1 As 71/2024 — Nejvyšší správní soud

18 A 69/2024- 50 - text 13 pokračování 18 A 69/2024 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy Martina Lachmanna a soudců Jana Ferfeckého a Martina Bobáka ve věci žalobce: Ing. L. P., Ph.D. bytem X proti žalovanému: Úřad pro ochranu osobních údajů sídlem Pplk. Sochora 727/27, 170 00 Praha 7 o žalobě na ochranu proti nečinnosti žalovaného při vyřízení stížnosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 1. 3. 2024, vedené pod č. j. UOOU-05029/23 takto: I. Žalovanému se ukládá, aby ve lhůtě 30 dnů od nabytí právní moci tohoto rozsudku rozhodl o stížnosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 1. 3. 2024, vedené pod č. j. UOOU-05029/23. II. Žalovaný je povinen zaplatit žalobci náhradu nákladů řízení ve výši 2 000 Kč, a to do jednoho měsíce od právní moci tohoto rozsudku. Odůvodnění: I. Vymezení věci 1. Městský soud v Praze se v nynější věci zabýval dalším případem vyřizování stížnosti žalobce ve smyslu čl. 77 Nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). Nynější žaloba se týká vyřízení stížnosti z 15. 12. 2023, kterou žalobce doplňoval dne 1. 3. 2024 a jíž se domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů, soukromí a práva na rodinný život při zpracování osobních údajů Digitální a informační agenturou (DIA), a to v souvislosti s využíváním služby reCAPTCHA na jí vedených webových stránkách https://www.czechpoint.cz/ při žádosti o vyzvednutí dokumentu z úschovny Czech POINT. II. Žaloba 2. V podané žalobě se žalobce domáhal na základě čl. 78 odst. 2 GDPR ochrany před nečinností žalovaného spočívající v tom, že ke dni podání žaloby nerozhodnul o jeho stížnosti. V žalobním petitu navrhl, aby soud žalovaného zavázal rozhodnout o jeho stížnosti ve lhůtě 30 dnů od doručení rozsudku. Uvedl, že dne 2. 4. 2024 bezúspěšně požádal o uplatnění opatření proti nečinnosti dle § 80 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (správní řád), byť podle něj čl. 78 odst. 2 GDPR uplatnění správní ochrany nevyžaduje (ani mu ovšem nebrání). 3. Ve zbytku (stručné) žalobní argumentace odkázal na rozsudek Nejvyššího správního soudu (NSS) z 16. 9. 2024, č. j. 1 As 71/2024 - 53. NSS v něm podle žalobce s odkazem na § 71 odst. 3 správního řádu jednoznačně uzavřel, že žalovaný musí o stížnosti podle čl. 77 GDPR rozhodnout do 30 dnů od jejího podání, resp. do 60 dnů za splnění dalších podmínek. Žalovaný se stížností nesprávně zachází jako s podnětem (viz informace žalovaného o stavu řešení stížnosti z 14. 6. 2024). NSS v uvedeném rozsudku takové dokumenty nenahlížel jako informace o pokroku v řešení stížnosti. O stížnosti tak mělo být dávno rozhodnuto. Žalovaný přitom stran stížnosti ani nezahájil správní řízení. Postup žalovaného porušuje právo žalobce na soukromí, respektování soukromého a rodinného života a obydlí, řádnou správu, spravedlivý proces a právo být vyslyšen ve smyslu Listiny základních práv a svobod (Listina), Listiny základních práv EU, Evropské úmluvy o ochraně lidských práv a základních svobod, GDPR a správního řádu. III. Vyjádření žalovaného 4. Žalovaný nesouhlasil s tvrzením o své nečinnosti a navrhl zamítnutí žaloby. 5. Uvedl, že šetření stížnosti stále probíhá. Dne 29. 2. 2024 požádal DIA dle § 3 zákona č. 255/2012 Sb., o kontrole (kontrolní řád), o poskytnutí vysvětlení. Následně žalobce dne 1. 3. 2024 a dále dne 14. 6. 2024 informoval o pokroku v řešení stížnosti. Rovněž vyřídil žádosti žalobce podle § 80 správního řádu z 14. 2. 2024 a 2. 4. 2024. Dodal, že část stížnosti předá k šetření irskému dozorovému úřadu. 6. Pokud jde o proces vyřizování stížností podle čl. 77 GDPR, upozornil na judikaturní vývoj (v obdobných věcech žalobce), který zpochybnil dosavadní praxi žalovaného. NSS v rozsudku sp. zn. 1 As 71/2024 totiž pro žalovaného překvapivě dovodil, že o stížnostech dle čl. 77 GDPR se rozhoduje v řízení o žádosti podle Hlavy VI správního řádu, a to ve lhůtách dle § 71 odst. 3 správního řádu bez ohledu na tříměsíční lhůtu pro informování subjektu údajů o pokroku či výsledku řešení stížnosti podle přímo aplikovatelného čl. 78 odst. 2 GDPR. Žalovaný v tomto směru uvedl, že s omezenými personálními kapacitami čelí značnému počtu stížností. Není proto schopen stížnosti řádně prošetřit a věcně o nich rozhodnout ve lhůtách podle § 71 odst. 3 správního řádu. Dále uvedl, že s ohledem na předání stížnosti žalobce do Irska nelze bez postupu irského dozorového úřadu uvažovat o jejím zamítnutí. Sám žalovaný se pak dále zabývá druhou částí stížnosti – jejím doplněním z 1. 3. 2024. V něm žalobce tvrdil porušení práva na přístup k osobním údajům podle čl. 15 GDPR, resp. obdržení doprovodných informací o zpracování v čl. 15 odst. 1 písm. a) až h) GDPR ze strany DIA. Žalovaný bude řešit rozsah povinnosti správce poskytnout informace nad rámec čl. 15 GDPR. 7. Závěrem žalovaný obecně dodal, že rozsudek NSS sp. zn. 1 As 71/2024 bez podrobností nastiňuje tři základní principy (1. řízení o stížnosti podle čl. 77 GDPR u žalovaného je řízením o žádosti; 2. výsledkem takového řízení má být rozhodnutí podle § 67 odst. 1 správního řádu a 3. na vydání takového rozhodnutí se aplikují lhůty podle § 71 odst. 3 správního řádu). Nezabýval se ale otázkou vztahu návrhového řízení o stížnosti (žádosti) subjektu údajů a možných postupů žalovaného vůči správci či zpracovateli osobních údajů. Nevyřešil ani otázku dopadu lhůt v § 71 odst. 3 správního řádu a procesních práv účastníků na reálné možnosti žalovaného vydat v jejich rámci rozhodnutí podle § 67 odst. 1 správního řádu (zejména, shledá-li stížnost oprávněnou). Dále se nezabýval požadavky na stížnost jako žádost podle § 44 a § 45 správního řádu a formulací výroku „pozitivního“ (vyhovujícího) rozhodnutí o ní. Žalovaný musí v důsledku závěrů NSS improvizovat (např. přerušit řízení o stížnosti do vyřešení předběžných otázek), zvláště u již probíhajících šetření. Výsledkem je snížení standardu ochrany osobních údajů. Při dodržení všech postupů označil za nereálné vyřídit stížnost ve lhůtě 30 dnů (nebo i 60 dnů). Navíc je zřejmé, že v tomto případě zvolený postup podle § 3 kontrolního řádu je vhodný k objasnění skutkového stavu, a to i s ohledem na povinnou součinnost kontrolovaného. IV. Replika žalobce a další průběh řízení 8. Žalobce ve své replice z 2. 1. 2025 setrval na tom, že žalovaný je (bez zavinění žalobce) nečinný, resp. stížností se zřejmě nezabývá. Místo toho otevřel paralelní proces, o kterém občas zasílá informace, ze kterých ale nelze zjistit, co konkrétně a proč řeší. Tento vedlejší proces ale není pro vyřízení stížnosti nijak významný a ani nutný. S ohledem na sedmiletou praxi vyřizování stížností je absurdním tvrzení o potřebě aplikovat improvizované postupy. Není úkolem soudů dávat instrukce, žalovaný si musí sám vyložit právní předpisy pro jeho konzistentní přístup a ochranu oprávněných zájmů dotčených subjektů. 9. Řeší-li žalovaný stížnost postupem podle § 3 kontrolního řádu, žalobce v rámci něj nemá procesní postavení. NSS v rozsudku sp. zn. 1 As 71/2024 přitom odmítnul, že by stížnost podle čl. 77 GDPR byla podnětem. Žalobce není podatelem podnětu k provedení kontroly, ale naopak je žadatelem o rozhodnutí o jeho stížnosti. Dochází-li přitom k rozhodování o stížnosti na základě § 141 správního řádu, jsou v takovém správním řízení stranami jak podatel stížnosti, tak obviněný správce. To, že žalobce nemá procesní postavení (ani práva) v rámci prováděné kontroly, je v rozporu s bodem 143 preambule GDPR [k tomu odkázal na rozsudek Soudního dvora Evropské unie (SDEU) z 12. 1. 2023 ve věci C-132/21, Nemzeti Adatvédlmi és Információszabadság Hatóság, bod 41]. Pokud žalovaný takové otázky řeší v paralelních procesech bez účasti stěžovatele, pak by jejich posouzení nemohlo být podrobeno soudnímu přezkumu. Realizací kontrol žalovaný stížnosti neřeší, navíc vede k nemožnosti domáhat se soudní ochrany před jeho nečinností. Upozornil přitom, že NSS nebral zřetel na zasílané informace žalovaného o průběhu řízení a limit pro podání nečinnostní žaloby určil 30 dnů + 1 rok (resp. 60 dnů + 1 rok) bez možnosti prodloužení. 10. Pokud jde o nynější stížnost, upozornil, že o jejím předání do Irska byl informován až po podání žaloby, přičemž řízení nebylo přerušeno. Součinnost z Irska podle žalobce není potřebná, ostatně ve stížnosti záměrně žádného přeshraničního správce nezmínil. Jejím cílem je zjistit, zda DIA dodržuje povinnosti. Pokud by mělo být správní řízení prodlouženo pro dožádání do ciziny ve smyslu § 71 odst. 3 písm. b) správního řádu, pak dle § 13 odst. 6 správního řádu je třeba aplikovat zvláštní právní předpisy (nejspíše kapitolu VII GDPR – Spolupráce a jednotnost). I v tomto případě by nic nebránilo aplikovat nanejvýš tří měsíční lhůtu dle čl. 78 GDPR. V rozporu se závěry NSS pak žalovaný na žalobce nepohlí