C-645/19

Rubrum

Rozsudek Soudního dvora ze dne 15. června 2021

Výrok

rozsudku Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

1. Článek 55 odst. 1 a články 56 až 58 a 60 až 66 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), ve spojení s články 7, 8 a 47 Listiny základních práv Evropské unie, musí být vykládány v tom smyslu, že dozorový úřad členského státu, který má podle vnitrostátních právních předpisů provádějících čl. 58 odst. 5 tohoto nařízení pravomoc upozornit na jakékoliv údajné porušení tohoto nařízení soud tohoto členského státu, a pokud je to vhodné, zahájit soudní řízení, může vykonávat tuto pravomoc v souvislosti s přeshraničním zpracováním údajů, třebaže není u tohoto zpracování údajů "vedoucím dozorovým úřadem" ve smyslu čl. 56 odst. 1 téhož nařízení, za předpokladu, že jde o některou ze situací, kdy nařízení 2016/679 svěřuje tomuto dozorovému úřadu pravomoc přijmout rozhodnutí konstatující, že uvedené zpracování porušuje pravidla, která toto nařízení obsahuje, a jsou dodrženy postupy spolupráce a jednotnosti stanovené tímto nařízením.

2. Článek 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že v případě přeshraničního zpracování údajů nevyžaduje výkon pravomoci jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, zahájit soudní řízení ve smyslu tohoto ustanovení, aby správce nebo zpracovatel provádějící přeshraniční zpracování osobních údajů, proti němuž je toto řízení zahájeno, měl na území tohoto členského státu hlavní provozovnu nebo jinou provozovnu.

3. Článek 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že pravomoc jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, upozornit na údajné porušení tohoto nařízení soud tohoto státu, a pokud je to vhodné, zahájit soudní řízení ve smyslu tohoto ustanovení, může být vykonávána jak ve vztahu k hlavní provozovně správce, která se nachází v členském státě tohoto úřadu, tak ve vztahu k jiné provozovně tohoto správce, pokud se žaloba týká zpracování údajů prováděného v souvislosti s činnostmi této provozovny a uvedený úřad je příslušný k výkonu této pravomoci v souladu s tím, co je uvedeno v odpovědi na první položenou otázku.

4. Článek 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že pokud dozorový úřad členského státu, který není "vedoucím dozorovým úřadem" ve smyslu čl. 56 odst. 1 tohoto nařízení, podal žalobu týkající se přeshraničního zpracování osobních údajů před 25. květnem 2018, tedy dnem, kdy se uvedené nařízení stalo použitelným, může z hlediska unijního práva řízení pokračovat na základě ustanovení směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, která zůstává použitelná na porušení pravidel, která stanoví, k nimž došlo do dne jejího zrušení. Uvedené řízení může nadto tento úřad zahájit v případě porušení, k nimž došlo po tomto dni, na základě čl. 58 odst. 5 nařízení 2016/679, a to za předpokladu, že jde o některou ze situací, kdy toto nařízení výjimečně přiznává dozorovému úřadu členského státu, který není "vedoucím dozorovým úřadem", příslušnost k přijetí rozhodnutí, kterým se konstatuje, že předmětné zpracování údajů je v rozporu s pravidly, která uvedené nařízení obsahuje, pokud jde o ochranu práv fyzických osob v souvislosti se zpracováním osobních údajů, a při dodržení postupů spolupráce a jednotnosti stanovených tímto nařízením, což musí ověřit předkládající soud.

5. Článek 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že toto ustanovení má přímý účinek, takže se vnitrostátní dozorový úřad může uvedeného ustanovení dovolávat, aby zahájil soudní řízení proti jednotlivcům nebo v tomto řízení pokračoval, a to i pokud toto ustanovení nebylo v právních předpisech dotyčného členského státu specificky provedeno.

Odůvodnění

Z odůvodnění rozsudku K první otázce "44) ... je třeba úvodem připomenout, že na rozdíl od směrnice 95/46, která byla přijata na základě článku 100a Smlouvy o ES týkajícího se harmonizace společného trhu, je právním základem nařízení 2016/679 článek 16 SFEU, který zakotvuje právo každého na ochranu osobních údajů a pověřuje Evropský parlament a Radu Evropské unie stanovením pravidel o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidel o volném pohybu těchto údajů. Bod 1 odůvodnění tohoto nařízení5) dále uvádí, že ‚[o]chrana fyzických osob v souvislosti se zpracováním osobních údajů je základním právem', a připomíná, že čl. 8 odst. 1 Listiny, jakož i čl. 16 odst. 1 SFEU přiznávají každému právo na ochranu osobních údajů, které se jej týkají 45) Jak tedy vyplývá z čl. 1 odst. 2 nařízení 2016/679 ve spojení s body 10, 11 a 13 jeho odůvodnění6) toto nařízení ukládá unijním orgánům, institucím a jiným subjektům, jakož i příslušným orgánům členských států povinnost zajistit vysokou úroveň ochrany práv zaručených článkem 16 SFEU a článkem 8 Listiny. 46) Kromě toho, jak uvádí bod 4 odůvodnění tohoto nařízení7), toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou. 47) Na tomto pozadí čl. 55 odst. 1 nařízení 2016/679 stanoví, že každý dozorový úřad je na území svého členského státu v zásadě příslušný k plnění úkolů a výkonu pravomocí, které mu byly svěřeny v souladu s tímto nařízením ...8) 48) Mezi úkoly, které byly těmto dozorovým úřadům svěřeny, patří zejména úkol monitorovat a vymáhat uplatňování nařízení 2016/679, stanovený v čl. 57 odst. 1 písm. a) tohoto nařízení, jakož i úkol spolupracovat s dalšími dozorovými úřady, mimo jiné formou sdílení informací, a s těmito úřady si vzájemně poskytovat pomoc s cílem zajistit jednotné uplatňování a prosazování tohoto nařízení, stanovený v čl. 57 odst. 1 písm. g) téhož nařízení. Mezi pravomoci svěřené uvedeným dozorovým úřadům za účelem plnění těchto úkolů patří různé vyšetřovací pravomoci stanovené v čl. 58 odst. 1 nařízení 2016/679, jakož i pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení s cílem vymoci dodržení tohoto nařízení, stanovená v jeho čl. 58 odst. 5. 49) Výkon těchto úkolů a pravomocí nicméně předpokládá, že dozorový úřad je příslušný, pokud jde o dané zpracování údajů. 50) V tomto ohledu, aniž je dotčeno pravidlo příslušnosti uvedené v čl. 55 odst. 1 nařízení 2016/679, stanoví čl. 56 odst. 1 tohoto nařízení pro ‚přeshraniční zpracování' ve smyslu čl. 4 bodu 23 tohoto nařízení mechanismus ‚jediného kontaktního místa' založený na rozdělení příslušnosti mezi ‚vedoucí dozorový úřad' a další dotčené dozorové úřady. Podle tohoto mechanismu je dozorový úřad pro hlavní nebo jedinou provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem v souladu s postupem stanoveným v článku 60. 51) Posledně uvedený článek upravuje proces spolupráce mezi vedoucím dozorovým úřadem a dalšími dotčenými dozorovými úřady. V rámci tohoto procesu je vedoucí dozorový úřad zejména povinen usilovat o dosažení konsensu. Podle čl. 60 odst. 3 nařízení 2016/679 za tím účelem neprodleně předloží ostatním dotčeným dozorovým úřadům návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska. 52) Z článků 56 a 60 nařízení 2016/679 konkrétně vyplývá, že při ‚přeshraničním zpracování' ve smyslu článku 4 bodu 23 tohoto nařízení a s výhradou jeho čl. 56 odst. 2 musí jednotlivé dotčené dozorové úřady spolupracovat v souladu s postupy stanovenými těmito ustanoveními, aby dosáhly konsensu a přijaly jednotné rozhodnutí zavazující všechny tyto úřady, přičemž správce musí zajistit, aby bylo dodrženo, pokud jde o činnosti zpracování v souvislosti se všemi jeho provozovnami v Unii. Článek 61 odst. 1 uvedeného nařízení dále ukládá dozorovým úřadům povinnost předat si užitečné informace a poskytovat si navzájem pomoc, aby bylo toto nařízení uplatňováno soudržným způsobem v celé Unii. Článek 63 nařízení 2016/679 stanoví, že za tímto účelem je v jeho článcích 64 a 65 stanoven mechanismus jednotnosti ...9) 53) Použití mechanismu ‚jediného kontaktního místa' tedy vyžaduje, jak potvrzuje bod 13 odůvodnění nařízení 2016/679, loajální a účinnou spolupráci mezi vedoucím dozorovým úřadem a ostatními dotčenými dozorovými úřady. Jak uvedl generální advokát v bodě 111 svého stanoviska, vedoucí dozorový úřad proto nemůže opomíjet názory dotčených dozorových úřadů a jakákoli relevantní a odůvodněná námitka vyjádřená některým z těchto dozorových úřadů má za následek zablokování, přinejmenším dočasné, přijetí návrhu rozhodnutí vedoucího dozorového úřadu. 54) Článek 60 odst. 4 nařízení 2016/679 stanoví, že pokud kterýkoliv z ostatních dotčených dozorových úřadů ve lhůtě čtyř týdnů poté, co byl v souladu s odstavcem 3 tohoto článku konzultován, vznese k návrhu rozhodnutí takovou relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že relevantní a odůvodněnou námitku nesdílí nebo ji považuje za irelevantní či nedůvodnou, záležitost k řešení v rámci mechanismu jednotnosti uvedeného v článku 63 tohoto nařízení, aby získal závazné rozhodnutí Evropského sboru pro ochranu osobních údajů, přijaté na základě čl. 65 odst. 1 písm. a) uvedeného nařízení. 55) Článek 60 odst. 5 nařízení 2016/679 uvádí, že pokud má vedoucí dozorový úřad v úmyslu vznesenou relevantní a odůvodněnou námitku zohlednit, předloží ostatním dotčeným dozorovým úřadům revidovaný návrh rozhodnutí k vyjádření. Tento revidovaný návrh rozhodnutí podléhá postupu uvedenému v čl. 60 odst. 4 tohoto nařízení v rámci dvoutýdenní lhůty. 56) Podle čl. 60 odst. 7 uvedeného nařízení přísluší v zásadě vedoucímu dozorovému úřadu, aby v případě dotčeného přeshraničního zpracování údajů přijal rozhodnutí, ohlásil je hlavní nebo jediné provozovně správce či zpracovatele a o daném rozhodnutí včetně shrnutí relevantních skutečností a důvodů informoval ostatní dotčené dozorové úřady a Evropský sbor pro ochranu osobních údajů. 57) Je však třeba zdůraznit, že nařízení 2016/679 stanoví výjimky ze zásady příslušnosti vedoucího dozorového úřadu rozhodovat v rámci mechanismu ‚jediného kontaktního místa' stanoveného v čl. 56 odst. 1 uvedeného nařízení. 58) Mezi tyto výjimky patří zaprvé čl. 56 odst. 2 nařízení 2016/679, který stanoví, že dozorový úřad, který není vedoucím dozorovým úřadem, je příslušný k tomu, aby se zabýval stížnostmi, které u něj byly podány a týkají se přeshraničního zpracování osobních údajů, nebo možným porušením tohoto nařízení, pokud se daná záležitost týká pouze provozovny v jeho členském státě nebo jsou touto záležitostí podstatným způsobem dotčeny subjekty údajů pouze v jeho členském státě. 59) Zadruhé článek 66 nařízení 2016/679 stanoví, odchylně od mechanismu jednotnosti uvedeného v článcích 60 a 63 až 65 tohoto nařízení, postup pro naléhavé případy. Tento postup pro naléhavé případy umožňuje, aby dotčený dozorový úřad za výjimečných okolností, kdy se domnívá, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, okamžitě přijal předběžná opatření s právními účinky na svém území a se stanovenou dobou platnosti, která nepřesáhne tři měsíce, přičemž čl. 66 odst. 2 nařízení 2016/679 navíc stanoví, že pokud některý dozorový úřad přijal opatření podle odstavce 1 a domnívá se, že je třeba naléhavě přijmout konečná opatření, může požádat Evropský sbor pro ochranu osobních údajů o naléhavé stanovisko nebo naléhavé závazné rozhodnutí, přičemž svou žádost o takové stanovisko nebo rozhodnutí odůvodní. 60) Při výkonu této pravomoci dozorových úřadů však musí být dodržena loajální a účinná spolupráce s vedoucím dozorovým úřadem v souladu s postupem uvedeným v čl. 56 odst. 3 až 5 nařízení 2016/679. V takovém případě totiž podle čl. 56 odst. 3 tohoto nařízení musí dotčený dozorový úřad neprodleně informovat vedoucí dozorový úřad, který ve lhůtě tří týdnů po obdržení těchto informací rozhodne, zda se bude danou věcí zabývat, či nikoli. 61) Podle čl. 56 odst. 4 nařízení 2016/679 platí, že pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat bude, použije se postup spolupráce podle článku 60 tohoto nařízení. V této souvislosti může dozorový úřad, který vedoucí dozorový úřad informoval, předložit vedoucímu dozorovému úřadu návrh rozhodnutí a ten musí při přípravě návrhu rozhodnutí podle čl. 60 odst. 3 uvedeného nařízení uvedený návrh co nejvíce zohlednit. 62) Naproti tomu podle čl. 56 odst. 5 nařízení 2016/679 platí, že pokud vedoucí dozorový úřad rozhodne, že se věcí zabývat nebude, zabývá se jí dozorový úřad, který informoval vedoucí dozorový úřad, a to v souladu s články 61 a 62 tohoto nařízení, které vyžadují, aby dozorové úřady dodržovaly v rámci společných postupů pravidla vzájemné pomoci a spolupráce s cílem zajistit účinnou spolupráci mezi dotčenými úřady. 63) Z výše uvedeného vyplývá, že v oblasti přeshraničního zpracování osobních údajů je pravidlem příslušnost vedoucího dozorového úřadu k přijetí rozhodnutí konstatujícího, že takové zpracování porušuje pravidla na ochranu práv fyzických osob v souvislosti se zpracováním osobních údajů obsažená v nařízení 2016/679, zatímco příslušnost ostatních dotčených dozorových úřadů k přijetí takového rozhodnutí, a to i prozatímně, představuje výjimku. Dále, i když je zásadní příslušnost vedoucího dozorového úřadu potvrzena v čl. 56 odst. 6 nařízení 2016/679, podle kterého provádějí-li správce či zpracovatel přeshraniční zpracování, je pro ně ‚jediným příslušným orgánem' vedoucí dozorový úřad, musí tento orgán v rámci této příslušnosti úzce spolupracovat s ostatními dotčenými dozorovými úřady. Vedoucí dozorový úřad se při výkonu svých pravomocí zejména nemůže vyhnout nezbytnému dialogu, jakož i loajální a účinné spolupráci s ostatními dotčenými dozorovými úřady, jak bylo uvedeno v bodě 53 tohoto rozsudku. 64) V tomto ohledu z bodu 10 odůvodnění nařízení 2016/679 vyplývá, že cílem tohoto nařízení je mimo jiné zajistit v celé Unii soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů a odstranit překážky bránící pohybu osobních údajů v rámci Unie. 65) Tento cíl i užitečný účinek mechanismu ‚jediného kontaktního místa' by přitom mohl být ohrožen, kdyby dozorový úřad, který není v případě přeshraničního zpracování údajů vedoucím dozorovým úřadem, mohl vykonávat pravomoc stanovenou v čl. 58 odst. 5 nařízení 2016/679, nad rámec případů, kdy je příslušný k přijetí takového rozhodnutí, jaké je uvedeno v bodě 63 tohoto rozsudku. Výkon takové pravomoci totiž směřuje k vydání závazného soudního rozhodnutí, které může ohrozit tento cíl i mechanismus stejně jako rozhodnutí přijaté dozorovým úřadem, který není vedoucím dozorovým úřadem. 66) Na rozdíl od toho, co tvrdí GBA, okolnost, že dozorový úřad členského státu, který není vedoucím dozorovým úřadem, může vykonávat pravomoc stanovenou v čl. 58 odst. 5 nařízení 2016/679 pouze při dodržení pravidel pro určení příslušnosti k rozhodování stanovených zejména v článcích 55 a 56 téhož nařízení ve spojení s jeho článkem 60, je v souladu s články 7, 8 a 47 Listiny. 67) Pokud jde o argument vycházející z údajného porušení článků 7 a 8 Listiny, je třeba připomenout, že uvedený článek 7 zaručuje každému právo na respektování jeho soukromého a rodinného života, obydlí a komunikace, zatímco čl. 8 odst. 1 Listiny, stejně jako čl. 16 odst. 1 SFEU, výslovně přiznává každému právo na ochranu osobních údajů, které se ho týkají. Z článku 51 odst. 1 nařízení 2016/679 přitom konkrétně vyplývá, že dozorové úřady jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem mimo jiné chránit základní práva fyzických osob v souvislosti se zpracováním jejich osobních údajů. Z toho plyne, že v souladu s tím, co bylo uvedeno v bodě 45 tohoto rozsudku, nemají pravidla rozdělení příslušnosti k rozhodování mezi vedoucí dozorový úřad a další dozorové úřady stanovená v tomto nařízení vliv na odpovědnost každého z těchto úřadů přispívat k vysoké úrovni ochrany těchto práv při dodržení těchto pravidel, jakož i požadavků spolupráce a vzájemné pomoci připomenutých v bodě 52 tohoto rozsudku. 68) To zejména znamená, že mechanismus ‚jediného kontaktního místa' nemůže v žádném případě vést k tomu, že vnitrostátní dozorový úřad, zejména vedoucí dozorový úřad, nenese odpovědnost přispívat k účinné ochraně fyzických osob před porušeními jejich základních práv připomenutých v předchozím bodě tohoto rozsudku, která pro něj vyplývá z nařízení 2016/679, neboť jinak by byla podporována praxe forum shopping, zejména ze strany správců, s cílem obcházet tato práva a účinné uplatňování ustanovení tohoto nařízení, která je provádějí. 69) Nelze přijmout ani argumentaci vycházející z údajného porušení práva na účinnou právní ochranu zaručeného článkem 47 Listiny. Vymezením možnosti jiného dozorového úřadu, než je vedoucí dozorový úřad, vykonávat pravomoc stanovenou v čl. 58 odst. 5 nařízení 2016/679, pokud jde o přeshraniční zpracování osobních údajů, jak je popsáno v bodech 64 a 65 tohoto rozsudku, totiž není dotčeno právo, které každé osobě přiznává čl. 78 odst. 1 a 2 tohoto nařízení, na účinnou soudní ochranu mimo jiné proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká, nebo proti tomu, že se dozorový úřad, který je příslušný k rozhodnutí podle článků 55 a 56 uvedeného rozhodnutí ve spojení s jeho článkem 60, nezabývá stížností, kterou tato osoba podala. 70) Tak je tomu zejména v případě uvedeném v čl. 56 odst. 5 nařízení 2016/679, podle kterého, jak bylo uvedeno v bodě 62 tohoto rozsudku, se dozorový úřad, který poskytl informaci na základě čl. 56 odst. 3 tohoto nařízení, může zabývat věcí v souladu s články 61 a 62 tohoto nařízení, pokud vedoucí dozorový úřad poté, co o věci byl informován, rozhodne, že se jí nebude zabývat sám. V rámci takového zpracování nelze ostatně vyloučit, že dotyčný dozorový úřad se může případně rozhodnout uplatnit pravomoc, kterou mu svěřuje čl. 58 odst. 5 nařízení 2016/679. 71) Po tomto upřesnění je třeba zdůraznit, že výkon pravomoci dozorového úřadu členského státu obrátit se na soudy svého státu nelze vyloučit, pokud mu vedoucí dozorový úřad poté, co jej požádal o vzájemnou pomoc podle článku 61 nařízení 2016/679, neposkytne požadované informace. V takovém případě může příslušný dozorový úřad na základě čl. 61 odst. 8 tohoto nařízení přijmout na území svého členského státu předběžné opatření, a domnívá-li se, že je třeba naléhavě přijmout konečná opatření, může tento úřad požádat Evropský sbor pro ochranu osobních údajů o naléhavé stanovisko nebo naléhavé závazné rozhodnutí v souladu s čl. 66 odst. 2 uvedeného nařízení. Kromě toho podle čl. 64 odst. 2 téhož nařízení může dozorový úřad požádat, aby Evropský sbor pro ochranu osobních údajů posoudil jakoukoli záležitost s obecnou působností nebo s účinky ve více než jednom členském státě za účelem získání stanoviska, zejména v případě, kdy příslušný dozorový úřad nesplní povinnosti související se vzájemnou pomocí, které mu ukládá článek 61 tohoto nařízení. Po přijetí takového stanoviska nebo takového rozhodnutí a za předpokladu, že se v něm Evropský sbor pro ochranu osobních údajů vyjádří příznivě poté, co zohlednil všechny relevantní okolnosti, musí mít dotčený dozorový úřad možnost přijmout opatření nezbytná k zajištění dodržení pravidel týkajících se ochrany práv fyzických osob v souvislosti se zpracováním osobních údajů obsažených v nařízení 2016/679 a z tohoto titulu uplatnit pravomoc, kterou mu přiznává čl. 58 odst. 5 tohoto nařízení. 72) Rozdělení příslušnosti a odpovědností mezi dozorové úřady totiž nutně vychází z předpokladu loajální a účinné spolupráce mezi těmito úřady, jakož i s Komisí za účelem zajištění správného a jednotného uplatňování tohoto nařízení, jak potvrzuje čl. 51 odst. 2 tohoto nařízení. 73) V projednávané věci bude na předkládajícím soudu, aby určil, zda byla pravidla pro rozdělení příslušnosti, jakož i relevantní postupy a mechanismy stanovené nařízením 2016/679 v rámci věci v původním řízení správně použita. Bude muset zejména ověřit, zda dotčené zpracování, v rozsahu, v němž se týká jednání internetové sociální sítě Facebook po 25. květnu 2018, zejména spadá pod situaci popsanou v bodě 71 tohoto rozsudku, třebaže GBA není v této věci vedoucím dozorovým úřadem. ... 75) S ohledem na všechny výše uvedené úvahy je třeba na první položenou otázku odpovědět tak, že čl. 55 odst. 1 a články 56 až 58 a 60 až 66 nařízení 2016/679 ve spojení s články 7, 8 a 47 Listiny musí být vykládány v tom smyslu, že dozorový úřad členského státu, který má podle vnitrostátních právních předpisů provádějících čl. 58 odst. 5 tohoto nařízení pravomoc upozornit na jakékoliv údajné porušení tohoto nařízení soud tohoto členského státu, a pokud je to vhodné, zahájit soudní řízení, může vykonávat tuto pravomoc v souvislosti s přeshraničním zpracováním údajů, třebaže není u tohoto zpracování údajů ‚vedoucím dozorovým úřadem' ve smyslu čl. 56 odst. 1 téhož nařízení, za předpokladu, že jde o některou ze situací, kdy nařízení 2016/679 svěřuje tomuto dozorovému úřadu pravomoc přijmout rozhodnutí konstatující, že uvedené zpracování porušuje pravidla, která toto nařízení obsahuje, a jsou dodrženy postupy spolupráce a jednotnosti stanovené tímto nařízením." Ke druhé otázce "76) Podstatou druhé otázky předkládajícího soudu je, zda čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že v případě přeshraničního zpracování údajů vyžaduje výkon pravomoci jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, zahájit soudní řízení ve smyslu tohoto ustanovení, aby správce přeshraničního zpracování osobních údajů, proti němuž je toto řízení zahájeno, měl na území tohoto členského státu ‚hlavní provozovnu' ve smyslu čl. 4 bodu 16 nařízení 2016/679 nebo jinou provozovnu. ... 79) Je ... třeba uvést, že čl. 58 odst. 5 nařízení 2016/679 je formulován obecně a unijní normotvůrce nepodmínil výkon této pravomoci dozorovým úřadem členského státu tím, že jeho žaloba směřuje proti správci, který má na území tohoto členského státu ‚hlavní provozovnu' ve smyslu čl. 4 bodu 16 tohoto nařízení nebo jinou provozovnu. 80) Dozorový úřad členského státu však může vykonávat pravomoc, kterou mu svěřuje čl. 58 odst. 5 nařízení 2016/679, pouze pokud je prokázáno, že tato pravomoc spadá do místní působnosti tohoto nařízení. 81) Článek 3 nařízení 2016/679, který upravuje místní působnost tohoto nařízení, v tomto ohledu v odstavci 1 stanoví, že toto nařízení se vztahuje na zpracování osobních údajů v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni. 82) Bod 22 odůvodnění nařízení 2016/67910) upřesňuje, že taková provozovna předpokládá účinný a skutečný výkon činnosti prostřednictvím stálého zařízení a že právní forma této provozovny, ať již jde o pobočku, nebo dceřinou společnost s právní subjektivitou, není v tomto ohledu rozhodujícím faktorem. 83) Z toho vyplývá, že v souladu s čl. 3 odst. 1 nařízení 2016/679 je místní působnost tohoto nařízení dána, s výhradou případů uvedených v odstavcích 2 a 3 tohoto článku, za podmínky, že správce nebo zpracovatel pro přeshraniční zpracování má provozovnu na území Unie. 84) Na druhou položenou otázku je tedy třeba odpovědět tak, že čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že v případě přeshraničního zpracování údajů nevyžaduje výkon pravomoci jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, zahájit soudní řízení ve smyslu tohoto ustanovení, aby správce nebo zpracovatel provádějící přeshraniční zpracování osobních údajů, proti němuž je toto řízení zahájeno, měl na území tohoto členského státu hlavní provozovnu nebo jinou provozovnu." Ke třetí otázce "85) Podstatou třetí otázky předkládajícího soudu je, zda čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že v případě přeshraničního zpracování údajů výkon pravomoci jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, upozornit na údajné porušení tohoto nařízení soud tohoto státu, a pokud je to vhodné, zahájit soudní řízení ve smyslu tohoto ustanovení, vyžaduje, aby dotyčný dozorový úřad směřoval žalobu proti hlavní provozovně správce nebo proti provozovně v jeho vlastním členském státě. 86) Z předkládacího rozhodnutí vyplývá, že tato otázka vyvstala v rámci diskuse mezi účastníky řízení týkající se otázky, zda je předkládající soud příslušný k posouzení žaloby na zdržení se jednání v rozsahu, v němž je podána proti společnosti Facebook Belgium, a to s ohledem na skutečnost, že v rámci Unie má skupina Facebook sídlo v Irsku a společnost Facebook Ireland je výlučně odpovědná za shromažďování a zpracování osobních údajů na celém území Unie, a dále s ohledem na to, že podle vnitřního rozdělení této skupiny byla provozovna v Belgii zřízena především proto, aby uvedená skupina mohla udržovat vztahy s unijními orgány, a podpůrně proto, aby podporovala reklamní a marketingovou činnost této skupiny zaměřenou na osoby s bydlištěm v Belgii. ... 88) Pokud jde o pravomoc dozorového úřadu členského státu zahájit soudní řízení ve smyslu čl. 58 odst. 5 nařízení 2016/679, je třeba připomenout ... že toto ustanovení je formulováno široce a neuvádí subjekty, proti nimž by dozorové úřady měly či mohly podat žalobu týkající se porušení tohoto nařízení. 89) Uvedené ustanovení tudíž neomezuje výkon pravomoci zahájit soudní řízení v tom smyslu, že žaloba může být podána pouze proti ‚hlavní provozovně' nebo proti jiné ‚provozovně' správce. Podle téhož ustanovení naopak platí, že má-li dozorový úřad členského státu na základě článků 55 a 56 nařízení 2016/679 k tomu nezbytnou příslušnost, může na území svého státu vykonávat pravomoci, které mu jsou tímto nařízením svěřeny, bez ohledu na členský stát, ve kterém je usazen správce nebo zpracovatel. 90) Výkon pravomoci přiznané každému dozorovému úřadu v čl. 58 odst. 5 nařízení 2016/679 však předpokládá, že je toto nařízení použitelné. Jak bylo zdůrazněno v bodě 81 tohoto rozsudku, čl. 3 odst. 1 uvedeného nařízení stanoví, že toto nařízení se vztahuje na zpracování osobních údajů ‚v souvislosti s činnostmi provozovny správce nebo zpracovatele v Unii bez ohledu na to, zda zpracování probíhá v Unii či mimo ni'. 91) S ohledem na cíl sledovaný nařízením 2016/679, který spočívá v zajištění účinné ochrany základních práv a svobod fyzických osob, zejména jejich práva na soukromí a na ochranu osobních údajů, nelze podmínku, že zpracování osobních údajů musí probíhat ‚v souvislosti s činnostmi' předmětné provozovny, vykládat restriktivně ...11) 92) V projednávané věci z předkládacího rozhodnutí a z písemných vyjádření předložených společností Facebook Belgium vyplývá, že tato společnost je pověřena především udržováním vztahů s unijními orgány a podpůrně podporou reklamní a marketingové činnosti její skupiny zaměřené na osoby s bydlištěm v Belgii. 93) Účelem zpracování osobních údajů dotčených ve věci v původním řízení, které provádí na území Unie výlučně společnost Facebook Ireland a které spočívá ve shromažďování informací o chování jak majitelů účtu na Facebooku, tak osob, které nejsou uživateli služeb Facebooku, při prohlížení internetu prostřednictvím různých technologií ... je právě umožnit dotyčné sociální síti, aby byl její systém reklamy výkonnější tím, že sdělení jsou šířena cíleně. 94) Je přitom třeba uvést, že taková sociální síť, jako je Facebook, generuje podstatnou část svých příjmů zejména díky reklamě, která je jejím prostřednictvím šířena, a že činnost vykonávaná provozovnou nacházející se v Belgii má v tomto členském státě zajistit, i když pouze podpůrně, propagaci a prodej reklamního prostoru, který slouží zajištění ziskovosti služeb Facebooku. Kromě toho cílem hlavní činnosti vykonávané společností Facebook Belgium, spočívající v tom, že udržuje vztahy s unijními orgány a je pro ně kontaktním místem, je mimo jiné stanovit politiku zpracování osobních údajů společností Facebook Ireland. 95) Za těchto podmínek musí být činnosti provozovny skupiny Facebook nacházející se v Belgii považovány za činnosti neoddělitelně spojené se zpracováním osobních údajů dotčeným v původním řízení, u něhož je pro území Unie správcem společnost Facebook Ireland. Takové zpracování musí být tudíž považováno za zpracování prováděné ‚v souvislosti s činnostmi provozovny správce' ve smyslu čl. 3 odst. 1 nařízení 2016/679. 96) S ohledem na všechny výše uvedené úvahy je třeba na třetí položenou otázku odpovědět tak, že čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že pravomoc jiného dozorového úřadu členského státu, než je vedoucí dozorový úřad, upozornit na údajné porušení tohoto nařízení soud tohoto státu, a pokud je to vhodné, zahájit soudní řízení ve smyslu tohoto ustanovení, může být vykonávána jak ve vztahu k hlavní provozovně správce, která se nachází v členském státě tohoto úřadu, tak ve vztahu k jiné provozovně tohoto správce, pokud se žaloba týká zpracování údajů prováděného v souvislosti s činnostmi této provozovny a uvedený úřad je příslušný k výkonu této pravomoci v souladu s tím, co je uvedeno v odpovědi na první položenou otázku." Ke čtvrté otázce "97) Podstatou čtvrté otázky předkládajícího soudu je, zda čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že pokud dozorový úřad členského státu, který není ‚vedoucím dozorovým úřadem' ve smyslu čl. 56 odst. 1 tohoto nařízení, podal žalobu týkající se přeshraničního zpracování osobních údajů před 25. květnem 2018, tedy dnem, kdy se uvedené nařízení stalo použitelným, může tato okolnost ovlivnit podmínky, za kterých tento dozorový úřad může vykonávat pravomoc zahájit soudní řízení, kterou má podle tohoto čl. 58 odst. 5. 98) Společnosti Facebook Ireland, Facebook Inc. a Facebook Belgium ... tvrdí, že použití nařízení 2016/679 od 25. května 2018 má za následek, že pokračování v řízení zahájeném před tímto datem je nepřípustné, či dokonce neopodstatněné. 99) Na úvod je třeba konstatovat, že čl. 99 odst. 1 nařízení 2016/679 stanoví, že toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie. Vzhledem k tomu, že toto nařízení bylo vyhlášeno v uvedeném Úředním věstníku dne 4. května 2016, vstoupilo v platnost dne 25. května 2016. Článek 99 odst. 2 uvedeného nařízení kromě toho stanoví, že se toto nařízení použije ode dne 25. května 2018. ... 101) Nařízení 2016/679 neobsahuje žádné přechodné ustanovení ani žádné jiné pravidlo upravující status soudních řízení zahájených před jeho použitelností, která ke dni, kdy se stalo použitelným, stále probíhala. Žádné ustanovení tohoto nařízení zejména nestanoví, že toto nařízení má za následek ukončení všech soudních řízení probíhajících ke dni 25. května 2018, která se týkají údajných porušení pravidel pro zpracování osobních údajů stanovených směrnicí 95/46, a to i pokud jednání představující taková údajná porušení trvají i po tomto datu .... 103) Za těchto podmínek je třeba rozlišovat mezi řízeními zahájenými dozorovými úřady členského státu v důsledku porušení pravidel na ochranu osobních údajů, kterých se dopustili správci nebo zpracovatelé přede dnem, kdy se nařízení 2016/679 stalo použitelným, a řízeními zahájenými kvůli porušením, ke kterým došlo po tomto datu. 104) V prvním případě může z hlediska unijního práva takové řízení, jako je řízení dotčené v původním řízení, pokračovat na základě ustanovení směrnice 95/46, která zůstává použitelná na protiprávní jednání spáchaná do dne jejího zrušení, tedy do 25. května 2018. Ve druhém případě lze takové řízení zahájit na základě čl. 58 odst. 5 nařízení 2016/679 pouze za podmínky, že - jak bylo zdůrazněno v rámci odpovědi na první položenou otázku - toto řízení je součástí situace, kdy toto nařízení výjimečně přiznává dozorovému úřadu členského státu, který není ‚vedoucím dozorovým úřadem', příslušnost k přijetí rozhodnutí, kterým se konstatuje, že předmětné zpracování údajů je v rozporu s pravidly, která uvedené nařízení obsahuje, pokud jde o ochranu práv fyzických osob v souvislosti se zpracováním osobních údajů, a při dodržení postupů stanovených tímto nařízením. 105) S ohledem na všechny výše uvedené úvahy je třeba na čtvrtou položenou otázku odpovědět tak, že čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že pokud dozorový úřad členského státu, který není ‚vedoucím dozorovým úřadem' ve smyslu čl. 56 odst. 1 tohoto nařízení, podal žalobu týkající se přeshraničního zpracování osobních údajů před 25. květnem 2018, tedy dnem, kdy se uvedené nařízení stalo použitelným, může z hlediska unijního práva řízení pokračovat na základě ustanovení směrnice 95/46, která zůstává použitelná na porušení pravidel, která stanoví, k nimž došlo do dne jejího zrušení. Uvedené řízení může nadto tento úřad zahájit v případě porušení, k nimž došlo po tomto dni, na základě čl. 58 odst. 5 nařízení 2016/679, a to za předpokladu, že jde o některou ze situací, kdy toto nařízení výjimečně přiznává dozorovému úřadu členského státu, který není ‚vedoucím dozorovým úřadem', příslušnost k přijetí rozhodnutí, kterým se konstatuje, že předmětné zpracování údajů je v rozporu s pravidly, která uvedené nařízení obsahuje, pokud jde o ochranu práv fyzických osob v souvislosti se zpracováním osobních údajů, a při dodržení postupů spolupráce a jednotnosti stanovených tímto nařízením, což musí ověřit předkládající soud." K páté otázce "107) Podle čl. 58 odst. 5 nařízení 2016/679 každý členský stát v právních předpisech stanoví, že jeho dozorový úřad má pravomoc upozornit na porušení tohoto nařízení justiční orgány, a pokud je to vhodné, zahájit soudní řízení či se do něj jinak zapojit s cílem vymoci dodržení uvedeného nařízení. 108) Úvodem je třeba konstatovat, že v souladu s tvrzením belgické vlády byl čl. 58 odst. 5 nařízení 2016/679 do belgického právního řádu proveden článkem 6 zákona ze dne 3. prosince 201712). Podle tohoto článku 6, který je formulován v podstatě stejně jako čl. 58 odst. 5 nařízení 2016/679, je GBA oprávněn informovat soudní orgány o jakémkoli porušení základních zásad ochrany osobních údajů v rámci tohoto zákona a právních předpisů obsahujících ustanovení týkající se ochrany zpracování osobních údajů a případně zahájit soudní řízení za účelem uplatnění těchto základních zásad. Je tedy třeba mít za to, že GBA se může opírat o takové ustanovení vnitrostátního práva, jako je článek 6 zákona ze dne 3. prosince 2017, který provádí čl. 58 odst. 5 nařízení 2016/679 do belgického práva, aby zahájil soudní řízení s cílem vymoci dodržení tohoto nařízení. ... 110) V tomto ohledu je třeba připomenout, že podle ustálené judikatury Soudního dvora mají ustanovení nařízení ... ve vnitrostátních právních řádech obecně bezprostřední účinek, aniž je třeba, aby vnitrostátní orgány přijaly prováděcí opatření. Nicméně některá z těchto ustanovení mohou pro účely svého uplatnění vyžadovat přijetí prováděcích opatření členskými státy ...13) 111) ... čl. 58 odst. 5 nařízení 2016/679 stanoví zvláštní a přímo použitelné pravidlo, podle kterého musí být dozorové úřady aktivně legitimovány k podání žaloby u vnitrostátních soudů a být způsobilé zahájit soudní řízení podle vnitrostátního práva. 112) Z článku 58 odst. 5 nařízení 2016/679 nevyplývá, že by členské státy měly výslovným ustanovením stanovit, za jakých okolností mohou vnitrostátní dozorové úřady zahájit soudní řízení ve smyslu tohoto ustanovení. Stačí, aby měl dozorový úřad podle vnitrostátních právních předpisů možnost upozornit justiční orgány na porušení tohoto nařízení, a pokud je to vhodné, zahájit soudní řízení směřující k uplatnění ustanovení uvedeného nařízení či se do něj jinak zapojit. 113) S ohledem na všechny výše uvedené úvahy je třeba na pátou položenou otázku odpovědět tak, že čl. 58 odst. 5 nařízení 2016/679 musí být vykládán v tom smyslu, že toto ustanovení má přímý účinek, takže se vnitrostátní dozorový úřad může uvedeného ustanovení dovolávat, aby zahájil soudní řízení proti jednotlivcům nebo v tomto řízení pokračoval, a to i pokud toto ustanovení nebylo v právních předpisech dotyčného členského státu specificky provedeno."