Občan požiadal spoločnosť Österreichische Post, hlavného prevádzkovateľa poštových a logistických služieb v Rakúsku, aby ho informovala o totožnosti príjemcov, ktorým poskytla jeho osobné údaje.

Vychádzal zo všeobecného nariadenia EÚ o ochrane údajov (nariadenie GDPR). Toto nariadenie stanovuje, že dotknutá osoba má právo získať od prevádzkovateľa informácie o príjemcoch alebo kategóriách príjemcov, ktorým jeho osobné údaje boli alebo budú poskytnuté.

V odpovedi na žiadosť občana sa Österreichische Post obmedzila na to, že uviedla, že v rozsahu povolenom zákonom používa údaje v rámci svojej činnosti ako vydavateľka zoznamu adries a že tieto osobné údaje ponúka obchodným partnerom na marketingové účely. Občan teda podal proti spoločnosti Österreichische Post žalobu na rakúske súdy.

V priebehu súdneho konania Österreichische Post ďalej informovala občana, že jeho údaje boli poskytnuté klientom vrátane inzerentov pôsobiacich v zásielkovom predaji a predaji v kamenných obchodoch, podnikov pôsobiacich v IT oblasti, vydavateľov zoznamov adries a združení, ako sú charitatívne organizácie, nevládne organizácie alebo politické strany.

Oberster Gerichtshof (Najvyšší súd, Rakúsko), ktorý rozhoduje v poslednom stupni o spore, chcel vedieť, či nariadenie GDPR ponecháva prevádzkovateľovi údajov slobodnú voľbu, či bude informovať o konkrétnej totožnosti príjemcov alebo len o kategóriách príjemcov, alebo či ponúkne dotknutej osobe právo poznať ich konkrétnu totožnosť.

Súdny dvor v dnešnom rozsudku odpovedal, že v prípade, že osobné údaje boli alebo budú poskytnuté príjemcom, je prevádzkovateľ povinný poskytnúť dotknutej osobe na jej žiadosť konkrétnu totožnosť týchto príjemcov. Iba v prípade, že (zatiaľ) nie je možné týchto príjemcov identifikovať, môže sa prevádzkovateľ obmedziť len na uvedenie kategórií predmetných príjemcov. Je to tak aj v prípade, keď prevádzkovateľ preukáže, že žiadosť je zjavne nedôvodná alebo neprimeraná.

Súdny dvor zdôraznil, že toto právo dotknutej osoby na prístup je nevyhnuté na to, aby mohla vykonať iné práva, ktoré jej priznáva nariadenie GDPR, a to právo na opravu, právo na vymazanie („právo na zabudnutie“), právo na obmedzenie spracúvania, právo namietať proti spracúvaniu svojich osobných údajov alebo aj právo na prostriedok nápravy v prípade spôsobenej ujmy.
 

Zdroj: Riaditeľstvo pre komunikáciu
Sekcia pre tlač a informácie curia.europa.eu
TLAČOVÉ KOMUNIKÉ č. 4/23
V Luxemburgu 12. januára 2023
Rozsudok Súdneho dvora vo veci C-154/21 | Österreichische Post (Informácie o príjemcoch osobných údajov)