62024CC0414
STANOVISKO GENERÁLNÍHO ADVOKÁTA
JEANA RICHARDA DE LA TOUR
přednesené dne 4. září 2025 (
1
)
Věc C‑414/24
Datenschutzbehörde,
Dr. G. S
za účasti
Bundesministerin für Justiz,
D GmbH
[žádost o rozhodnutí o předběžné otázce, kterou podal Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko)]
„Řízení o předběžné otázce – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Články 77 a 79 – Procesní prostředky – Souběžné uplatnění – Vztah mezi správní stížností a prostředkem nápravy podaným k soudu – Procesní autonomie členských států – Zásada efektivity“
I. Úvod
1.
Tato žádost o rozhodnutí o předběžné otázce se týká výkladu čl. 77 odst. 1 a čl. 79 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (
2
).
2.
Tato žádost byla podána v rámci sporu mezi Dr. GS (dále jen „GS“) a Österreichische Datenschutzbehörde (Úřad pro ochranu osobních údajů, Rakousko) (dále jen „DSB“) ohledně odmítnutí stížnosti, kterou GS podala u DSB, s odůvodněním, že GS se již dříve v téže věci obrátila na soud.
3.
Uvedená žádost o rozhodnutí o předběžné otázce navazuje na rozsudek ze dne 12. ledna 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság[ (
3
)], v němž Soudní dvůr rozhodl, že procesní prostředky stanovené v čl. 77 odst. 1 a čl. 78 odst. 1 GDPR, jakož i v čl. 79 odst. 1 tohoto nařízení lze využít souběžně a nezávisle. Tento čl. 77 odst. 1 se týká práva podat stížnost u dozorového úřadu (
4
) a čl. 78 odst. 1 se týká práva na soudní ochranu proti rozhodnutí vydanému tímto úřadem. Tento čl. 79 odst. 1 se týká práva na soudní ochranu vůči správci nebo zpracovateli.
4.
Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko), který je předkládajícím soudem, žádá Soudní dvůr o upřesnění týkající se vztahu mezi těmito procesními prostředky, a konkrétně ohledně možnosti dozorového úřadu odmítnout stížnost, pokud byl dříve podán k soudu prostředek nápravy se stejným předmětem, i když toto soudní řízení stále probíhá nebo rozhodnutí vydané v tomto řízení ještě není pravomocné.
5.
Tato otázka má zásadní význam s ohledem na vůli unijního normotvůrce jednak uložit dozorovému úřadu zvláštní povinnost řádné péče a jednak posílit právo na účinnou soudní ochranu, zakotvené v článku 47 Listiny základních práv Evropské unie (
5
).
6.
V tomto stanovisku navrhnu Soudnímu dvoru, aby rozhodl, že čl. 77 odst. 1 a čl. 79 odst. 1 GDPR musí být vykládány v tom smyslu, že brání tomu, aby dozorový úřad, ke kterému byla podána stížnost v souladu s tímto čl. 77 odst. 1, mohl tuto stížnost odmítnout z důvodu, že dříve byl v souladu s tímto čl. 79 odst. 1 podán k soudu prostředek nápravy se stejným předmětem, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné.
7.
Svou analýzu zahájím připomenutím skutečnosti, že procesních prostředků stanovených v čl. 77 odst. 1 a čl. 78 odst. 1 GDPR, jakož i v čl. 79 odst. 1 tohoto nařízení lze využít souběžně a nezávisle. Připomenu rovněž povinnost členských států koordinovat tyto procesní prostředky, aby se zabránilo vydávání vzájemně si odporujících rozhodnutí. Prokážu, že tato povinnost koordinace nemůže mít dopad na možnost využít procesních prostředků stanovených GDPR souběžně a nezávisle tím, že dozorový úřad může odmítnout stížnost, kterou obdržel, namísto toho, aby její posouzení přerušil, dokud nebude soudní řízení zahájené podle čl. 79 odst. 1 GDPR pravomocně ukončeno.
II. Právní rámec
A.
Unijní právo
8.
Článek 17 GDPR, nadepsaný „Právo na výmaz (‚právo být zapomenut‘)“, v odstavci 1 písm. d) stanoví:
„Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
[…]
d) osobní údaje byly zpracovány protiprávně.“
9.
V rámci kapitoly VI GDPR, nadepsané „Nezávislé dozorové úřady“, obsahuje oddíl 1, týkající se „[n]ezávislost[i] postavení“, články 51 až 54. Článek 51 odst. 1 GDPR zní:
„Každý členský stát stanoví, že jeden nebo více nezávislých orgánů veřejné moci jsou pověřeny monitorováním uplatňování tohoto nařízení s cílem chránit základní práva a svobody fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnit volný pohyb osobních údajů uvnitř Unie […].“
10.
Článek 52 odst. 1 GDPR zní následovně:
„Každý dozorový úřad jedná při plnění úkolů a při výkonu svých pravomocí podle tohoto nařízení zcela nezávisle.“
11.
V rámci kapitoly VI oddílu 2 GDPR, nadepsaného „Příslušnost, úkoly a pravomoci“, který obsahuje články 55 až 59, se v čl. 57 odst. 1 písm. a) a f) stanoví následující:
„Aniž jsou dotčeny další úkoly stanovené tímto nařízením, každý dozorový úřad na svém území:
a)
monitoruje a vymáhá uplatňování tohoto nařízení;
[…]
f)
zabývá se stížnostmi, které mu podá subjekt údajů nebo subjekt, organizace či sdružení v souladu s článkem 80, a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem.“
12.
Článek 58 odst. 4 GDPR stanoví:
„Výkon pravomocí svěřených tímto článkem dozorovému úřadu podléhá vhodným zárukám, včetně účinné soudní ochrany a spravedlivého procesu, stanoveným v právu Unie a členského státu v souladu s Listinou.“
13.
Článek 77 GDPR, nadepsaný „Právo podat stížnost u dozorového úřadu“, zní:
„1. Aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.
2. Dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.“
14.
Článek 78 GDPR, nadepsaný „Právo na účinnou soudní ochranu vůči dozorovému úřadu“, v odstavci 1 stanoví:
„Aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká.“
15.
Článek 79 GDPR, nadepsaný „Právo na účinnou soudní ochranu vůči správci nebo zpracovateli“, v odstavci 1 stanoví:
„Aniž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77, má každý subjekt údajů právo na účinnou soudní ochranu, pokud má za to, že jeho práva podle tohoto nařízení byla porušena v důsledku zpracování jeho osobních údajů v rozporu s tímto nařízením.“
16.
Článek 81 GDPR, nadepsaný „Přerušení řízení“, v odstavcích 2 a 3 stanoví:
„2. Probíhá-li u soudu jiného členského státu řízení týkající se stejného předmětu, pokud jde o zpracování prováděné týmž správcem nebo zpracovatelem, kterýkoliv z příslušných soudů, u nichž nebylo řízení zahájeno jako první, může své řízení přerušit.
3. Pokud toto řízení probíhá v prvním stupni, kterýkoliv ze soudů, u nichž nebylo řízení zahájeno jako první, se může na návrh jedné ze stran také prohlásit za nepříslušný, je-li soud, u něhož bylo řízení zahájeno jako první, příslušný pro daná řízení a spojení těchto řízení je podle práva státu tohoto soudu přípustné.“
B.
Rakouské právo
17.
Článek 94 odst. 1 Bundes-Verfassungsgesetz (spolkový ústavní zákon) zní takto:
„Soudy všech stupňů jsou odděleny od státní správy.“
18.
Ustanovení § 24 Bundesgesetz zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten (spolkový zákon o ochraně fyzických osob v souvislosti se zpracováním osobních údajů) (
6
) ze dne 17. srpna 1999 ve znění použitelném na spor v původním řízení, nadepsané „Stížnosti adresované úřadu pro ochranu údajů“, v odstavcích 1 a 4 stanoví:
„(1) Každý subjekt údajů má právo podat stížnost u úřadu pro ochranu údajů, jestliže se domnívá, že při zpracování osobních údajů, které se ho týkají, bylo porušeno GDPR […]
[…]
(4) Právo na vyřízení stížnosti zaniká, pokud ji stěžovatel nepodá do jednoho roku od okamžiku, kdy se o události, která je důvodem stížnosti, dozvěděl, nejpozději však do tří let od okamžiku, kdy k tvrzené události došlo. Opožděné stížnosti budou odmítnuty.“
III. Skutkové okolnosti sporu v původním řízení a předběžné otázky
19.
Dne 3. července 2017 požádala GS, před nabytím účinnosti GDPR (
7
), společnost D GmbH, která provozuje on-line platformu pro vyhledávání lékařů, jež umožňuje třetím osobám poskytovat recenze lékařů a sdílet své zkušenosti s nimi, aby vymazala osobní údaje. Tato žádost o výmaz byla odmítnuta dopisem ze dne 10. července 2017.
20.
V listopadu 2017 podala GS proti D žalobu k občanskoprávnímu soudu, v níž mimo jiné tvrdila, že došlo k porušení práva na ochranu údajů, a domáhala se výmazu svých osobních údajů zveřejněných společností D, jakož i zdržení se jejich opětovného zpracování.
21.
Dne 22. června 2018, po nabytí účinnosti GDPR, GS opět požádala společnost D o výmaz svých osobních údajů uvedených na její platformě, což bylo rovněž odmítnuto dopisem ze dne 6. července 2018.
22.
Dne 26. července 2018 proto GS podala u DSB stížnost podle článku 77 GDPR, přičemž se opírala zejména o článek 17 tohoto nařízení, který zakotvuje právo na výmaz. V této stížnosti se GS domáhala, aby DSB konstatoval porušení jejích práv a uložil společnosti D povinnost vymazat všechny údaje na své platformě a zdržet se jakéhokoli dalšího zpracování.
23.
Rozhodnutím ze dne 4. ledna 2019 DSB tuto žádost odmítl s odůvodněním, že stížnost a občanskoprávní žaloba podaná v listopadu 2017 měly stejný předmět, a to výmaz osobních údajů GS z platformy D. Ze systematického hlediska by přitom bylo v rozporu s mechanismem právní ochrany podle GDPR, aby byla souběžně nebo postupně podána stížnost u dozorového úřadu a k soudu prostředek nápravy v téže věci.
24.
Rozsudkem ze dne 4. prosince 2020 Bundesverwaltungsgericht (Spolkový správní soud, Rakousko) žalobu podanou proti tomuto rozhodnutí zamítl. Předtím byla rozsudkem ze dne 23. července 2020 zamítnuta žaloba podaná GS u občanskoprávního soudu v listopadu 2017. Tento rozsudek nebyl ke dni 4. prosince 2020 ještě pravomocný.
25.
Bundesverwaltungsgericht (Spolkový správní soud) ve svém rozsudku konstatoval, že GDPR úmyslně zavedlo dvojí formu právní ochrany, a proto je třeba potvrdit zásadu, podle které má DSB pravomoc k rozhodnutí o této stížnosti. Uvedený soud měl naproti tomu za to, že uplynula jednoletá prekluzivní lhůta stanovená v § 24 odst. 4 zákona o ochraně osobních údajů. Vzhledem k tomu, že GS věděla o zveřejnění svých údajů společností D dne 3. července 2017 a v dalším řízení nebyla tvrzena žádná další podstatná skutková okolnost, právo na vyřízení stížnosti na základě článku 77 GDPR v době jejího podání ze strany GS dne 26. července 2018 již zaniklo. Změna právního stavu, tedy nabytí účinnosti GDPR, neměla za následek přerušení prekluzivní lhůty. Vzhledem k tomu, že opožděné podání stížnosti podle článku 77 GDPR má rovněž za následek její odmítnutí, byla stížnost GS podle Bundesverwaltungsgericht (Spolkový správní soud) právem odmítnuta.
26.
GS a DSB podaly proti tomuto rozsudku opravný prostředek Revision k Verwaltungsgerichtshof (Nejvyšší správní soud).
27.
Tento soud nesdílí názor Bundesverwaltungsgericht (Spolkový správní soud) ohledně prekluze, kterou by měla být stížnost GS stižena. Vzhledem k tomu, že GS poprvé uplatnila právo na výmaz ve smyslu čl. 17 odst. 1 GDPR po nabytí účinnosti tohoto nařízení, dne 22. června 2018, lhůta stanovená v § 24 odst. 4 zákona o ochraně osobních údajů začala běžet až od okamžiku, kdy se GS dozvěděla o e-mailu D ze dne 6. července 2018, v němž oznámila, že odmítá vyhovět žádosti o výmaz. Verwaltungsgerichtshof (Nejvyšší správní soud) má proto za to, že odůvodnění Bundesverwaltungsgericht (Spolkový správní soud) nemůže odůvodnit odmítnutí, ze strany DSB, stížnosti GS podané v souladu s čl. 77 odst. 1 GDPR.
28.
Verwaltungsgerichtshof (Nejvyšší správní soud) nicméně zkoumá, zda odmítnutí této stížnosti nebylo založeno na jiných právních důvodech. Po připomenutí rozhodnutí Soudního dvora v rozsudcích Nemzeti Adatvédelmi és Információszabadság Hatóság a ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení)[ (
8
)], se předkládající soud zamýšlí zejména nad důvodem uvedeným DSB, který se týká existence projednávaného prostředku nápravy podaného k soudu, který byl podán v téže věci. Článek 94 odst. 1 spolkového ústavního zákona totiž stanoví, že soudy všech stupňů jsou odděleny od státní správy. Jak vysvětluje předkládající soud, tento článek zaručuje zásadu oddělení soudnictví a státní správy, která vyžaduje, aby byla věc v plném rozsahu přidělena buď soudům, anebo správním orgánům. Uvedený článek tedy brání tomu, aby soudy a správní orgány rozhodovaly současně nebo postupně v téže věci (
9
).
29.
Zaprvé si předkládající soud klade otázku, zda stížnost podaná k dozorovému úřadu podle článku 77 GDPR může být odmítnuta, pokud již bylo v téže věci dříve uplatněno právo na účinnou soudní ochranu podle článku 79 GDPR a příslušné řízení u soudu, jemuž byla věc předložena, stále probíhá.
30.
Předkládající soud připomíná, že Soudní dvůr v rozsudku Nemzeti Adatvédelmi és Információszabadság Hatóság rozhodl, že články 77 až 79 GDPR umožňují využít procesních prostředků stanovených v čl. 77 odst. 1 a čl. 78 odst. 1 tohoto nařízení, jakož i v článku 79 odst. 1 uvedeného nařízení souběžně a nezávisle, a že je na členských státech, aby v souladu se zásadou procesní autonomie stanovily pravidla pro koordinaci těchto procesních prostředků, aby byla zajištěna účinnost ochrany práv zaručených tímto nařízením, soudržné a jednotné uplatňování jeho ustanovení, jakož i právo na účinný prostředek nápravy před soudem ve smyslu článku 47 Listiny.
31.
Tento soud má za to, že s cílem zabránit existenci vzájemně si odporujících rozhodnutí, která by „zpochybnila cíl zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů v celé Unii“ (
10
), lze připustit, v souladu s mechanismem stanoveným v čl. 81 odst. 2 a 3 GDPR, že pokud je stejný spor projednáván před občanskoprávními soudy a správními orgány, orgán, jemuž byla věc předložena později, příslušný návrh odmítne.
32.
Uvedený soud má za to, že i když se dotčená vnitrostátní úprava zcela neshoduje s mechanismy stanovenými v GDPR pro situace týkající se několika členských států, jeví se jako rozumné považovat ji s ohledem na tento cíl za přípustnou.
33.
Předkládající soud dodává, že i když zásada účinné soudní ochrany, kterou Soudní dvůr uvádí jako odůvodnění, je v první řadě zaměřena na situaci osoby dotčené zpracováním údajů, která využívá dané prostředky, je třeba rovněž přiznat správci, jakožto žalovanému, právo na účinné vedení řízení, které může být dotčeno skutečností, že dvě souběžná řízení mohou představovat nezanedbatelnou zátěž, zejména pokud jde o náklady na právní zastoupení v těchto dvou řízeních.
34.
Pouhá skutečnost, že před soudem, jemuž byla věc předložena podle článku 79 GDPR, probíhá řízení, tak brání tomu, aby dozorový úřad jednající na základě článku 77 tohoto nařízení mohl tuto věc platně projednat, pokud k němu byla podána stížnost po podání prostředku nápravy k soudu.
35.
Tento soud však poznamenává, že v případě, kdy je stížnost podle článku 77 GDPR odmítnuta pouze z důvodu probíhajícího řízení o prostředku nápravy podaném k soudu, neexistuje k okamžiku odmítnutí ještě žádné rozhodnutí ve věci samé o údajném porušení ochrany osobních údajů, a proto k tomuto okamžiku ještě nehrozí riziko vzájemně si odporujících rozhodnutí.
36.
Zadruhé v případě záporné odpovědi na první otázku se předkládající soud táže, zda stížnost podaná k dozorovému úřadu podle článku 77 GDPR může být odmítnuta z důvodu, že v řízení zahájeném podle článku 79 GDPR již bylo vydáno soudní rozhodnutí ve věci samé.
37.
Podle tohoto soudu odmítnutí stížnosti podané dozorovému úřadu z důvodu zásady přednosti poté, co bylo v soudním řízení přijato rozhodnutí ve věci samé, zohledňuje cíl zabránit vydání vzájemně si odporujících rozhodnutí. Nicméně by bylo možné mít za to, že odkaz na rozhodnutí, které není pravomocné, ještě neznamená pro subjekt údajů jistotu ohledně existence tohoto rozhodnutí.
38.
Za těchto podmínek se Verwaltungsgerichtshof (Nejvyšší správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„1)
Musí být články 77 a 79 [GDPR] s ohledem na závěry Soudního dvora v rozsudcích [Nemzeti Adatvédelmi és Információszabadság Hatóság] a [SCHUFA Holding] vykládány v tom smyslu, že možnost, která je stanovena ve vnitrostátním právu, odmítnout stížnost podanou u dozorového úřadu podle článku 77 GDPR z důvodu předchozího podání prostředku nápravy k soudu podle článku 79 GDPR v téže věci a skutečnost, že o tomto prostředku probíhá řízení před soudem, představuje přípustný způsob úpravy vzájemného vztahu těchto procesních prostředků (ve smyslu výše uvedené judikatury Soudního dvora)?
2)
V případě záporné odpovědi na první otázku, musí být články 77 a 79 [GDPR] s ohledem na závěry Soudního dvora v rozsudcích [Nemzeti Adatvédelmi és Információszabadság Hatóság] a [SCHUFA Holding] vykládány v tom smyslu, že možnost, která je stanovena ve vnitrostátním právu, odmítnout stížnost podanou u dozorového úřadu podle článku 77 GDPR na základě skutečnosti, že v řízení probíhajícím v téže věci o prostředku nápravy podanému k soudu podle článku 79 GDPR již bylo vydáno rozhodnutí ve věci samé (byť dosud nepravomocné), představuje přípustný způsob úpravy vzájemného vztahu těchto procesních prostředků (ve smyslu výše uvedené judikatury Soudního dvora)?“
39.
Písemná vyjádření předložily GS, D, DSB, rakouská, italská a maďarská vláda, jakož i Evropská komise.
IV. Analýza
40.
Předkládající soud žádá pro účely rozhodnutí o opravném prostředku, který mu byl předložen, Soudní dvůr o upřesnění týkající se vztahu mezi stížností podanou dozorovému úřadu podle čl. 77 odst. 1 GDPR a prostředkem nápravy podaným k soudu, jenž byl podán na základě čl. 79 odst. 1 tohoto nařízení.
41.
Podstatou otázek předkládajícího soudu, které navrhuji posoudit společně, je, aby Soudní dvůr rozhodl, zda dozorový úřad, k němuž byla podána stížnost podle čl. 77 odst. 1 GDPR, může tuto stížnost odmítnout z důvodu, že dříve byl podán k soudu prostředek nápravy podle čl. 79 odst. 1 tohoto nařízení se stejným předmětem (první otázka), a i když rozhodnutí o tomto prostředku nápravy ještě není pravomocné (druhá otázka).
42.
Podle mého názoru by odpověď na obě otázky měla být záporná. Ostatně podotýkám, že navzdory tomu, že DSB odmítl stížnost GS, jak rakouská vláda, tak tento dozorový úřad tento názor sdílejí.
43.
Úvodem je třeba připomenout, že kapitola VIII GDPR upravuje zejména procesní prostředky, které umožňují chránit práva subjektu údajů, pokud osobní údaje, které se ho týkají, byly údajně zpracovány v rozporu s ustanoveními uvedeného nařízení. Ochranu těchto práv tak může požadovat buď přímo subjekt údajů na základě článků 77 až 79 uvedeného nařízení, nebo subjekt oprávněný v případě, že za tímto účelem existuje nebo neexistuje pověření na základě článku 80 téhož nařízení (
11
).
44.
S cílem objasnit předkládajícímu soudu, zda odmítnutí stížnosti podané dozorovému úřadu podle čl. 77 odst. 1 GDPR z důvodu, že byl dříve podán k soudu prostředek nápravy podle čl. 79 odst. 1 tohoto nařízení, který má stejný předmět, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné, představuje přípustný způsob úpravy vzájemného vztahu procesních prostředků stanovených uvedeným nařízením, je třeba připomenout, že pro výklad ustanovení unijního práva je třeba vzít v úvahu nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (
12
).
45.
Pokud jde o znění relevantních ustanovení GDPR, je třeba nejprve připomenout, že čl. 77 odst. 1 tohoto nařízení upřesňuje, že „[a]niž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany“, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu. Dále podle čl. 78 odst. 1 uvedeného nařízení má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká, „[a]niž je dotčena jakákoli jiná správní či mimosoudní ochrana“. Konečně čl. 79 odst. 1 téhož nařízení zaručuje každému subjektu údajů právo na účinnou soudní ochranu, „[a]niž je dotčena jakákoli dostupná správní či mimosoudní ochrana, včetně práva na podání stížnosti u dozorového úřadu podle článku 77“.
46.
Podle Soudního dvora tato ustanovení GDPR poskytují různé procesní prostředky osobám dovolávajícím se porušení tohoto nařízení, přičemž každý z těchto prostředků musí být možné uplatnit, „aniž jsou dotčeny“ ostatní prostředky (
13
). GDPR tedy nestanoví přednostní nebo výlučnou příslušnost ani žádné pravidlo přednosti posouzení provedeného úřadem nebo soudem, které jsou v něm uvedeny, pokud jde o existenci porušení práv přiznaných tímto nařízením (
14
). Jinými slovy, unijní normotvůrce chtěl subjektům údajů zpřístupnit ucelený systém procesních prostředků, v němž právo na soudní ochranu a možnost uplatnit správní nebo mimosoudní prostředek nápravy existují vedle sebe nezávisle, aniž by jeden z nich byl vůči druhému subsidiární.
47.
Procesní prostředek zakotvený v čl. 78 odst. 1 GDPR, jehož předmětem je přezkum legality rozhodnutí dozorového úřadu přijatého na základě článku 77 tohoto nařízení, a procesní prostředek zakotvený v čl. 79 odst. 1 uvedeného nařízení mohou být tedy využity současně a nezávisle (
15
). Totéž platí pro stížnosti podané dozorovým úřadům v souladu s čl. 77 odst. 1 GDPR.
48.
Takový závěr je potvrzen kontextem relevantních ustanovení GDPR (
16
) a cíli sledovanými tímto nařízením. V tomto ohledu zejména z bodu 10 jeho odůvodnění vyplývá, že cílem tohoto nařízení je zajistit vysokou úroveň ochrany fyzických osob v souvislosti se zpracováním osobních údajů v Unii. Bod 11 odůvodnění uvedeného nařízení kromě toho uvádí, že účinná ochrana těchto osobních údajů vyžaduje posílení práv subjektů údajů. Volba unijního normotvůrce ponechat subjektům práv možnost využít souběžně a nezávisle procesní prostředky zakotvené v čl. 77 odst. 1 a čl. 78 odst. 1 GDPR na jedné straně a v čl. 79 odst. 1 tohoto nařízení na straně druhé je součástí cíle uvedeného nařízení (
17
). Soudní dvůr rovněž zdůraznil, že poskytnutí několika procesních prostředků posiluje cíl uvedený v bodě 141 odůvodnění GDPR, kterým je zaručit každému subjektu údajů, který se domnívá, že byla porušena jeho práva podle tohoto nařízení, právo na účinnou soudní ochranu v souladu s článkem 47 Listiny (
18
). Dodávám, že takový výklad potvrzuje i legislativní proces, který vedl k přijetí GDPR. Rakouská republika totiž v Radě Evropské unie vysvětlila svůj odmítavý postoj k tomuto textu zejména s ohledem na paralelní povahu procesních prostředků stanovených v tomto nařízení (
19
). Taková paralelní povaha procesních prostředků však byla v konečném znění uvedeného nařízení zachována.
49.
S ohledem na rozhodnutí Soudního dvora přijaté v rozsudku Nemzeti Adatvédelmi és Információszabadság Hatóság, mám za to, že připuštění toho, aby dozorový úřad, ke kterému byla podána stížnost podle čl. 77 odst. 1 GDPR, mohl tuto stížnost odmítnout z důvodu, že prostředek nápravy podaný k soudu podle čl. 79 odst. 1, který má stejný předmět, byl podán již dříve, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné, by mělo dopad na možnost, kterou GDPR poskytuje subjektům údajů, podat souběžné procesní prostředky ve věci téhož zpracování osobních údajů.
50.
Je pravda, jak jsem měl příležitost zdůraznit ve stanovisku, které jsem přednesl ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság, že tato možnost může představovat nevýhodu, jíž je právní nejistota, kterou může vyvolat existence vzájemně si odporujících rozhodnutí v jednom členském státě. I když se unijní normotvůrce v GDPR zabýval rizikem vzniku vzájemně si odporujících rozhodnutí mezi dozorovými úřady nebo soudy různých členských států, neplatí to pro případ, kdy jsou taková rozhodnutí přijata v témže členském státě (
20
). Za těchto podmínek je na každém z členských států, aby přijal procesní nástroje, které umožní zabránit přijímání vzájemně si odporujících rozhodnutí ve vztahu ke stejnému zpracování osobních údajů (
21
).
51.
Ve věci, v níž byl vydán rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság, se Soudní dvůr zabýval situací, kdy soud rozhodující o žalobě podané na základě čl. 78 odst. 1 GDPR mohl být nucen přijmout rozhodnutí v rozporu s pravomocným rozhodnutím, které bylo dříve přijato soudem rozhodujícím o žalobě podané na základě čl. 79 odst. 1 tohoto nařízení.
52.
Soudní dvůr zdůraznil, že v tomto případě by existence dvou vzájemně si odporujících rozhodnutí zpochybnila cíl zajistit soudržné a jednotné uplatňování pravidel ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním osobních údajů v celé Unii, který je uveden v bodě 10 odůvodnění GDPR (
22
). Podle Soudního dvora ochrana přiznaná rozhodnutím vydaným v návaznosti na žalobu podanou na základě čl. 79 odst. 1 tohoto nařízení, kterým bylo konstatováno porušení ustanovení tohoto nařízení, by totiž nebyla soudržná s druhým soudním rozhodnutím vydaným v návaznosti na žalobu podanou na základě čl. 78 odst. 1 uvedeného nařízení, které má opačný výsledek (
23
). Z toho by dále vyplynulo oslabení ochrany fyzických osob v souvislosti se zpracováním osobních údajů, které se jich týkají, jelikož taková nesoudržnost by vytvořila situaci právní nejistoty (
24
).
53.
Je proto důležité, aby členské státy zajistily, že existence procesních prostředků, které mohou subjekty údajů uplatnit souběžně, neohrozí účinnost ochrany práv, která jim přiznává GDPR. Je tedy na členských státech, aby zvolily procesní mechanismy, které považují za nejvhodnější, s cílem umožnit harmonický vztah mezi procesními prostředky stanovenými v článcích 77 až 79 tohoto nařízení.
54.
V tomto ohledu Soudní dvůr rozhodl, že vzhledem k tomu, že neexistuje unijní právní úprava v dané oblasti, přísluší každému členskému státu, aby na základě zásady procesní autonomie členských států stanovil pravidla týkající se správního a soudního řízení určeného k zajištění vysoké úrovně ochrany práv, která jednotlivcům vyplývají z unijního práva (
25
). Pravidla uplatňování těchto procesních prostředků existujících zároveň a nezávisle na sobě by však neměla ohrožovat užitečný účinek a účinnou ochranu práv zaručených GDPR (
26
). Tato pravidla totiž nesmějí být méně příznivá než ta, která se týkají podobných procesních prostředků stanovených na ochranu práv vyplývajících z vnitrostátního právního řádu (zásada rovnocennosti), a nesmějí v praxi znemožňovat nebo nadměrně ztěžovat výkon práv přiznaných unijním právním řádem (zásada efektivity) (
27
). Soudní dvůr rovněž zdůraznil, že členské státy musí zajistit, aby konkrétní pravidla uplatňování procesních prostředků zakotvených v čl. 77 odst. 1, čl. 78 odst. 1 a čl. 79 odst. 1 tohoto nařízení skutečně odpovídala požadavkům vyplývajícím z práva na účinnou právní ochranu zakotveného v článku 47 Listiny (
28
).
55.
Ve svém stanovisku ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság (
29
) jsem mimo jiné uvedl, že členské státy by mohly stanovit možnost nebo povinnost soudu, u něhož byla podána žaloba podle čl. 79 odst. 1 GDPR, v době, kdy již probíhalo řízení o stížnosti na základě čl. 77 odst. 1 uvedeného nařízení nebo soudní řízení na základě čl. 78 odst. 1 uvedeného nařízení, přerušit probíhající řízení a řízení přerušit do doby, než bude přijato rozhodnutí v jednom z těchto řízení (
30
). Uvedl jsem tedy, že přerušení řízení může podle mého názoru představovat řešení, které zabrání vzniku situace, kdy budou přijata dvě vzájemně si odporující rozhodnutí, což by mohlo ohrozit právní jistotu (
31
).
56.
Toto řešení se mi zdá být v kontextu projednávané věci obzvláště vhodné. Dozorový úřad, k němuž byla podána stížnost v souladu s čl. 77 odst. 1 GDPR, by tak měl mít možnost přerušit její posouzení, pokud byl dříve podán k soudu prostředek nápravy v souladu s čl. 79 odst. 1 tohoto nařízení se stejným předmětem, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné.
57.
Naproti tomu odmítnutí stížnosti v takovém kontextu je podle mého názoru v rozporu se zásadou efektivity, jelikož tento způsob úpravy vztahu procesních prostředků může zpochybnit účinnou ochranu práv zaručených GDPR. Takové odmítnutí je totiž podle mého názoru v rozporu se samotnou zásadou uceleného systému procesních prostředků, které mohou být uplatněny souběžně a nezávisle. Odmítnutí stížnosti navíc nutně nepředstavuje vhodné opatření k tomu, aby se zabránilo přijetí vzájemně si odporujících rozhodnutí.
58.
V tomto ohledu je třeba zdůraznit, že pokud dozorový úřad odmítne stížnost z důvodu, že stále probíhá řízení o prostředku nápravy podaném k soudu podle čl. 79 odst. 1 GDPR, nemůže si ještě být jist, zda bude v rámci tohoto prostředku nápravy vydáno rozhodnutí ve věci samé. Tento prostředek nápravy tak může být odmítnut z procesního důvodu, jako je nepřípustnost, aniž se rozhodne ve věci samé.
59.
Kromě toho, i když uvedený procesní prostředek vede, jako v projednávané věci, k rozhodnutí ve věci samé, může být toto rozhodnutí napadeno prostřednictvím vnitrostátních opravných prostředků. Proto mám na rozdíl od toho, co podle všeho zastává Komise ve svém vyjádření (
32
), za to, že pravomocná či nepravomocná povaha soudního rozhodnutí má význam. Podle mého názoru dozorový úřad nemůže stížnost bez dalšího odmítnout z důvodu, že prostředek nápravy podaný k soudu podle čl. 79 odst. 1 GDPR vedl k vydání rozhodnutí, dokud toto rozhodnutí nenabude právní moci, a lze jej tedy ještě napadnout.
60.
Stručně řečeno, dokud je rozpor mezi rozhodnutím přijatým dozorovým úřadem, kterému byla věc předložena na základě čl. 77 odst. 1 GDPR, a dosud nepravomocným rozhodnutím vydaným soudem, jemuž byla věc předložena podle čl. 79 odst. 1 tohoto nařízení, pouze hypotetický, nemůže tento úřad stížnost, která mu byla předložena, odmítnout na základě tohoto rizika rozporu.
61.
Na podporu tohoto výkladu je třeba zdůraznit význam práva podat stížnost u dozorového úřadu, zakotveného v čl. 77 odst. 1 GDPR, za účelem zajištění účinné ochrany práv zaručených tímto nařízením. Tato ochrana vyplývá zejména z rozsáhlých pravomocí svěřených uvedeným nařízením dozorovému úřadu za účelem posouzení, zda došlo k protiprávnímu zpracování osobních údajů subjektu údajů, a přijetí vhodných opatření k nápravě.
62.
V této souvislosti podotýkám, že čl. 51 odst. 1 GDPR ukládá členským státům povinnost určit jeden nebo více nezávislých orgánů veřejné moci, které jsou pověřeny monitorováním uplatňování tohoto nařízení. Zřízení takových orgánů, které je rovněž stanoveno primárním unijním právem, a sice čl. 8 odst. 3 Listiny a čl. 16 odst. 2 SFEU, představuje zásadní prvek ochrany osob v souvislosti se zpracováním osobních údajů (
33
). Hlavním úkolem těchto úřadů je podle čl. 51 odst. 1 a 2, jakož i čl. 57 odst. 1 písm. a) a g) GDPR monitorovat a vymáhat uplatňování tohoto nařízení a zároveň přispívat k jeho jednotnému uplatňování v Unii, a to za účelem ochrany základních práv a svobod fyzických osob v souvislosti se zpracováním jejich osobních údajů a usnadnění volného pohybu těchto údajů v rámci Unie (
34
).
63.
Podle čl. 57 odst. 1 písm. f) GDPR má každý dozorový úřad zejména povinnost zabývat se na svém území stížnostmi, které mu má podle čl. 77 odst. 1 tohoto nařízení právo podat každý subjekt údajů, jenž se domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení, a také povinnost ve vhodné míře prošetřit předmět takové stížnosti. Dozorový úřad se musí takovou stížností zabývat s veškerou náležitou péčí (
35
). Soudní dvůr zdůraznil, že i když volba vhodného a nezbytného prostředku přísluší dozorovému úřadu, který ji musí provést s přihlédnutím ke všem okolnostem dotčeného zpracování dotčených osobních údajů, musí tento úřad zároveň s veškerou náležitou péčí splnit svůj úkol vymáhat uplatňování GDPR (
36
).
64.
Za účelem monitorování a vymáhání uplatňování tohoto nařízení mají dozorové úřady různé pravomoci, které jim byly svěřeny na základě článku 58 uvedeného nařízení. Článek 58 odst. 1 GDPR tak přiznává těmto úřadům významné vyšetřovací pravomoci. Pokud takovýto orgán na základě svého šetření zjistí porušení ustanovení tohoto nařízení, je povinen přijmout vhodná opatření k nápravě zjištěného nedostatku. Pro tyto účely jsou v čl. 58 odst. 2 uvedeného nařízení vyjmenovány různé nápravné pravomoci, které dozorový úřad má (
37
).
65.
Soudní dvůr z toho vyvodil, že řízení o stížnosti, které není podobné řízení o petici, je koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů (
38
). Z tohoto hlediska je dozorový úřad povinen zasáhnout, pokud je přijetí jednoho nebo více nápravných opatření stanovených v čl. 58 odst. 2 GDPR s ohledem na všechny okolnosti konkrétního případu vhodné, nezbytné a přiměřené k nápravě zjištěného nedostatku a k zajištění plného dodržování tohoto nařízení (
39
).
66.
Podle mého názoru by bylo v rozporu s tímto cílem a s povinností postupovat s řádnou péčí, kterou má dozorový úřad, kdyby byl subjekt údajů bez dalšího zbaven výhod takového mechanismu tím, že by měl tento úřad možnost odmítnout jeho stížnost z důvodu, že předtím byl v souladu s čl. 79 odst. 1 tohoto nařízení podán k soudu prostředek nápravy se stejným předmětem, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné. Naproti tomu přerušení posouzení této stížnosti do doby, než bude vydáno pravomocné soudní rozhodnutí, je podle mého názoru v souladu jak s požadavkem zajistit účinnou ochranu práv zaručených GDPR, tak s požadavkem zabránit vydávání vzájemně si odporujících rozhodnutí v rámci téhož členského státu.
67.
Je pravda, že odmítnutí stížnosti podané dozorovému úřadu podle čl. 77 odst. 1 GDPR z takového důvodu nutně nebrání tomu, aby subjekt údajů mohl podat novou stížnost k tomuto úřadu poté, co bylo soudní řízení z procesního důvodu pravomocně ukončeno, anebo pokud subjekt údajů vzal svůj prostředek nápravy podaný k soudu zpět.
68.
Podání nové stížnosti se však může ukázat jako nemožné, pokud vnitrostátní právo podmiňuje podání stížnosti dodržením lhůty pro její přípustnost, jako je tomu v Rakousku, a tato lhůta již uplynula. V takovém případě by mohl být subjekt údajů zbaven jakékoliv účinné ochrany, pokud by byl jeho prostředek nápravy podaný k soudu odmítnut z procesních důvodů, aniž se rozhodne ve věci samé, nebo pokud by chtěl od soudního řízení upustit.
69.
Kromě toho a obecně mám za to, že takové řešení, které ukládá subjektu údajů odpovědnost znovu předložit věc dozorovému úřadu po prvotním odmítnutí jeho stížnosti, je v rozporu s povinností řádné péče, kterou má tento úřad. Tato povinnost totiž znamená, jak jsem uvedl výše, že uvedený úřad se musí stížností, která k němu byla podána, zabývat s veškerou náležitou péčí. Uvedená povinnost zejména vyžaduje, aby v případě, že je dozorovému úřadu předložena stížnost a úřad byl informován o existenci soudního řízení zahájeného v souladu s čl. 79 odst. 1 GDPR, které se týká týchž skutečností, věnoval tento úřad při posuzování této stížnosti pozornost rozhodnutí, kterým bude toto řízení pravomocně ukončeno. Do té doby by mělo být posuzování stížnosti přerušeno.
V. Závěry
70.
S ohledem na výše uvedené úvahy navrhuji, aby Soudní dvůr odpověděl na předběžné otázky položené Verwaltungsgerichtshof (Nejvyšší správní soud, Rakousko) takto:
„Článek 77 odst. 1 a čl. 79 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
musí být vykládány v tom smyslu, že
brání tomu, aby dozorový úřad, kterému byla předložena stížnost v souladu s tímto čl. 77 odst. 1, mohl stížnost odmítnout z důvodu, že předtím byl v souladu s tímto čl. 79 odst. 1 podán k soudu prostředek nápravy se stejným předmětem, a i když rozhodnutí vydané v rámci tohoto prostředku nápravy ještě není pravomocné.“
(
1
) – Původní jazyk: francouzština.
(
2
) – Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“.
(
3
) – C‑132/21, dále jen „rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság, EU:C:2023:2.
(
4
) – Podle čl. 4 bodu 21 GDPR je dozorovým úřadem „nezávislý orgán veřejné moci zřízený členským státem podle článku 51 [tohoto nařízení]“.
(
5
) – Dále jen „Listina“.
(
6
) – BGBl. I, 165/1999, dále jen „zákon o ochraně osobních údajů“.
(
7
) – Tato žádost byla založena na směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355).
(
8
) – C‑26/22 a C‑64/22, dále jen „rozsudek SCHUFA Holding, EU:C:2023:958.
(
9
) – Předkládající soud odkazuje na nález Verfassungsgerichtshof (Ústavní soud) ze dne 14. října 1970, G 20/70.
(
10
) – Předkládající soud cituje rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 54).
(
11
) – Viz zejména rozsudek ze dne 4. října 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, bod 47 a citovaná judikatura).
(
12
) – Viz zejména rozsudek ze dne 4. října 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, bod 52 a citovaná judikatura).
(
13
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 34). Pokud jde o možnost konkurenta podniku podat proti tomuto podniku žalobu k civilním soudům na základě zákazu nekalých obchodních praktik z důvodu tvrzeného porušení povinností stanovených GDPR ze strany uvedeného podniku, viz rovněž rozsudek ze dne 4. října 2024, Lindenapotheke (C‑21/23, EU:C:2024:846, bod 53).
(
14
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 35).
(
15
) – Viz rozsudky Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 35 a výrok); SCHUFA Holding (bod 66), jakož i ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 128).
(
16
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (body 36 až 41).
(
17
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 42).
(
18
) – Viz rozsudky Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 44) a SCHUFA Holding (bod 66). V posledně uvedeném rozsudku z toho Soudní dvůr vyvodil, že existence práva na účinnou soudní ochranu vůči správci nebo zpracovateli zakotveného v čl. 79 odst. 1 GDPR nemá vliv na rozsah soudního přezkumu rozhodnutí o stížnosti vydaného dozorovým úřadem prováděného v rámci rozhodování o žalobě podané na základě čl. 78 odst. 1 tohoto nařízení (bod 67 uvedeného rozsudku).
(
19
) – Viz výsledek hlasování o přijetí GDPR v dokumentu Rady 7920/16 ze dne 14. dubna 2016, který je k dispozici na internetové adrese: https://data.consilium.europa.eu/doc/document/ST‑7920-2016-INIT/cs/pdf (s. 7). Tento výklad sdílí i Oberster Gerichtshof (Nejvyšší soud, Rakousko), jak vyplývá z jeho rozsudku ze dne 23. května 2019, 6Ob91/19d (bod 4.5.).
(
20
) – Viz mé stanovisko ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, bod 57).
(
21
) – Viz mé stanovisko ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, bod 58).
(
22
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 54).
(
23
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 55).
(
24
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 56).
(
25
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 45).
(
26
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 47).
(
27
) – Viz rozsudek Nemzeti Adatvédelmi és Információszabadság Hatóság (bod 48).
(
28
) – Viz zejména rozsudek ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 136 a citovaná judikatura).
(
29
) – C‑132/21, EU:C:2022:661.
(
30
) – Viz mé stanovisko ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, bod 69).
(
31
) – Viz mé stanovisko ve věci Nemzeti Adatvédelmi és Információszabadság Hatóság (C‑132/21, EU:C:2022:661, bod 70).
(
32
) – Viz vyjádření Komise (bod 49).
(
33
) – Viz zejména rozsudek ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 119 a citovaná judikatura).
(
34
) – Viz zejména rozsudek ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 120 a citovaná judikatura).
(
35
) – Viz zejména rozsudky SCHUFA Holding (bod 56 a citovaná judikatura), jakož i ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 32).
(
36
) – Viz rozsudky ze dne 16. července 2020, Facebook Ireland a Schrems (C‑311/18, EU:C:2020:559, bod 112), a ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 37). V posledně uvedeném rozsudku Soudní dvůr rovněž uvedl, že prostor pro uvážení, který má dozorový úřad, je omezen nutností zajistit soudržnou a vysokou úroveň ochrany osobních údajů důsledným vymáháním práva, jak vyplývá z bodů 7 a 10 odůvodnění GDPR (bod 38).
(
37
) – Viz zejména rozsudek SCHUFA Holding (bod 57 a citovaná judikatura).
(
38
) – Viz rozsudek SCHUFA Holding (bod 58).
(
39
) – Viz rozsudky ze dne 26. září 2024, Land Hessen (Povinnost orgánu pro ochranu údajů jednat) (C‑768/21, EU:C:2024:785, bod 42), a ze dne 30. dubna 2025, Inspektorat kam Visshia sadeben savet (C‑313/23, C‑316/23 a C‑332/23, EU:C:2025:303, bod 132).