Shromažďování osobních údajů pod drobnohledem? SDEU má jasno!

Soudní dvůr EU (SDEU) rozhodoval o předběžné otázce, která vyvstala před rakouským nejvyšším soudem (Oberster Gerichtshof) ve sporu mezi subjektem údajů, panem RW a Österreichische Post.

Jádrem sporu byla žádost RW o poskytnutí informací o všech údajích, které o něm Österreischische Post uchovává, a o způsobu jakým je zpracovává. Zejména se jednalo o informace o totožnosti všech subjektů, kterým byly tyto údaje zpřístupněny. Österreichische Post na tuto žádost nejprve odpověděla, že v rámci své povolené činnosti v zákonném rozsahu tyto informace zpřístupňuje svým klientům pro marketingové účely, u kterých později uvedla, že se jedná o IT podniky, neziskové organizace, politické strany apod.

Tato odpověď však nebyla uspokojivá, proto RW podal žalobu k rakouském soudu, ve které se domáhal zpřístupnění totožnosti příjemců jeho údajů. Jak soud první instance, tak i odvolací soud žalobu RW zamítnul s argumentem, že RW (jako subjekt údajů) má právo pouze na poskytnutí informací o kategoriích příjemců, nikoliv o totožnosti jednotlivých příjemců osobních údajů s odvoláním na čl. 15 odst. 1 písm. c) GDPR, který stanovuje, že:

„Subjekt údajů má právo získat od správce potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo získat přístup k těmto osobním údajům a k následujícím informacím (…)

1. c) příjemci nebo kategorie příjemců, kterým osobní údaje byly nebo budou zpřístupněny, zejména příjemci ve třetích zemích nebo v mezinárodních organizacích (…)“

Rakouský nejvyšší soud, jakožto poslední instance, při posuzování sporu podal k SDEU předběžnou otázku, tj. zda má správce údajů (v tomto případě Österreichische Post) právo rozhodnout se, zda poskytne subjektu údajů (v tomto případě RW) pouze informaci o kategorii příjemců nebo i o totožnostikonkrétních příjemců.

SDEU předmětnou otázku posoudil zejména s ohledem na související ustanovení GDPR, kontext, ve kterém bylo GDPR přijato a také na vůdčí zásadu transparentnosti uvedenou v čl. 5 odst. 1 písm. a) GDPR. Dospěl k závěru, že předmětné ustanovení čl. 15 odst. 1 písm. c) GDPR je třeba vykládat v tom smyslu, že si správce údajů nemůže vybrat, zda poskytne informaci o kategorii příjemce nebo konkrétní totožnost příjemce.

Pokud si tedy subjekt údajů požádá o informaci o konkrétní totožnosti příjemce jeho/jejích osobních údajů, má správce údajů povinnost to tak učinit. Současně SDEU ale vymezil i okolnosti, za kterých správce údajů poskytnutí informace o konkrétní totožnosti příjemců údajů odmítnout může.

Pokud by vás zajímali další informace, obraťte se na nás.

Autor: Veronika Odrobinová, Jan Nešpor