–

česká vláda, v zastúpení: L. Březinová, M. Smolek a J. Vláčil, splnomocnení zástupcovia,

–

Európska komisia, v zastúpení: A. Bouchagiar a P. Ondrůšek, splnomocnení zástupcovia,

1

Návrh na začatie prejudiciálneho konania sa týka výkladu článku 4 bodu 1, ako aj článku 6 ods. 1 písm. c) a e) nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1, ďalej len „GDPR“).

2

Tento návrh bol podaný v rámci sporu, ktorého účastníkmi sú L. H. a Ministerstvo zdravotnictví (Česká republika) vo veci rozhodnutia tohto ministerstva neposkytnúť L. H. určité informácie týkajúce sa zástupcov právnických osôb uvedených v zmluvách o kúpe skríningových testov na Covid‑19, ako aj v certifikátoch týkajúcich sa týchto testov.

3

Odôvodnenia 1, 4, 10, 14 a 154 GDPR znejú:

…

…

…

…

4

Článok 1 GDPR, nazvaný „Predmet úpravy a ciele“, v odseku 2 stanovuje:

„Týmto nariadením sa chránia základné práva a slobody fyzických osôb, najmä ich právo na ochranu osobných údajov.“

5

Podľa článku 4 GDPR s názvom „Vymedzenie pojmov“:

„Na účely tohto nariadenia:

…“

6

Článok 5 GDPR s názvom „Zásady spracúvania osobných údajov“ znie:

„1.   Osobné údaje musia byť:

…“

7

Článok 6 GDPR s názvom „Zákonnosť spracúvania“ stanovuje:

„1.   Spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je splnená aspoň jedna z týchto podmienok:

…

2.   Členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e), a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX.

3.   Základ pre spracúvanie uvedené v odseku 1 písm. c) a e) musí byť stanovený:

Účel spracúvania sa stanoví v tomto právnom základe, alebo pokiaľ ide o spracúvanie uvedené v odseku 1 písm. e), spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Uvedený právny základ môže obsahovať osobitné ustanovenia na prispôsobenie uplatňovania pravidiel tohto nariadenia, vrátane: všeobecných podmienok vzťahujúcich sa na zákonnosť spracúvania prevádzkovateľom; typov spracúvaných údajov; dotknutých osôb; subjektov, ktorým sa môžu osobné údaje poskytnúť, a účel[ov], na ktoré ich možno poskytnúť; obmedzenia účelu; doby uchovávania; a spracovateľských operácií a postupov vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako napríklad tie na iné osobitné situácie spracúvania, ako sú stanovené v kapitole IX. Právo Únie alebo právo členského štátu musí spĺňať cieľ verejného záujmu a byť primerané sledovanému oprávnenému cieľu.

…“

8

Článok 86 GDPR s názvom „Spracúvanie a prístup verejnosti k úradným dokumentom“ je uvedený v kapitole IX tohto nariadenia, ktorá obsahuje ustanovenia o osobitných situáciách spracúvania. Tento článok stanovuje:

„Osobné údaje v úradných dokumentoch, ktoré má v držbe orgán verejnej moci alebo verejnoprávny alebo súkromnoprávny subjekt na účely splnenia úlohy realizovanej vo verejnom záujme, môže daný orgán alebo subjekt poskytnúť v súlade s právom Únie alebo právom členského štátu, ktorému orgán verejnej moci alebo verejnoprávny subjekt podlieha, s cieľom zosúladiť prístup verejnosti k úradným dokumentom s právom na ochranu osobných údajov podľa tohto nariadenia.“

9

Zákon č. 106/1999 Sb., o svobodném přístupu k informacím ukladá orgánom verejnej moci povinnosť poskytnúť informácie fyzickej alebo právnickej osobe, ktorá o ne požiada.

10

Podľa § 8a ods. 1 tohto zákona povinný subjekt poskytne informácie týkajúce sa osobnosti, prejavov osobnej povahy, súkromného života fyzickej osoby a osobné údaje len v súlade s právnymi predpismi, ktoré upravujú ich ochranu.

11

L. H. podal na Ministerstvo zdravotníctva žiadosť o informácie týkajúce sa identifikácie osôb, ktoré podpísali zmluvy o kúpe skríningových testov na Covid‑19 uzavreté týmto ministerstvom, ako aj certifikáty týkajúce sa týchto testov, ktoré preukazujú možnosť používať ich na území Únie.

12

Uvedené ministerstvo čiastočne vyhovelo žiadosti L. H. a poskytlo mu certifikáty týkajúce sa uvedených testov, pričom začiernilo informácie týkajúce sa fyzických osôb, ktoré podpísali tieto certifikáty v mene dotknutých právnických osôb, vrátane mena, priezviska, podpisu a funkcie zastávanej týmito fyzickými osobami, ako aj v určitých prípadoch e‑mailovú adresu, telefónne číslo a internetovú stránku týchto právnických osôb. Začiernenie týchto informácií odôvodnilo ochranou osobných údajov fyzických osôb uvedených v týchto certifikátoch v súlade s požiadavkami GDPR.

13

L. H. podal na Městský soud v Praze (Česká republika) žalobu o neplatnosť rozhodnutia Ministerstva zdravotníctva v rozsahu, v akom začiernilo uvedené informácie. Uvedený súd tejto žalobe vyhovel, pričom konštatoval, že ministerstvo nemôže v zásade odmietnuť poskytnutie informácií predstavujúcich osobné údaje bez toho, aby vopred o žiadosti o poskytnutie týchto údajov informovalo dotknuté osoby alebo získalo ich stanovisko, ako to stanovuje relevantná vnútroštátna judikatúra. Podľa tohto súdu totiž Ministerstvo zdravotníctva takýmto konaním jednak nepriznalo dotknutým osobám postavenie „účastníkov konania“ v zmysle vnútroštátneho práva a jednak sa z právneho hľadiska dostatočne neubezpečilo, že nie je splnená žiadna z podmienok zákonnosti spracúvania uvedených v článku 6 ods. 1 GDPR.

14

Ministerstvo zdravotníctva podalo kasačnú sťažnosť proti rozsudku Městského soudu v Praze na Nejvyšší správní soud (Česká republika), vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania. Podľa tohto ministerstva nemôže skutočnosť, že dotknuté fyzické osoby neboli informované o žiadosti o poskytnutie predmetných údajov, predstavovať procesnú vadu. Uvedené ministerstvo tvrdí, že tieto osoby svoju činnosť vykonávajú z Číny a Spojeného kráľovstva, kde sú registrované právnické osoby vydávajúce certifikáty, a že bydlisko uvedených osôb mu nie je známe. Nemôže ich teda v tejto súvislosti informovať a konzultovať.

15

V tomto kontexte sa vnútroštátny súd v prvom rade pýta, či údaje, o ktoré ide vo veci samej, predstavujú „osobné údaje“ v zmysle článku 4 bodu 1 GDPR. Vzhľadom na odôvodnenie 14 tohto nariadenia sa prikláňa k záveru, že takéto informácie predstavujú údaje týkajúce sa právnickej osoby, ktoré nepatria do pôsobnosti uvedeného nariadenia. Tento súd však poznamenáva, že judikatúra Súdneho dvora uprednostňuje extenzívny výklad pojmu „osobné údaje“, z ktorého vyplýva, že informácie týkajúce sa identifikovateľných fyzických osôb, ktoré pochádzajú okrem iného z obchodného registra, pod tento pojem spadajú.

16

V druhom rade za predpokladu, že by Súdny dvor dospel k záveru, že údaje, o ktoré ide vo veci samej, predstavujú osobné údaje, sa vnútroštátny súd pýta, či je s právom Únie zlučiteľná relevantná vnútroštátna judikatúra, ktorá prevádzkovateľovi, ktorému bola predložená žiadosť o poskytnutie týchto údajov, ukladá povinnosť informovať a konzultovať dotknutú osobu pred poskytnutím uvedených údajov žiadateľovi. Vnútroštátny súd ďalej spresňuje, že táto povinnosť platí aj v situáciách, keď samotné GDPR nevyžaduje súhlas dotknutej osoby, a to v iných situáciách, než je situácia uvedená v článku 6 ods. 1 písm. a) GDPR. Uvedená povinnosť teda ide nad rámec požiadaviek GDPR, a tak potenciálne sťažuje prístup k dotknutým údajom viac než v iných členských štátoch. Okrem toho vzhľadom na pôsobnosť GDPR je ťažké, ak nie nemožné, systematicky uplatňovať povinnosť informovania a predchádzajúcej konzultácie, najmä pokiaľ ide o dátové súbory týkajúce sa veľkého počtu osôb usadených v rôznych krajinách.

17

Za týchto podmienok Nejvyšší správní soud rozhodol prerušiť konanie a položiť Súdnemu dvoru tieto prejudiciálne otázky:

18

Svojou prvou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 4 body 1 a 2 GDPR vykladať v tom zmysle, že poskytnutie mena, priezviska, podpisu a kontaktných údajov fyzickej osoby zastupujúcej právnickú osobu predstavuje spracúvanie osobných údajov, aj keď sa toto poskytnutie uskutočňuje výlučne s cieľom umožniť identifikáciu fyzickej osoby oprávnenej konať v mene tejto právnickej osoby.

19

Na úvod treba poznamenať, že podľa informácií vnútroštátneho súdu právnické osoby, ktoré vydali certifikáty, o ktoré ide v spore vo veci samej, majú sídlo v tretích krajinách, a to v Číne a Spojenom kráľovstve. Hoci takéto právnické osoby môžu za určitých podmienok podliehať pravidlám zverejňovania stanoveným v smernici Európskeho parlamentu a Rady (EÚ) 2017/1132 zo 14. júna 2017 týkajúcej sa niektorých aspektov práva obchodných spoločností (Ú. v. EÚ L 169, 2017, s. 46), najmä pokiaľ ide o povinné zverejňovanie totožnosti osôb, ktoré sú oprávnené zastupovať spoločnosť v konaniach s tretími osobami, nič v spise, ktorý má Súdny dvor k dispozícii, nenaznačuje, že by táto smernica bola v prejednávanej veci relevantná.

20

Po tejto úvodnej poznámke treba pripomenúť, že podľa článku 4 bodu 1 GDPR „osobnými údajmi“ sú „akékoľvek informácie týkajúce sa identifikovanej alebo identifikovateľnej fyzickej osoby“. „Identifikovateľnou fyzickou osobou“ v zmysle tohto ustanovenia „je osoba, ktorú možno identifikovať priamo alebo nepriamo, najmä odkazom na identifikátor, ako je meno, identifikačné číslo, lokalizačné údaje, online identifikátor, alebo odkazom na jeden či viaceré prvky, ktoré sú špecifické pre fyzickú, fyziologickú, genetickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu tejto fyzickej osoby“.

21

Podľa ustálenej judikatúry použitie výrazu „akékoľvek informácie“ v definícii pojmu „osobné údaje“ uvedeného v tomto ustanovení odráža cieľ normotvorcu Únie priznať tomuto pojmu široký význam, ktorý potenciálne zahŕňa všetky druhy informácií, tak objektívnych, ako aj subjektívnych, vo forme názoru alebo hodnotení, pod podmienkou, že sa „týkajú“ dotknutej osoby. Informácia sa týka identifikovanej alebo identifikovateľnej fyzickej osoby, ak pre jej obsah, účel alebo účinok súvisí s identifikovateľnou osobou (rozsudky zo 7. marca 2024, IAB Europe, C‑604/22, EU:C:2024:214, body 36 a 37, ako aj zo 4. októbra 2024, Agencija po vpisvanijata,C‑200/23, EU:C:2024:827, body 130 a 131, ako aj citovaná judikatúra).

22

Informácie o totožnosti identifikovaných alebo identifikovateľných fyzických osôb, ktoré ako zákonom stanovený orgán alebo ako členovia takéhoto orgánu sú oprávnené zastupovať túto spoločnosť v konaniach s tretími osobami, tak predstavujú „osobné údaje“ v zmysle článku 4 bodu 1 GDPR. Skutočnosť, že tieto informácie sú zasadené do kontextu výkonu povolania, ich nemôže zbaviť ich charakteru ako osobných údajov (pozri analogicky rozsudok z 9. marca 2017, Manni, C‑398/15, EU:C:2017:197, body 32 a 34, ako aj citovanú judikatúru).

23

Ako poznamenala Komisia, takýto výklad nemôže byť vyvrátený odôvodnením 14 GDPR. Druhá veta tohto odôvodnenia totiž odkazuje najmä na „meno“ a „kontaktné údaje“ právnickej osoby, a nie fyzických osôb konajúcich v mene alebo na účet právnickej osoby.

24

V prejednávanej veci treba konštatovať, že meno a priezvisko identifikovanej alebo identifikovateľnej fyzickej osoby predstavujú osobné údaje v zmysle článku 4 bodu 1 GDPR. To isté platí pre podpis takejto fyzickej osoby (pozri v tomto zmysle rozsudok zo 4. októbra 2024, Agencija po vpisvanijata,C‑200/23, EU:C:2024:827, bod 136).

25

Pokiaľ ide o ostatné kontaktné údaje, o ktoré ide vo veci samej, vnútroštátnemu súdu prináleží, aby vzhľadom na judikatúru pripomenutú v bode 21 tohto rozsudku overil, či tieto kontaktné údaje súvisia s identifikovanou alebo identifikovateľnou fyzickou osobou.

26

Pokiaľ ide o pojem „spracúvanie“ v zmysle článku 4 bodu 2 GDPR, v tomto ustanovení je definovaný ako „operácia alebo súbor operácií s osobnými údajmi alebo súbormi osobných údajov, napríklad získavanie, zaznamenávanie, usporadúvanie, štruktúrovanie, uchovávanie, prepracúvanie alebo zmena, vyhľadávanie, prehliadanie, využívanie, poskytovanie prenosom, šírením alebo poskytovanie iným spôsobom, preskupovanie alebo kombinovanie, obmedzenie, vymazanie alebo likvidácia, bez ohľadu na to, či sa vykonávajú automatizovanými alebo neautomatizovanými prostriedkami“.

27

Najmä z výrazu „operácia“ vyplýva, že normotvorca Únie zamýšľal priznať pojmu „spracúvanie“ široký rozsah, čo potvrdzuje demonštratívny výpočet činností vymenovaných v tomto ustanovení, vyjadrený v uvedenom ustanovení pomocou výrazu „napríklad“, s tým, že tieto operácie zahŕňajú poskytovanie prenosom, šírenie a poskytovanie iným spôsobom, pričom tieto operácie môžu byť automatizované alebo neautomatizované (pozri v tomto zmysle rozsudok zo 7. marca 2024, Endemol Shine Finland, C‑740/22, EU:C:2024:216, body 29 a 30, ako aj citovanú judikatúru).

28

V každom prípade zo znenia článku 4 bodu 2 GDPR nijako nevyplýva, že by normotvorca Únie zamýšľal kvalifikovať tieto operácie ako „spracúvanie“ v závislosti od ich účelu.

29

Takýto výklad je v súlade s cieľom sledovaným GDPR, ako vyplýva z jeho článku 1, ako aj z jeho odôvodnení 1 a 10, ktorým je najmä zabezpečiť vysokú úroveň ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty a v článku 16 ods. 1 ZFEÚ (pozri v tomto zmysle rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 21 a citovanú judikatúru).

30

V prejednávanej veci poskytnutie údajov, ako sú meno, priezvisko, podpis a kontaktné údaje fyzickej osoby zastupujúcej právnickú osobu, spadá pod pojem „spracúvanie“ v zmysle článku 4 bodu 2 GDPR. Ako vyplýva z bodov 27 až 29 tohto rozsudku, okolnosť, že jediným účelom poskytnutia takýchto údajov je umožniť identifikáciu fyzickej osoby oprávnenej konať v mene právnickej osoby, je irelevantná na účely kvalifikácie ako „spracúvanie“ v zmysle tohto ustanovenia.

31

Vzhľadom na predchádzajúce úvahy treba na prvú otázku odpovedať tak, že článok 4 body 1 a 2 GDPR sa má vykladať v tom zmysle, že poskytnutie mena, priezviska, podpisu a kontaktných údajov fyzickej osoby zastupujúcej právnickú osobu predstavuje spracúvanie osobných údajov. Okolnosť, že toto poskytnutie sa uskutočňuje len s cieľom umožniť identifikáciu fyzickej osoby oprávnenej konať v mene tejto právnickej osoby, je v tejto súvislosti irelevantná.

32

Svojou druhou otázkou sa vnútroštátny súd v podstate pýta, či sa má článok 6 ods. 1 písm. c) a e) GDPR vykladať v tom zmysle, že bráni vnútroštátnej judikatúre, ktorá prevádzkovateľovi, ktorý je orgánom verejnej moci zodpovedným za zosúladenie prístupu verejnosti k úradným dokumentom s právom na ochranu osobných údajov, ukladá povinnosť informovať a konzultovať dotknutú fyzickú osobu pred poskytnutím úradných dokumentov obsahujúcich takéto údaje.

33

V súlade s cieľom sledovaným GDPR, ako bol pripomenutý v bode 29 tohto rozsudku, musí byť každé spracúvanie osobných údajov najmä v súlade so zásadami týkajúcimi sa spracúvania takýchto údajov uvedenými v článku 5 tohto nariadenia a musí spĺňať podmienky zákonnosti vymenované v článku 6 uvedeného nariadenia (rozsudok z 9. januára 2025, Mousse, C‑394/23, EU:C:2025:2, bod 22 a citovaná judikatúra).

34

V tejto súvislosti článok 5 ods. 1 písm. a) GDPR vyžaduje, aby boli osobné údaje spracúvané zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe.

35

Článok 6 bod 1 písm. c) GDPR stanovuje, že spracúvanie je zákonné iba vtedy a iba v tom rozsahu, keď je nevyhnutné na splnenie zákonnej povinnosti prevádzkovateľa. Podľa článku 6 ods. 1 písm. e) tohto nariadenia je spracúvanie zákonné iba vtedy a iba v tom rozsahu, keď je potrebné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi.

36

Podľa článku 6 ods. 2 GDPR členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia s ohľadom na spracúvanie v súlade s odsekom 1 písm. c) a e) tohto článku, a to presnejším stanovením osobitných požiadaviek na spracúvanie a stanovením ďalších opatrení, ktorými sa zaistí zákonné a spravodlivé spracúvanie, vrátane požiadaviek na iné osobitné situácie spracúvania stanovené v kapitole IX GDPR.

37

Článok 6 ods. 3 GDPR stanovuje, že základ pre spracúvanie uvedené v odseku 1 písm. c) a e) tohto článku 6 musí byť stanovený v práve Únie alebo v práve členského štátu vzťahujúcom sa na prevádzkovateľa. Príslušný právny základ musí zodpovedať cieľu verejného záujmu a musí byť primeraný sledovanému legitímnemu cieľu. Tento právny základ môže obsahovať aj osobitné ustanovenia na prispôsobenie uplatňovania pravidiel GDPR, ako sú najmä všeobecné podmienky vzťahujúce sa na zákonnosť spracúvania prevádzkovateľom alebo spracovateľské operácie a postupy, vrátane opatrení na zabezpečenie zákonného a spravodlivého spracúvania, ako sú napríklad opatrenia stanovené v iných osobitných situáciách spracúvania, uvedené v kapitole IX GDPR.

38

Treba ešte uviesť, že v oblasti prístupu verejnosti k úradným dokumentom článok 86 GDPR, ktorý je súčasťou jeho kapitoly IX, stanovuje, že osobné údaje v úradných dokumentoch, ktoré má v držbe orgán verejnej moci alebo verejnoprávny či súkromnoprávny subjekt na účely splnenia úlohy realizovanej vo verejnom záujme, môže tento orgán alebo subjekt poskytnúť v súlade s právom Únie alebo právom príslušného členského štátu, s cieľom zosúladiť prístup verejnosti k úradným dokumentom s právom na ochranu osobných údajov.

39

Tento článok treba vykladať po prvé s prihliadnutím na odôvodnenie 4 GDPR, ktoré najmä uvádza, že právo na ochranu osobných údajov nie je absolútnym právom, po druhé na odôvodnenie 154 tohto nariadenia, z ktorého okrem iného vyplýva, že prístup verejnosti k úradným dokumentom možno považovať za verejný záujem, ako aj po tretie na judikatúru, podľa ktorej zásada transparentnosti, ako vyplýva z článkov 1 a 10 ZEÚ, ako aj z článku 15 ZFEÚ, umožňuje zabezpečiť lepšiu účasť občanov na rozhodovacom procese a zaručiť väčšiu legitimitu, efektívnosť a zodpovednosť administratívy voči občanom v demokratickom systéme (rozsudok z 22. novembra 2022, Luxembourg Business Registers, C‑37/20 a C‑601/20, EU:C:2022:912, bod 60, ako aj citovaná judikatúra).

40

Hoci, ako vyplýva z odôvodnenia 10 GDPR, členské štáty majú možnosť zachovať alebo zaviesť vnútroštátne predpisy určené na spresnenie uplatňovania pravidiel stanovených v tomto nariadení, musia používať svoju voľnú úvahu za podmienok a v medziach stanovených v uvedenom nariadení, a musia tak prijímať právne predpisy spôsobom, ktorý nezasahuje do jeho obsahu a cieľov (pozri v tomto zmysle rozsudok z 30. marca 2023, Hauptpersonalrat der Lehrerinnen und Lehrer, C‑34/21, EU:C:2023:270, bod 59 a citovanú judikatúru).

41

Okrem toho musia členské štáty v súlade so zásadou proporcionality zabezpečiť, aby praktické dôsledky, najmä organizačného charakteru, spôsobené dodatočnými požiadavkami, ktoré stanovili, neboli neprimerané (pozri v tomto zmysle rozsudok z 21. decembra 2023, Krankenversicherung Nordrhein, C‑667/21, EU:C:2023:1022, bod 67).

42

V prejednávanej veci sa na spracúvanie, o ktoré ide vo veci samej, môže vzťahovať tak písmeno c), ako aj písmeno e) článku 6 ods. 1 GDPR, keďže je prevádzkovateľovi uložené zákonom č. 106/1999 pri plnení úlohy vo verejnom záujme spočívajúcej v zabezpečení prístupu verejnosti k úradným dokumentom. V tejto súvislosti je nesporné, že tento zákon ukladá orgánom verejnej moci povinnosť poskytnúť informácie, vrátane úradných dokumentov, osobám, ktoré o ne požiadajú.

43

Ak však požadované informácie obsahujú osobné údaje, uvedený zákon stanovuje, že tieto údaje možno poskytnúť len v súlade s právnymi predpismi upravujúcimi ich ochranu, ktoré, ako uvádza vnútroštátny súd, zahŕňajú GDPR. Z návrhu na začatie prejudiciálneho konania vyplýva, že judikatúra vnútroštátneho súdu stanovuje ďalšie povinnosti, ktoré dopĺňajú povinnosti výslovne stanovené v tomto nariadení. Ukladá totiž orgánom verejnej moci povinnosť informovať a konzultovať dotknutú osobu pred každým poskytnutím uvedených údajov.

44

Pokiaľ ide o zlučiteľnosť vnútroštátnej judikatúry, o akú ide vo veci samej, s GDPR, treba konštatovať, že podľa ustanovení uvedených v bodoch 36 a 37 tohto rozsudku môžu členské štáty zaviesť osobitné ustanovenia s cieľom zabezpečiť zákonné a spravodlivé spracúvanie v osobitných situáciách spracúvania, ako je situácia uvedená v článku 86 GDPR. V tejto súvislosti môže byť takáto judikatúra súčasťou právneho základu spracúvania v zmysle článku 6 ods. 3 GDPR.

45

V dôsledku toho článok 6 ods. 1 písm. c) a e) GDPR v zásade nebráni vnútroštátnej judikatúre, ktorá stanovuje povinnosť informovať a konzultovať dotknutú osobu pred akýmkoľvek poskytnutím osobných údajov, ktoré sa jej týkajú. Takáto povinnosť totiž môže zaručiť zákonné, spravodlivé a transparentné spracúvanie vo vzťahu k tejto osobe v zmysle článku 5 ods. 1 písm. a) GDPR tým, že tejto osobe umožní vyjadriť sa k zamýšľanému poskytnutiu informácií. Táto povinnosť tak prispieva k dosiahnutiu cieľa pripomenutého v bode 29 tohto rozsudku, pričom umožňuje orgánu verejnej moci dosiahnuť súlad vyžadovaný článkom 86 GDPR s plnou znalosťou veci.

46

Vzhľadom na judikatúru pripomenutú v bodoch 40 a 41 tohto rozsudku by však úplné vykonanie uvedenej povinnosti mohlo viesť k neprimeranému obmedzeniu práva verejnosti na prístup k úradným dokumentom. Dá sa totiž predpokladať, že z rôznych dôvodov sa informovanie a/alebo konzultovanie dotknutej osoby môžu ukázať ako nemožné alebo vyžadujúce si neprimerané úsilie. V takomto kontexte by odkazovanie na praktickú nemožnosť informovať a konzultovať túto osobu na odôvodnenie systematického odmietania akéhokoľvek poskytovania informácií týkajúcich sa uvedenej osoby viedlo k tomu, že by bola vylúčená akákoľvek snaha o zosúladenie dotknutých záujmov napriek tomu, že dosiahnutie ich súladu je výslovne stanovené v článku 86 GDPR.

47

V prejednávanej veci sa zdá, s výhradou overenia vnútroštátnym súdom, že Ministerstvo zdravotníctva založilo svoje rozhodnutie neposkytnúť všetky požadované informácie len na tejto praktickej nemožnosti bez toho, aby sa akokoľvek pokúšalo o zosúladenie záujmov.

48

Vzhľadom na všetky predchádzajúce úvahy treba na druhú otázku odpovedať tak, že článok 6 ods. 1 písm. c) a e) GDPR v spojení s článkom 86 tohto nariadenia sa má vykladať v tom zmysle, že nebráni vnútroštátnej judikatúre, ktorá prevádzkovateľovi, ktorý je orgánom verejnej moci zodpovedným za zosúladenie prístupu verejnosti k úradným dokumentom s právom na ochranu osobných údajov, ukladá povinnosť informovať a konzultovať dotknutú fyzickú osobu pred poskytnutím úradných dokumentov obsahujúcich takéto údaje, za predpokladu, že takáto povinnosť nie je nesplniteľná ani si nevyžaduje neprimerané úsilie, a teda nevedie k neprimeranému obmedzeniu práva verejnosti na prístup k týmto dokumentom.

49

Vzhľadom na to, že konanie pred Súdnym dvorom má vo vzťahu k účastníkom konania vo veci samej incidenčný charakter a bolo začaté v súvislosti s prekážkou postupu v konaní pred vnútroštátnym súdom, o trovách konania rozhodne tento vnútroštátny súd. Iné trovy konania, ktoré vznikli v súvislosti s predložením pripomienok Súdnemu dvoru a nie sú trovami uvedených účastníkov konania, nemôžu byť nahradené.

Z týchto dôvodov Súdny dvor (prvá komora) rozhodol takto: