11 A 17/2025 – 51

Rubrum

Městský soud v Praze rozhodl v senátu složeném z předsedy Mgr. Marka Bedřicha a soudců JUDr. Jitky Hroudové a Mgr. Marka Zimy ve věci žalobce: Ing. L. P., Ph. D., narozený X bytem X proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, 170 00 Praha 7 o žalobě na ochranu před nečinností správního orgánu, takto:

Výrok

I. Žalovaný je povinen rozhodnout o stížnosti žalobce ze dne 1. 9. 2024, a to ve lhůtě 30 dnů od právní moci tohoto rozsudku.

II. Žalovaný je povinen nahradit žalobci náklady řízení ve výši 2 000 Kč do 30 dnů od právní moci tohoto rozsudku.

Odůvodnění

Vymezení věci 1. Žalobce se žalobou podanou u Městského soudu v Praze domáhal ochrany proti nečinnosti žalovaného a uložení povinnosti rozhodnout o stížnosti žalobce ve smyslu čl. 77 nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR).

2. Stížností podle čl. 77 GDPR ze dne 1. 9. 2024 se žalobce domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů, soukromí a práva na rodinný život při zpracování osobních údajů ze strany Statutárního města Brna, a to v souvislosti s vytvořením účtu na webových stránkách https://www.brnoid.cz/ při pořizování šalinkarty. Poukázal na pochybení při plnění informační povinnosti správce a předávání osobních údajů společnosti Google v důsledku využívání služby reCAPTCHA. Dále uvedl, že byl nucen ke spuštění scriptů od společnosti Google, aby si mohl zřídit účet. Žalobce rovněž nesouhlasil s účely, pro něž Google zpracovává osobní údaje ověřovaných osob. Žalobní body 3. Žalobce nastínil dosavadní průběh řízení a důvody, v nichž spatřuje nezákonnou nečinnost žalovaného. Uvedl, že podle § 71 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „správní řád“, případně „s. ř.“), je správní orgán povinen vydat rozhodnutí bez zbytečného odkladu. Pokud nelze rozhodnout bezodkladně, je správní orgán povinen vydat rozhodnutí nejpozději do 30 dnů od zahájení řízení s výjimkami stanovenými zákonem. Tato lhůta však dle žalobce uplynula a správní orgán je proto nečinný. Současně žalobce odkázal na rozsudek Nejvyššího správního soudu (dále též „NSS“) ze dne 16. 9. 2024, č. j. 1 As 71/2024–53 a rozsudky zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024–50 a č. j. 18 A 70/2024–57. V nich soudy podle žalobce seznaly, že Úřad pro ochranu osobních údajů (dále jen „Úřad“), má rozhodnout o stížnosti dle čl. 77 GDPR ve lhůtě 30 dnů.

4. Stran tvrzení žalovaného, že podání žalobce nelze považovat za stížnost podle čl. 77 GDPR, žalobce uvedl, že pakliže měl Úřad za to, že stížnost trpí vadami, měl se na žalobce obrátit s žádostí o jejich odstranění včas. S odkazem na rozsudek NSS ze dne 12. 4. 2013, č. j. 5 Ans 4/2012–20, uvedl, že zakládá i vadná žádost správní řízení a výpočet lhůt se odvíjí od jejího podání.

5. Žalobce má za to, že žalovaný je nečinný, prostředky ochrany proti nečinnosti byly bezvýsledně vyčerpány, a proto je jeho žaloba důvodná. Navrhuje proto, aby soud uložil žalovanému povinnost rozhodnout o jeho stížnosti ve lhůtě 30 dnů a uložil žalovanému povinnost nahradit žalobci náklady řízení. Vyjádření žalovaného 6. Žalovaný nejprve zrekapituloval stav věci a k věci samé uvedl, že dle § 37 správního řádu se podání posuzuje podle svého skutečného obsahu bez ohledu na to, jak je označeno. Z písemnosti ze dne 1. 9. 2024 je dle žalovaného zjevné, že se žalobce domáhá, aby Úřad vyslovil určitá porušení GDPR, aniž by však označil správce, který se předmětných porušení měl dopustit, přičemž toto má být úkolem Úřadu. Žalovaný poukázal na to, že žalobce ve svém podání neoznačil správce údajů, pročež je jeho podání neúplné a neurčité. Nesplňuje proto náležitosti předepsané § 37 s. ř. a § 45 s. ř. Dále žalovaný uvedl, že jako pravděpodobný správce osobních údajů byla identifikována společnost Technické sítě Brno, a. s., IČ 25512285. Této společnosti pak byla adresována výzva k vyjasnění nebo nápravě dle § 54 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění pozdějších předpisů (dále též „ZZOÚ“), ve spojení s čl. 58 odst. 1 písm. d) GDPR, o čemž byl žalobce informován.

7. Dále pak žalovaný poukázal na to, že žalobce ve svých podáních neuvedl, jakých osobních údajů vztažených k jemu samému by se měla stížnost týkat. Dodal, že za takovou specifikaci nelze považovat pouhou návštěvu webových stránek.

8. Žalovaný závěrem upozornil na to, že problematika rozhodování o stížnosti dle čl. 77 GDPR je nyní předmětem řízení o jeho kasační stížnosti proti rozsudku zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024–50. Ve věci, jíž řešil osmnáctý senát zdejšího soudu, byli také účastníky současný žalobce a Úřad. V obou případech jde navíc o zpracování osobních údajů prostřednictvím služby reCAPTCHA, kterou provozuje společnost Google Ireland. Stížnost žalobce byla přitom v uvedeném případě předána irskému dozorovému úřadu jakožto úřadu příslušnému ve vztahu ke společnosti Google Ireland. Šetření irského dozorového úřadu však doposud nebylo skončeno. Žalovaný uvedl, že ve věci 18 A 69/2024 poukázal na absenci relevantních informací pro rozhodnutí a výlučnou příslušnost irského dozorového úřadu. Současně má žalovaný za to, že není možné ve lhůtách aplikovaných rozsudkem NSS ze dne 16. 9. 2024, č. j. 1 As 71/2024–53, dosáhnout požadovaného výsledku.

9. Žalovaný závěrem uvedl, že žalobu považuje za nedůvodnou a navrhl, aby ji soud odmítl, jelikož byla podána osobou k tomu zjevně neoprávněnou a návrh je nepřípustný. Alternativně navrhl její zamítnutí. Další vyjádření účastníků řízení 10. Žalobce v dalších vyjádřeních uvedl, že pravděpodobného správce osobních údajů v rámci své stížnosti uvedl. Stejně tak srozumitelně uvedl, jaké osobní údaje by měly být zpracovávány. Rovněž uvedl, že z odůvodnění GDPR plyne, že by měl dozorový úřad přijmout opatření s cílem usnadnit podávání stížností. Český Úřad však naopak podávání stížností dle žalobce komplikuje.

11. Pro případ, že by soud shledal podání žalobce ze dne 1. 9. 2024 podnětem ve smyslu § 42 s. ř., navrhl, aby soud předložil Soudnímu dvoru EU (dále též „Soudní dvůr“, případně „SDEU“) předběžné otázky. Ty by se týkaly úrovně specifikace osobních údajů ve stížnosti dle čl. 77 GDPR, specifikace domnělých správců osobních údajů, povahy podání (obsahově stížnosti dle čl. 77 GDPR), vztažení čl. 41 Listiny základních práv Evropské unie na jednání Úřadu při aplikaci GDPR, aplikace zásady rovnosti a efektivity EU.

12. Městský soud se přípisem ze dne 27. 5. 2025 obrátil na žalovaného s dodatečnými otázkami, které vyvstaly poté, co NSS vydal dne 26. 5. 2025 pod č. j. 1 As 31/2025–58 rozsudek, kterým zrušil rozsudek zdejšího soudu ze dne 6. 2. 2025, č. j. 18 A 69/2024–50. Kasační soud v něm mj. vytkl zdejšímu soudu, že se zabýval nedostatečně povahou řízení vedeného u irského dozorového úřadu v souvislosti s užíváním služby reCAPTCHA. Vzhledem k tomu, že soud v nyní projednávané věci shledal věcnou souvislost obou řízení, vyzval žalovaného, aby sdělil, zda je i v nyní řešené věci nutné vyčkat na výsledek řízení vedeného před irským dozorovým orgánem, aby bylo možné vydat konečné rozhodnutí o žalobcově stížnosti. Současně se soud tázal, zda je nutné, aby irský dozorový orgán vedl řízení ke každé projednávané stížnosti samostatně, a tedy, aby byla irskému dozorovému úřadu také v nyní řešené věci předána část správního řízení, které se týká služby reCAPTCHA a společnosti Google Ireland, či zda je možné pouze převzít skutečnosti zjištěné v řízení před irským dozorovým orgánem v rámci jiného řízení, jež vyústilo vydáním výše označeného rozsudku NSS, i na nyní řešenou věc, případně na věci obdobné. Dále se soud tázal žalovaného, zda učinil ve vztahu k irskému dozorovému orgánu nějaké úkony v nyní projednávané věci.

13. Žalovaný v odpovědi na dotazy soudu uvedl, že společnost Technické sítě Brno akceptovala pozici správce osobních údajů a provedla relevantní opatření k nápravě, včetně ukončení používání nástroje reCAPTCHA. Dále pak nelze podat jednoznačnou odpověď na otázku, zda je nutné vyčkat na výsledek řízení před irským dozorovým úřadem. Současně se však žalovaný přiklonil k závěru, že není potřeba vyčkat. Ačkoliv se projednávaná věc také týká zpracování osobních údajů v souvislosti s používáním nástroje reCAPTCHA, tak jako věc, jíž se týká rozsudek NSS ve věci sp. zn. 1 As 31/2025, je nutné zohlednit, že správce osobních údajů používání nástroje reCAPTCHA již ukončil.

14. K otázce, zda je nutné, aby irský dozorový úřad vedl řízení ke každé projednávané stížnosti samostatně, tedy aby byla irskému dozorovému orgánu i v nyní řešené věci předána část správního řízení týkající se služby reCAPTCHA provozované společností Google Ireland, či zda je možné pouze převzít skutečnosti zjištěné v řízení před irským dozorovým úřadem v rámci jiného řízení na nyní řešenou věc, případně věci obdobné, Úřad v obecné rovině uvedl, že není zapotřebí, aby irský dozorový úřad vedl vždy samostatné řízení. Dále pak žalovaný uvedl, že v nyní projednávané věci nečinil úkony vůči irskému dozorovému úřadu. Zopakoval, že pokud žalobce jednoznačně neidentifikoval správce osobních údajů a jakých osobních údajů vztažených k osobě žalobce se podání týkalo, není možné vést řízení o žádosti dle hlavy šesté správního řádu, natož jej ukončit ve lhůtách uvedených v § 71 správního řádu. Závěrem zopakoval, že žalobu považuje za nedůvodnou a navrhl její odmítnutí, jelikož byla podána osobou k tomu zjevně neoprávněnou a návrh je nepřípustný. Alternativně znovu navrhl žalobu zamítnout.

15. Žalobce v reakci na vyjádření žalovaného uvedl, že si Úřad musí ujasnit svou situaci a jasně se rozhodnout, zda je, nebo není potřeba šetření v zahraničí. Soud by pak měl dle žalobce stanovit, že Úřad nerozhodl a ani řízení nepřerušil. Dále uvedl, že informaci, že společnost Technické sítě Brno, akciová společnost, ukončila používání nástroje reCAPTCHA považuje za irelevantní. Poukázal přitom na to, že se stížnost týkala zpracování ke dni 1. 9. 2024. Krok společnosti považuje žalobce za indicii, že se dělo něco ilegálního, resp. že panovala nejistota stran zpracování osobních údajů. Závěrem zdůraznil, že nadále považuje podání ze září 2024 za stížnost podle čl. 77 GDPR a že o této stížnosti nebylo Úřadem rozhodnuto. Správní spis 16. Ze správního spisu předloženého žalovaným správním orgánem zjistil soud, že v podání ze dne 1. 9. 2024, které žalobce nazval „Stížnost dle GDPR, článek 77, odst. 1“, se žalobce domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů. K bližší specifikaci obsahu podání soud odkazuje soud na část „vymezení věci“ tohoto rozsudku. V předmětném podání žalobce identifikoval „podezřelé správce osobních údajů“, a to (i) Statutární město Brno a (ii) Technické sítě Brno, akciová společnost, sídlem Barvířská 5, 602 00 Brno.

17. Žalovaný dne 3. 10. 2024 zaslal společnosti Technické služby Brno, akciová společnost (dále též „TSB“) žádost o vyjádření, v níž vyzval TSB ke sdělení a doložení, kdo je správcem osobních údajů podle čl. 4 bodu 7 GDPR ve vztahu ke zpracování osobních údajů prováděnému na webových stránkách https://www.brnoid.cz/cs/ v souvislosti s nákupem šalinkarty, resp. vytvořením účtu v e–shopu na uvedených webových stránkách za tímto účelem.

18. Dne 2. 10. 2024 podal žalobce žádost o vydání opatření proti nečinnosti dle § 80 správního řádu.

19. Dne 11. 10. 2024 zaslala společnost TSB žalovanému odpověď, ve které mj. uvedla, že při nákupu jízdenky platí, že poté, co si zákazník jízdenku zakoupí, jsou jeho osobní údaje vázané k jeho účtu v e–shopu Brno iD předány do odděleného systému společnosti KORDIS JMK, a.s., (dále jen „společnost KORDIS“), jež představuje koordinátora Integrovaného dopravního systému Jihomoravského kraje. Jak ostatně vyplývá z pravidel o nakládání s osobními údaji v e–shopu umístěných na webových stránkách brnoid.cz: "Automatizovaně jsou u držitelů elektronických jízdních dokladů osobní údaje předávány společnosti KORDIS JMK, a.s.“. Tím není dotčena možnost založení si účtu prostřednictvím pobočky společnost KORDIS, za účelem získání jízdních dokladů, správcem takto zpracovávaných osobních údajů je společnost KORDIS.

20. Dne 15. 10. 2024 zaslal žalovaný žalobci dopis, v němž sdělil, že v podání ze dne 1. 9. 2024 žalobce jednoznačně nedoložil, že by se jednalo o aktuální zpracování jeho osobních údajů, a dále ani jednoznačně neidentifikoval příslušného správce osobních údajů. Pro tyto důvody neklasifikoval předmětné podání jako stížnost dle čl. 77 GDPR. Toto podání tak bylo vyhodnoceno jako podnět ve smyslu § 42 správního řádu, kterým se dále zabýval.

21. Dne 4. 11. 2024 žalovaný zaslal TSB další žádost o vyjádření. Žalovaný v ní uvedl, že z odpovědi TSB ani z dokumentu „Zpracování osobních údajů v e–shopu Brno iD“ není zřejmé, kdo je správcem osobních údajů podle čl. 4 bodu 7 GDPR v souvislosti se zpracováním osobních údajů v důsledku založení účtu v e–shopu iD Brno. S ohledem na to žalovaný formuloval další otázky a požádal o záznamy, které shledal potřebnými pro další řešení věci.

22. Dne 15. 11. 2024 zaslala TSB odpověď na žádost ze dne 4. 11. 2024. Uvedla v ní, že TSB vystupuje v postavení správce při zpracování osobních údajů pro účel založení účtu pro uživatele portálu Brno iD. Dále pak TSB vystupuje v postavení zpracovatele při zpracování osobních údajů pro účel využívání jednotlivých modulů portálu Brno iD, kdy zpracování probíhá pro jednotlivé subjekty, které prostřednictvím modulů portálu nabízejí své služby.

23. Dne 14. 3. 2025 zaslal žalovaný společnosti TSB další výzvu k vyjádření. V ní uvedl, že identifikoval oblasti zpracování osobních údajů, z nichž není patrný jejich soulad s právními předpisy. Poukázal na to, že společnost TSB se sama identifikuje pouze jako zpracovatel osobních údajů, a nikoliv jako jejich správce. Vyzval tedy TSB k vyjasnění a nápravě vytýkaných pochybení. Na tomto místě je vhodné zmínit, že výzva se týkala také využití nástroje reCAPTCHA ze strany TSB.

24. Dne 17. 3. 2025 zaslal žalovaný žalobci sdělení, v němž zopakoval, že podání ze dne 1. 9. 2024 vyhodnotil jako podnět ve smyslu § 42 s. ř. Současně informoval žalobce, že správcem osobních údajů v souvislosti se zakládáním účtu je společnost TSB.

25. Dne 28. 3. 2025 zaslala společnost TSB odpověď na výše uvedenou výzvu, v níž uvedla, že v dokumentu „Zpracování osobních údajů v e–shopu BrnoiD“ nově označila společnost TSB rovněž jako správce osobních údajů. K využití nástroje reCAPTCHA uvedla, že jeho použití bylo ukončeno a nově je používán nástroj Altcha. Ten je lokálně na serveru nainstalované řešení, které nepotřebuje pro svůj provoz žádné cookies, a ani nic nesdílí s jakoukoliv třetí stranou. Posouzení věci Městským soudem v Praze 26. Soud nejprve shledal, že jsou splněny podmínky řízení, žaloba je přípustná, byla podána včas osobou oprávněnou.

27. Soud dále ověřil, že žalobce bezvýsledně vyčerpal prostředky k ochraně proti tvrzené nečinnosti, a to návrhem na vydání opatření podle § 80 správního řádu ze dne 3. 10. 2024.

28. Městský soud o věci rozhodl bez jednání, jelikož s takovým postupem žalovaný souhlasil a žalobce nevyjádřil výslovný nesouhlas [§ 51 odst. 1 zákona č. 150/2002 Sb., soudní řád správní, ve znění pozdějších předpisů (dále „s. ř. s.“)]. Důvodem pro nařízení jednání nebylo ani dokazování, neboť veškeré listiny potřebné pro rozhodnutí jsou obsaženy ve správním spisu, jímž se dokazování neprovádí (rozsudek NSS č. j. 9 Afs 8/2008–117 z 29. 1. 2009).

29. Dle ustanovení § 79 odst. 1 s. ř. s. ten, kdo bezvýsledně vyčerpal prostředky, které procesní předpis platný pro řízení u správního orgánu stanoví k jeho ochraně proti nečinnosti správního orgánu, může se žalobou domáhat, aby soud uložil správnímu orgánu povinnost vydat rozhodnutí ve věci samé nebo osvědčení. To neplatí, spojuje–li zvláštní zákon s nečinností správního orgánu fikci, že bylo vydáno rozhodnutí o určitém obsahu nebo jiný právní důsledek.

30. Dle ustanovení § 81 odst. 1 s. ř. s. soud rozhoduje na základě skutkového stavu zjištěného ke dni svého rozhodnutí. Podle ustanovení § 81 odst. 2 s. ř. s. je–li návrh důvodný, soud uloží rozsudkem správnímu orgánu povinnost vydat rozhodnutí nebo osvědčení a stanoví k tomu přiměřenou lhůtu, ne však delší, než kterou určuje zvláštní zákon.

31. Vzhledem k tomu, že žalovaný ve svém vyjádření namítl, že žalobce není osobou oprávněnou k podání žaloby, považuje soud za vhodné, se k této otázce podrobněji vyjádřit. V prvé řadě je nutné uvést, že „[n]ečinnostní žaloba je k dispozici komukoliv, kdo tvrdí nečinnost správního orgánu v souvislosti s vydáním rozhodnutí či osvědčení, které by mu mohlo zasáhnout do právní sféry.“ (KÜHN, Z., KOCOUREK, T. a kol. Soudní řád správní: Komentář. [Systém ASPI]. Wolters Kluwer [cit. 2025–6–23]. ASPI_ID KO150_2002CZ. Dostupné z: www.aspi.cz. ISSN 2336–517X.). Pro posouzení otázky aktivní legitimace je rovněž důležité, zda se žalobce cítí být zkrácen na svých právech (rozsudek NSS ze dne 2. 7. 2008, č. j. 1 Ans 5/2008–104). V nyní projednávané věci se žalobce cítí být zkrácen na svých právech tím, že doposud nebylo vydáno rozhodnutí ve věci samé v návaznosti na jeho stížnost dle čl. 77 GDPR. Žalovaný vyhodnotil podání žalobce ze dne 1. 9. 2024 jako podnět ve smyslu § 42 správního řádu. Soud s odkazem na rozsudek SDEU ze dne 7. 12. 2023, Land Hessen, spojené věci C–26/22 a C–64/22, body 47 až 60, uvádí, že Soudní dvůr vyloučil možnost, že by stížnost subjektu údajů podle čl. 77 GDPR mohla být vnímána jako prostý „podnět“ subjektu údajů dozorovému orgánu, ze kterého by plynula pouze povinnost dozorového orgánu podatele o osudu jeho podnětu zpravit. Z výše uvedeného dle soudu jasně plyne, že žalobce mohl být zkrácen na svých právech, které mu plynou z GDPR. Soud proto dospěl k závěru, že žalobce je osobou oprávněnou k podání žaloby proti nečinnosti správního orgánu.

32. Soud proto přistoupil k posouzení důvodnosti žaloby na ochranu proti nečinnosti žalovaného, a to na základě skutkového stavu zjištěného ke dni svého rozhodnutí (§ 81 odst. 1 s. ř. s.). Přitom zjistil, že žaloba je důvodná.

33. Žalobce spatřuje nečinnost v tom, že žalovaný nerozhodl o jeho stížnosti dle čl. 77 GDPR v zákonem stanovené lhůtě 30 dnů.

34. Podle čl. 77 odst. 1 GDPR aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení. Podle odst. 2 téhož ustanovení dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.

35. Podle čl. 78 odst. 1 GDPR aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká. Podle odst. 2 téhož ustanovení aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každý subjekt údajů právo na účinnou soudní ochranu, pokud se dozorový úřad, který je příslušný podle článků 55 a 56, stížností nezabývá nebo pokud neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti podané podle článku 77 či o jeho výsledku. Podle odst. 3 téhož ustanovení řízení proti dozorovému úřadu se zahajuje u soudů toho členského státu, v němž je daný dozorový úřad zřízen. Podle odst. 4 téhož ustanovení je–li zahájeno řízení proti rozhodnutí dozorového úřadu, kterému předcházelo stanovisko nebo rozhodnutí sboru v rámci mechanismu jednotnosti, dozorový úřad toto stanovisko nebo rozhodnutí předloží soudu.

36. Výkladu čl. 77 a 78 GDPR má napomáhat bod č. 141 preambule GDPR, který říká, že „[k]aždý subjekt údajů by měl mít právo podat stížnost u jediného dozorového úřadu, zejména v členském státě, kde má své obvyklé bydliště, a právo na účinnou soudní ochranu v souladu s článkem 47 Listiny, jestliže se domnívá, že byla porušena jeho práva podle tohoto nařízení, nebo pokud dozorový úřad na stížnost nereaguje, stížnost zcela či částečně odmítne či zamítne, nebo pokud nekoná, přestože je to nutné z důvodu ochrany práv subjektu údajů. Šetření, které následuje po podání stížnosti, by mělo být s výhradou soudního přezkumu provedeno v rozsahu, jenž je v daném případě přiměřený. Dozorový úřad by měl subjekt údajů v přiměřené lhůtě informovat o pokroku v řešení stížnosti a o jeho výsledku. Je–li v dané věci zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem, měl by být subjekt údajů informován průběžně. […].“.

37. Nejvyšší správní soud v bodu 26 rozsudku ze dne 16. 9. 2024, č. j. 1 As 71/2024–53 dovodil, že „[n]a rozhodování o stížnosti podané u českého dozorového orgánu se proto uplatní rovněž § 71 odst. 3 správního řádu. Žalovaný je povinen o stížnosti subjektu údajů rozhodnout bezodkladně, nejpozději však do 30 dnů od zahájení řízení. Tato lhůta může být prodloužena až o 30 dnů, jde–li o zvlášť složitý případ.“.

38. Městský soud na základě vyjádření účastníků řízení a spisového materiálu dospěl k závěru, že žalobce podal dne 1. 9. 2024 stížnost dle čl. 77 GDPR. V ní označil podezřelé správce údajů a uvedl, v čem spatřuje porušení GDPR. Soud dále poukazuje na čl. 141 preambule GDPR, z něhož plyne požadavek na vstřícnost dozorového úřadu při jednání se subjektem údajů (stěžovatelem/žalobcem).

39. S přihlédnutím k závěrům obsaženým v rozsudku NSS ve věci sp. zn. 1 As 31/2025 se městský soud zabýval rovněž využitím nástroje reCAPTCHA v souvislosti s možným předběžným řízením ve smyslu § 57 s. ř. u irského dozorového úřadu. Obě řízení, tj. sp. zn. 1 As 31/2025 i nyní řešená věc, se totiž ke stížnosti žalobce týkaly využití právě nástroje reCAPTCHA, který provozuje společnost Google Ireland.

40. Soud se proto přípisem ze dne 27. 5. 2025 dotázal žalovaného na to, zda je i v nyní projednávané věci nutné vyčkat na výsledek řízení vedeného před irským dozorovým orgánem, aby bylo možné vydat konečné rozhodnutí o žalobcově stížnosti. Na tuto otázku žalovaný odpověděl, že nikoliv, jelikož společnost TSB, jakožto správce osobních údajů používání nástroje reCAPTCHA ukončila. K tomu soudu dodal dopis společnosti TSB, který toto potvrzuje. Stejně tak žalovaný uvedl, že v rámci řešení stížnosti žalobce, jíž se týká nyní projednávaná věc, neučinil žádný úkon vůči irskému dozorovému úřadu. Dle soudu je tak skutkový stav nyní projednávané věci odlišný od věci, v níž rozhodl NSS rozsudkem ze dne 26. 5. 2025, č. j. 1 As 31/2025–58. Městský soud proto dospěl k závěru, že vedení řízení u irského dozorového orgánu v rámci řešení věci, jež vyústila vydáním rozsudku NSS ve věci sp. zn. 1 As 31/2025, nijak nebrání tomu, aby žalovaný o stížnosti žalobce ze dne 1. 9. 2024 rozhodl.

41. Z výše uvedeného dle soudu plyne, že žalovaný nesplnil svou povinnost vyplývající z § 71 odst. 3 s. ř., tedy povinnost rozhodnout do 30 dnů, [případně až 60 dnů v případech uvedených v § 71 odst. 3 písm. a) a b)] od podání stížnosti dle čl. 77 GDPR. Současně soud neshledal, že by sám žalobce jakkoliv zavinil marné uplynutí lhůty pro vydání rozhodnutí. Materiální aspekt důvodnosti žaloby je proto také naplněn.

42. Argumentace žalovaného stran toho, že stížnost nebyla dostatečně určitá, také není důvodná, jelikož z preambule GDPR, stejně jako z čl. 77 a násl GDPR jednoznačně vyplývá, že dozorový úřad má postupovat vůči subjektu údajů vstřícně. Bylo tak na žalovaném, aby se případně žalobce dotázal na možné nejasnosti stížnosti, pakliže je žalovaný shledal. Jednání žalovaného je navíc v rozporu nejen s výše citovanými ustanoveními GDPR a správního řádu, nýbrž také se zásadou rychlosti a hospodárnosti správního řízení obsažené v ustanovení § 6 správního řádu.

43. Pro úplnost soud dodává, že nevyhověl návrhu žalobce na předložení předběžné otázky SDEU. Vzhledem k tomu, že podání žalobce ze dne 1. 9. 2024 posoudil jako stížnost dle čl. 77 GDPR, nepovažoval již odpovědi na předmětné otázky za potřebné pro rozhodnutí v nyní řešené věci.

44. Soud připomíná, že správní úřad je nečinný, pokud nekoná, přestože mu to zákon ukládá. V této věci z výše uvedených důvodů proto nemůže být o nečinnosti správního orgánu (žalovaného) pochyb.

45. S ohledem na výše uvedené soud proto dospěl k závěru, že žaloba byla podána důvodně, neboť délka řízení, které ještě neskončilo, několikanásobně překročila třicetidenní zákonem stanovenou lhůtu pro rozhodnutí. Je proto nutno dovodit, že nečinnost trvá, když rozhodnutí ve věci nebylo vydáno ani ke dni rozhodnutí soudu o žalobě, a to i přesto, že bylo vydáno opatření proti nečinnosti nadřízeným orgánem. Soud proto podané žalobě vyhověl a žalovanému uložil povinnost vydat rozhodnutí. K tomu mu stanovil třicetidenní lhůtu, která se jeví jako přiměřená také s ohledem jak na složitost věci, tak i na to, že od zahájení řízení uplynulo již několik měsíců. Náklady řízení 46. O nákladech řízení soud rozhodl podle § 60 odst. 1 s. ř. s., podle kterého má účastník, který měl ve věci plný úspěch, právo na náhradu nákladů řízení před soudem, které důvodně vynaložil, proti účastníkovi, který ve věci úspěch neměl. Žalobce, který byl se žalobou úspěšný, nebyl v řízení před soudem zastoupen, má tudíž právo pouze na náhradu nákladů ve výši soudního poplatku za podání žaloby (2 000 Kč). Pokud žalobce v petitu žaloby požadoval „náklady řízení, náklady zastupování“, a to včetně příslušenství, nemohl mu soud jejich náhradu přiznat, neboť žalobce ve smyslu rozsudku NSS ze dne 25. 8. 2015, č. j. 6 As 135/2015–79, č. 3344/2016 Sb. NSS, soudu neprokázal vynaložení dalších nákladů v souvislosti s úkony, které v řízení učinil.