5 A 56/2024 – Městský soud v Praze

5 A 56/2024- 206 - text  5 A 56/2024 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedkyně Mgr. Gabriely Bašné a soudců Mgr. Ondřeje Hrabce a Mgr. Kateřiny Kozákové ve věci žalobkyně: Avast Software s. r. o., IČO: 02176475 se sídlem Pikrtova 1737/1a, Praha 4 – Nusle zastoupená JUDr. Ivem Jandou, Ph.D., advokátem se sídlem Na Příkopě 854/14, Praha 1 – Nové Město proti žalovanému: Úřad pro ochranu osobních údajů se sídlem Pplk. Sochorova 727/27, Praha 7 – Holešovice o žalobě proti rozhodnutí předsedy žalovaného ze dne 10. 4. 2024, č. j. UOOU-01025/20-121, takto: I. Rozhodnutí předsedy žalovaného ze dne 10. 4. 2024, č. j. UOOU-01025/20-121, se ruší v rozsahu, kterým byl do výroku I. rozhodnutí žalovaného ze dne 14. 3. 2022, č. j. UOOU-01025/20-94, doplněn text „(v rozsahu pseudonymizovaných údajů týkajících se historie prohlížení internetu, vztahujících se řádově ke 100 000 000 uživatelů)“, a v rozsahu, kterým byl zamítnut rozklad žalobkyně směřující proti výši pokuty uložené žalobkyni rozhodnutím žalovaného ze dne 14. 3. 2022, č. j. UOOU-01025/20-94, a tato pokuta byla potvrzena. II. Ve zbytku se žaloba zamítá. III. Účastníci řízení nemají právo na náhradu nákladů řízení. Odůvodnění: I. Základ sporu 1. Žalovaný rozhodnutím ze dne 14. 3. 2022, č. j. UOOU-01025/20-94 (dále jen „prvoinstanční rozhodnutí“) uznal žalobkyni vinnou ze spáchání přestupků podle zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění účinném do 31. 12. 2024 (dále jen „zákon o zpracování osobních údajů“), a to a) ve výroku I. z přestupku dle § 62 odst. 1 písm. b) zákona o zpracování osobních údajů, kterého se dopustila tím, že nejméně od nezjištěného dne v dubnu 2019 do nezjištěného dne v červenci 2019, tedy nejméně po dobu celých dvou kalendářních měsíců, jako správce osobních údajů podle čl. 4 bodu 7) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „nařízení o ochraně osobních údajů“), předávala osobní údaje uživatelů antivirového programu AVAST a jeho rozšíření internetových prohlížečů společnosti JUMPSHOT, INC., se sídlem 19801 Wilmington, County of New Castle. Delaware, 1209 Orange Street, Spojené státy americké (dále jen „společnost JUMPSHOT“), za účelem tvorby statistické analýzy trendů, přestože k tomuto zpracování jí nesvědčil právní titul ve smyslu čl. 6 odst. 1 nařízení o ochraně osobních údajů, čímž porušila základní zásadu pro zpracování osobních údajů dle citovaného článku nařízení o ochraně osobních údajů, dle které je zpracování osobních údajů zákonné pouze je-li splněna nejméně jedna z podmínek uvedených v tomto ustanovení; b) ve výroku II. z přestupku dle § 62 odst. 1 písm. c) zákona o zpracování osobních údajů, kterého se dopustila tím, že nejméně od nezjištěného dne v dubnu 2019 do nezjištěného dne v červenci 2019, tedy nejméně po dobu celých dvou kalendářních měsíců, v souvislosti s předáváním osobních údajů společnosti JUMPSHOT jako správce osobních údajů podle čl. 4 odst. 7) nařízení o ochraně osobních údajů v okamžiku získání osobních údajů nedostatečně informovala subjekty údajů (uživatele antivirového programu AVAST a jeho rozšíření internetových prohlížečů) o účelech zpracování, pro které jsou osobní údaje určeny, a právním základu pro zpracování, čímž porušila povinnost dle čl. 13 odst. 1 písm. c) nařízení o ochraně osobních údajů poskytnout subjektu údajů v okamžiku získání osobních údajů informace uvedené v tomto ustanovení. Za uvedené přestupky uložil žalovaný žalobkyni v souladu s čl. 83 odst. 5 nařízení o ochraně osobních údajů pokutu ve výši 351 000 000 Kč a současně povinnost uhradit náklady řízení ve výši 1 000 Kč. 2. Proti prvoinstančnímu rozhodnutí podala žalobkyně rozklad, o němž rozhodl předseda žalovaného tak, že rozklad žalobkyně zamítl, upřesnil výrok I. prvoinstančního rozhodnutí tím, že za slova „rozšíření internetových prohlížečů“ doplnil text „(v rozsahu pseudonymizovaných údajů týkajících se historie prohlížení internetu, vztahujících se řádově ke 100 000 000 uživatelů)“ a ve zbytku prvoinstanční rozhodnutí potvrdil. Proti tomuto rozhodnutí předsedy žalovaného brojí žalobkyně nyní podanou žalobou. II. Ústní jednání 3. Na ústním jednání dne 29. 9. 2025 žalobkyně odkázala na podanou žalobu a následná podání. Zdůraznila, že žalobkyni je vytýkáno předání údajů o 100 mil. uživatelích, avšak tento údaj je nesprávný, když předseda žalovaného toliko převzal reklamní sdělení společnosti JUMPSHOT, avšak zároveň připustil, že tato společnost měla více datových zdrojů. Dle žalobkynina vlastního výpočtu počtu uživatelů, o kterých předala údaje, dospěla k počtu cca 33 až 54 milionů uživatelů. Žalobkyně k pojetí osobních údajů odkázala na recentní rozsudek SDEU ze dne 4. 9. 2025, sp. zn. C413/23 P. Připomenula svoji argumentaci o retroaktivním postupu správních orgánů a rozporu výše sankce s vlastní předchozí správní praxí. Dle žalobkyně předseda žalovaného změnil ve svém rozhodnutí chápání spáchaného jednání z poskytnutí osobních údajů na poskytnutí pseudonymizovaných údajů. Tato změna se však nepromítla ve výši sankce. 4. Žalovaný při ústním jednání připomenul, že po žalobkyni počet dotčených uživatelů ve správním řízení vyžadoval, přičemž ve správním řízení žalovaným určený počet cca 100 milionů žalobkyně nesporovala. Až v soudním řízení je to poprvé, co žalobkyně uvedla počet 54 milionů. Údaj o 54 milionech sice vypovídá o počtech unikátních zařízení a někteří uživatelé mohli nainstalovat antivirus i na více zařízení, avšak zároveň na jednom zařízení mohlo používat internet více uživatelů. S kvalitními analytickými postupy je možné odfiltrovat prohlížení historie různých uživatelů od sebe. Americká federální obchodní komise za stejné jednání v USA uložila žalobkyni obdobnou pokutu. Americká federální obchodní komise však na rozdíl od žalovaného disponovala smlouvami se zákazníky. Z jejich rozhodnutí plyne, že žalobkyně prodala za 64 měsíců společnosti JUMPSHOT asi 8 petabajtů dat, což při 54 mil. uživatelů odpovídá asi 20 tisícům URL adres na zákazníka měsíčně. Žalobkyní uváděný počet 54 milionů dotčených uživatelů tak nepovažuje za věrohodný. Z mechanismu výpočtu licenčních poplatků, který upravuje čl. 8.2.2 objednávky údajů, plyne, že převážným zdrojem údajů pro společnost JUMPSHOT měla být žalobkyně. I žalobkyní uváděný počet 54 mil. je však stále enormní, proto by se na výši sankce nic nezměnilo. Společnost JUMPSHOT byla sesterská společnost žalobkyně, proto jí bylo zřejmé, jakým způsobem nakládá s předanými údaji. Společnost JUMPSHOT disponovala identifikátorem GUID, tento zaměnila až po předání dat. Zároveň patent vlastnila právě společnost JUMPSHOT, nikoliv žalobkyně. Ve smlouvě se společností JUMPSHOT byl sice zakázán reverzní inženýring ke zjištění odstraněných identifikátorů, nikoliv však ke zjištění subjektů údajů. Žalovaný se vyjádřil rovněž k tvrzenému rozsudku SDEU sp. zn. C-413/23 P a citoval z rozhovoru s předchozí předsedkyní žalovaného, který žalobkyně navrhovala k důkazu. 5. Městský soud v Praze (dále jen „městský soud“) při přezkoumávání napadeného rozhodnutí vycházel z podkladů a listin obsažených ve správním spise, jímž se dokazování neprovádí (rozsudek Nejvyššího správního soudu ze dne 29. 1. 2009, č. j. 9 Afs 8/2008-117, č. 2383/2011 Sb. NSS). Soud proto neprovedl ty navrhované důkazní prostředky, jež se ve správním spise nachází (např. úřední záznam žalovaného ze dne 18. 9. 2020, č. j. UOOU-01733/19-31). Městský soud dále provedl k důkazu žalobkyní navržené důkazní prostředky v podobě rozhodnutí Verwaltungsgerichtshof ze dne 8. 2. 2022, č. j. Ro 2021/04/0033, rozhodnutí Upper Tribunal Velké Británie ve věci DSG Retail Limited v the Information Commissioner, rozhodnutí žalovaného ze dne 16. 12. 2021, č. j. UOOU-05291/21-2, ze dne 14. 5. 2021, č. j. UOOU-02274/21-7, ze dne 10. 3. 2021, č. j. UOOU-01220/21-4, ze dne 20. 1. 2021, č. j. UOOU-05224/20-31, ze dne 21. 12. 2020, č. j. UOOU-05066/20-9, ze dne 11. 6. 2020, č. j. UOOU-01039/20-11, ze dne 10. 12. 2019, č. j. UOOU-04039/19-3, ze dne 7. 10. 2019, č. j. UOOU-03841/19-4, ze dne 27. 6. 2019, č. j. UOOU-02041/19-4, ze dne 6. 6. 2019, č. j. UOOU-01743/19-13, ze dne 4. 2. 2019, č. j. UOOU-09571/18-14, ze dne 25. 10. 2018, č. j. UOOU-07108/18-11, ze dne 18. 7. 2023, č. j. UOOU-02482/22-9 a ze dne 10. 5. 2023, č. j. UOOU-00414/23-20, a stanoviska Evropského sboru pro ochranu osobních údajů č. 28/2024. Soud k důkazu provedl žalobkyní předloženou analýzu zpracovanou jejími zaměstnanci ze dne 19. 9. 2025, ve které je uvedeno, že „jeden uživatel může produkt nainstalovat vícekrát a vždy získá nový GUID. Jeden uživatel může také nainstalovat produkt na více zařízeních, čímž by bylo vytvořeno více GUID. Může se tak stát, že stejné zařízení používá více osob. Na základě GUID nelze rozlišit konkrétní osoby. […] Počet uživate