4 As 50/2004 — Nejvyšší správní soud

17 A 91/2025- 59 - text  27 17 A 91/2025 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy Milana Taubera, soudce Vadima Hlavatého a soudkyně Pavly Klusáčkové ve věci žalobců: proti žalovanému: a) M & M reality holding a. s., IČO 27487768 se sídlem Krakovská 583/9, Praha 1 zastoupen advokátem JUDr. Ing. Jaroslavem Zahradníčkem, Ph.D. se sídlem Na Pankráci 1618/30, Praha 4 b) Safiro WM s.r.o. v likvidaci, IČO 04885473 se sídlem Moskevská 1464/61, Praha 10 zastoupen advokátkou Mgr. Andreyou Voglovou se sídlem Jeseniova 1151/55, Praha 3 Úřad pro ochranu osobních údajů se sídlem Pplk. Sochora 727/27, Praha 7 o žalobách proti rozhodnutí předsedy žalovaného ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, takto: I. Rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, se k žalobě žalobce a) ve výroku I zrušuje a věc se v tomto rozsahu vrací žalovanému k dalšímu řízení. II. Žaloba žalobce a) se v rozsahu, v němž napadá výroky II a III rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, odmítá. III. Rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, se k žalobě žalobce b) ve výroku III zrušuje a věc se v tomto rozsahu vrací žalovanému k dalšímu řízení. IV. Žaloba žalobce b) se v rozsahu, v němž napadá výroky I a II rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, odmítá. V. Žalovaný je povinen zaplatit žalobci a) do jednoho měsíce od právní moci tohoto rozsudku na náhradě nákladů řízení 15 269,40 Kč, a to do rukou jeho zástupce JUDr. Ing. Jaroslava Zahradníčka, Ph.D., advokáta. VI. Žalovaný je povinen zaplatit žalobci b) do jednoho měsíce od právní moci tohoto rozsudku na náhradě nákladů řízení 15 269,40 Kč, a to do rukou jeho zástupkyně Mgr. Andrey Voglové, advokátky. Odůvodnění: Základ sporu 1. Žalobci se samostatně podanými žalobami (sp. zn. 17 A 91/2025 a sp. zn. 17 A 106/2025) domáhali zrušení v záhlaví uvedeného rozhodnutí, přičemž soud usnesením ze dne 27. 11. 2025, č. j. 17 A 91/2025-35, tyto věci spojil ke společnému projednání a rozhodnutí. 2. Prvostupňovým rozhodnutím žalovaného ze dne 7. 5. 2025, č. j. UOOU-02462/23-193, ve znění opravného rozhodnutí žalovaného ze dne 27. 5. 2025, č. j. UOOU-02462/23-194, bylo ohledně žalobce a) ve výroku A) rozhodnuto tak, že I. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 nařízení (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“), svých klientů nejméně z nedbalosti nebyl v rozporu s čl. 7 odst. 1 GDPR ke dni 6. 5. 2025 schopen doložit udělení souhlasu se zpracováním osobních údajů ve vztahu ke zpracování osobních údajů spočívajícímu v zpřístupnění osobních údajů svých klientů uložených v informačním systému STORMM žalobci b) [dříve pod firmou DELUVIS CZ s. r. o.] a společnosti Deluvis Advisory CZ s.r.o. pro účely nabídky finančních, investičních a obdobných produktů, k němuž došlo v období od 2. 6. 2020 nejméně do 1. 7. 2020 a jehož právním základem měl být udělený souhlas subjektů údajů ve smyslu čl. 6 odst. 1 písm. a) GDPR, a to pokud jde o osobní údaje nejméně 241 subjektů údajů zpřístupněné žalobci b) a 250 subjektů údajů zpřístupněné společnosti Deluvis Advisory CZ s.r.o., uvedených v příloze 1 tohoto rozhodnutí, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 7 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, II. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR svých klientů nejméně z nedbalosti nebyl v rozporu s čl. 5 odst. 2 GDPR ke dni 6. 5. 2025 schopen doložit dodržení zásady korektnosti a transparentnosti dle čl. 5 odst. 1 písm. a) GDPR spočívající v poskytnutí informací subjektům údajů dle čl. 13 odst. 3 GDPR ve vztahu k výše uvedenému zpracování osobních údajů, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 5 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, III. za což mu byla dle čl. 83 odst. 5 písm. a) ve spojení s čl. 83 odst. 3 GDPR uložena pokuta ve výši 3 993 000 Kč, IV. a dále povinnost nahradit náklady řízení ve výši 333 Kč. 3. Ohledně žalobce b) bylo prvostupňovým rozhodnutím ve výroku B) rozhodnuto tak, že I. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR klientů žalobce a) nejméně z nedbalosti nebyl v rozporu s čl. 7 odst. 1 GDPR ke dni 6. 5. 2025 schopen doložit udělení souhlasu se zpracováním osobních údajů ve vztahu ke zpracování osobních údajů spočívajícímu v použití osobních údajů klientů žalobce a) uložených v jeho informačním systému STORMM pro účely nabídky finančních, investičních a obdobných produktů, k němuž došlo v období od 2. 6. 2020 nejméně do 1. 7. 2020, a jehož právním základem měl být udělený souhlas subjektů údajů ve smyslu čl. 6 odst. 1 písm. a) GDPR, a to nejméně v případě 250 subjektů údajů uvedených v příloze 2 tohoto rozhodnutí, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 7 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., II. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR klientů žalobce a) nejméně z nedbalosti nebyl v rozporu s čl. 5 odst. 2 GDPR ke dni 6. 5. 2025 schopen doložit dodržení zásady korektnosti a transparentnosti dle čl. 5 odst. 1 písm. a) GDPR spočívající v poskytnutí informací subjektům údajů dle čl. 14 odst. 1 a 2 GDPR k výše uvedenému zpracování osobních údajů, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 5 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb. III. za což mu byla dle čl. 83 odst. 5 písm. a) ve spojení s čl. 83 odst. 3 GDPR uložena pokuta ve výši 99 000 Kč, IV. a dále povinnost nahradit náklady řízení ve výši 333 Kč. 4. Prvostupňovým rozhodnutím bylo dále ve výroku C) rozhodnuto, že je společnost Deluvis Advisory CZ s.r.o. vinna porušením totožných ustanovení právních předpisů jako žalobce b), čímž spáchala shodné přestupky jako žalobce b), za což jí byla uložena pokuta ve výši 124 000 Kč a povinnost nahradit náklady řízení ve výši 333 Kč. Konečně prvostupňové rozhodnutí ve výroku D) ve věci přestupků přičítaných společnosti Top Financial group s.r.o. řízení zastavilo, neboť spáchání skutků, o nichž se vedlo řízení, nebylo obviněné společnosti prokázáno. 5. Napadené rozhodnutí na základě podaných rozkladů ve výroku I zrušilo výrok A) II prvostupňového rozhodnutí a řízení v této části zastavilo, snížilo pokutu uloženou žalobci a) na 3 194 000 Kč a změnilo výši jeho povinnosti nahradit náklady řízení na 500 Kč; ve zbytku výrok A) prvostupňového rozhodnutí potvrdilo. Napadené rozhodnutí dále ve výroku II zrušilo výrok C) prvostupňového rozhodnutí a řízení vůči společnosti Deluvis Advisory CZ s.r.o. zastavilo. Konečně napadené rozhodnutí ve výroku III s ohledem na zrušení výroku C) prvostupňového rozhodnutí změnilo výši povinnosti žalobce b) nahradit náklady řízení na 500 Kč; jinak rozklad žalobce b) zamítlo a ve zbytku výrok B) prvostupňového rozhodnutí potvrdilo. Obsah žaloby žalobce a) 6. Žalobce a) v žalobě v prvním žalobním bodě uvedl, že napadené rozhodnutí nabylo právní moci 5 let a 28 dní poté, kdy žalobce a) zpřístupnil osobní údaje dotčených subjektů údajů žalobci b) a společnosti Deluvis Advisory CZ s.r.o. Došlo tudíž k zániku odpovědnosti za přestupek v důsledku marného uplynutí pětileté objektivní promlčecí doby dle § 32 odst. 3 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich. 7. Delikt dle výroku A) I prvostupňového rozhodnutí je dle žalobce a) jednorázovým deliktem dokonaným v okamžiku, kdy došlo ke zpřístupnění osobních údajů třetím osobám. Následné nakládání s osobními údaji ze strany třetích osob představuje jejich zpracování osobních údajů, na něž neměl žalobce a) žádný vliv. Nemohlo se tedy jednat o trvající přestupek. Důkazy potvrzují, že ke zpřístupnění systému STORMM žalobci b) a společnosti Deluvis Advisory CZ s.r.o. došlo již dne 2. 6. 2020 (e-mail Tomáše Zahálky z toho dne, popř. další e-mailová komunikace). Z hlediska počátku počítání promlčecí doby pak není relevantní, kdy byl ukončen přístup do systému STORMM. 8. Ve druhém žalobním bodě žalobce a) uvedl, že žalovaný v rozporu se zásadou materiální pravdy a právem na spravedlivý proces provedl nepřípustné omezení rozsahu dokazování, což vedlo k nedostatečnému zjištění skutkového stavu. Ve správním řízení měla být zkoumána schopnost doložit souhlas s předáním údajů cca 2 500 subjektů údajů. Žalobce a) na svou obranu doložil 420 konkrétních písemných prohlášení dokazujících existenci souhlasu. Správní orgány tyto důkazy ignorovaly a závěr o vině postavily na tom, že žalobce nedoložil souhlas u jiného, náhodně vybraného vzorku 250 sub