1 As 31/2025 — Nejvyšší správní soud

11 A 17/2025- 51 - text 9 11 A 17/2025 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátu složeném z předsedy Mgr. Marka Bedřicha a soudců JUDr. Jitky Hroudové a Mgr. Marka Zimy ve věci žalobce: Ing. L. P., Ph. D., narozený X bytem X proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, 170 00 Praha 7 o žalobě na ochranu před nečinností správního orgánu, takto: I. Žalovaný je povinen rozhodnout o stížnosti žalobce ze dne 1. 9. 2024, a to ve lhůtě 30 dnů od právní moci tohoto rozsudku. II. Žalovaný je povinen nahradit žalobci náklady řízení ve výši 2 000 Kč do 30 dnů od právní moci tohoto rozsudku. Odůvodnění: Vymezení věci 1. Žalobce se žalobou podanou u Městského soudu v Praze domáhal ochrany proti nečinnosti žalovaného a uložení povinnosti rozhodnout o stížnosti žalobce ve smyslu čl. 77 nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). 2. Stížností podle čl. 77 GDPR ze dne 1. 9. 2024 se žalobce domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů, soukromí a práva na rodinný život při zpracování osobních údajů ze strany Statutárního města Brna, a to v souvislosti s vytvořením účtu na webových stránkách https://www.brnoid.cz/ při pořizování šalinkarty. Poukázal na pochybení při plnění informační povinnosti správce a předávání osobních údajů společnosti Google v důsledku využívání služby reCAPTCHA. Dále uvedl, že byl nucen ke spuštění scriptů od společnosti Google, aby si mohl zřídit účet. Žalobce rovněž nesouhlasil s účely, pro něž Google zpracovává osobní údaje ověřovaných osob. Žalobní body 3. Žalobce nastínil dosavadní průběh řízení a důvody, v nichž spatřuje nezákonnou nečinnost žalovaného. Uvedl, že podle § 71 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „správní řád“, případně „s. ř.“), je správní orgán povinen vydat rozhodnutí bez zbytečného odkladu. Pokud nelze rozhodnout bezodkladně, je správní orgán povinen vydat rozhodnutí nejpozději do 30 dnů od zahájení řízení s výjimkami stanovenými zákonem. Tato lhůta však dle žalobce uplynula a správní orgán je proto nečinný. Současně žalobce odkázal na rozsudek Nejvyššího správního soudu (dále též „NSS“) ze dne 16. 9. 2024, č. j. 1 As 71/2024-53 a rozsudky zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024-50 a č. j. 18 A 70/2024-57. V nich soudy podle žalobce seznaly, že Úřad pro ochranu osobních údajů (dále jen „Úřad“), má rozhodnout o stížnosti dle čl. 77 GDPR ve lhůtě 30 dnů. 4. Stran tvrzení žalovaného, že podání žalobce nelze považovat za stížnost podle čl. 77 GDPR, žalobce uvedl, že pakliže měl Úřad za to, že stížnost trpí vadami, měl se na žalobce obrátit s žádostí o jejich odstranění včas. S odkazem na rozsudek NSS ze dne 12. 4. 2013, č. j. 5 Ans 4/2012-20, uvedl, že zakládá i vadná žádost správní řízení a výpočet lhůt se odvíjí od jejího podání. 5. Žalobce má za to, že žalovaný je nečinný, prostředky ochrany proti nečinnosti byly bezvýsledně vyčerpány, a proto je jeho žaloba důvodná. Navrhuje proto, aby soud uložil žalovanému povinnost rozhodnout o jeho stížnosti ve lhůtě 30 dnů a uložil žalovanému povinnost nahradit žalobci náklady řízení. Vyjádření žalovaného 6. Žalovaný nejprve zrekapituloval stav věci a k věci samé uvedl, že dle § 37 správního řádu se podání posuzuje podle svého skutečného obsahu bez ohledu na to, jak je označeno. Z písemnosti ze dne 1. 9. 2024 je dle žalovaného zjevné, že se žalobce domáhá, aby Úřad vyslovil určitá porušení GDPR, aniž by však označil správce, který se předmětných porušení měl dopustit, přičemž toto má být úkolem Úřadu. Žalovaný poukázal na to, že žalobce ve svém podání neoznačil správce údajů, pročež je jeho podání neúplné a neurčité. Nesplňuje proto náležitosti předepsané § 37 s. ř. a § 45 s. ř. Dále žalovaný uvedl, že jako pravděpodobný správce osobních údajů byla identifikována společnost Technické sítě Brno, a. s., IČ 25512285. Této společnosti pak byla adresována výzva k vyjasnění nebo nápravě dle § 54 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění pozdějších předpisů (dále též „ZZOÚ“), ve spojení s čl. 58 odst. 1 písm. d) GDPR, o čemž byl žalobce informován. 7. Dále pak žalovaný poukázal na to, že žalobce ve svých podáních neuvedl, jakých osobních údajů vztažených k jemu samému by se měla stížnost týkat. Dodal, že za takovou specifikaci nelze považovat pouhou návštěvu webových stránek. 8. Žalovaný závěrem upozornil na to, že problematika rozhodování o stížnosti dle čl. 77 GDPR je nyní předmětem řízení o jeho kasační stížnosti proti rozsudku zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024-50. Ve věci, jíž řešil osmnáctý senát zdejšího soudu, byli také účastníky současný žalobce a Úřad. V obou případech jde navíc o zpracování osobních údajů prostřednictvím služby reCAPTCHA, kterou provozuje společnost Google Ireland. Stížnost žalobce byla přitom v uvedeném případě předána irskému dozorovému úřadu jakožto úřadu příslušnému ve vztahu ke společnosti Google Ireland. Šetření irského dozorového úřadu však doposud nebylo skončeno. Žalovaný uvedl, že ve věci 18 A 69/2024 poukázal na absenci relevantních informací pro rozhodnutí a výlučnou příslušnost irského dozorového úřadu. Současně má žalovaný za to, že není možné ve lhůtách aplikovaných rozsudkem NSS ze dne 16. 9. 2024, č. j. 1 As 71/2024-53, dosáhnout požadovaného výsledku. 9. Žalovaný závěrem uvedl, že žalobu považuje za nedůvodnou a navrhl, aby ji soud odmítl, jelikož byla podána osobou k tomu zjevně neoprávněnou a návrh je nepřípustný. Alternativně navrhl její zamítnutí. Další vyjádření účastníků řízení 10. Žalobce v dalších vyjádřeních uvedl, že pravděpodobného správce osobních údajů v rámci své stížnosti uvedl. Stejně tak srozumitelně uvedl, jaké osobní údaje by měly být zpracovávány. Rovněž uvedl, že z odůvodnění GDPR plyne, že by měl dozorový úřad přijmout opatření s cílem usnadnit podávání stížností. Český Úřad však naopak podávání stížností dle žalobce komplikuje. 11. Pro případ, že by soud shledal podání žalobce ze dne 1. 9. 2024 podnětem ve smyslu § 42 s. ř., navrhl, aby soud předložil Soudnímu dvoru EU (dále též „Soudní dvůr“, případně „SDEU“) předběžné otázky. Ty by se týkaly úrovně specifikace osobních údajů ve stížnosti dle čl. 77 GDPR, specifikace domnělých správců osobních údajů, povahy podání (obsahově stížnosti dle čl. 77 GDPR), vztažení čl. 41 Listiny základních práv Evropské unie na jednání Úřadu při aplikaci GDPR, aplikace zásady rovnosti a efektivity EU. 12. Městský soud se přípisem ze dne 27. 5. 2025 obrátil na žalovaného s dodatečnými otázkami, které vyvstaly poté, co NSS vydal dne 26. 5. 2025 pod č. j. 1 As 31/2025-58 rozsudek, kterým zrušil rozsudek zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024-50. Kasační soud v něm mj. vytkl zdejšímu soudu, že se zabýval nedostatečně povahou řízení vedeného u irského dozorového úřadu v souvislosti s užíváním služby reCAPTCHA. Vzhledem k tomu, že soud v nyní projednávané věci shledal věcnou souvislost obou řízení, vyzval žalovaného, aby sdělil, zda je i v nyní řešené věci nutné vyčkat na výsledek řízení vedeného před irským dozorovým orgánem, aby bylo možné vydat konečné rozhodnutí o žalobcově stížnosti. Současně se soud tázal, zda je nutné, aby irský dozorový orgán vedl řízení ke každé projednávané stížnosti samostatně, a tedy, aby byla irskému dozorovému úřadu také v nyní řešené věci předána část správního řízení, které se týká služby reCAPTCHA a společnosti Google Ireland, či zda je možné pouze převzít skutečnosti zjištěné v řízení před irským dozorovým orgánem v rámci jiného řízení, jež vyústilo vydáním výše označeného rozsudku NSS, i na nyní řešenou věc, případně na věci obdobné. Dále se soud tázal žalovaného, zda učinil ve vztahu k irskému dozorovému orgánu nějaké úkony v nyní projednávané věci. 13. Žalovaný v odpovědi na dotazy soudu uvedl, že společnost Technické sítě Brno akceptovala pozici správce osobních údajů a provedla relevantní opatření k nápravě, včetně ukončení používání nástroje reCAPTCHA. Dále pak nelze podat jednoznačnou odpověď na otázku, zda je nutné vyčkat na výsledek řízení před irským dozorovým úřadem. Současně se však žalovaný přiklonil k závěru, že není potřeba vyčkat. Ačkoliv se projednávaná věc také týká zpracování osobních údajů v souvislosti s používáním nástroje reCAPTCHA, tak jako věc, jíž se týká rozsudek NSS ve věci sp. zn. 1 As 31/2025, je nutné zohlednit, že správce osobních údajů používání nástroje reCAPTCHA již ukončil. 14. K otázce, zda je nutné, aby irský dozorový úřad vedl řízení ke každé projednávané stížnosti samostatně, tedy aby byla irskému dozorovému orgánu i v nyní řešené věci předána část správního řízení týkající se služby reCAPTCHA provozované společností Google Ireland, či zda je možné pouze převzít skutečnosti zjištěné v řízení před irským dozorovým úřadem v rámci