–

Österreichische Datenschutzbehörde, v zastúpení: M. Schmidl, splnomocnený zástupca,

–

F R, v zastúpení: C. Wirthensohn, Rechtsanwalt,

–

Bundesministerin für Justiz, v zastúpení: E. Riedl, splnomocnený zástupca,

–

rakúska vláda, v zastúpení: A. Posch, J. Schmoll a C. Gabauer, splnomocnení zástupcovia,

–

česká vláda, v zastúpení: M. Smolek, T. Suchá a J. Vláčil, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar, F. Erlbacher a H. Kranenborg, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 57 ods. 4 a článku 77 ods. 1 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu medzi F R, fyzickou osobou, a Österreichische Datenschutzbehörde (Úrad na ochranu osobných údajov, Rakúsko) (ďalej len „DSB“), ktorého predmetom je odmietnutie tohto úradu konať na základe sťažnosti týkajúcej sa údajného porušenia práva F R na prístup k jeho osobným údajom.

3

Podľa odôvodnení 10, 11, 59, 63 a 129 GDPR:

…

…

…

4

Článok 12 GDPR, nazvaný „Transparentnosť informácií a oznámenia a postupy výkonu práv dotknutej osoby“, v odsekoch 2 a 5 stanovuje:

„2.   Prevádzkovateľ uľahčuje výkon práv dotknutej osoby podľa článkov 15 až 22. V prípadoch uvedených v článku 11 ods. 2 nemôže prevádzkovateľ odmietnuť konať na základe žiadosti dotknutej osoby pri výkone jej práva podľa článkov 15 až 22, pokiaľ nepreukáže, že dotknutú osobu nie je schopný identifikovať.

…

5.   Informácie poskytnuté podľa článkov 13 a 14 a všetky oznámenia a všetky opatrenia prijaté podľa článkov 15 až 22 a článku 34 sa poskytujú bezplatne. Ak sú žiadosti dotknutej osoby zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, prevádzkovateľ môže buď:

Prevádzkovateľ znáša bremeno preukázania zjavnej neopodstatnenosti alebo neprimeranosti žiadosti.“

5

Článok 15 GDPR s názvom „Právo dotknutej osoby na prístup k údajom“ v odseku 1 stanovuje:

„Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom a tieto informácie:

…

…“

6

Článok 52 GDPR, nazvaný „Nezávislosť“, v odseku 4 stanovuje:

„Každý členský štát zabezpečí, aby sa každému dozornému orgánu poskytli ľudské, technické a finančné zdroje, priestory a infraštruktúra, ktoré sú potrebné na účinné plnenie jeho úloh a vykonávanie jeho právomocí vrátane tých, ktoré sa majú plniť a vykonávať v súvislosti so vzájomnou pomocou, spoluprácou a účasťou vo výbore.“

7

Článok 57 GDPR s názvom „Úlohy“ znie takto:

„1.   Bez toho, aby boli dotknuté iné úlohy stanovené podľa tohto nariadenia, každý dozorný orgán na svojom území:

…

…

2.   Každý dozorný orgán uľahčuje podávanie sťažností uvedených v odseku 1 písm. f), a to takými opatreniami, ako napríklad poskytnutím formulára sťažnosti, ktorý je možné tiež vyplniť elektronicky, nevylučujúc pritom iné prostriedky komunikácie.

3.   Plnenie úloh každého dozorného orgánu je pre dotknutú osobu a v príslušných prípadoch zodpovednú osobu bezplatné.

4.   Ak sú žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, dozorný orgán môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom alebo môže odmietnuť konať na základe žiadosti. Dozorný orgán znáša bremeno preukázania, že žiadosť je zjavne neopodstatnená alebo neprimeraná.“

8

Článok 77 GDPR, nazvaný „Právo podať sťažnosť dozornému orgánu“, v odseku 1 uvádza:

„Bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením.“

9

Ustanovenie § 24 Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (spolkový zákon na ochranu fyzických osôb pri spracúvaní osobných údajov) zo 17. augusta 1999 (BGBl. I, 165/1999) v znení uplatniteľnom na skutkový stav vo veci samej, nazvané „Sťažnosti adresované úradu na ochranu osobných údajov“, v odsekoch 1, 5 a 8 uvádza:

„1.   Každá dotknutá osoba má právo podať sťažnosť na úrad na ochranu osobných údajov, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, predstavuje porušenie GDPR alebo článku 1 či článku 2 prvej hlavnej časti.

…

5.   Ak sa sťažnosť preukáže byť odôvodnená, vyhovie sa jej. Ak je porušenie spôsobené prevádzkovateľom zo súkromného sektora, nariadi sa tomuto prevádzkovateľovi, aby vyhovel žiadostiam o prístup, opravu, vymazanie, obmedzenie alebo prenos údajov, ktoré podal žiadateľ v rozsahu potrebnom na nápravu zisteného porušenia. Ak sa sťažnosť preukáže byť nedôvodná, zamietne sa.

…

8.   Každá dotknutá osoba môže podať návrh na správny súd, keď sa orgán na ochranu osobných údajov v lehote troch mesiacov nezaoberal sťažnosťou alebo neoznámil dotknutej osobe postup v konaní alebo výsledok konania o sťažnosti.“

10

Dňa 17. februára 2020 podal F R na DSB sťažnosť podľa článku 77 ods. 1 GDPR z dôvodu porušenia článku 15 tohto nariadenia v dôsledku toho, že spoločnosť v postavení prevádzkovateľa neodpovedala na jeho žiadosť o prístup k jeho osobným údajom v lehote jedného mesiaca.

11

DSB rozhodnutím z 22. apríla 2020 na základe článku 57 ods. 4 GDPR odmietol konať na základe tejto sťažnosti z dôvodu jej neprimeranej povahy. V tejto súvislosti okrem iného uviedol, že dotknutá osoba mu v priebehu približne 20 mesiacov zaslala 77 podobných sťažností proti rôznym prevádzkovateľom. Okrem toho sa F R pravidelne telefonicky obracal na DSB, aby uviedol dodatočné skutočnosti a podal ďalšie žiadosti.

12

F R podal proti tomuto rozhodnutiu žalobu na Bundesverwaltungsgericht (Spolkový správny súd, Rakúsko).

13

Rozsudkom z 22. decembra 2022 tento súd žalobe vyhovel a zrušil rozhodnutie DSB. Uvedený súd v podstate rozhodol, že neprimeraná povaha žiadosti v zmysle článku 57 ods. 4 GDPR predpokladá nielen časté opakovanie žiadostí, ale aj zjavne šikanóznu alebo zneužívajúcu povahu týchto žiadostí. Dôvody, na základe ktorých sa DSB odmietol zaoberať sťažnosťou F R, nepreukazujú zneužívajúcu povahu jeho postupu. Podľa toho istého súdu navyše dozorný orgán, ktorý čelí neprimeraným žiadostiam, nemôže ľubovoľne vyberať z dvoch možností stanovených v tomto ustanovení, a to medzi požadovaním zaplatenia primeraného poplatku alebo odmietnutím konať na základe týchto žiadostí. Výber jednej z týchto možností patrí do voľnej úvahy dozorného orgánu, dozorný orgán ho však musí odôvodniť. Takéto odôvodnenie však v prejednávanej veci chýba.

14

DSB podal proti tomuto rozsudku opravný prostriedok „Revision“ na Verwaltungsgerichtshof (Najvyšší správny súd, Rakúsko), ktorý podal návrh na začatie prejudiciálneho konania, v ktorom sa po prvé pýta, či pojem „žiadosť“ uvedený v článku 57 ods. 4 GDPR zahŕňa sťažnosti podané na základe článku 77 ods. 1 tohto nariadenia.

15

V tejto súvislosti vnútroštátny súd uviedol, že pojem „žiadosť“ je vo výpočte úloh dozorných orgánov uvedených v článku 57 ods. 1 GDPR použitý výlučne v písmene e) tohto ustanovenia na účely označenia žiadostí o informácie, ktoré týmto orgánom zaslali osoby dotknuté výkonom práv, ktoré im priznáva toto nariadenie. Z tejto okolnosti však nemožno vyvodiť, že článok 57 ods. 4 uvedeného nariadenia sa môže vzťahovať len na vybavovanie takých žiadostí. Naopak kontext tohto posledného uvedeného ustanovenia, ktorý stanovuje výnimku zo zásady bezplatnosti, umožňuje skôr dospieť k záveru, že pojem „žiadosť“, ktorý je v ňom uvedený, zahrňuje aj sťažnosti, pretože ich vybavovanie je hlavnou úlohou dozorných orgánov a tieto úrady je potrebné zbaviť povinnosti zaoberať sa zjavne neopodstatnenými a neprimeranými žiadosťami.

16

Podľa vnútroštátneho súdu by však takýto výklad mal za následok obmedzenie povinnosti dozorných orgánov vybavovať sťažnosti podľa článku 57 ods. 1 písm. f) GDPR a mohol by byť v rozpore s cieľmi sledovanými týmto nariadením, najmä s cieľom zabezpečiť vysokú úroveň ochrany fyzických osôb pri spracúvaní osobných údajov v rámci Únie.

17

Pri takomto výklade sa vnútroštátny súd domnieva, že obmedzenie práva podať sťažnosť, zavedené článkom 57 ods. 4 GDPR, by bolo primerané. Uplatnenie tohto ustanovenia totiž predpokladá, že dozorný orgán predloží dôkaz o zjavnej neopodstatnenosti alebo neprimeranosti sťažnosti. Okrem toho rozhodnutie tohto orgánu požadovať zaplatenie primeraného poplatku alebo odmietnuť konať na základe sťažnosti podlieha súdnemu preskúmaniu uvedenému v článku 78 ods. 1 tohto nariadenia.

18

Po druhé v prípade, že by sa článok 57 ods. 4 GDPR mal vykladať v tom zmysle, že je uplatniteľný na sťažnosti uvedené v článku 77 ods. 1 tohto nariadenia, sa vnútroštátny súd pýta na rozsah pojmu „neprimeraná žiadosť“ v zmysle článku 57 ods. 4 uvedeného nariadenia. Uvedený súd konkrétne poznamenáva, že hoci uvedené ustanovenie ako príklad „neprimeraných žiadostí“ výslovne uvádza „opakujúcu sa povahu“, nemení to nič na tom, že ako výnimka z povinnosti každého dozorného orgánu vybaviť sťažnosti musí byť možnosť odmietnuť vybavenie sťažnosti vykladaná reštriktívne, pretože táto možnosť by viedla k významnému zásahu do ochrany práv fyzických osôb pri spracúvaní osobných údajov stanovenej v GDPR a odchýlila by sa tak od cieľov sledovaných týmto nariadením.

19

V tomto kontexte chce vnútroštátny súd zistiť, či počet sťažností podaných počas daného obdobia dozornému orgánu postačuje na záver, že sťažnosť je neprimeraná bez ohľadu na okolnosti vlastné každej z týchto individuálnych sťažností a bez ohľadu na prevádzkovateľov, ktorých sa uvedené sťažnosti týkajú, alebo či je potrebné zohľadniť aj ďalšie okolnosti, na ktorých základe by bolo možné dospieť k záveru o zneužívajúcom úmysle.

20

Po tretie sa vnútroštátny súd domnieva, že uplatnenie článku 57 ods. 4 GDPR vyvoláva aj otázky týkajúce sa právnych následkov, ktoré treba vyvodiť v prípade zjavne neopodstatnených alebo neprimeraných žiadostí. Zo znenia tohto ustanovenia totiž jasne nevyplýva, či si dozorné orgány môžu slobodne vybrať jednu alebo druhú možnosť stanovenú v uvedenom ustanovení, a to požadovať zaplatenie primeraného poplatku za spracovanie sťažnosti alebo a priori odmietnuť jej spracovanie. Vnútroštátny súd zdôrazňuje, že právna náuka je v tejto súvislosti nejednotná.

21

Za týchto podmienok Verwaltungsgerichtshof (Najvyšší správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

V prípade kladnej odpovede na prvú otázku:

22

Svojou prvou otázkou sa vnútroštátny súd pýta, či sa článok 57 ods. 4 GDPR má vykladať v tom zmysle, že pojem „žiadosť“ uvedený v tomto ustanovení zahŕňa „sťažnosti“ uvedené v článku 77 ods. 1 tohto nariadenia.

23

Na úvod treba uviesť, že pojem „sťažnosť“ je uvedený aj v článku 57 ods. 1 písm. f) GDPR. Za týchto podmienok treba na účely poskytnutia užitočnej odpovede vnútroštátnemu súdu konštatovať, že svojou prvou otázkou sa tento súd v podstate pýta, či sa má článok 57 ods. 4 tohto nariadenia vykladať v tom zmysle, že pojem „žiadosť“ uvedený v tomto ustanovení zahŕňa „sťažnosti“ uvedené v článku 57 ods. 1 písm. f) a článku 77 ods. 1 uvedeného nariadenia.

24

Na účely výkladu ustanovenia práva Únie je potrebné zohľadniť nielen jeho znenie v súlade s jeho obvyklým významom v bežnom jazyku, ale aj jeho kontext a ciele sledované právnou úpravou, ktorej je súčasťou [rozsudky zo 4. mája 2023, Österreichische Datenschutzbehörde a CRIF, C‑487/21, EU:C:2023:369, bod 19 a citovaná judikatúra; zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 48 a citovaná judikatúra, ako aj z 30. apríla 2024, Trade Express‑L a DEVNIA CIMENT, C‑395/22 a C‑428/22, EU:C:2024:374, bod 65 a citovaná judikatúra].

25

Pokiaľ ide v prvom rade o znenie článku 57 ods. 1 písm. f) GDPR, tento článok stanovuje, že každý dozorný orgán na svojom území „vybavuje sťažnosti podané dotknutou osobou…, a vyšetruje v primeranom rozsahu podstatu sťažnosti a informuje sťažovateľa o pokroku a výsledkoch vyšetrovania v primeranej lehote, najmä ak je potrebné ďalšie vyšetrovanie alebo koordinácia s iným dozorným orgánom“.

26

Článok 57 ods. 4 GDPR zas uvádza, že „ak sú žiadosti zjavne neopodstatnené alebo neprimerané, najmä pre ich opakujúcu sa povahu, dozorný orgán môže účtovať primeraný poplatok zodpovedajúci administratívnym nákladom alebo môže odmietnuť konať na základe žiadosti“ a že „dozorný orgán znáša bremeno preukázania, že žiadosť je zjavne neopodstatnená alebo neprimeraná“.

27

Pokiaľ ide o znenie článku 77 ods. 1 GDPR, to stanovuje, že „bez toho, aby boli dotknuté akékoľvek iné správne alebo súdne prostriedky nápravy, má každá dotknutá osoba právo podať sťažnosť dozornému orgánu, najmä v členskom štáte svojho obvyklého pobytu, mieste výkonu práce alebo v mieste údajného porušenia, ak sa domnieva, že spracúvanie osobných údajov, ktoré sa jej týka, je v rozpore s týmto nariadením“.

28

Žiadne z ustanovení uvedených v bodoch 25 až 27 tohto rozsudku tak výslovne nedefinuje pojem „žiadosť“ v zmysle článku 57 ods. 4 GDPR.

29

V tejto súvislosti treba poznamenať, ako uviedol generálny advokát v bode 23 svojich návrhov, že pojem „žiadosť“ je podľa svojho obvyklého významu v bežnom jazyku osobitne široký, pretože potenciálne zahŕňa akúkoľvek žiadosť zo strany určitej osoby alebo subjektu.

30

Treba teda konštatovať, že znenie ustanovení uvedených v bodoch 25 až 27 tohto rozsudku umožňuje domnievať sa, že sťažnosti podané na základe článku 77 ods. 1 GDPR spadajú pod pojem „žiadosť“ v zmysle článku 57 ods. 4 tohto nariadenia.

31

Túto analýzu znenia v druhom rade potvrdzuje kontext tohto ustanovenia. V tejto súvislosti článok 57 GDPR opisuje úlohy dozorných orgánov a stanovuje podmienky, za ktorých sa tieto úlohy majú plniť. Konkrétne tento článok 57 stanovuje po prvé vo svojom odseku 1 písm. a), že každý dozorný orgán monitoruje a presadzuje uplatňovanie tohto nariadenia, po druhé vo svojom odseku 1 písm. e), že na požiadanie poskytne informácie každej dotknutej osobe v súvislosti s uplatnením jej práv podľa tohto nariadenia a prípadne na tento účel spolupracuje s dozornými orgánmi v iných členských štátoch, a po tretie vo svojom odseku 2, že uľahčuje podávanie sťažností uvedených v odseku 1 písm. f), a to takými opatreniami, ako napríklad poskytnutím formulára sťažnosti, ktorý je možné tiež vyplniť elektronicky, nevylučujúc pritom iné prostriedky komunikácie.

32

Okrem toho článok 57 ods. 3 GDPR stanovuje zásadu, podľa ktorej plnenie úloh každého dozorného orgánu je pre dotknutú osobu a v príslušných prípadoch zodpovednú osobu bezplatné.

33

Článok 57 ods. 4 tohto nariadenia tým, že upravuje možnosť dozorných orgánov, aby v prípade žiadostí, ktoré sú zjavne neopodstatnené alebo neprimerané, požadovali zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom alebo odmietli konať na základe žiadosti, stanovuje výnimku zo zásady bezplatnosti upravenej v článku 57 ods. 3 uvedeného nariadenia, ktorá sa má vykladať reštriktívne.

34

Ako v podstate uviedol generálny advokát v bodoch 28 až 30 svojich návrhov, keďže spracúvanie žiadostí, ktoré sú im predložené, dozornými orgánmi je pravidlom, tieto orgány by mali byť oprávnené využiť možnosť stanovenú v článku 57 ods. 4 GDPR len vo výnimočných prípadoch.

35

Z týchto ustanovení nemožno vyvodiť, že článok 57 ods. 4 GDPR by sa mal vzhľadom na to, že je v ňom použitý pojem „žiadosť“, uplatniť len na žiadosti uvedené v článku 57 ods. 1 písm. e) tohto nariadenia. Článok 57 ods. 3 uvedeného nariadenia sa totiž uplatňuje na všetky úlohy dozorných orgánov, vrátane vybavovania sťažností stanoveného v článku 57 ods. 1 písm. f) toho istého nariadenia.

36

V tomto kontexte keďže článok 57 ods. 4 GDPR stanovuje výnimku zo zásady bezplatnosti úloh vykonávaných dozornými orgánmi bez toho, aby ju obmedzoval na určité osobitné úlohy týchto dozorných orgánov, mal by sa uplatniť aj na vybavovanie sťažností stanovené v článku 57 ods. 1 písm. f) tohto nariadenia, a to tým skôr, že táto posledná uvedená úloha predstavuje základnú úlohu uvedených dozorných orgánov. Dotknutý dozorný orgán musí okrem toho pristúpiť k vybaveniu týchto sťažností so všetkou vyžadovanou náležitou starostlivosťou [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 56 a citovaná judikatúra].

37

Naopak, výklad, podľa ktorého sa pojem „žiadosť“ uvedený v článku 57 ods. 4 GDPR vzťahuje len na žiadosti, ktoré patria do pôsobnosti článku 57 ods. 1 písm. e) tohto nariadenia, a nie na sťažnosti uvedené v článku 57 ods. 1 písm. f) a článku 77 ods. 1 uvedeného nariadenia, by preto prvé z týchto ustanovení zbavil značnej časti jeho potrebného účinku a bol by v rozpore s účinnou ochranou práv zaručených tým istým nariadením (pozri v tomto zmysle rozsudok z 12. januára 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság, C‑132/21, EU:C:2023:2, bod 47).

38

V treťom rade je takýto systematický výklad v súlade s cieľmi GDPR. V tejto súvislosti treba uviesť, že cieľom tohto nariadenia, ako sa uvádza v jeho odôvodneniach 10 a 11, je zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v rámci Únie a posilniť a spresniť práva dotknutých osôb [rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 47].

39

Konanie o sťažnosti je tak koncipované ako mechanizmus, ktorý je spôsobilý účinne chrániť práva a záujmy dotknutých osôb [rozsudok zo 7. decembra 2023, SCHUFA Holding (Odpustenie zostatku dlhu), C‑26/22 a C‑64/22, EU:C:2023:958, bod 58, ako aj citovaná judikatúra]. V tejto súvislosti povinnosť dozorných orgánov uľahčiť podávanie sťažností a zásada bezplatnosti úloh, ktoré musia plniť, stanovené v článku 57 ods. 2 a 3 GDPR, majú za cieľ umožniť každej dotknutej osobe domáhať sa od dozorného orgánu dodržiavania práv, ktoré jej vyplývajú z tohto nariadenia.

40

V tomto kontexte, ako uviedol generálny advokát v bode 41 svojich návrhov, sledovanie cieľa zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v rámci Únie si vyžaduje zabezpečenie riadneho fungovania dozorných orgánov tým, že sa zabráni tomu, aby bolo narušené podávaním zjavne neopodstatnených alebo neprimeraných sťažností v zmysle článku 57 ods. 4 GDPR. Toto ustanovenie tak poskytuje dozorným orgánom možnosť lepšie pristupovať k týmto sťažnostiam, a tým znížiť záťaž, ktorú pre ne môžu predstavovať. V tejto súvislosti ak dozorný orgán čelí zjavne neopodstatneným alebo neprimeraným sťažnostiam, možnosť požadovať zaplatenie primeraného poplatku alebo odmietnuť konať na základe takých sťažností je spôsobilá zabezpečiť vysokú úroveň ochrany osobných údajov.

41

Vzhľadom na predchádzajúce úvahy treba na prvú otázku odpovedať, že článok 57 ods. 4 GDPR sa má vykladať v tom zmysle, že pojem „žiadosť“ uvedený v tomto ustanovení zahŕňa sťažnosti uvedené v článku 57 ods. 1 písm. f) a článku 77 ods. 1 tohto nariadenia.

42

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 57 ods. 4 GDPR vykladať v tom zmysle, že samotná okolnosť, že žiadosti boli zaslané vo veľkom počte, môže stačiť na to, aby sa tieto žiadosti považovali za „neprimerané“ v zmysle tohto ustanovenia, alebo či takáto kvalifikácia okrem toho predpokladá zneužívajúci úmysel osoby, ktorá tieto žiadosti podala.

43

V tejto súvislosti v prvom rade vzhľadom na to, že pojem „neprimerané žiadosti“ nie je v GDPR definovaný, treba vzhľadom na judikatúru pripomenutú v bode 24 tohto rozsudku odkázať na obvyklý význam tohto pojmu v bežnom jazyku. Prídavné meno „neprimeraný“ tak označuje niečo, čo presahuje bežnú alebo primeranú mieru alebo čo presahuje žiaducu alebo povolenú mieru.

44

V druhom rade zo znenia článku 57 ods. 4 GDPR vyplýva, že žiadosti môžu byť „neprimerané“, najmä pre ich opakujúcu sa povahu. Doslovný výklad tohto ustanovenia však neumožňuje určiť, či táto opakujúca sa povaha a v dôsledku toho len počet podaných žiadostí postačuje na odôvodnenie takejto kvalifikácie. Vzhľadom na túto judikatúru je teda potrebné preskúmať dosah uvedeného ustanovenia v závislosti od kontextu, do ktorého patrí, a od cieľov, ktoré sleduje právna úprava, ktorej je súčasťou.

45

Pokiaľ ide o kontext, treba po prvé pripomenúť, že článok 12 GDPR stanovuje všeobecné povinnosti prevádzkovateľa, pokiaľ ide o transparentnosť informácií a oznámenia, a stanovuje postupy výkonu práv dotknutej osoby. Podľa druhého odseku prvej vety tohto článku musí prevádzkovateľ uľahčiť výkon práv priznaných dotknutej osobe podľa článkov 15 až 22 uvedeného nariadenia.

46

Po druhé článok 15 GDPR, ktorý je uvedený v oddiele 2 kapitoly III o informáciách a prístupe k osobným údajom, dopĺňa rámec transparentnosti zavedený týmto nariadením tým, že dotknutej osobe priznáva právo na prístup k jej osobným údajom a právo na informácie o spracúvaní týchto údajov.

47

Tento článok 15 GDPR treba vykladať s prihliadnutím na odôvodnenie 63 prvú vetu tohto nariadenia, podľa ktorého by dotknutá osoba mala mať právo na prístup k osobným údajom, ktoré boli o nej získané, a uvedené právo aj jednoducho a v primeraných intervaloch uplatňovať, aby si bola vedomá zákonnosti spracúvania a mohla si ju overiť. V tejto súvislosti ak táto osoba zaslala viacero žiadostí o prístup jednému alebo viacerým prevádzkovateľom bez toho, aby jej bolo vyhovené, počet sťažností podaných dozornému orgánu sa môže rovnať počtu žiadostí uvedenej osoby zamietnutých týmito prevádzkovateľmi. Za týchto podmienok by stanovenie absolútnej číselnej hranice, pri prekročení ktorej by uvedené sťažnosti mohli byť automaticky kvalifikované ako neprimerané, mohlo narušiť práva zaručené uvedeným nariadením.

48

V tejto súvislosti, ako bolo uvedené v bodoch 33, 34 a 36 tohto rozsudku, uplatnenie možnosti stanovenej v článku 57 ods. 4 GDPR v rozsahu, v akom predstavuje výnimku zo zásady bezplatnosti úloh vykonávaných dozornými orgánmi, uvedenej v článku 57 ods. 3 tohto nariadenia, teda musí zostať výnimočné [pozri analogicky rozsudky z 5. apríla 2022, Commissioner of An Garda Síochána a i., C‑140/20, EU:C:2022:258, bod 40, ako aj z 8. novembra 2022, Deutsche Umwelthilfe (Typové schválenie motorových vozidiel), C‑873/19, EU:C:2022:857, bod 87 a citovanú judikatúru]. Môže k nemu dôjsť len v prípade zneužitia práva [pozri analogicky rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 31] bez toho, aby iba samotný počet podaných sťažností mohol predstavovať dostatočné kritérium na účely konštatovania existencie takéhoto zneužitia.

49

Článok 57 ods. 4 GDPR totiž odráža ustálenú judikatúru Súdneho dvora, podľa ktorej v práve Únie existuje všeobecná zásada práva, na základe ktorej sa osoby podliehajúce súdnej právomoci nemôžu podvodne alebo zneužívajúcim spôsobom dovolávať právnych noriem Únie (rozsudok z 21. decembra 2023, BMW Bank a i., C‑38/21, C‑47/21 a C‑232/21, EU:C:2023:1014, bod 281, ako aj citovaná judikatúra).

50

V tejto súvislosti ak dozorný orgán zamýšľa využiť možnosť, ktorú ponúka článok 57 ods. 4 GDPR, musí vzhľadom na všetky relevantné okolnosti každého jednotlivého prípadu preukázať zneužívajúci úmysel dotknutej osoby, pričom samotný počet sťažností podaných touto osobou nie je postačujúci. Existenciu zneužívajúceho úmyslu možno konštatovať, ak osoba podáva sťažnosti bez toho, aby to bolo objektívne nevyhnutné na ochranu práv, ktoré jej vyplývajú z tohto nariadenia.

51

V tejto súvislosti treba pripomenúť, že podľa článku 52 ods. 4 GDPR sú členské štáty povinné zabezpečiť, aby každý dozorný orgán mal ľudské, technické a finančné zdroje, priestory a infraštruktúru potrebné na účinné vykonávanie svojich úloh a právomocí. Z toho vyplýva, že tieto zdroje musia byť prispôsobené tomu, ako dotknuté osoby využívajú svoje právo podať sťažnosť dozorným orgánom.

52

Je teda úlohou členských štátov, aby dozorným orgánom poskytli primerané prostriedky na riešenie všetkých sťažností, ktoré im boli podané, a v prípade potreby tieto prostriedky zvýšili s cieľom prispôsobiť ich využívaniu práva na podanie sťažnosti podľa článku 77 ods. 1 GDPR dotknutými osobami. Dozorný orgán sa teda s cieľom odmietnuť konať na základe sťažnosti podľa článku 57 ods. 4 tohto nariadenia nemôže odvolávať na to, že osoba, ktorá podáva určitý počet sťažností, ktorý je podstatne vyšší než priemerný počet sťažností podaných každou dotknutou osobou, do značnej miery mobilizuje zdroje tohto orgánu na úkor spracovania sťažností podaných inými osobami.

53

Okrem toho, ako uviedol generálny advokát v bode 76 svojich návrhov, sťažnosti podané podľa článku 77 ods. 1 GDPR zohrávajú dôležitú úlohu v tom, aby dozorné orgány vedeli o porušeniach práv chránených týmto nariadením. Tieto sťažnosti teda významne prispievajú k zabezpečeniu konzistentnej a vysokej úrovne ochrany osôb v rámci Únie, ako aj k posilneniu a spresneniu práv týchto osôb v zmysle odôvodnení 10 a 11 uvedeného nariadenia.

54

V dôsledku toho, keby sa dozorným orgánom umožnilo konštatovať neprimeranosť sťažností len z dôvodu ich vysokého počtu, ohrozilo by to dosiahnutie tohto cieľa. Značný počet sťažností môže byť totiž priamym dôsledkom vysokého počtu chýbajúcich odpovedí alebo odmietnutia prístupu zo strany jedného alebo viacerých prevádzkovateľov v súvislosti so žiadosťami o prístup, ktoré podala dotknutá osoba s cieľom chrániť svoje práva.

55

V tejto súvislosti by izolované zohľadnenie počtu sťažností mohlo viesť k svojvoľnému zásahu do práv, ktoré dotknutej osobe vyplývajú z GDPR, takže konštatovanie existencie neprimeraných žiadostí v zmysle článku 57 ods. 4 tohto nariadenia musí byť podmienené preukázaním zneužívajúceho úmyslu osoby, ktorá takéto sťažnosti podala.

56

Dozornému orgánu, ktorému bol podaný značný počet sťažností, teda prináleží, aby na základe osobitných okolností každého prípadu preukázal, že tento počet nemožno vysvetliť vôľou dotknutej osoby dosiahnuť ochranu svojich práv podľa GDPR, ale iným účelom, ktorý s touto ochranou nesúvisí. Je to tak najmä vtedy, ak tieto okolnosti preukazujú, že počet sťažností má za cieľ narušiť riadne fungovanie tohto orgánu tým, že zneužíva jeho zdroje.

57

V tejto súvislosti môže znásobenie počtu sťažností podaných jednou osobou naznačovať neprimerané žiadosti, ak sa ukáže, že tieto sťažnosti nie sú objektívne odôvodnené úvahami týkajúcimi sa ochrany práv, ktoré tejto osobe vyplývajú z GDPR. O takýto prípad môže ísť napríklad vtedy, ak osoba podá dozornému orgánu taký vysoký počet sťažností zameraných na množstvo prevádzkovateľov, s ktorými nemusí mať nevyhnutne súvislosť, že toto neprimerané využívanie jej práva na podávanie sťažností v spojení s ďalšími skutočnosťami, akou je obsah týchto sťažností, svedčí o jej zámere paralyzovať fungovanie tohto orgánu tým, že ho zahltí žiadosťami.

58

V prejednávanej veci prináleží vnútroštátnemu súdu, aby overil, či DSB preukázal existenciu zneužívajúceho úmyslu dotknutej osoby bez toho, aby iba samotný počet jej sťažností mohol odôvodniť uplatnenie možnosti, ktorá je stanovená v článku 57 ods. 4 GDPR.

59

Vzhľadom na predchádzajúce úvahy treba na druhú otázku odpovedať tak, že článok 57 ods. 4 GDPR sa má vykladať v tom zmysle, že žiadosti nemožno považovať za „neprimerané“ v zmysle tohto ustanovenia len z dôvodu ich počtu počas určitého obdobia, keďže uplatnenie možnosti stanovenej v uvedenom ustanovení je podmienené tým, že dozorný orgán preukáže zneužívajúci úmysel osoby, ktorá tieto žiadosti podala.

60

Svojou treťou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 57 ods. 4 GDPR vykladať v tom zmysle, že dozorný orgán si v prípade neprimeraných žiadostí môže slobodne vybrať medzi tým, či bude požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom alebo odmietne konať na základe týchto žiadostí.

61

Pokiaľ ide po prvé o znenie článku 57 ods. 4 GDPR, treba konštatovať, že obe možnosti, ktoré stanovuje v prípade neprimeraných žiadostí, a to požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom a odmietnuť konať na základe týchto žiadostí sú vymenované za sebou a oddelené priraďovacou spojkou „alebo“, pričom z prijatého znenia nie je možné vyvodiť poradie prednosti medzi týmito možnosťami [pozri analogicky rozsudok z 12. januára 2023, Österreichische Post (Informácie o príjemcoch osobných údajov), C‑154/21, EU:C:2023:3, bod 31].

62

Zdá sa teda, že znenie tohto ustanovenia svedčí v prospech výkladu, podľa ktorého tento orgán má po tom, čo konštatoval neprimeranosť žiadostí, ktoré mu boli predložené, slobodu vybrať si jednu alebo druhú z uvedených možností.

63

Pokiaľ ide po druhé o kontext, do ktorého patrí článok 57 ods. 4 GDPR, treba pripomenúť, že odôvodnenie 59 tohto nariadenia uvádza, že „by sa mali stanoviť postupy, ktoré by dotknutej osobe uľahčili uplatnenie jej práv podľa tohto nariadenia a ktoré by zahŕňali mechanizmy na vyžiadanie si a prípadné získanie bezplatného prístupu k osobným údajom a ich bezplatnú opravu alebo vymazanie, a na uplatnenie práva namietať“. Z toho teda vyplýva, že je možné vybrať si jednu z týchto dvoch možností, ak je v každom prípade zabezpečený účinný výkon práva podať sťažnosti.

64

Po tretie je výklad uvedený v bode 62 tohto rozsudku v súlade s cieľmi sledovanými GDPR.

65

V tejto súvislosti treba pripomenúť, že cieľom tohto nariadenia, ako sa uvádza v jeho odôvodneniach 10 a 11, je zabezpečiť konzistentnú a vysokú úroveň ochrany fyzických osôb v rámci Únie a posilniť a spresniť práva dotknutých osôb [rozsudok z 26. októbra 2023, FT (Kópie lekárskeho záznamu), C‑307/22, EU:C:2023:811, bod 47].

66

Okrem toho z odôvodnenia 129 uvedeného nariadenia vyplýva, že dozorný orgán je povinný nestranne a spravodlivo posúdiť, či je takáto žiadosť zjavne neopodstatnená alebo neprimeraná, a musí zabezpečiť, aby bol jeho výber vhodný, potrebný a primeraný, pričom zohľadní príslušné okolnosti a zabráni zbytočným nákladom a neprimeraným ťažkostiam pre dotknutú osobu.

67

V dôsledku toho vzhľadom na dôležitosť práva podať sťažnosť z hľadiska cieľa zabezpečiť vysokú úroveň ochrany osobných údajov, na zásadné postavenie, ktoré má vybavovanie takýchto sťažností medzi úlohami zverenými dozorným orgánom, a na povinnosť týchto orgánov zaoberať sa týmito sťažnosťami so všetkou náležitou starostlivosťou, je úlohou týchto orgánov, aby zohľadnili všetky relevantné okolnosti a zabezpečili, aby zvolená možnosť bola vhodná, potrebná a primeraná.

68

V tejto súvislosti by dozorný orgán mohol považovať za vhodné v závislosti od príslušných okolností a s cieľom zastaviť zneužívanie, ktoré môže narušiť jeho riadne fungovanie, požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom vyplývajúcim z preťaženia spôsobeným neprimeranými sťažnosťami. Odstrašujúca funkcia tejto možnosti by totiž mohla viesť tento orgán k tomu, aby ju uprednostnil namiesto toho, aby hneď odmietol konať na základe týchto sťažností.

69

Vzhľadom na odôvodnenie 129 GDPR by tak dozorné orgány mohli uvažovať o tom, že najprv budú požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom pred tým, než následne odmietnu konať na základe sťažností, keďže prvé z týchto opatrení zasahuje do práv, ktoré dotknutým osobám vyplývajú z tohto nariadenia, menej ako druhé. Článok 57 ods. 4 uvedeného nariadenia však nestanovuje povinnosť dozorného orgánu vo všetkých prípadoch najskôr uplatniť možnosť spočívajúcu v požadovaní zaplatenia primeraného poplatku.

70

Vzhľadom na predchádzajúce úvahy treba na tretiu otázku odpovedať tak, že článok 57 ods. 4 GDPR sa má vykladať v tom zmysle, že ak dozorný orgán čelí neprimeraným žiadostiam, môže si odôvodneným rozhodnutím zvoliť medzi tým, či bude požadovať zaplatenie primeraného poplatku zodpovedajúceho administratívnym nákladom alebo odmietne konať na základe týchto žiadostí, pričom zohľadní všetky relevantné okolnosti a zabezpečí, aby zvolená možnosť bola vhodná, potrebná a primeraná.

71

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto: