, měly dostatečné záruky umožňující účinně chránit tyto údaje před rizikem zneužití [v tomto smyslu viz rozsudek ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci)C‑746/18, EU:C:2021:152, bod 48 a citovaná judikatura].

56

Proto musí být každé opatření přijaté na základě článku 23 nařízení 2016/679 – jak ostatně zdůraznil unijní normotvůrce v bodě 41 odůvodnění tohoto nařízení – jasné a přesné a jeho použití musí být pro osoby, na něž se vztahuje, předvídatelné. Tyto osoby musí být zejména schopny určit okolnosti a podmínky, za kterých může být rozsah práv, která jim uvedené nařízení přiznává, omezen.

57

Z výše uvedených úvah vyplývá, že se daňová správa členského státu nemůže odchýlit od ustanovení článku 5 nařízení 2016/679, pokud neexistuje jasný a přesný právní základ v unijním nebo vnitrostátním právu, jehož použití je pro osoby, na něž se vztahuje, předvídatelné, který stanoví okolnosti a podmínky, za kterých může být rozsah povinností a práv stanovených v tomto článku 5 omezen.

58

Na druhou otázku je tudíž třeba odpovědět tak, že ustanovení nařízení 2016/679 musí být vykládána v tom smyslu, že se daňová správa členského státu nemůže odchýlit od ustanovení čl. 5 odst. 1 tohoto nařízení, pokud jí takové právo nebylo přiznáno legislativním opatřením ve smyslu čl. 23 odst. 1 tohoto nařízení.

59

Podstatou třetí až deváté otázky předkládajícího soudu, které je třeba zkoumat společně, je, zda musí být ustanovení nařízení 2016/679 vykládána v tom smyslu, že brání tomu, aby daňová správa členského státu uložila poskytovateli internetových inzertních služeb povinnost, aby jí po neurčitou dobu a bez upřesnění účelu této žádosti o sdělení poskytoval informace o všech daňových poplatnících, kteří zveřejnili inzeráty v některé z rubrik jeho internetového portálu.

60

Úvodem je třeba poznamenat, že v takové situaci, o jakou jde ve věci v původním řízení, může dojít ke dvěma zpracováním osobních údajů. Jak vyplývá z bodů 37 a 38 tohoto rozsudku, jedná se o shromáždění osobních údajů daňovou správou od dotyčného poskytovatele služeb a v tomto rámci o zpřístupnění přenosem těchto údajů tímto poskytovatelem této správě.

61

Jak vyplývá z judikatury citované v bodě 50 tohoto rozsudku, každá z těchto operací zpracování musí, s výhradou výjimek povolených v článku 23 nařízení 2016/679, dodržovat zásady zpracování osobních údajů stanovené v článku 5 tohoto nařízení, jakož i práva subjektu údajů uvedená v článcích 12 až 22 tohoto nařízení.

62

V projednávané věci se předkládající soud zabývá zejména okolností, že se zpracování zmíněná v bodě 60 tohoto rozsudku týkají neomezeného množství informací vztahujících se k neurčitému období, a dále tím, že účel těchto zpracování není v žádosti o sdělení upřesněn.

63

V tomto ohledu je třeba zaprvé zdůraznit, že čl. 5 odst. 1 písm. b) nařízení 2016/679 stanoví, že osobní údaje musí být shromažďovány zejména pro určité, výslovně vyjádřené a legitimní účely.

64

Předně požadavek, aby byly účely zpracování určité, znamená – jak vyplývá z bodu 39 odůvodnění tohoto nařízení – že tyto účely musí být identifikovány nejpozději v okamžiku shromažďování osobních údajů.

65

Dále musí být účely zpracování výslovně vyjádřené, což znamená, že musí být vyjádřeny jasně.

66

Konečně musí být tyto účely legitimní. Je tedy nutno, aby zajišťovaly zákonné zpracování ve smyslu čl. 6 odst. 1 uvedeného nařízení.

67

Zpracování uvedená v bodě 60 tohoto rozsudku jsou zahájena žádostí o sdělení osobních údajů, kterou lotyšská daňová správa zasílá poskytovateli internetových inzertních služeb. V tomto ohledu se jeví, že podle čl. 15 odst. 6 zákona o daních a poplatcích je tento poskytovatel povinen takové žádosti vyhovět.

68

S ohledem na úvahy uvedené v bodech 64 a 65 tohoto rozsudku je nezbytné, aby účely těchto zpracování byly v této žádosti jasně uvedeny.

69

Jsou-li účely takto uvedené ve zmíněné žádosti nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřena daňová správa, postačuje tato okolnost – jak vyplývá z čl. 6 odst. 1 prvního pododstavce návětí a písm. e) nařízení 2016/679, vykládaného ve spojení s čl. 6 odst. 3 druhým pododstavcem tohoto nařízení – k tomu, aby uvedená zpracování splňovala též požadavek zákonnosti připomenutý v bodě 66 tohoto rozsudku.

70

V tomto ohledu je třeba připomenout, že výběr daní a boj proti daňovým podvodům musí být považovány za úkoly prováděné ve veřejném zájmu ve smyslu čl. 6 odst. 1 prvního pododstavce písm. e) nařízení 2016/679 (obdobně viz rozsudek ze dne 27. září 2017, Puškár, C‑73/16, EU:C:2017:725, bod 108).

71

Z toho vyplývá, že v případě, kdy sdělování dotčených osobních údajů není přímo založeno na právním ustanovení, které je jeho základem, ale vyplývá ze žádosti příslušného orgánu veřejné moci, je nezbytné, aby tato žádost upřesňovala, jaké jsou konkrétní účely tohoto shromažďování údajů s ohledem na úkol prováděný ve veřejném zájmu nebo při výkonu veřejné moci, aby se adresát uvedené žádosti mohl ujistit, že předání dotčených osobních údajů je zákonné, a vnitrostátní soudy mohly provést přezkum zákonnosti dotčených zpracování.

72

Zadruhé podle čl. 5 odst. 1 písm. c) nařízení 2016/679 musí být osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány.

73

V tomto ohledu je třeba připomenout, že podle ustálené judikatury musí být výjimky ze zásady ochrany takových údajů a její omezení činěny v mezích toho, co je naprosto nezbytné [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 110 a citovaná judikatura].

74

Z toho vyplývá, že správce, včetně případu, kdy jedná v rámci úkolu prováděného ve veřejném zájmu, který mu byl svěřen, nemůže shromažďovat osobní údaje plošně a nerozlišujícím způsobem a nesmí shromažďovat údaje, které nejsou naprosto nezbytné ve vztahu k účelu zpracování.

75

V projednávané věci je třeba podotknout, že jak vyplývá z bodů 17 až 19 tohoto rozsudku, lotyšská daňová správa požádala dotyčný hospodářský subjekt o poskytnutí údajů o inzerátech na prodej osobních automobilů zveřejněných na jeho internetových stránkách v období od 14. července do 31. srpna 2018 a v případě, že by přístup k těmto informacím nemohl být obnoven, aby jí nejpozději třetí den každého měsíce poskytl údaje o inzerátech na prodej osobních automobilů zveřejněných na jeho internetových stránkách během předchozího měsíce, aniž tuto žádost časově omezila.

76

S ohledem na úvahy uvedené v bodě 74 tohoto rozsudku je na předkládajícím soudu, aby ověřil, zda lze účelu shromažďování těchto údajů dosáhnout bez toho, aby lotyšská daňová správa měla potenciálně k dispozici údaje o všech inzerátech na prodej osobních automobilů zveřejněných na internetových stránkách uvedeného hospodářského subjektu, a zejména zda je myslitelné, že se tato správa zaměří na určité inzeráty prostřednictvím zvláštních kritérií.

77

V této souvislosti je třeba zdůraznit, že v souladu se zásadou odpovědnosti zakotvenou v čl. 5 odst. 2 nařízení 2016/679 musí být správce schopen prokázat, že dodržuje zásady zpracování osobních údajů uvedené v odstavci 1 tohoto článku.

78

Je tedy na lotyšské daňové správě, aby prokázala, že se v souladu s čl. 25 odst. 2 tohoto nařízení snažila v nejvyšší možné míře minimalizovat množství shromažďovaných osobních údajů.

79

Pokud jde o okolnost, že žádost lotyšské daňové správy o sdělení nestanoví v případě, že dotyčný poskytovatel inzertních služeb neobnoví přístup k inzerátům zveřejněným v období, na které se žádost vztahuje, žádné časové omezení, je třeba připomenout, že s ohledem na zásadu minimalizace údajů je správce rovněž povinen omezit dobu shromažďování dotčených osobních údajů na to, co je naprosto nezbytné, s ohledem na účel zamýšleného zpracování.

80

Doba, po kterou jsou údaje shromažďovány, tedy nemůže přesáhnout dobu nezbytně nutnou k dosažení sledovaného cíle obecného zájmu.

81

Jak vyplývá z bodu 77 tohoto rozsudku, důkazní břemeno v tomto ohledu nese lotyšská daňová správa.

82

Nicméně okolnost, že uvedené údaje jsou shromažďovány, aniž lotyšská daňová správa v samotné žádosti o sdělení takovéto zpracování časově omezila, neumožňuje sama o sobě dovodit, že doba trvání zpracování přesahuje dobu nezbytně nutnou k dosažení sledovaného cíle.

83

V této souvislosti je však třeba připomenout, že ke splnění požadavku přiměřenosti, který je vyjádřen v čl. 5 odst. 1 písm. c) nařízení 2016/679 [v tomto smyslu viz rozsudek ze dne 22. června 2021, Latvijas Republikas Saeima (Trestné body), C‑439/19, EU:C:2021:504, bod 98 a citovaná judikatura], musí právní úprava, na které je zpracování založeno, stanovit jasná a přesná pravidla pro rozsah a použití předmětného opatření a vymezit minimální požadavky, tak aby osoby, o jejichž osobní údaje jde, měly dostatečné záruky umožňující účinně chránit tyto údaje před rizikem zneužití. Tato právní úprava musí být právně závazná ve vnitrostátním právu a musí zejména vymezit okolnosti a podmínky, za nichž může být přijato opatření týkající se zpracovávání takových údajů, čímž zaručí, že se zásah omezí na to, co je nezbytně nutné (rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 68 a citovaná judikatura).

84

Z toho vyplývá, že vnitrostátní právní úprava upravující takovou žádost o sdělení, o jakou jde ve věci v původním řízení, musí vycházet z objektivních kritérií, na jejichž základě jsou vymezeny okolnosti a podmínky, za nichž je poskytovatel on-line služeb povinen předávat osobní údaje týkající se jeho uživatelů (v tomto smyslu viz rozsudek ze dne 6. října 2020, Privacy International, C‑623/17, EU:C:2020:790, bod 78 a citovaná judikatura).

85

S ohledem na všechny výše uvedené úvahy je třeba na třetí až devátou otázku odpovědět tak, že ustanovení nařízení 2016/679 musí být vykládána v tom smyslu, že nebrání tomu, aby daňová správa členského státu uložila poskytovateli internetových inzertních služeb povinnost sdělit jí informace týkající se daňových poplatníků, kteří zveřejnili inzeráty v některé z rubrik jeho internetového portálu, pokud zejména platí, že jsou tyto údaje nezbytné pro konkrétní účely, pro které jsou shromažďovány, a doba, po kterou jsou uvedené údaje shromažďovány, nepřesahuje dobu nezbytně nutnou k dosažení sledovaného cíle obecného zájmu.

86

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (pátý senát) rozhodl takto: