Soudní dvůr EU rozhodl ve věci zpřístupnění osobních údajů zástupce právnické osoby

První otázkou NSS bylo, zda zpřístupnění jména, příjmení, podpisu a kontaktních údajů fyzické osoby, která zastupuje právnickou osobu, za účelem pouhé identifikace této právnické osoby, představuje zpracování osobních údajů ve smyslu obecného nařízení o ochraně osobních údajů (GDPR). Druhá otázka zněla, zda vnitrostátní právo, včetně ustálené soudní judikatury, může podmínit zpřístupnění údajů nad rámec GDPR splněním dalších podmínek, jež ve výsledku zvyšují úroveň ochrany subjektů údajů.

K první otázce SDEU potvrdil, že zveřejnění osobních údajů fyzické osoby, která zastupuje právnickou osobu, představuje zpracování osobních údajů ve smyslu GDPR, a nařízení tak na tyto případy plně dopadá. K druhé otázce SDEU dovodil, že vnitrostátní právo, včetně ustálené soudní judikatury, může uložit povinnost správci, který je orgánem veřejné moci, informovat a konzultovat dotčenou fyzickou osobu před zveřejněním úředních dokumentů obsahujících její osobní údaje (dle zákona o svobodném přístupu k informacím), pokud taková povinnost není neproveditelná a nevyžaduje nepřiměřené úsilí, a tudíž nevede k nepřiměřenému omezení přístupu veřejnosti k těmto dokumentům.

Byť se rozhodnutí SDEU týká primárně zpracování osobních údajů orgány veřejné moci, lze z něj vyvozovat závěry i pro soukromoprávní sektor. Soudní dvůr EU rozhodnutím potvrdil potřebu hledět na osobní údaje fyzických osob zastupujících právnické osoby rovnocenně jako na jakékoliv jiné osobní údaje chráněné GDPR a zpracovávat je plně v souladu s regulací. Zároveň obdobně jako v posledních letech již několikrát (např. v případě věci C‑487/21 týkající se práva získat od správce kopii zpracovávaných osobních údajů či věci C-154/21 týkající se práva na informace o příjemcích nebo kategoriích příjemců) předmětné rozhodnutí SDEU posiluje práva subjektů údajů.