1 As 71/2024 — Nejvyšší správní soud

18 A 70/2024- 57 - text 12 pokračování 18 A 70/2024 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy Martina Lachmanna a soudců Jana Ferfeckého a Martina Bobáka ve věci žalobce: Ing. L. P., Ph.D. bytem X proti žalovanému: Úřad pro ochranu osobních údajů sídlem Pplk. Sochora 727/27, 170 00 Praha 7 o žalobě na ochranu proti nečinnosti žalovaného při vyřízení stížnosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 23. 2. 2024, vedené pod č. j. UOOU-00134/24, takto: I. Žalovanému se ukládá, aby ve lhůtě 30 dnů od nabytí právní moci tohoto rozsudku rozhodl o žádosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 23. 2. 2024, vedené pod č. j. UOOU-00134/24. II. Žalovaný je povinen zaplatit žalobci náhradu nákladů řízení ve výši 2 000 Kč, a to do jednoho měsíce od právní moci tohoto rozsudku. Odůvodnění: I. Vymezení věci 1. Městský soud v Praze se v nynější věci zabýval dalším případem vyřizování stížnosti žalobce ve smyslu čl. 77 Nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). Žaloba se týká vyřízení stížnosti z 15. 12. 2023, kterou žalobce doplňoval dne 23. 2. 2024 a jíž se domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů, soukromí a práva na rodinný život při zpracování osobních údajů. 2. K tomu mělo dojít při jeho návštěvě obchodního centra Olympia Brno dne 3. 6. 2023, kde probíhala akce společnosti ECE Projektmanagement Praha s.r.o. Žalobce tam měl být se svojí rodinou bez souhlasu vyfotografován neoznačeným mužem, proto dne 4. 6. 2023 kontaktoval danou společnost na její emailové adrese dataprotection@ece.com, resp. vůči ní uplatnil „námitku pro zpracování osobních údajů pro marketingové účely… a právo na výmaz protiprávně zpracovávaných osobních údajů“ a zároveň požádal o uhrazení částky 1 000 Kč v důsledku vzniklé „velké citové újmy“. Odpověď na to ze dne 12. 6. 2023 zpochybňovala identitu fotografující osoby, konstatovala konkludentní udělení souhlasu s fotografováním a odmítla požadavek na úhradu 1 000 Kč. Tuto odpověď žalobce obdržel z e-mailové adresy Datenschutz@ece.com s podpisem E. M. D. (Ms), Data Protection Counsel, Compliance, Data Protection & Security, ECE Group Services GmbH & Co. KG, Hamburg. Žalobci přitom nebylo zřejmé, proč byla předmětná emailová zpráva doručena uvedené osobě, resp. společnosti. V této souvislosti tak žalobce detekoval možný přenos osobních údajů do USA, a to na server společnosti Microsoft, což podle něj nasvědčuje porušení Kapitoly V GDPR. Žalobce tak stížností, resp. podáním ze dne 23. 2. 2024, požadoval „smazání všech osobních údajů ze serveru Microsoft“. II. Žaloba 3. V podané žalobě se žalobce domáhal na základě čl. 78 odst. 2 GDPR ochrany před nečinností žalovaného spočívající v tom, že ke dni podání žaloby nerozhodl o jeho stížnosti. V žalobním petitu navrhl, aby soud žalovaného zavázal rozhodnout o jeho stížnosti ve lhůtě 30 dnů od doručení rozsudku. Uvedl, že dne 25. 3. 2024 bezúspěšně požádal o uplatnění opatření proti nečinnosti dle § 80 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (správní řád), byť podle něj čl. 78 odst. 2 GDPR uplatnění správní ochrany nevyžaduje (ani mu ovšem nebrání). 4. Ve zbytku (stručné) žalobní argumentace odkázal na rozsudek Nejvyššího správního soudu (NSS) z 16. 9. 2024, č. j. 1 As 71/2024 - 53. NSS v něm podle žalobce s odkazem na § 71 odst. 3 správního řádu jednoznačně uzavřel, že žalovaný musí o stížnosti podle čl. 77 GDPR rozhodnout do 30 dnů od jejího podání, resp. do 60 dnů za splnění dalších podmínek. Žalovaný se stížností nesprávně zachází jako s podnětem (viz sdělení žalovaného z 26. 3. 2024, kde uvedl, že v případu něco činí, ale již neuvedl, proč není aktivní). NSS v uvedeném rozsudku takové dokumenty nenahlížel jako informace o pokroku v řešení stížnosti. O stížnosti tak mělo být dávno rozhodnuto. Žalovaný přitom stran stížnosti ani nezahájil správní řízení. Postup žalovaného porušuje právo žalobce na soukromí, respektování soukromého a rodinného života a obydlí, řádnou správu, spravedlivý proces a právo být vyslyšen ve smyslu Listiny základních práv a svobod (Listina), Listiny základních práv EU, Evropské úmluvy o ochraně lidských práv a základních svobod, GDPR a správního řádu. III. Vyjádření žalovaného 5. Žalovaný nesouhlasil s tvrzením o své nečinnosti a navrhl zamítnutí žaloby. 6. Uvedl, že se stížností žalobce (i přes zjevně extenzivní požadavky žalobce a i s ohledem na personální kapacity žalovaného při vyřizování stížností subjektů údajů) zabýval. Podle § 3 zákona č. 255/2012 Sb., o kontrole (kontrolní řád), kontaktoval společnost ECE Projektmanagement Praha s.r.o (viz přípisy z 12. 3. 2024 a z 30. 4. 2024) s žádostí o poskytnutí vysvětlení. Následně žalobce informoval o pokroku v řešení jeho stížnosti přípisem z 26. 3. 2024 a 2. 4. 2024, kterými reagoval i na žádost žalobce dle § 80 správního řádu z 25. 3. 2024. Dále žalobce informoval přípisem z 30. 4. 2024. K řešení stížnosti uvedl, že již dostatečně zjistil stav věci k posouzení důvodnosti stížnosti, přičemž shromážděné podklady naznačují, že je neoprávněná. Přenos emailové zprávy žalobce mezi společnostmi skupiny ECE pak lze podle žalovaného přijmout jako potřebný pro vyřízení podání v rámci vymezených kompetencí. 7. Pokud jde o proces vyřizování stížností podle čl. 77 GDPR, upozornil na judikaturní vývoj (v obdobných věcech žalobce), který zpochybnil dosavadní praxi žalovaného. NSS v rozsudku sp. zn. 1 As 71/2024 totiž pro žalovaného překvapivě dovodil, že o stížnostech dle čl. 77 GDPR se rozhoduje v řízení o žádosti podle Hlavy VI správního řádu, a to ve lhůtách dle § 71 odst. 3 správního řádu bez ohledu na tříměsíční lhůtu pro informování subjektu údajů o pokroku či výsledku řešení stížnosti podle přímo aplikovatelného čl. 78 odst. 2 GDPR. Žalovaný v tomto směru uvedl, že s omezenými personálními kapacitami čelí značnému počtu stížností. Není proto schopen stížnosti řádně prošetřit a věcně o nich rozhodnout ve lhůtách podle § 71 odst. 3 správního řádu. 8. Závěrem žalovaný obecně dodal, že rozsudek NSS sp. zn. 1 As 71/2024 bez podrobností nastiňuje tři základní principy (1. řízení o stížnosti podle čl. 77 GDPR u žalovaného je řízením o žádosti; 2. výsledkem takového řízení má být rozhodnutí podle § 67 odst. 1 správního řádu a 3. na vydání takového rozhodnutí se aplikují lhůty podle § 71 odst. 3 správního řádu). Nezabýval se ale otázkou vztahu návrhového řízení o stížnosti (žádosti) subjektu údajů a možných postupů žalovaného vůči správci či zpracovateli osobních údajů. Nevyřešil ani otázku dopadu lhůt v § 71 odst. 3 správního řádu a procesních práv účastníků na reálné možnosti žalovaného vydat v jejich rámci rozhodnutí podle § 67 odst. 1 správního řádu (zejména, shledá-li stížnost oprávněnou). Dále se nezabýval požadavky na stížnost jako žádost podle § 44 a § 45 správního řádu a formulací výroku „pozitivního“ (vyhovujícího) rozhodnutí o ní. Žalovaný musí v důsledku závěrů NSS improvizovat (např. přerušit řízení o stížnosti do vyřešení předběžných otázek), zvláště u již probíhajících šetření. Výsledkem je snížení standardu ochrany osobních údajů. Při dodržení všech postupů označil za nereálné vyřídit stížnost ve lhůtě 30 dnů (nebo i 60 dnů). Navíc je zřejmé, že v tomto případě zvolený postup podle § 3 kontrolního řádu je vhodný k objasnění skutkového stavu, a to i s ohledem na povinnou součinnost kontrolovaného. 9. V kontextu nynější věci žalovaný dodal, že již shromáždil dostatek podkladů k vydání rozhodnutí. Předtím ale musí v mezích rozsudku sp. zn. 1 As 71/2024 v rámci postupu podle části druhé Hlavy VI správního řádu respektovat práva žalobce (stěžovatele), a to mj. mu umožnit uplatnit právo podle § 36 správního řádu (k čemuž se žalovaný chystá v nejbližší době) seznámením se s podklady a vyjádřením se k nim, což neumožňuje bezodkladné vydání rozhodnutí. IV. Replika žalobce a další průběh řízení 10. Žalobce ve své replice z 2. 1. 2025 setrval na tom, že žalovaný je (bez jeho zavinění) nečinný a stížností se zřejmě nezabývá. Místo toho otevřel paralelní proces, o kterém občas zasílá informace, ze kterých ale nelze zjistit, co konkrétně a proč řeší. Tento vedlejší proces ale není nijak pro vyřízení stížnosti významný a ani nutný. S ohledem na sedmiletou praxi vyřizování stížností je absurdním tvrzení o potřebě aplikovat improvizované postupy. Není úkolem soudů dávat instrukce, žalovaný si musí sám vyložit právní předpisy pro jeho konzistentní přístup a ochranu oprávněných zájmů dotčených subjektů. 11. Řeší-li žalovaný stížnost postupem podle § 3 kontrolního řádu, žalobce v rámci něj nemá procesní postavení. NSS v rozsudku sp. zn. 1 As 71/2024 přitom odmítnul, že by stížnost podle čl. 77 GDPR byla podnětem. Žalobce není podatelem podnětu k provedení kontroly, ale naopak je žadatelem o rozhodnutí o