—

College van burgemeester en wethouders van Roterdam, v zastúpení: R. de Bree, advocaat,

—

E. E. Rijkeboer, v zastúpení: W. van Bentem, juridisch adviseur,

—

holandská vláda, v zastúpení: C. M. Wissels a C. ten Dam, splnomocnené zástupkyne,

—

česká vláda, v zastúpení: M. Smolek, splnomocnený zástupca,

—

grécka vláda, v zastúpení: E.-M. Mamouna a V. Karra, splnomocnené zástupkyne,

—

španielska vláda, v zastúpení: M. Muñoz Pérez, splnomocnený zástupca,

—

vláda Spojeného kráľovstva, v zastúpení: Z. Bryanston-Cross a H. Walker, splnomocnené zástupkyne, za právnej pomoci J. Stratford, barrister,

—

Komisia Európskych spoločenstiev, v zastúpení: R. Troosters a C. Docksey, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 12 písm. a) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe týchto údajov (Ú. v. ES L 281, s. 31; Mim. vyd. 13/015, s. 355, ďalej len „smernica“).

2

Tento návrh bol podaný v rámci sporu medzi pánom Rijkeboerom a College van burgemeester en wethouders van Rotterdam (rada primátorov a ich zástupcov mesta Rotterdam, ďalej len „College“), ktorého predmetom bolo rozhodnutie College o čiastočnom odmietnutí prístupu pánovi Rijkeboerovi k informácii o poskytovaní jeho osobných údajov tretím osobám v priebehu obdobia dvoch rokov, ktoré predchádzali jeho žiadosti o informáciu.

3

Odôvodnenie č. 2 a 10 smernice týkajúce sa základných práv a slobôd stanovuje:

…

4

Podľa odôvodnenia č. 25 smernice sa zásady ochrany osôb musia na jednej strane odrážať v povinnostiach kladených na osoby zodpovedné za spracovanie, najmä pokiaľ ide o kvalitu údajov, a na druhej strane v práve jednotlivcov, ktorých údaje sa spracovávajú, aby boli informovaní, že sa uskutočňuje spracovanie, v práve prístupu k údajom, v práve žiadať ich opravu a v práve namietať za určitých okolností spracovanie.

5

Odôvodnenie č. 40 smernice, ktoré upravuje povinnosť informovať dotknutú osobu v prípade, ak sa údaje nezískali od nej, neukladá túto povinnosť, pokiaľ nie je dotknutú osobu možné informovať alebo pokiaľ by si to vyžadovalo neprimerané úsilie a v tejto súvislosti možno prihliadnuť na počet dotknutých osôb, vek údajov a kompenzačné opatrenia, ktoré môžu byť prijaté.

6

Podľa odôvodnenia č. 41 smernice každý musí mať možnosť uplatniť právo prístupu k údajom, ktoré sa ho týkajú a ktoré sa spracovávajú, zvlášť kvôli overeniu ich správnosti a zákonnosti spracovania.

7

Článok 1 s názvom „Predmet smernice“ znie takto:

„1.   V súlade s touto smernicou členské štáty chránia základné práva a slobody fyzických osôb, a najmä ich právo na súkromie v súvislosti so spracovaním osobných údajov.

2.   Členské štáty neobmedzujú, ani nebránia voľnému toku osobných údajov medzi členskými štátmi z dôvodov spojených s ochranou poskytnutou podľa odseku 1.“

8

Pojem „osobné údaje“ je definovaný v článku 2 písm. a) smernice ako akákoľvek informácia, ktorá sa týka identifikovanej alebo identifikovateľnej fyzickej osoby (dotknutá osoba).

9

Pod pojmom „spracovanie osobných údajov“ sa v článku 2 písm. b) smernice rozumie:

„akákoľvek operácia alebo komplex operácií, ktorá sa vykonáva na osobných údajoch, či už automatickými prostriedkami, alebo nie, ako je zber, zaznamenávanie, organizácia, uskladnenie, úprava alebo nahradenie, vyhľadávanie, nahliadnutie, používanie, odhalenie prenosom, šírenie alebo sprístupnenie iným spôsobom, upravenie alebo kombinácia, blokovanie, vymazanie alebo zničenie“.

10

Podľa článku 2 písm. d) smernice „prevádzkovateľ“ je fyzická alebo právnická osoba, verejný orgán, agentúra alebo akýkoľvek iný orgán, ktorý sám, alebo v spojení s inými, určí účely a prostriedky spracovania osobných údajov.

11

Článok 2 písm. g) smernice definuje „príjemcu“ ako fyzickú alebo právnickú osobu, štátny orgán, agentúru alebo akýkoľvek iný orgán, ktorým sa oznamujú údaje, či to je „tretia strana“, alebo nie, pričom posledná uvedená je definovaná v článku 2 písm. f) smernice.

12

Článok 6 smernice stanovuje zásady týkajúce sa kvality údajov. Pokiaľ ide o uchovanie údajov, odsek 1 písm. e) tohto článku stanovuje, že osobné údaje musia byť „udržiavané vo forme, ktorá umožňuje identifikáciu dotknutých osôb počas obdobia, ktoré je nevyhnutné na účely, pre ktoré boli údaje zhromažďované, alebo pre ktoré sú ďalej spracovávané. Členské štáty stanovia primerané bezpečnostné opatrenia pre osobné údaje uložené na dlhšie obdobia pre historické, štatistické alebo vedecké použitie“.

13

Články 10 a 11 smernice stanovujú, aké informácie musia prevádzkovateľ alebo jeho zástupca poskytnúť dotknutej osobe v prípade, ak boli údaje získané od nej a v prípade, ak zhromaždené údaje neboli získané od tejto osoby.

14

Článok 12 smernice s názvom „Právo prístupu“ znie takto:

„Členské štáty zaručia osobe pracujúcej s údajmi [dotknutej osobe — neoficiálny preklad] právo získať od prevádzkovateľa:

15

Článok 13 ods. 1 smernice s názvom „Výnimky a obmedzenia“ oprávňuje členské štáty, aby sa odchýlili okrem iného od článkov 6 a 12 v prípade, ak je to potrebné na ochranu niektorých verejných záujmov ako bezpečnosť štátu, obrana, stíhanie trestných činov, ako aj ďalších záujmov ako ochrana dotknutej osoby alebo práv a slobôd iných.

16

V článku 14 smernica stanovuje, že členské štáty zaručia dotknutej osobe právo vzniesť za určitých podmienok námietku proti spracovaniu osobných údajov, ktoré sa jej týkajú.

17

Podľa článku 17 ods. 1 druhého pododseku smernice členské štáty stanovia, že prevádzkovateľ zavedie príslušné technické a organizačné opatrenia, ktoré musia zaistiť so zreteľom na stav techniky a na náklady na ich zavedenie primeranú úroveň bezpečnosti zodpovedajúcu rizikám, ktoré vyplývajú zo spracovania a povahy údajov, ktoré sa majú chrániť.

18

Podľa článkov 22 a 23 ods. 1 smernice členské štáty stanovia, že každá osoba má právo v prípade porušenia práv, ktoré jej zaručuje vnútroštátne právo použiteľné na uvedené spracovanie na súdny prostriedok nápravy a že každá osoba, ktorá utrpela škodu následkom nezákonného spracovania alebo akejkoľvek činnosti nezlučiteľnej s vnútroštátnymi predpismi, ktoré boli prijaté na vykonanie smernice má právo, aby jej prevádzkovateľ nahradil utrpenú škodu.

19

Smernicu prebral do holandského práva rámcový zákon o ochrane osobných údajov (Wet bescherming persoonsgegevens). Na zohľadnenie smernice boli okrem toho prijaté osobitné zákony. Takým je aj sporný zákon vo veci samej týkajúci sa osobných údajov uchovávaných obecnými správnymi orgánmi (Wet gemeentelijke basisadministratie persoonsgegevens, Stb. 1994, č. 494, ďalej len „Wet GBA“).

20

Podľa článku 103 ods. 1 Wet GBA informuje rada primátorov a ich zástupcov písomne dotknutú osobu na základe jej žiadosti v lehote štyroch týždňov, či obecný správny orgán poskytol jej osobné údaje v priebehu obdobia jedného roku pred podaním žiadosti príjemcovi alebo tretej osobe.

21

Podľa článku 110 Wet GBA rada primátorov a ich zástupcov uchováva poznámku o tomto poskytnutí údajov rok po ich oznámení okrem prípadu, ak toto oznámenie vyplýva z inej formy databázy.

22

Z písomných vyjadrení College vyplýva, že údaje, ktoré obec uchováva, sa týkajú najmä mena, dátumu narodenia, administratívneho čísla, daňovo-sociálneho čísla, obce, kde bol prihlásený pobyt, adresy a dátumu prihlásenia pobytu v obci, osobného stavu, poručníctva, zákonného zástupcu maloletých, štátnej príslušnosti a práva pobytu cudzincov.

23

Dňa 26. októbra 2005 pán Rijkeboer požiadal College, aby mu oznámil všetky prípady, v ktorých obecný správny orgán poskytol jeho osobné údaje tretím osobám v priebehu dvoch rokov od podania jeho žiadosti. Pán Rijkeboer chcel poznať totožnosť týchto osôb a obsah informácie, ktorá im bola poskytnutá. Pán Rijkeboer, ktorý sa presťahoval do inej obce, sa chcel osobitne dozvedieť, komu bola oznámená jeho predchádzajúca adresa.

24

Rozhodnutiami z 27. októbra a College tejto žiadosti vyhovel len čiastočne. College mu podľa článku 103 ods. 1 Wet GBA oznámil len informácie vzťahujúce sa na obdobie jedného roka, ktoré predchádzalo podaniu žiadosti.

25

Oznámenia o údajoch sa ukladajú podľa „Logisch Ontwerp GBA“. Ide o automatizovaný systém, ktorý vytvorilo Ministerie van Binnenlandse Zaken en Koninkrijkrelaties (ministerstvo vnútra a vnútorných vzťahov Holandského kráľovstva). Z návrhu na začatie prejudiciálneho konania vyplýva, že údaje, o ktoré žiadal pán Rijkeboer, viažuce sa na obdobie staršie ako jeden rok pred podaním jeho žiadosti, boli v súlade s článkom 110 Wet GBA automaticky vymazané.

26

Pán Rijkeboer podal na College proti rozhodnutiu, ktorým sa mu zamietlo poskytnúť informáciu o príjemcoch, ktorým boli oznámené jeho osobné údaje počas obdobia staršieho ako rok pred podaním jeho žiadosti, sťažnosť. Táto sťažnosť bola rozhodnutím z 13. februára 2006 zamietnutá a pán Rijkeboer podal žalobu na Rechtbank Rotterdam.

27

Tento súdny orgán sa domnieval, že obmedzenie práva byť informovaný o údajoch, ktoré boli poskytnuté príjemcom na jeden rok pred podaním žiadosti, tak ako to stanovuje článok 103 ods. 1 Wet GBA, nie je v súlade s článkom 12 smernice a vyhovel žalobe. Rechtbank Rotterdam tiež rozhodol, že výnimky uvedené v článku 13 tejto smernice sa neaplikujú.

28

College podal proti tomuto rozsudku odvolanie na Raad van State. Tento súdny orgán skonštatoval, že článok 12 smernice o prístupe k údajom nestanovuje nijakú lehotu, v rámci ktorej môže byť toto právo uplatnené. Podľa Raad van State tento článok napriek tomu nevyhnutne nezakazuje vnútroštátnemu zákonodarcovi, aby časovo obmedzil právo dotknutej osoby byť informovaný o príjemcoch, ktorým boli oznámené jej osobné údaje. Tento súdny orgán má však pochybnosti, pokiaľ ide o túto otázku.

29

Za týchto okolností Raad van State rozhodol prerušiť konanie a položiť Súdnemu dvoru nasledujúcu prejudiciálnu otázku:

„Je v zákone upravené obmedzenie poskytnutia údajov na jeden rok pred podaním príslušnej žiadosti v súlade s článkom 12… písm. a) [smernice] v spojení alebo bez spojenia s článkom 6 ods. 1 písm. e) tejto smernice a zásadou proporcionality?“

30

Na úvod je potrebné pripomenúť, že v rámci systému súdnej spolupráce, ktorý zakladá článok 234 ES, je úlohou Súdneho dvora podať výklad ustanovení práva Spoločenstva. Pokiaľ ide o vnútroštátne ustanovenia, ich výklad je úlohou vnútroštátnych súdov (pozri rozsudok zo 14. februára 2008, Gysen, C-449/06, Zb. s. I-553, bod 17).

31

Otázke, ktorú položil vnútroštátny súd, treba rozumieť tak, že sa v podstate týka určenia toho, či podľa smernice, konkrétne podľa jej článku 12 písm. a) právo osoby na prístup k informáciám o príjemcoch alebo kategóriách príjemcov jej osobných údajov, ako aj k obsahu poskytnutých údajov možno obmedziť na obdobie jedného roka pred podaním jej žiadosti o prístup.

32

Tento súdny orgán kladie dôraz na dve ustanovenia smernice, a to na článok 6 ods. 1 písm. e) o uchovávaní osobných údajov a na článok 12 písm. a) o práve prístupu k týmto údajom. Vnútroštátny súd ani nikto z účastníkov konania, ktorí predložili svoje pripomienky Súdnemu dvoru, sa však neodvolávali na výnimky uvedené v článku 13 smernice.

33

Článok 6 smernice upravuje kvalitu údajov. Jeho odsek 1 písm. e) ukladá členským štátom, aby stanovili, že osobné údaje sa nebudú uchovávať po dobu dlhšiu, ako je nevyhnutné na uskutočnenie účelu, na ktorý sa zhromažďujú alebo ďalej spracovávajú. Po dosiahnutí tohto účelu sa údaje musia zlikvidovať.

34

Článok 12 smernice stanovuje, že členské štáty poskytnú dotknutej osobe právo prístupu k jej osobným údajom, ako aj k informáciám o príjemcoch a kategóriách príjemcov týchto údajov bez uvedenia lehoty.

35

Tieto dva články sa týkajú ochrany dotknutej osoby. Vnútroštátny súd chce vedieť, či tieto články spolu súvisia v tom zmysle, že právo prístupu k informáciám o príjemcoch alebo kategóriách príjemcov osobných údajov, ako aj obsahu údajov, ktoré boli poskytnuté, by mohlo závisieť od dĺžky ich uchovania.

36

V pripomienkach predložených Súdnemu dvoru sa uvádzajú rôzne názory na vzťah medzi týmto dvomi ustanoveniami.

37

College, ako aj holandská, česká a španielska vláda a vláda Spojeného kráľovstva tvrdia, že právo prístupu k informáciám o príjemcoch alebo kategóriám príjemcov uvedené v článku 12 písm. a) smernice existuje len vtedy, pokiaľ ide o prítomnosť a nie minulosť. Keďže údaje boli v súlade s vnútroštátnou právnou úpravou vymazané, dotknutá osoba nemôže mať k nim viac prístup. Tento dôsledok nie je v rozpore so smernicou.

38

College a holandská vláda uplatňujú, že článok 103 ods. 1 Wet GBA, podľa ktorého obec na základe žiadosti informuje osobu o údajoch, ktoré poskytla príjemcom v priebehu obdobia jedného roku predchádzajúceho podaniu jej žiadosti, ide nad rámec požiadaviek, ktoré ukladá smernica.

39

Komisia a grécka vláda tvrdia, že smernica stanovuje právo prístupu nielen vtedy, pokiaľ ide o prítomnosť, ale aj pokiaľ ide o obdobie, ktoré predchádza žiadosti o prístup. Ich názory sa však líšia v otázke dĺžky lehoty tohto práva prístupu.

40

Na posúdenie dosahu práva prístupu, ktorého reálnosť musí smernica zabezpečiť, je potrebné najprv určiť, na aké údaje sa toto právo vzťahuje a následne zistiť účel článku 12 písm. a) smernice preskúmaného z hľadiska jej cieľov.

41

V takom prípade, ako je prípad pána Rijkeboera, vstupujú do hry dve kategórie údajov.

42

Prvá kategória sa týka súkromných údajov, ktoré má obec k dispozícii o jednotlivcovi, akými sú jeho meno a adresa tvoriace v konkrétnom prípade základné údaje. Z ústnych pripomienok, ktoré predniesli College a holandská vláda vyplýva, že tieto údaje sa môžu uchovávať dlhodobo. Tieto údaje predstavujú „osobné údaje“ v zmysle článku 2 písm. a) smernice, pretože ide o informácie, ktoré sa týkajú identifikovanej alebo identifikovateľnej fyzickej osoby (pozri v tomto zmysle rozsudky z 20. mája 2003, Österreichischer Rundfunk a i., C-465/00, C-138/01 a C-139/01, Zb. s. I-4989, bod 64; zo , Lindqvist, C-101/01, Zb. s. I-12971, bod 24, ako aj zo , Huber, C-524/06, Zb. s. I-9705, bod 43).

43

Druhá kategória sa týka informácií o príjemcoch alebo kategóriách príjemcov, ktorým boli oznámené tieto základné údaje, ako aj o ich obsahu a vzťahuje sa teda na spracovanie základných údajov. V súlade so spornou vnútroštátnou právnou úpravou vo veci samej táto informácia sa uchováva len jeden rok.

44

Časové obmedzenie, na ktoré sa zameriava konanie vo veci samej, práva prístupu k informáciám o príjemcovi alebo príjemcoch osobných údajov, ako aj obsahu poskytnutých údajov sa tiež vzťahuje na túto druhú kategóriu údajov.

45

Aby sa dalo určiť, či článok 12 smernice umožňuje, alebo neumožňuje časové obmedzenie, je potrebné ho vykladať vzhľadom na jeho účel, ktorý sa preskúma z hľadiska cieľov smernice.

46

Podľa článku 1 smernice jej cieľom je chrániť základné práva a slobody fyzických osôb, najmä ich právo na súkromný život v súvislosti so spracovaním osobných údajov a tiež umožniť voľný tok týchto údajov medzi členskými štátmi.

47

Dôležitosť ochrany súkromia zdôrazňujú odôvodnenia č. 2 a 10 a judikatúra Súdneho dvora (pozri v tomto zmysle rozsudky Österreichischer Rundfunk a i., už citovaný, bod 70; Lindqvist, už citovaný, body 97 a 99, ako aj rozsudky z 29. januára 2008, Promusicae, C-275/06, Zb. s. I-271, bod 63, a zo , Satakunnan Markkinapörssi a Satamedia, C-73/07, Zb. s. I-9831, bod 52).

48

Z odôvodnenia č. 25 smernice vyplýva, že zásady tejto ochrany sa musia na jednej strane odrážať v povinnostiach kladených na osoby zodpovedné za spracovanie údajov, tieto povinnosti sa týkajú najmä kvality údajov — predmetu článku 6 smernice — a na druhej strane v práve jednotlivcov, ktorých údaje sa spracovávajú, byť o tomto spracovaní informovaný, v práve prístupu k týmto údajom, v práve žiadať ich opravu a v práve namietať za určitých okolností ich spracovanie.

49

S týmto právom na rešpektovanie súkromia je spojená možnosť dotknutej osoby ubezpečiť sa, že jej osobné údaje sa spracovávajú presne a zákonne, konkrétne to znamená, že základné údaje, ktoré sa jej týkajú, sú správne a že sa oznamujú oprávneným príjemcom. Ako uvádza odôvodnenie č. 41 smernice, na to, aby dotknutá osoba mohla vykonať potrebné overenia, musí disponovať právom prístupu k svojim údajom, ktoré sa spracovávajú.

50

V tejto súvislosti článok 12 písm. a) smernice stanovuje právo prístupu k základným údajom, ako aj k informáciám o príjemcoch alebo kategóriám príjemcov, ktorým sa poskytli tieto údaje.

51

Toto právo prístupu je nevyhnutné na to, aby si dotknutá osoba mohla uplatniť svoje práva uvedené v článku 12 písm. b) a c) smernice, teda v prípade, ak spracovanie jej údajov nie je v súlade s touto smernicou, aby mohla dosiahnuť, že prevádzkovateľ opraví, vymaže alebo zablokuje jej údaje [písmeno b)] alebo oznámi tretím osobám, ktorým sa poskytli údaje, túto opravu, výmaz alebo zablokovanie, pokiaľ to nie je nemožné alebo to nevyžaduje neprimerané úsilie [písmeno c)].

52

Toto právo prístupu je rovnako nevyhnutné na to, aby sa dotknutej osobe umožnilo uplatniť podľa článku 14 smernice právo námietky proti spracovaniu jej osobných údajov alebo podľa jej článkov 22 a 23 právo na prostriedok nápravy v prípade spôsobenej ujmy.

53

Čo sa týka práva prístupu k informáciám o príjemcoch alebo kategóriám príjemcov základných údajov, ako aj obsahu poskytnutých údajov, smernica neupresňuje, či sa toto právo týka minulosti a prípadne, o aké obdobie v minulosti ide.

54

V tejto súvislosti je potrebné skonštatovať, že na zabezpečenie potrebného účinku ustanovení uvedených v bodoch 51 a 52 tohto rozsudku, toto právo sa musí nevyhnutne vzťahovať na minulosť. Ak by tomu tak nebolo, dotknutá osoba by si nemohla účinne uplatniť svoje právo na vykonanie opravy, výmazu alebo zablokovania údajov, ktoré pokladá za nezákonné alebo nesprávne, ako aj na podanie súdneho prostriedku nápravy a získať náhradu za spôsobenú ujmu.

55

Vzniká otázka, aký rozsah pôsobnosti má toto právo, pokiaľ ide o minulosť.

56

Súdny dvor už rozhodol, že ustanovenia smernice sú relatívne všeobecné vzhľadom na to, že sa musia aplikovať na veľký počet rôznych situácií a že smernica obsahuje pravidlá, ktoré majú istú pružnosť, nechávajúc tak v početných prípadoch na starostlivosť členských štátov, aby upravili podrobnosti alebo si vybrali medzi možnosťami (pozri rozsudok Lindqvist, už citovaný, bod 83). Súdny dvor taktiež rozhodol, že členské štáty disponujú pri preberaní smernice širokým priestorom na voľnú úvahu (pozri rozsudok Lindqvist, už citovaný, bod 84). Tento priestor na voľnú úvahu, ktorý sa overuje pri preberaní článku 12 písm. a) smernice, však nie je neobmedzený.

57

Stanovenie lehoty týkajúcej sa práva na prístup k informáciám o príjemcoch alebo kategóriám príjemcov a obsahu poskytnutých údajov musí umožniť dotknutej osobe, aby si uplatnila rôzne práva stanovené smernicou, o ktorých sa zmieňujú body 51 a 52 tohto rozsudku.

58

Dĺžka uchovania základných údajov môže predstavovať užitočné, ale nie rozhodujúce kritérium.

59

Ako to už Súdny dvor rozhodol, pôsobnosť smernice je veľmi široká (pozri rozsudky Österreichischer Rundfunk a i., už citovaný, bod 43, ako aj Lindqvist, už citovaný, bod 88) a osobné údaje, ktoré upravuje smernica, sú rôznorodé. Dĺžka uchovania týchto údajov, definovaná podľa článku 6 ods. 1 písm. e) smernice v závislosti od účelu, na aký sa zhromažďujú alebo následne spracovávajú, môže byť teda rôzna. Pokiaľ je dĺžka uchovania základných údajov veľmi dlhá, záujem dotknutej osoby na uplatnení prostriedkov opravy a nápravy uvedených v bode 57 tohto rozsudku sa môže v niektorých prípadoch znižovať. Ak napríklad dotknutí príjemcovia takýchto údajov sú početní alebo interval oznamovania menšiemu počtu príjemcov je vysoký, povinnosť dlhodobo uchovať informáciu o príjemcoch alebo kategórii príjemcov, ako aj o obsahu poskytnutých údajov môže predstavovať neprimeranú záťaž pre prevádzkovateľa.

60

Smernica nevyžaduje, aby členské štáty uložili takúto záťaž pre prevádzkovateľov.

61

Článok 12 písm. c) smernice výslovne stanovuje pre prevádzkovateľov výnimku z povinnosti oznámiť tretím stranám, ktorým sa poskytli údaje, opravu, výmaz alebo zablokovanie v prípade, pokiaľ sa ukáže, že to nie je možné alebo že si to vyžaduje neprimerané úsilie.

62

Podľa iných častí smernice je možné zohľadniť povahu niektorých opatrení, ktoré môžu mať neprimeraný dosah. Čo sa týka povinnosti informovať dotknutú osobu, odôvodnenie č. 40 stanovuje, že možno zohľadniť počet dotknutých osôb, ako aj vek údajov. Okrem toho podľa článku 17 smernice týkajúceho sa bezpečnosti spracovania údajov členské štáty stanovia, že prevádzkovateľ zavedie príslušné technické a organizačné opatrenia, ktoré musia zaistiť so zreteľom na stav techniky a na náklady na ich zavedenie primeranú úroveň bezpečnosti zodpovedajúcu rizikám, ktoré vyplývajú zo spracovania a povahy údajov, ktoré sa majú chrániť.

63

Podobné dôvody sú relevantné aj vtedy, pokiaľ ide o určenie lehoty na právo prístupu k informáciám o príjemcoch alebo kategóriám príjemcov, ako aj obsahu poskytnutých údajov. Okrem dôvodov uvedených v bode 57 tohto rozsudku môžu členské štáty zohľadniť viacero kritérií, najmä ustanovenia vnútroštátneho práva týkajúce sa podania opravných prostriedkov, citlivosť základných údajov, dĺžku uchovania týchto údajov a počet dotknutých príjemcov.

64

Členským štátom prináleží, aby určili lehotu na uchovanie informácie o príjemcoch alebo kategórii príjemcov a o obsahu poskytnutých údajov a stanovili prístup k tejto informácii, ktoré predstavujú spravodlivú rovnováhu medzi na jednej strane záujmom dotknutej osoby na ochranu svojho súkromia, uplatňovanú v prípade nesúladu ich spracovania so smernicou najmä prostredníctvom práva na opravu, výmaz a zablokovanie údajov, ako aj práva na podanie námietky a prostriedku súdnej nápravy a na druhej strane záťažou, ktorú u prevádzkovateľa predstavuje povinnosť uchovávať túto informáciu.

65

Okrem učenia tejto lehoty je tiež potrebné zohľadniť povinnosti, ktoré vyplývajú z článku 6 písm. e) smernice. Je potrebné stanoviť, že osobné údaje sa musia uchovávať vo forme, ktorá umožňuje identifikáciu dotknutých osôb počas obdobia, ktoré je nevyhnutné na účely, pre ktoré boli údaje zhromažďované, alebo pre ktoré sú ďalej spracovávané.

66

Právna úprava, ktorá v danom prípade obmedzuje uchovávanie informácií o príjemcoch alebo kategórií príjemcov údajov a obsahu poskytnutých údajov na obdobie jedného roka a súbežne s tým aj prístup k týmto informáciám, pričom základné údaje sa uchovávajú oveľa dlhšie, nepredstavuje spravodlivú rovnováhu medzi predmetným záujmom a povinnosťou, ibaže by sa preukázalo, že dlhšie uchovávanie týchto informácií predstavuje pre prevádzkovateľa neprimeranú záťaž. Vnútroštátnemu súdu prináleží, aby vykonal nevyhnutné overenia z hľadiska úvah, ktoré sú uvedené v predchádzajúcich bodoch.

67

Tvrdenie niektorých členských štátov, podľa ktorých aplikácia článkov 10 a 11 smernice spôsobuje nadbytočnosť priznania práva prístupu k informáciám o príjemcoch alebo kategóriám príjemcov uvedeného v článku 12 písm. a) smernice vzťahujúceho sa na minulosť vzhľadom na predchádzajúce úvahy, nemožno prijať.

68

Články 10 a 11 ukladajú prevádzkovateľovi alebo jeho zástupcovi povinnosť informovať za určitých okolností dotknutú osobu, najmä o príjemcoch alebo kategórii príjemcov. Samotný prevádzkovateľ alebo jeho zástupca musia oznámiť túto informáciu dotknutej osobe, najmä v čase, keď sa údaje zhromažďovali alebo pokiaľ sa údaje nezískali priamo od dotknutej osoby v čase, keď sa zaznamenávali alebo prípadne oznamovali tretej strane.

69

Tieto ustanovenia tiež ukladajú odlišné povinnosti od tých, ktoré vyplývajú z článku 12 písm. a) smernice. V dôsledku toho nijako neoslabujú povinnosť členských štátov stanoviť, že prevádzkovateľ je povinný poskytnúť dotknutej osobe prístup k informáciám o príjemcoch alebo kategóriám príjemcov, ako aj oznámených údajoch, pokiaľ sa táto osoba rozhodne uplatniť svoje právo prístupu, ktoré jej náleží podľa tohto článku 12 písm. a). Členské štáty musia prijať opatrenia, ktorými sa na jednej strane preberajú ustanovenia článkov 10 a 11 smernice týkajúce sa informačnej povinnosti a na druhej strane ustanovenia článku 12 písm. a) smernice bez toho, aby tieto prvé uvedené ustanovenia mohli oslabovať povinnosti vyplývajúce z ustanovení uvedených na druhom mieste.

70

Na položenú otázku je potrebné odpovedať takto:

71

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (tretia komora) rozhodol takto:

Článok 12 písm. a) smernice Európskeho parlamentu a Rady 95/46/ES z 24. októbra 1995 o ochrane fyzických osôb pri spracovaní osobných údajov a voľnom pohybe ukladá členským štátom, aby stanovili právo prístupu k informáciám o príjemcoch alebo kategóriám príjemcov údajov, ako aj o obsahu poskytnutých informácií vzťahujúce sa nielen na prítomnosť, ale aj na minulosť. Členským štátom prináleží stanoviť tak lehotu na uchovanie týchto informácií, ako aj na ne sa vzťahujúci prístup, ktoré predstavujú spravodlivú rovnováhu medzi na jednej strane záujmom dotknutej osoby na ochranu svojho súkromia, uplatňovanú najmä prostredníctvom prostriedkov opravy a nápravy stanovených smernicou 95/46, a na druhej strane záťažou, ktorú pre prevádzkovateľa predstavuje povinnosť uchovávať tieto informácie.

Právna úprava, ktorá obmedzuje uchovávanie informácií o príjemcoch alebo kategórií príjemcov údajov a obsahu poskytnutých údajov na obdobie jedného roka a súbežne s tým aj prístup k týmto informáciám, pričom základné údaje sa uchovávajú oveľa dlhšie, nepredstavuje spravodlivú rovnováhu medzi predmetným záujmom a povinnosťou, ibaže by sa preukázalo, že dlhšie uchovávanie týchto informácií predstavuje pre prevádzkovateľa neprimeranú záťaž. Vnútroštátnemu súdu prináleží, aby vykonal nevyhnutné overenia.