C‑582/1462014CJ0582EU:C:2016:7790001111212CJ

ROZSUDEK ZE DNE 19. 10. 2016 – VĚC C‑582/14

BREYER

<TI><P><HT TYPE="UC">Rozsudek Soudního dvora</HT> (druhého senátu)</P><P><DATE ISO="20161019">19. října 2016</DATE><NOTE TYPE="FOOTNOTE" NUMBERING="STAR" NOTE.ID="E0001"><P>Jednací jazyk: němčina.</P></NOTE></P></TI>Řízení o předběžné otázceZpracování osobních údajůSměrnice 95/46/ESČlánek 2 písm. a)Článek 7 písm. f)Pojem ,osobní údajeAdresy internetového protokoluUchovávání poskytovatelem online mediálních služebVnitrostátní právní úprava, která neumožňuje zohlednit oprávněný zájem správce

Ve věci C‑582/14,

jejímž předmětem je žádost o rozhodnutí o předběžné otázce na základě článku 267 SFEU, podaná rozhodnutím Bundesgerichtshof (Spolkový soudní dvůr, Německo) ze dne 28. října 2014, došlým Soudnímu dvoru dne 17. prosince 2014, v řízení

Patrick Breyer

proti

Bundesrepublik Deutschland,

SOUDNÍ DVŮR (druhý senát),

ve složení M. Ilešič, předseda senátu, A. Prechal, A. Rosas (zpravodaj), C. Toader a E. Jarašiūnas, soudci,

generální advokát: M. Campos Sánchez-Bordona,

vedoucí soudní kanceláře: V. Giacobbo-Peyronnel, rada,

s přihlédnutím k písemné části řízení a po jednání konaném dne 25. února 2016,

s ohledem na vyjádření předložená:

za P. Breyera M. Starostikem, Rechtsanwalt,

za německou vládu A. Lippstreuem a T. Henzem, jako zmocněnci,

za rakouskou vládu G. Eberhardem, jako zmocněncem,

za portugalskou vládu L. Inez Fernandesem a C. Vieira Guerra, jako zmocněnci,

za Evropskou komisi P. J. O. Van Nuffelem a H. Krämerem, jakož i P. Costa de Oliveira a J. Vondung, jako zmocněnci,

po vyslechnutí stanoviska generálního advokáta na jednání konaném dne 12. května 2016,vydává tento<TI><P><HT TYPE="BOLD">Rozsudek</HT></P></TI>1Žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 2 písm. a) a čl. 7 písm. f) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).2Tato žádost byla předložena v rámci sporu mezi Patrickem Breyerem a Bundesrepublik Deutschland (Spolková republika Německo) ve věci zaznamenávání a uchovávání posledně jmenovanou adresy internetového protokolu (dále jen IP adresa) P. Breyera při navštívení posledně uvedeným několika internetových stránek německých spolkových orgánů.<TI><P><HT TYPE="BOLD">Právní rámec</HT></P></TI><TI><P><HT TYPE="ITALIC">Unijní právo</HT></P></TI>3Bod 26 odůvodnění směrnice 95/46 zní následovně:

vzhledem k tomu, že zásady ochrany se musí vztahovat na veškeré informace týkající se identifikované či identifikovatelné osoby; že pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou pro identifikaci dané osoby; že zásady ochrany se nevztahují na údaje, které byly anonymizovány tak, že subjekt údajů již není identifikovatelný; že kodexy chování ve smyslu článku 27 mohou být užitečným nástrojem pro poskytování informací o způsobech, kterými mohou být údaje anonymizovány a uchovány v podobě, která již neumožňuje identifikaci subjektu údajů.

4Článek 1 uvedené směrnice stanoví:

1.Členské státy zajišťují v souladu s touto směrnicí ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.2.Členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany zajištěné podle odstavce 1.

5Článek 2 téže směrnice uvádí:

Pro účely této směrnice se rozumí:

a)osobními údaji veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů); identifikovatelnou osobou se rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, ekonomické, kulturní nebo sociální identity;b)zpracováním osobních údajů (zpracování) jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace;

[…]

d)správcem fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt, který sám nebo společně s jinými určuje účel a prostředky zpracování osobních údajů; jsou-li účel a prostředky zpracování určeny právními a správními předpisy na úrovni jednotlivých států či Společenství, je možné určit správce nebo zvláštní kritéria pro jeho určení právem jednotlivých států nebo Společenství;

[…]

f)třetí osobou fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jakýkoli jiný subjekt jiný než subjekt údajů, než správce, než zpracovatel a než osoby přímo podléhající správci nebo zpracovateli, které jsou oprávněny ke zpracování údajů;

[…]

6Článek 3 směrnice 95/46, nadepsaný Oblast působnosti, stanoví:

1.Tato směrnice se vztahuje na zcela nebo částečně automatizované zpracování osobních údajů, jakož i na neautomatizované zpracování osobních údajů, které jsou obsaženy v rejstříku nebo do něj mají být zařazeny.2.

Tato směrnice se nevztahuje na zpracování osobních údajů:

prováděné pro výkon činností, které nespadají do oblasti působnosti práva Společenství a jsou uvedeny v hlavě V a VI Smlouvy o Evropské unii, a v každém případě na zpracování, které se týká veřejné bezpečnosti, obrany, bezpečnosti státu (včetně hospodářské stability státu, pokud jsou tato zpracování spojená s otázkami bezpečnosti státu) a činnosti státu v oblasti trestního práva,

[…]

7Článek 5 uvedené směrnice stanoví:

Členské státy upřesní v mezích ustanovení této kapitoly podmínky, za kterých je zpracovávání osobních údajů zákonné.

8Článek 7 téže směrnice zní následovně:

Členské státy stanoví, že zpracování osobních údajů může být provedeno pouze pokud:

a)subjekt údajů nezpochybnitelně udělil souhlas;

nebo

b)je zpracování nezbytné pro splnění smlouvy, kde je subjekt údajů jednou ze stran, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu;

nebo

c)je nezbytné pro splnění právní povinnosti, které podléhá správce;

nebo

d)je nezbytné pro zachování životně důležitých zájmů subjektu údajů;

nebo

e)je nezbytné pro vykonání úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce nebo třetí osoba, které jsou údaje sdělovány;

nebo

f)je nezbytné pro uskutečnění [naplnění] oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.

9Článek 13 odst. 1 směrnice 95/46 stanoví:

Členské státy mohou přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, v článku 10, v čl. 11 odst. 1 a v článcích 12 a 21, pokud toto omezení představuje opatření nezbytné pro zajištění:

[…]

d)předcházení trestným činům a jejich vyšetřování, odhalování a stíhání nebo nedodržování deontologických pravidel pro regulovaná povolání;

[…]

<TI><P><HT TYPE="ITALIC">Německé právo</HT></P></TI>10Ustanovení § 12 Telemediengesetz (zákon o online médiích) ze dne 26. února 2007 (BGBl. 2007 I, s. 179, dále jen TMG) stanoví:

1)Poskytovatel služeb může shromažďovat a využívat osobní údaje za účelem poskytování online mediálních služeb pouze tehdy, dovoluje-li to tento zákon nebo jiný právní předpis, který se výslovně týká online médií, anebo pokud s tím uživatel souhlasil.2.Poskytovatel služeb může využívat osobní údaje shromážděné za účelem poskytování online mediálních služeb pro jiné účely pouze tehdy, dovoluje-li to tento zákon nebo jiný právní předpis, který se výslovně týká online médií, anebo pokud s tím uživatel souhlasil.3.Není-li stanoveno jinak, použijí se v daném případě platná ustanovení na ochranu osobních údajů, i když se tyto údaje nezpracovávají automatizovanými prostředky.

11Ustanovení § 15 TMG stanoví:

1.

Poskytovatel služeb může shromažďovat a využívat osobní údaje uživatele pouze tehdy, je-li to nezbytné k tomu, aby bylo umožněno a vyúčtováno využití online mediálních služeb (údaje o využití). Údaji o využití jsou zejména:

1.údaje potřebné pro identifikaci uživatele;2.údaje týkající se začátku a konce, jakož i rozsahu konkrétního využití a3.údaje týkající se online mediálních služeb využitých uživatelem.2.Poskytovatel služeb může soustřeďovat údaje o využití v případě téhož uživatele týkající se využití různých online mediálních služeb, pokud je to nezbytné k provedení vyúčtování s uživatelem.

[…]

4.Poskytovatel služeb může využívat údaje o použití poté, co uživatel skončil využívání služby, pokud jsou nezbytné k provedení vyúčtování s uživatelem (údaje o vyúčtování). Za účelem splnění existujících zákonných, statutárních nebo smluvních lhůt týkajících se dob uchovávání údajů může poskytovatel služeb znepřístupnit údaje. […]

12Podle § 3 odst. 1 Bundesdatenschutzgesetz (spolkový zákon o ochraně údajů) ze dne 20. prosince 1990 (BGBl. 1990 I, s. 2954) jsou [o]sobními údaji jednotlivé údaje týkající se osobních nebo věcných poměrů identifikované nebo identifikovatelné fyzické osoby (subjekt údajů). […]<TI><P><HT TYPE="BOLD">Spor v původním řízení a předběžné otázky</HT></P></TI>13Patrick Breyer navštívil několik internetových stránek německých spolkových orgánů. Na těchto stránkách, jež jsou veřejně přístupné, poskytují uvedené orgány aktuální informace.14S cílem zabránit útokům a umožnit trestněprávní stíhání útočníků jsou v případě většiny těchto stránek všechny přístupy ukládány do logovacích datových souborů. V těchto souborech se po navštívení uvedených stránek ukládá název otevíraného souboru nebo internetové stránky, pojmy zadané do vyhledávacího pole, okamžik požadavku, množství přenesených dat, hlášení o úspěšnosti požadavku a IP adresa počítače, ze kterého je k nim uskutečňován přístup.15IP adresy jsou řady čísel, které jsou přiděleny počítačům připojeným na internet, aby mezi sebou mohly komunikovat v této síti. Při navštívení internetové stránky je IP adresa počítače, na němž je stránka otevírána, odeslána na server, na kterém je navštěvovaná stránka uložena. Sdělení této adresy je nezbytné k tomu, aby mohly být otevírané údaje zprostředkovány správnému příjemci.16Kromě toho z předkládacího rozhodnutí a ze spisu, který má Soudní dvůr k dispozici, vyplývá, že poskytovatelé služby internetového připojení přidělují počítačům uživatelů internetu jak statickou IP adresu, tak dynamickou IP adresu, a sice IP adresu, která se při každém novém připojení k internetu mění. Na rozdíl od statických IP adres neumožňují dynamické IP adresy spojit prostřednictvím veřejně přístupných souborů daný počítač s fyzickým připojením k síti používané poskytovatelem internetového připojení.17Patrick Breyer podal u německých správních soudů žalobu, kterou se domáhá, aby bylo Spolkové republice Německo zakázáno uchovávat nebo nechat uchovávat třetími osobami po ukončení internetového připojení k veřejně přístupným stránkám německých spolkových orgánů IP adresu hostitelského systému P. Breyera, v rozsahu, v němž není toto uchovávání nezbytné k obnovení dostupnosti této online mediální služby v případě poruchy.18Jelikož žaloba podaná P. Breyerem byla v prvním stupni zamítnuta, podal proti zamítavému rozhodnutí odvolání.19Odvolací soud toto rozhodnutí částečně změnil. Spolkové republice Německo uložil povinnost zdržet se toho, aby uchovávala nebo nechala uchovávat třetími osobami po každém ukončení internetového připojení IP adresu hostitelského systému P. Breyera, která je předávána při otevření posledně uvedeným veřejně přístupných stránek německých spolkových orgánů, pokud je tato adresa uchovávána ve spojení s datem otevření stránky, ke kterému se vztahuje, a pokud P. Breyer odhalil během tohoto připojení svou totožnost, a to i v podobě emailové adresy uvádějící jeho totožnost, v rozsahu, v němž není toto uchovávání nezbytné k obnovení dostupnosti online mediální služby v případě poruchy.20Podle tohoto odvolacího soudu představuje dynamická IP adresa ve spojení s datem otevření stránky, ke kterému se vztahuje, pokud uživatel dané internetové stránky odhalil během tohoto připojení svou totožnost, osobní údaj, neboť provozovatel této stránky může identifikovat tohoto uživatele spojením jeho jména s IP adresou jeho počítače.21Uvedený odvolací soud však konstatoval, že není důvodné vyhovět žalobě P. Breyera v jiných situacích. V případě, že P. Breyer neuvede během internetového připojení svou totožnost, může totiž spojit IP adresu s konkrétním účastníkem připojení pouze poskytovatel internetového připojení. Naproti tomu v rukou Spolkové republiky Německo coby poskytovatele online mediálních služeb není IP adresa osobním údajem, a to ani ve spojení s datem otevření stránky, ke kterému se vztahuje, jelikož tento členský stát nemůže identifikovat uživatele daných internetových stránek.22Patrick Breyer a Spolková republika Německo podali proti rozhodnutí odvolacího soudu opravný prostředek Revision k Bundesgerichtshof (Spolkový soudní dvůr, Německo). Patrick Breyer se domáhá, aby bylo jeho návrhu na zákaz vyhověno v plném rozsahu. Spolková republika Německo navrhuje tento návrh zamítnout.23Předkládající soud upřesňuje, že dynamické IP adresy počítače P. Breyera uchovávané Spolkovou republikou Německo jednající v postavení poskytovatele online mediálních služeb představují přinejmenším v kontextu ostatních údajů ukládaných do logovacích datových souborů jednotlivé údaje týkající se skutečné situace P. Breyera, jelikož poskytují údaje o tom, že P. Breyer otevřel určité stránky nebo soubory na internetu v určitých dnech.24Takto uchovávané údaje však neumožňují přímo identifikovat P. Breyera. Provozovatelé internetových stránek dotčených v původním řízení by totiž mohli identifikovat P. Breyera pouze tehdy, kdyby jim jeho poskytovatel internetového připojení předal informace o identitě tohoto uživatele. Kvalifikace těchto údajů jako osobních proto záleží na tom, zda P. Breyer mohl být identifikován.25Bundesgerichtshof (Spolkový soudní dvůr) uvádí, že existuje akademická rozepře ohledně otázky, zda je pro určení toho, zda je osoba identifikovatelná, třeba vycházet z objektivního kritéria či relativního kritéria. Důsledkem uplatnění objektivního kritéria by bylo, že takové údaje, jako jsou IP adresy dotčené v původním řízení, by mohly být po ukončení připojení k daným internetovým stránkám považovány za osobní údaje, a to i kdyby byla s to identifikovat subjekt údajů pouze třetí osoba, přičemž touto třetí osobou je v projednávaném případě poskytovatel internetového připojení P. Breyera, který uchoval další údaje umožňující jeho identifikaci prostřednictvím uvedených IP adres. Podle relativního kritéria by takové údaje mohly být považovány za osobní u takového subjektu, jako je poskytovatel internetového připojení P. Breyera, neboť umožňují přesně určit totožnost uživatele (v tomto ohledu viz rozsudek ze dne 24. listopadu 2011, Scarlet Extended, C‑70/10, EU:C:2011:771, bod 51), avšak nikoli u jiného subjektu, jako je provozovatel internetových stránek navštívených P. Breyerem, vzhledem k tomu, že tento provozovatel nemá v případě, že P. Breyer neodhalil během připojení k těmto stránkám svou totožnost, informace nezbytné k jeho identifikaci bez vynaložení nepřiměřeného úsilí.26V případě, že by dynamické IP adresy počítače P. Breyera musely být považovány ve spojení s datem otevření stránky, ke kterému se vážou, za osobní údaje, předkládající soud se táže, zda je uchovávání těchto IP adres po ukončení tohoto připojení povoleno podle čl. 7 písm. f) téže směrnice.27V této souvislosti Bundesgerichtshof (Spolkový soudní dvůr) upřesňuje, že poskytovatelé online mediálních služeb mohou podle § 15 odst. 1 TMG shromažďovat a využívat osobní údaje uživatele pouze tehdy, je-li to nezbytné k tomu, aby bylo umožněno a vyúčtováno využití těchto služeb. Kromě toho předkládající soud uvádí, že podle Spolkové republiky Německo je uchovávání uvedených údajů nezbytné k zajištění bezpečnosti a správného fungování stránek v rámci online mediálních služeb, které zpřístupňuje veřejnosti, přičemž umožňuje zejména rozpoznat počítačové útoky zvané útoky Denial-of-Service , jejichž cílem je ochromit fungování těchto stránek cíleným a koordinovaným zahlcením jednotlivých internetových serverů velkým množstvím žádostí o informace, a bojovat proti těmto útokům.28Podle předkládajícího soudu mohou být za předpokladu a v rozsahu, v němž je nezbytné, aby poskytovatel online mediálních služeb přijal opatření k boji proti takovým útokům, tato opatření pokládána za nezbytná k tomu, aby bylo umožněno [...] využití online mediálních služeb podle § 15 TMG. V právní nauce je však převážně zastáván názor, že zaprvé shromažďování a používání osobních údajů uživatele internetové stránky je povoleno pouze k umožnění konkrétního využití této stránky a zadruhé tyto údaje musí být smazány po ukončení daného připojení, nejsou-li potřeba pro účely vyúčtování. Tento restriktivní výklad § 15 odst. 1 TMG však brání tomu, aby uchovávání IP adres bylo obecně povoleno k zajištění bezpečnosti a správného fungování online medií.29Předkládající soud se zabývá otázkou, zda je posledně uvedený výklad, jenž je výkladem zastávaným odvolacím soudem, v souladu s čl. 7 písm. f) směrnice 95/46, s ohledem zejména na kritéria vytýčená Soudním dvorem v bodě 29 a násl. rozsudku ze dne 24. listopadu 2011, ASNEF a FECEMD (C‑468/10 a C‑469/10, EU:C:2011:777).30Za těchto podmínek se Bundesgerichtshof (Spolkový soudní dvůr) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:

1)Musí být čl. 2 písm. a) směrnice 95/46 vykládán v tom smyslu, že IP adresa, kterou poskytovatel [online mediálních] služeb uchovává v souvislosti s přístupem na svou internetovou stránku, pro něj představuje osobní údaj již tehdy, když má třetí osoba (v tomto případě poskytovatel přístupu) k dispozici další informace potřebné k identifikaci subjektu údajů?2)Brání čl. 7 písm. f) [této směrnice] ustanovení vnitrostátního práva, podle něhož může poskytovatel [online mediálních] služeb shromažďovat a používat osobní údaje uživatele bez jeho svolení pouze tehdy, je-li to nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití online služby příslušným uživatelem, a podle něhož cíl spočívající v zajištění obecné funkčnosti online služby nemůže odůvodnit použití údajů poté, co uživatel skončil konkrétní využití služby?

<TI><P><HT TYPE="BOLD">K předběžným otázkám</HT></P></TI><TI><P><HT TYPE="ITALIC">K první otázce</HT></P></TI>31Podstatou první otázky předkládajícího soudu je, zda čl. 2 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že dynamická IP adresa, kterou poskytovatel online mediálních služeb uchovává v souvislosti s přístupem osoby na internetovou stránku, kterou tento poskytovatel zpřístupnil veřejnosti, pro uvedeného poskytovatele představuje osobní údaj ve smyslu tohoto ustanovení, pokud má k dispozici další informace potřebné k identifikaci této osoby jedině třetí subjekt, v projednávaném případě poskytovatel internetového připojení.32Podle uvedeného ustanovení se osobními údaji rozumí veškeré informace o identifikované nebo identifikovatelné osobě (subjekt údajů). Podle tohoto ustanovení se identifikovatelnou osobou rozumí osoba, kterou lze přímo či nepřímo identifikovat, zejména s odkazem na identifikační číslo nebo na jeden či více zvláštních prvků její fyzické, fyziologické, psychické, hospodářské, kulturní nebo sociální identity.33Úvodem je třeba poukázat na to, že v bodě 51 rozsudku ze dne 24. listopadu 2011, Scarlet Extended (C‑70/10, EU:C:2011:771), který se týkal zejména výkladu téže směrnice, Soudní dvůr v podstatě učinil závěr, že IP adresy internetových uživatelů jsou chráněnými osobními údaji, neboť umožňují přesně určit totožnost těchto uživatelů.34Tento závěr Soudního dvora se však týkal případu, v němž shromažďování a identifikování IP adres internetových uživatelů bylo prováděno poskytovateli služby připojení k internetu.35V projednávaném případě se však první otázka týká situace, v níž poskytovatel online mediálních služeb, a sice Spolková republika Německo, uchovává IP adresy uživatelů internetové stránky, kterou tento poskytovatel služeb zpřístupnil veřejnosti, aniž měl k dispozici další informace potřebné k identifikaci těchto uživatelů.36Mimoto je nesporné, že IP adresami, na které odkazuje předkládající soud, jsou dynamické IP adresy, a sice dočasné adresy, jež jsou přidělovány při každém internetovém připojení a nahrazovány při dalších připojeních, a nikoli statické IP adresy, jež jsou neměnné a umožňují trvalou identifikaci zařízení připojeného k síti.37První otázka položená předkládajícím soudem je založena na předpokladu, podle kterého zaprvé údaje spočívající v dynamické IP adrese, jakož i v datu a hodině připojení k internetové stránce z této IP adresy, uchovávané poskytovatelem online mediálních služeb, samy o sobě nedávají tomuto poskytovateli možnost identifikovat uživatele, který navštívil tuto internetovou stránku během tohoto připojení, a zadruhé poskytovatel internetového připojení má k dispozici další informace, které mu v případě spojení s touto IP adresou umožňují určit totožnost uvedeného uživatele.38V této souvislosti je třeba nejprve poukázat na to, že je nesporné, že dynamická IP adresa nepředstavuje informaci o identifikované osobě, jelikož taková adresa přímo neodhaluje totožnost fyzické osoby, která je majitelem počítače, ze kterého byla navštívena internetová stránka, ani totožnost jiné osoby, která mohla tento počítač používat.39Dále za účelem určení, zda dynamická IP adresa představuje v případě uvedeném v bodě 37 tohoto rozsudku osobní údaj ve smyslu čl. 2 písm. a) směrnice 96/45 pro poskytovatele online mediálních služeb, je třeba ověřit, zda taková IP adresa, jakou uchovává takový poskytovatel, může být kvalifikována jako informace o identifikovatelné osobě, pokud má poskytovatel internetového připojení tohoto uživatele k dispozici další informace potřebné k identifikaci uživatele internetové stránky, kterou tento poskytovatel služeb zpřístupnil veřejnosti.40V tomto ohledu ze znění čl. 2 písm. a) směrnice 95/46 vyplývá, že identifikovatelnou osobou se rozumí osoba, kterou lze identifikovat nejen přímo, nýbrž i nepřímo.41Skutečnost, že unijní normotvůrce použil výraz nepřímo, naznačuje, že k tomu, aby mohla být informace kvalifikována jako osobní údaj, není nutné, aby tato informace sama o sobě umožňovala identifikovat subjekt údajů.42Mimoto bod 26 odůvodnění směrnice 95/46 uvádí, že pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou pro identifikaci dané osoby.43Jelikož tento bod odůvodnění odkazuje na prostředky, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou, znění tohoto bodu odůvodnění nasvědčuje tomu, že aby určitý údaj mohl být kvalifikován jako osobní údaj ve smyslu čl. 2 písm. a) uvedené směrnice, není požadováno, aby se všechny informace umožňující identifikovat subjekt údajů musely nacházet v rukách jediné osoby.44Skutečnost, že další informace potřebné k identifikaci uživatele internetové stránky nemá k dispozici poskytovatel online mediálních služeb, nýbrž poskytovatel internetového připojení tohoto uživatele, tedy nemůže vyloučit, že dynamické IP adresy uchovávané poskytovatelem online mediálních služeb představují pro tohoto poskytovatele osobní údaje ve smyslu čl. 2 písm. a) směrnice 95/46.45Je nicméně třeba určit, zda možnost spojení dynamické IP adresy s uvedenými dalšími informacemi, které má k dispozici tento poskytovatel internetového připojení, představuje prostředek, který může být rozumně použit pro identifikaci subjektu údajů.46Jak uvedl generální advokát v bodě 68 svého stanoviska, nejedná se o situace, kdy by identifikace subjektu údajů byla zakázána zákonem nebo by byla prakticky neproveditelná, například z důvodu skutečnosti, že by vyžadovala nepřiměřené úsilí z časového hlediska a z hlediska ekonomických a lidských zdrojů, takže riziko identifikace by se ve skutečnosti jevilo bezvýznamné.47Předkládající soud přitom v předkládacím rozhodnutí sice upřesňuje, že německé právo neumožňuje poskytovateli internetového připojení přímo předat poskytovateli online mediálních služeb další informace potřebné k identifikaci subjektu údajů, avšak patrně existují, s výhradou ověření, která musí v tomto ohledu provést uvedený soud, právní prostředky umožňující poskytovateli online mediálních služeb obrátit se zejména v případě kybernetických útoků na příslušný orgán za účelem, aby podnikl kroky nezbytné k získání těchto informací od poskytovatele internetového připojení a k zahájení trestních stíhání.48Poskytovatel online mediálních služeb má tedy patrně prostředky, které mohou být rozumně použity, aby nechal s pomocí jiných osob, a sice příslušného orgánu a poskytovatele internetového připojení, identifikovat subjekt údajů na základě uchovaných IP adres.49S ohledem na výše uvedené je třeba na první otázku odpovědět, že čl. 2 písm. a) směrnice 95/46 musí být vykládán v tom smyslu, že dynamická IP adresa, kterou poskytovatel online mediálních služeb uchovává v souvislosti s přístupem osoby na internetovou stránku, kterou tento poskytovatel zpřístupnil veřejnosti, pro uvedeného poskytovatele představuje osobní údaj ve smyslu tohoto ustanovení, pokud má k dispozici právní prostředky, které mu umožňují nechat identifikovat subjekt údajů díky dalším informacím, kterými disponuje poskytovatel internetového připojení tohoto subjektu.<TI><P><HT TYPE="ITALIC">K druhé otázce</HT></P></TI>50Podstatou druhé otázky předkládajícího soudu je, zda čl. 7 písm. f) směrnice 95/46 musí být vykládán v tom smyslu, že brání právní úpravě členského státu, podle níž může poskytovatel online mediálních služeb shromažďovat a používat osobní údaje týkající se uživatele těchto služeb bez jeho svolení pouze tehdy, je-li toto shromažďování či používání nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití uvedených služeb tímto uživatelem, aniž by cíl spočívající v zajištění obecné funkčnosti těchto služeb mohl odůvodnit použití uvedených údajů poté, co uživatel ukončil využívání těchto služeb.51Před zodpovězením této otázky je třeba určit, zda zpracování osobních údajů dotčených v původním řízení, a sice dynamických IP adres uživatelů některých internetových stránek německých spolkových orgánů, není vyloučeno z působnosti směrnice 95/46 na základě čl. 3 odst. 2 první odrážky této směrnice, podle kterého se uvedená směrnice nevztahuje na zpracování osobních údajů, jejichž předmětem jsou zejména činnosti státu v oblasti trestního práva.52V této souvislosti je třeba připomenout, že činnosti příkladmo zmíněné uvedeným ustanovením jsou v každém případě činnostmi vlastními státům nebo státním orgánům a nesouvisejícími s oblastmi činnosti jednotlivců (viz rozsudky ze dne 6. listopadu 2003, Lindqvist, C‑101/01, EU:C:2003:596, bod 43, a ze dne 16. prosince 2008, Satakunnan Markkinapörssi a Satamedia, C‑73/07, EU:C:2008:727, bod 41).53S výhradou ověření, která musí v tomto ohledu provést uvedený soud, se přitom ve věci v původním řízení jeví, že německé spolkové orgány, které poskytují online mediální služby a jsou správci dynamických IP adres, jednají i přes své postavení orgánů veřejné moci v postavení jednotlivců a mimo rámec činností státu v oblasti trestního práva.54Je tudíž třeba určit, zda taková právní úprava členského státu, jako je právní úprava dotčená v původním řízení, je slučitelná s čl. 7 písm. f) směrnice 95/46.55V této souvislosti je třeba připomenout, že vnitrostátní právní úprava dotčená v původním řízení, vykládaná v restriktivním smyslu uváděném předkládajícím soudem, dovoluje shromažďování a používání osobních údajů týkajících se uživatele uvedených služeb bez jeho svolení pouze tehdy, je-li to nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití online služeb dotčeným uživatelem, aniž by cíl spočívající v zajištění obecné funkčnosti online služeb mohl odůvodnit použití uvedených údajů poté, co uživatel skončil využití těchto služeb.56Podle čl. 7 písm. f) směrnice 95/46 je zpracování osobních údajů zákonné, pokud je nezbytné pro uskutečnění [naplnění] oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1 této směrnice.57Je třeba připomenout, že Soudní dvůr rozhodl, že článek 7 uvedené směrnice stanoví taxativní a omezující výčet případů, v nichž lze zpracování osobních údajů považovat za zákonné, a že členské státy nemohou doplnit nové zásady pro oprávněné zpracování osobních údajů, obsažené v uvedeném článku, ani upravovat další požadavky, které by pozměnily dosah některé ze šesti zásad zakotvených v tomto článku (v tomto smyslu viz rozsudek ze dne 24. listopadu 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 30 a 32).58I když článek 5 směrnice 95/46 zajisté opravňuje členské státy k tomu, aby v mezích kapitoly II této směrnice, a tedy jejího článku 7, upřesnily podmínky, za kterých je zpracování osobních údajů zákonné, prostor pro uvážení, který mají členské státy na základě uvedeného článku 5, lze využít pouze v souladu s cílem sledovaným uvedenou směrnicí, spočívajícím v zachování rovnováhy mezi volným pohybem osobních údajů a ochranou soukromí. Členské státy nemohou na základě článku 5 téže směrnice zavést jiné zásady pro oprávněné zpracování osobních údajů, než jsou zásady uvedené v jejím článku 7, ani pozměnit prostřednictvím dalších požadavků rozsah šesti zásad upravených v uvedeném článku 7 (v tomto smyslu viz rozsudek ze dne 24. listopadu 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 33, 34 a 36).59V projednávaném případě je zjevné, že kdyby byl § 15 TMG vykládán restriktivním způsobem zmíněným v bodě 55 tohoto rozsudku, měl by omezenější rozsah, než je rozsah zásady stanovené v čl. 7 písm. f) směrnice 95/46.60Zatímco totiž čl. 7 písm. f) uvedené směrnice obecně odkazuje na uskutečnění [naplnění] oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, ustanovení § 15 TMG opravňuje poskytovatele služeb shromažďovat a využívat osobní údaje uživatele pouze tehdy, je-li to nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití online služeb. Ustanovení § 15 TMG tak obecně brání uchovávání po skončení využití online mediálních služeb osobních údajů, aby bylo zajištěno využívání těchto služeb. Německé spolkové orgány, které poskytují online mediální služby, by přitom mohly mít oprávněný zájem rovněž na tom, aby zajistily správné fungování svých internetových stránek, jež jsou veřejně přístupné, a to i po ukončení jednotlivých přístupů k nim.61Jak uvedl generální advokát v bodech 100 a 101 svého stanoviska, taková vnitrostátní právní úprava se neomezuje pouze na to, že by upřesňovala v souladu s článkem 5 směrnice 95/46 pojem oprávněný zájem uvedený v čl. 7 písm. f) této směrnice.62V této souvislosti je třeba rovněž připomenout, že čl. 7 písm. f) uvedené směrnice brání tomu, aby členský stát vyloučil kategorickým a obecným způsobem možnost zpracování určitých kategorií osobních údajů a neumožnil vyvážení proti sobě stojících práv a zájmů v konkrétním případě. Členský stát tedy nemůže pro tyto kategorie předepisovat s konečnou platností výsledek vyvážení proti sobě stojících práv a zájmů, aniž by připouštěl odlišný výsledek z důvodu zvláštních okolností konkrétního případu (v tomto smyslu viz rozsudek ze dne 24. listopadu 2011, ASNEF a FECEMD, C‑468/10 a C‑469/10, EU:C:2011:777, body 47 a 48).63Taková právní úprava, jako je právní úprava dotčená v původním řízení, přitom omezuje, pokud jde o zpracování osobních údajů uživatelů stránek v rámci online mediálních služeb, rozsah zásady stanovené v čl. 7 písm. f) směrnice 95/46 tím, že vylučuje, aby cíl spočívající v zajištění obecné funkčnosti uvedených online služeb mohl být předmětem vážení se zájmem nebo základními právy a svobodami těchto uživatelů, které v souladu s tímto ustanovením vyžadují ochranu podle čl. 1 odst. 1 této směrnice.64Z výše uvedeného vyplývá, že je třeba na druhou otázku odpovědět, že čl. 7 písm. f) směrnice 95/46 musí být vykládán v tom smyslu, že brání právní úpravě členského státu, podle níž může poskytovatel online mediálních služeb shromažďovat a používat osobní údaje týkající se uživatele těchto služeb bez jeho svolení pouze tehdy, je-li toto shromažďování či používání nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití uvedených služeb tímto uživatelem, aniž by cíl spočívající v zajištění obecné funkčnosti těchto služeb mohl odůvodnit použití uvedených údajů poté, co uživatel ukončil využívání těchto služeb.<TI><P><HT TYPE="BOLD">K nákladům řízení</HT></P></TI>65Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.Z těchto důvodů Soudní dvůr (druhý senát) rozhodl takto:1)Článek 2 písm. a) směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů musí být vykládán v tom smyslu, že dynamická adresa internetového protokolu, kterou poskytovatel online mediálních služeb uchovává v souvislosti s přístupem osoby na internetovou stránku, kterou tento poskytovatel zpřístupnil veřejnosti, pro uvedeného poskytovatele představuje osobní údaj ve smyslu tohoto ustanovení, pokud má k dispozici právní prostředky, které mu umožňují nechat identifikovat subjekt údajů díky dalším informacím, kterými disponuje poskytovatel internetového připojení tohoto subjektu.2)Článek 7 písm. f) směrnice 95/46 musí být vykládán v tom smyslu, že brání právní úpravě členského státu, podle níž může poskytovatel online mediálních služeb shromažďovat a používat osobní údaje týkající se uživatele těchto služeb bez jeho svolení pouze tehdy, je-li toto shromažďování či používání nezbytné k tomu, aby bylo umožněno a vyúčtováno konkrétní využití uvedených služeb tímto uživatelem, aniž by cíl spočívající v zajištění obecné funkčnosti těchto služeb mohl odůvodnit použití uvedených údajů poté, co uživatel ukončil využívání těchto služeb.

Podpisy.