18 A 70/2024 – 57

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedy Martina Lachmanna a soudců Jana Ferfeckého a Martina Bobáka ve věci žalobce: Ing. L. P., Ph.D. bytem X proti žalovanému: Úřad pro ochranu osobních údajů sídlem Pplk. Sochora 727/27, 170 00 Praha 7 o žalobě na ochranu proti nečinnosti žalovaného při vyřízení stížnosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 23. 2. 2024, vedené pod č. j. UOOU–00134/24, takto:

Výrok

I. Žalovanému se ukládá, aby ve lhůtě 30 dnů od nabytí právní moci tohoto rozsudku rozhodl o žádosti žalobce ze dne 15. 12. 2023, ve znění jejího doplnění ze dne 23. 2. 2024, vedené pod č. j. UOOU–00134/24.

II. Žalovaný je povinen zaplatit žalobci náhradu nákladů řízení ve výši 2 000 Kč, a to do jednoho měsíce od právní moci tohoto rozsudku.

Odůvodnění

I. Vymezení věci

1. Městský soud v Praze se v nynější věci zabýval dalším případem vyřizování stížnosti žalobce ve smyslu čl. 77 Nařízení Evropského parlamentu a Rady č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (GDPR). Žaloba se týká vyřízení stížnosti z 15. 12. 2023, kterou žalobce doplňoval dne 23. 2. 2024 a jíž se domáhal prověření podezření na porušení právních předpisů na ochranu osobních údajů, soukromí a práva na rodinný život při zpracování osobních údajů.

2. K tomu mělo dojít při jeho návštěvě obchodního centra Olympia Brno dne 3. 6. 2023, kde probíhala akce společnosti ECE Projektmanagement Praha s.r.o. Žalobce tam měl být se svojí rodinou bez souhlasu vyfotografován neoznačeným mužem, proto dne 4. 6. 2023 kontaktoval danou společnost na její emailové adrese [email protected], resp. vůči ní uplatnil „námitku pro zpracování osobních údajů pro marketingové účely… a právo na výmaz protiprávně zpracovávaných osobních údajů“ a zároveň požádal o uhrazení částky 1 000 Kč v důsledku vzniklé „velké citové újmy“. Odpověď na to ze dne 12. 6. 2023 zpochybňovala identitu fotografující osoby, konstatovala konkludentní udělení souhlasu s fotografováním a odmítla požadavek na úhradu 1 000 Kč. Tuto odpověď žalobce obdržel z e–mailové adresy [email protected] s podpisem E. M. D. (Ms), Data Protection Counsel, Compliance, Data Protection & Security, ECE Group Services GmbH & Co. KG, Hamburg. Žalobci přitom nebylo zřejmé, proč byla předmětná emailová zpráva doručena uvedené osobě, resp. společnosti. V této souvislosti tak žalobce detekoval možný přenos osobních údajů do USA, a to na server společnosti Microsoft, což podle něj nasvědčuje porušení Kapitoly V GDPR. Žalobce tak stížností, resp. podáním ze dne 23. 2. 2024, požadoval „smazání všech osobních údajů ze serveru Microsoft“.

II. Žaloba

3. V podané žalobě se žalobce domáhal na základě čl. 78 odst. 2 GDPR ochrany před nečinností žalovaného spočívající v tom, že ke dni podání žaloby nerozhodl o jeho stížnosti. V žalobním petitu navrhl, aby soud žalovaného zavázal rozhodnout o jeho stížnosti ve lhůtě 30 dnů od doručení rozsudku. Uvedl, že dne 25. 3. 2024 bezúspěšně požádal o uplatnění opatření proti nečinnosti dle § 80 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (správní řád), byť podle něj čl. 78 odst. 2 GDPR uplatnění správní ochrany nevyžaduje (ani mu ovšem nebrání).

4. Ve zbytku (stručné) žalobní argumentace odkázal na rozsudek Nejvyššího správního soudu (NSS) z 16. 9. 2024, č. j. 1 As 71/2024 – 53. NSS v něm podle žalobce s odkazem na § 71 odst. 3 správního řádu jednoznačně uzavřel, že žalovaný musí o stížnosti podle čl. 77 GDPR rozhodnout do 30 dnů od jejího podání, resp. do 60 dnů za splnění dalších podmínek. Žalovaný se stížností nesprávně zachází jako s podnětem (viz sdělení žalovaného z 26. 3. 2024, kde uvedl, že v případu něco činí, ale již neuvedl, proč není aktivní). NSS v uvedeném rozsudku takové dokumenty nenahlížel jako informace o pokroku v řešení stížnosti. O stížnosti tak mělo být dávno rozhodnuto. Žalovaný přitom stran stížnosti ani nezahájil správní řízení. Postup žalovaného porušuje právo žalobce na soukromí, respektování soukromého a rodinného života a obydlí, řádnou správu, spravedlivý proces a právo být vyslyšen ve smyslu Listiny základních práv a svobod (Listina), Listiny základních práv EU, Evropské úmluvy o ochraně lidských práv a základních svobod, GDPR a správního řádu.

III. Vyjádření žalovaného

5. Žalovaný nesouhlasil s tvrzením o své nečinnosti a navrhl zamítnutí žaloby.

6. Uvedl, že se stížností žalobce (i přes zjevně extenzivní požadavky žalobce a i s ohledem na personální kapacity žalovaného při vyřizování stížností subjektů údajů) zabýval. Podle § 3 zákona č. 255/2012 Sb., o kontrole (kontrolní řád), kontaktoval společnost ECE Projektmanagement Praha s.r.o (viz přípisy z 12. 3. 2024 a z 30. 4. 2024) s žádostí o poskytnutí vysvětlení. Následně žalobce informoval o pokroku v řešení jeho stížnosti přípisem z 26. 3. 2024 a 2. 4. 2024, kterými reagoval i na žádost žalobce dle § 80 správního řádu z 25. 3. 2024. Dále žalobce informoval přípisem z 30. 4. 2024. K řešení stížnosti uvedl, že již dostatečně zjistil stav věci k posouzení důvodnosti stížnosti, přičemž shromážděné podklady naznačují, že je neoprávněná. Přenos emailové zprávy žalobce mezi společnostmi skupiny ECE pak lze podle žalovaného přijmout jako potřebný pro vyřízení podání v rámci vymezených kompetencí.

7. Pokud jde o proces vyřizování stížností podle čl. 77 GDPR, upozornil na judikaturní vývoj (v obdobných věcech žalobce), který zpochybnil dosavadní praxi žalovaného. NSS v rozsudku sp. zn. 1 As 71/2024 totiž pro žalovaného překvapivě dovodil, že o stížnostech dle čl. 77 GDPR se rozhoduje v řízení o žádosti podle Hlavy VI správního řádu, a to ve lhůtách dle § 71 odst. 3 správního řádu bez ohledu na tříměsíční lhůtu pro informování subjektu údajů o pokroku či výsledku řešení stížnosti podle přímo aplikovatelného čl. 78 odst. 2 GDPR. Žalovaný v tomto směru uvedl, že s omezenými personálními kapacitami čelí značnému počtu stížností. Není proto schopen stížnosti řádně prošetřit a věcně o nich rozhodnout ve lhůtách podle § 71 odst. 3 správního řádu.

8. Závěrem žalovaný obecně dodal, že rozsudek NSS sp. zn. 1 As 71/2024 bez podrobností nastiňuje tři základní principy (1. řízení o stížnosti podle čl. 77 GDPR u žalovaného je řízením o žádosti; 2. výsledkem takového řízení má být rozhodnutí podle § 67 odst. 1 správního řádu a 3. na vydání takového rozhodnutí se aplikují lhůty podle § 71 odst. 3 správního řádu). Nezabýval se ale otázkou vztahu návrhového řízení o stížnosti (žádosti) subjektu údajů a možných postupů žalovaného vůči správci či zpracovateli osobních údajů. Nevyřešil ani otázku dopadu lhůt v § 71 odst. 3 správního řádu a procesních práv účastníků na reálné možnosti žalovaného vydat v jejich rámci rozhodnutí podle § 67 odst. 1 správního řádu (zejména, shledá–li stížnost oprávněnou). Dále se nezabýval požadavky na stížnost jako žádost podle § 44 a § 45 správního řádu a formulací výroku „pozitivního“ (vyhovujícího) rozhodnutí o ní. Žalovaný musí v důsledku závěrů NSS improvizovat (např. přerušit řízení o stížnosti do vyřešení předběžných otázek), zvláště u již probíhajících šetření. Výsledkem je snížení standardu ochrany osobních údajů. Při dodržení všech postupů označil za nereálné vyřídit stížnost ve lhůtě 30 dnů (nebo i 60 dnů). Navíc je zřejmé, že v tomto případě zvolený postup podle § 3 kontrolního řádu je vhodný k objasnění skutkového stavu, a to i s ohledem na povinnou součinnost kontrolovaného.

9. V kontextu nynější věci žalovaný dodal, že již shromáždil dostatek podkladů k vydání rozhodnutí. Předtím ale musí v mezích rozsudku sp. zn. 1 As 71/2024 v rámci postupu podle části druhé Hlavy VI správního řádu respektovat práva žalobce (stěžovatele), a to mj. mu umožnit uplatnit právo podle § 36 správního řádu (k čemuž se žalovaný chystá v nejbližší době) seznámením se s podklady a vyjádřením se k nim, což neumožňuje bezodkladné vydání rozhodnutí.

IV. Replika žalobce a další průběh řízení

10. Žalobce ve své replice z 2. 1. 2025 setrval na tom, že žalovaný je (bez jeho zavinění) nečinný a stížností se zřejmě nezabývá. Místo toho otevřel paralelní proces, o kterém občas zasílá informace, ze kterých ale nelze zjistit, co konkrétně a proč řeší. Tento vedlejší proces ale není nijak pro vyřízení stížnosti významný a ani nutný. S ohledem na sedmiletou praxi vyřizování stížností je absurdním tvrzení o potřebě aplikovat improvizované postupy. Není úkolem soudů dávat instrukce, žalovaný si musí sám vyložit právní předpisy pro jeho konzistentní přístup a ochranu oprávněných zájmů dotčených subjektů.

11. Řeší–li žalovaný stížnost postupem podle § 3 kontrolního řádu, žalobce v rámci něj nemá procesní postavení. NSS v rozsudku sp. zn. 1 As 71/2024 přitom odmítnul, že by stížnost podle čl. 77 GDPR byla podnětem. Žalobce není podatelem podnětu k provedení kontroly, ale naopak je žadatelem o rozhodnutí o jeho stížnosti. Dochází–li přitom k rozhodování o stížnosti na základě § 141 správního řádu, jsou v takovém správním řízení stranami jak podatel stížnosti, tak obviněný správce. To, že žalobce nemá procesní postavení (ani práva) v rámci prováděné kontroly, je v rozporu s bodem 143 odůvodnění GDPR [k tomu odkázal na rozsudek Soudního dvora Evropské unie (SDEU) z 12. 1. 2023 ve věci C–132/21, Nemzeti Adatvédlmi és Információszabadság Hatóság, bod 41]. Pokud žalovaný takové otázky řeší v paralelních procesech bez účasti stěžovatele, pak by jejich posouzení nemohlo být podrobeno soudnímu přezkumu. Realizací kontrol žalovaný stížnosti neřeší, navíc vede k nemožnosti domáhat se soudní ochrany před jeho nečinností. Upozornil přitom, že NSS nebral zřetel na zasílané informace žalovaného o průběhu řízení a limit pro podání nečinnostní žaloby určil 30 dnů + 1 rok (resp. 60 dnů + 1 rok) bez možnosti prodloužení. Navíc komunikace žalovaného je zmatečná, neinformoval o právním rámci vedeného správního řízení a nepoučil žalobce o právech a povinnostech. Žalobce se též vrátil ke své dřívější e–mailové zprávě z 23. 6. 2023 a nekonání žalovaného při jeho vyřízení.

12. V další části své repliky zopakoval svoji argumentaci v žádosti, týkající se jiné věci a možnost postupu dle § 141 správního řádu. Závěrem pak uvedl, že důvodnost žaloby závisí na výkladu práva Evropské unie a zásady rovnocennosti a efektivity. Soud by se podle žalobce měl obrátit na SDEU s předběžnými otázkami, jež formuloval a jež se týkaly otázky zahájení řízení, lhůty k vydání rozhodnutí atd.

13. Soud posléze s ohledem na § 81 odst. 1 s. ř. s. dne 24. 1. 2025 vyzval žalobce a žalovaného ke sdělení aktuálního stavu věci. Žalobce reagoval sdělením z 29. 1. 2025, že žalovaný doposud nerozhodl. Téhož dne na výzvu soudu reagoval i žalovaný. Trval na nedůvodnosti žaloby a dále na tom, že není nečinný.

14. V reakci na repliku dále uvedl, že nepřinesla nic nového, žalovaný se s obdobnými argumenty již vypořádal (ať již v rámci tohoto řízení nebo v jiných řízeních žalobce, např. pod sp. zn. 15 A 46/2024). Zbytek repliky je argumentačně irelevantní (směšuje postavení a procesní práva stěžovatele podle čl. 77 GDPR ve smyslu rozsudku NSS sp. zn. 1 As 71/2024 na jedné straně a na straně druhé podatele podnětu k provedení kontroly). Žalovaný mu pak takové postavení nemůže nad rámec zákonných mezí přiznat z vlastní vůle, jednal by tím v rozporu s čl. 2 Ústavy. Žalovaný zopakoval potřebu vést paralelní postupy k vedení případného řízení o stížnosti podle čl. 77 GDPR (ať jde o kontrolu podle kontrolního řádu nebo o přestupkové řízení). S ohledem na závěry citovaného rozsudku nelze akceptovat požadavek žalobce na vedení sporného řízení podle části třetí správního řádu. Ostatně, ve smyslu § 141 správního řádu není ani žalovaný zákonem, resp. GDPR, zmocněn k jeho vedení, nejedná se ani o spor z veřejnoprávních smluv. Není pravdou ani to, že by žalobce neměl možnost soudní ochrany – může podat občanskoprávní žalobu přímo proti správci/zpracovateli dle čl. 79 GDPR.

15. Ke stížnosti konkrétně uvedl, že s ohledem na rozsudek NSS po shromáždění potřebných podkladů dne 27. 1. 2025 vyzval žalobce k vyjádření se k nim [uvedenou výzvu soudu žalovaný předložil (učinil tak i žalobce)]. Žalovaný ještě soudu doložil komunikaci, ve které žalobce projevil zájem nahlížet do spisu, předběžně dne 12. 2. 2025 či 13. 2. 2025. Uvedl, že následně vydá rozhodnutí o této stížnosti žalobce. Zopakoval přitom, že ze shromážděných podkladů vyplývá, že je nedůvodná. Dodal, že takové rozhodnutí pak bude podléhat soudnímu přezkumu. V. Posouzení věci Městským soudem v Praze V.1 Základní legislativní a judikaturní východiska 16. Jak z pohledu věcného posouzení, tak i vlastních podmínek řízení bylo nutné se nejprve blíže zabývat povahou stížnosti dle čl. 77 GDPR, povahou následné reakce žalovaného a rozhodnou právní úpravou. Soud připomíná, že žalobce využil svého práva jako subjektu údajů podat u dozorového úřadu (tj. žalovaného) stížnost podle přímo použitelného předpisu – GDPR. Konkrétněji je toto právo v čl. 77 odst. 1 GDPR zakotveno tak, že aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.

17. Podle čl. 77 odst. 2 GDPR dozorový úřad, kterému byla stížnost podána, informuje stěžovatele o pokroku v řešení stížnosti a o jeho výsledku, jakož i o možnosti soudní ochrany podle článku 78.

18. Čl. 78 GDPR stanoví právo na účinnou soudní ochranu vůči dozorovému úřadu. Podle čl. 78 odst. 1 GDPR aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každá fyzická nebo právnická osoba právo na účinnou soudní ochranu proti právně závaznému rozhodnutí dozorového úřadu, které se jí týká. (zvýraznění doplněno)

19. Podle čl. 78 odst. 2 GDPR aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každý subjekt údajů právo na účinnou soudní ochranu, pokud se dozorový úřad, který je příslušný podle článků 55 a 56, stížností nezabývá nebo pokud neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti podané podle článku 77 či o jeho výsledku. (zvýraznění doplněno)

20. Obdobné právo jako v čl. 78 GDPR, ale vůči správci nebo zpracovateli údajů, zakotvuje čl. 79 GDPR.

21. Konečně čl. 57 odst. 1 písm. f) GDPR, který primárně vymezuje „úkoly“ vnitrostátního dozorového úřadu, upřesňuje, že: „zabývá se (dozorový úřad na svém území) stížnostmi, které mu podá subjekt údajů (…), a ve vhodné míře prošetřuje předmět stížnosti a v přiměřené lhůtě informuje stěžovatele o vývoji a výsledku šetření, zejména v případech, kdy je zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem.“ 22. Výkladu čl. 77 a čl. 78 GDPR má napomáhat bod č. 141 odůvodnění GDPR, který upřesňuje, že: „Každý subjekt údajů by měl mít právo podat stížnost u jediného dozorovému úřadu, zejména v členském státě, kde má své obvyklé bydliště, a právo na účinnou soudní ochranu v souladu s článkem 47 Listiny, jestliže se domnívá, že byla porušena jeho práva podle tohoto nařízení, nebo pokud dozorový úřad na stížnost nereaguje, stížnost zcela či částečně odmítne či zamítne, nebo pokud nekoná, přestože je to nutné z důvodu ochrany práv subjektu údajů. Šetření, které následuje po podání stížnosti, by mělo být s výhradou soudního přezkumu provedeno v rozsahu, jenž je v daném případě přiměřený. Dozorový úřad by měl subjekt údajů v přiměřené lhůtě informovat o pokroku v řešení stížnosti a o jeho výsledku. Je–li v dané věci zapotřebí další šetření nebo koordinace s jiným dozorovým úřadem, měl by být subjekt údajů informován průběžně. […].“ 23. Pokud jde pak o základní východiska nečinnostní žaloby, podle § 79 odst. 1 s. ř. s. platí, že ten, kdo bezvýsledně vyčerpal prostředky, které procesní předpis platný pro řízení u správního orgánu stanoví k jeho ochraně proti nečinnosti správního orgánu, může se žalobou domáhat, aby soud uložil správnímu orgánu povinnost vydat rozhodnutí ve věci samé nebo osvědčení. To neplatí, spojuje–li zvláštní zákon s nečinností správního orgánu fikci, že bylo vydáno rozhodnutí o určitém obsahu nebo jiný právní důsledek.

24. Podle § 80 odst. 1 s. ř. s. žalobu lze podat nejpozději do jednoho roku ode dne, kdy ve věci, v níž se žalobce domáhá ochrany, marně proběhla lhůta stanovená zvláštním zákonem pro vydání rozhodnutí nebo osvědčení, a není–li taková lhůta stanovena, ode dne, kdy byl žalobcem vůči správnímu orgánu nebo správním orgánem proti žalobci učiněn poslední úkon.

25. Předem aplikace citovaných ustanovení na projednávanou věc soud předesílá, že obdobnou nečinnostní žalobou (stejného žalobce) proti žalovanému se nedávno zabýval NSS v opakovaně zmiňovaném rozsudku sp. zn. 1 As 71/2024. V něm NSS zdůraznil, že GDPR (a ani jeho hlavní adaptační zákon č. 110/2019 Sb., o zpracování osobních údajů) nestanoví vlastní specifický rámec pro vyřizování stížností subjektů údajů dle čl. 77 GDPR. To ale podle NSS neznamená, že se žalovaný pohybuje mimo jakýkoli procesní (tedy i časový) rámec. V takovém případě podle NSS nastupuje jeden z principů vnitrostátní aplikace unijního práva – procesní autonomie členského státu. V tomto duchu se tak podle NSS rozhodování o stížnosti podle čl. 77 GDPR před českým dozorovým úřadem (žalovaným) bude řídit procesními pravidly správního řádu.

26. NSS se následně v bodech 24 – 26 uvedeného rozsudku zabýval povahou rozhodování žalovaného o stížnosti podle čl. 77 a čl. 78 GDPR. S odkazem na rozsudek SDEU z 7. 12. 2023, Land Hessen, spojené věci C–26/22 a C–64/22, nejprve vyloučil výklad žalovaného, že by stížnost subjektu údajů dle čl. 77 GDPR byla prostým „podnětem“ dozorovému orgánu, z něhož by plynula pouze povinnost zpravit podatele o osudu jeho podnětu. SDEU v uvedeném rozsudku naopak zdůraznil, že z textu, smyslu i účelu čl. 77 a čl. 78 GDPR jasně plyne, že vnitrostátní dozorový orgán o stížnosti rozhoduje vydáním právně závazného rozhodnutí o právech a povinnostech subjektů údajů. NSS k tomu dodal, že „[v] důsledku tohoto zpřesnění co do charakteru práv, které mají být přímo v řízení podle čl. 77 GDPR před vnitrostátním dozorovým orgánem chráněna, stejně jako typu rozhodnutí, které má daný dozorový orgán přijmout, se v českém právním rámci bude nepochybně jednat o rozhodnutí, která mohou založit, měnit, či rušit práva nebo povinnosti určitých osob (§ 67 odst. 1 správního řádu). NSS tak uzavřel, že „(ř)ízení o žádosti podle čl. 77 GDPR je tedy s ohledem přinejmenším na práva a povinnosti daného subjektu údajů nezbytné podřadit pod řízení o žádosti podle Hlavy VI správního řádu.“ (zvýraznění doplněno)

27. Ačkoli zdejší soud do určité míry rozumí případným praktickým problémům, které plná aplikace úpravy správního řízení pro žalovaného přináší, když celý proces šetření stížnosti dle čl. 77 GDPR činí procesně značně náročný (lze mít přitom pochybnosti, zda ve vztahu k samotnému šetření stížnosti šlo o záměr unijního normotvůrce; viz též dále), neshledal přesvědčivý důvod se od citovaných závěrů NSS odchýlit. Lze je považovat za logický důsledek závěrů SDEU ve věci C–132/21 a spojených věcech C–26/22 a C–64/22 a zásady procesní autonomie členských států. Bez náležité vnitrostátní úpravy postupu žalovaného při vyřizování stížnosti dle čl. 77 GDPR nelze závěry SDEU realizovat jinak, než postupem dle obecných pravidel správního řádu, tj. cestou řízení o žádosti. V.2 Průběh vyřizování stížnosti žalobce 28. Dále soud považuje za vhodné rekapitulovat skutkový stav věci. Ze shodných tvrzení stran i obsahu správního spisu se podává, že žalobce stížnost podal dne 15. 12. 2023 (dříve podal ještě nepodepsané podání, to ale není předmětem nynější věci, ač na něj žalobce rovněž poukazuje). Ve spise je též založena žádost žalobce z 14. 2. 2024 o uplatnění opatření proti nečinnosti, ve které se domáhal zahájení správního řízení. Ve spise je dále založena výzva z 22. 2. 2024, kterou byl žalobce vyzván k doplnění stížnosti, aby splňovala náležitosti čl. 77 GDPR. Žalobce stížnost doplnil podáním z 23. 2. 2024. Žalobce pak ještě žalovanému zaslal textovou zprávu, že by za datum podání stížnosti měl být považován den 28. 6. 2023 (původní nepodepsaná zpráva). Nadřízený orgán dále žalobci dne 27. 2. 2024 zaslal sdělení ohledně stran případného opatření proti nečinnosti, ve kterém jej informoval, že s ohledem na vyzvání k doplnění stížnosti z 22. 2. 2024 nemůže být žalovaný považován za nečinného. Zároveň upozornil na lhůtu dle čl. 78 odst. 2 GDPR s tím, že daná tříměsíční lhůta ještě neuplynula (sdělením ze dne 28. 2. 2024 pak žalobci sdělil důvody, pro které je třeba přihlížet až k datu 15. 12. 2023 jako ke dni podání stížnosti, a nikoliv k 28. 6. 2023).

29. Dále ze správního spisu vyplývá, že žalovaný žádostí z 26. 3. 2024 na základě § 3 kontrolního řádu vyzval společnost ECE Projektmanagement Praha s.r.o., aby ve lhůtě pěti pracovních dnů sdělila, resp. upřesnila její vztah ke společnostem ECE GS GmbH a ECE GSV GmbH, a aby k tomu doplnila podklady; požádal ji i o sdělení účelu zpracování osobních údajů uvedených ve stížnosti žalobce a na základě jakého právního titulu byly poskytnuty společnosti ECE GS GmbH.

30. Žalobce následně dne 25. 3. 2024 podal druhou žádost o uplatnění opatření proti nečinnosti. Argumentoval, že žalovaný je nutně nečinný i ve vztahu ke stížnosti z 15. 12. 2023. Žalovaný jej totiž vyzval k odstranění vad až dne 22. 2. 2024, tj. více jak dva měsíce od podání stížnosti. Žalovaný měl přitom rozhodnout do 14. 1. 2024. Žalovaný následně zaslal žalobci informaci o stavu řešení stížnosti z 26. 3. 2024 a o postupu dle § 3 kontrolního řádu, resp. o tom, že jej o dalších krocích bude informovat. Poté dne 2. 4. 2024 nadřízený orgán žalobci zaslal vyjádření k jeho žádosti z 25. 3. 2024, v němž uvedl, že dne 26. 3. 2024 byl žalobce zpraven o řešení stížnosti, žalovaný tudíž není nečinný. Nadřízený orgán též zdůraznil, že za datum řádného podání stížnosti je třeba považovat až 23. 2. 2024, kdy žalobce doručil písemnost precizující předmět stížnosti.

31. Ve správním spise je dále založena odpověď ECE Projektmanagement Praha s.r.o. z 22. 4. 2024 včetně příslušných podkladů. Tuto odpověď žalovaný vyhodnotil jako nedostatečnou, a proto uvedené společnosti zaslal dne 30. 4. 2024 žádost o doplnění (urgenci); téhož dne informoval o stavu řízení též žalobce. ECE Projektmanagement Praha s.r.o. doplnila své sdělení dne 17. 5. 2024. Z pozdějších podání stran vyplývá, že žalobce byl následně ještě poučen o možnosti seznámit se a podklady rozhodnutí a že avizoval nahlížení do správního spisu. V.3 Podmínky řízení 32. V návaznosti na předestřená východiska i skutkový stav věci je zřejmé, že jsou splněny podmínky řízení.

33. Nemůže být pochyb o tom, že se žalobce domáhá vydání rozhodnutí ve věci samé, jež bude následně přezkoumatelné soudem v režimu § 65 s. ř. s. (např. rozsudek NSS z 2. 7. 2008, č. j. 1 Ans 5/2008 – 104). Žalovaný byl povinen o stížnosti žalobce vydat rozhodnutí ve smyslu § 67 odst. 1 správního řádu, resp. ve smyslu § 65 odst. 1 s. ř. s. Žalobce se může nečinnostní žalobou domáhat vydání rozhodnutí o své stížnosti.

34. Pokud jde o naplnění podmínky bezvýsledného vyčerpání prostředků ochrany (a včasnosti žaloby), musel soud vyjasnit, v jaké lhůtě byl žalovaný povinen o stížnosti rozhodnout. V tomto směru soud poukazuje na rozsudek sp. zn. 1 As 71/2024, v němž dospěl NSS k závěru o aplikaci ustanovení o lhůtách ve správním řízení, a to § 71 odst. 3 správního řádu. To taky znamená, že žalovaný je povinen o stížnosti podle čl. 77 GDPR rozhodnout bezodkladně, nejpozději však do 30 dnů od zahájení řízení; tato lhůta může být prodloužena až o 30 dnů, jde–li o zvlášť složitý případ. Jak již soud naznačil výše, plnou aplikaci úpravy správního řádu na prošetření stížnosti nepovažuje za samozřejmou, tím spíše ne u lhůty k vydání rozhodnutí. Příslušný předpis, tj. GDPR totiž stanoví lhůtu vlastní – povinnost dozorového úřadu informovat stěžovatele o stavu řešení stížnosti do tří měsíců od jejího podání dle čl. 78 odst. 2 GDPR. Podle NSS ovšem tento požadavek není to samé jako povinnost o ní rozhodnout: „[…]do tří měsíců od podání stížnosti musí příslušný vnitrostátní dozorový úřad přinejmenším „projevit známky života“. Nejedná se však o specifickou úpravu lhůty pro vydání rozhodnutí.“ S tím soud souhlasí, má však za to, že pokud unijní normotvůrce považoval v těchto případech za nutné určitou lhůtu vyslovit, přičemž vycházel z toho, že postačí, aby v dané lhůtě dozorový úřad stěžovatele „teprve“ informoval o stavu řešení stížnosti (nepředpokládal tak nutně ani její konečné vyřízení), může se aplikace výrazně kratší lhůty, nadto pro vydání rozhodnutí, jevit nepřiměřeně přísná danému procesnímu postupu (má–li žalovaný rozhodnout bezodkladně, resp. do 30 dnů, vyznívá požadavek na informování do 3 měsíců nesmyslně). Jinými slovy je otázkou, zda v situaci, kdy zvláštní předpis (GDPR) stanoví odlišnou lhůtu od obecné úpravy správního řádu, byť výslovně neoznačenou jako lhůtu k vydání rozhodnutí, nepovažovat tuto při absenci jiné zvláštní úpravy za nejlepší „zdroj“ příslušného procesního pravidla, tj. i za lhůtu pro vydání rozhodnutí (jak ostatně zdejší soud původně dovozoval; např. usnesení z 25. 1. 2024, č. j. 15 A 141/2023 – 35). Tím spíše je tomu tak, pokud samo GDPR váže v čl. 78 odst. 2 možnost soudní ochrany právě na lhůtu tří měsíců. Na druhou stranu, i pokud by snad soud odchylně od připomínaného závěru NSS nepovažoval za zákonnou lhůtu onu obecnou lhůtu dle § 71 odst. 3 správního řádu, není v nyní posuzované věci pochyb o tom, že i taková případná delší lhůta již marně uplynula; soud též nemohl přehlédnout, že GDPR nebrání přísnější (pro stěžovatele příznivější) procesní úpravě a naznačené závěry zdejšího soudu by tak oproti názoru NSS působily v neprospěch jednotlivce – rozhodl se proto nakonec z právě popsaných důvodů tento názor následovat, je jím ostatně quasiprecedenčně vázán a musel by snést skutečně přesvědčivé důvody pro postup opačný (což okolnosti nynější věci ani nevyžadují).

35. Pro posouzení včasnosti nynější žaloby z toho vyplývá, že podáním žádosti dne 15. 12. 2023 bylo ve smyslu § 44 odst. 1 správního řádu zahájeno správní řízení o žádosti žalobce [a ten je jeho účastníkem podle § 27 odst. 1 písm. a) správního řádu]. Žalovaný tak měl rozhodnutí vydat nejpozději 15. 1. 2024, resp. 13. 2. 2024. Jednoroční lhůta pro podání žaloby by tak uplynula 15. 1. 2025, resp. 13. 2. 2025. Žaloba podaná dne 1. 10. 2024 je ve smyslu § 80 odst. 1 s. ř. s. včasná. Soud dodává, že pokud by počátek lhůty odvíjel až od doplnění stížnosti z 23. 2. 2024, tím spíše by žaloba byla včasná.

36. V návaznosti na uvedené lhůty pro vydání rozhodnutí má soud za splněnou i podmínku bezvýsledného vyčerpání prostředků ochrany podle § 79 s. ř. s. (podle soudu není přitom pravda, že by jejich podání čl. 78 odst. 2 GDPR nevyžadoval, jak tvrdí žalobce, ten toliko nevylučuje souběžné podání různých prostředků ochrany – uplatní se standardní požadavky národní procesní úpravy).

37. Ze správního spisu vyplývá, že žalobce podal dne 14. 2. 2024 (tedy den po uplynutí případné prodloužené 60 denní lhůty pro vydání rozhodnutí, byť podle soudu ze správního spisu nevyplývá, že byl podle žalovaného legitimní důvod pro její prodloužení) žádost o opatření proti nečinnosti podle § 80 správního řádu. Následně jej žalovaný vyzval k doplnění stížnosti, žalobce v reakci na to dne 23. 2. 2024 zaslal žalovanému doplnění. Už jen na základě těchto skutečností má soud za to, že žalobce splnil podmínku bezvýsledného vyčerpání prostředku ochrany (žalovaný to ostatně nerozporuje). Žalovaný měl o stížnosti rozhodnout do 30 dnů (resp. v prodloužené lhůtě 60 dnů) od podání žádosti. Již první žalobcova žádost o uplatnění opatření proti nečinnosti byla podána po lhůtě pro vydání rozhodnutí, žalovaný tudíž žalobce vyzval k doplnění stížnosti až po jejím uplynutí. Lhůta (ať již 30 denní, či případně 60 denní) podle § 71 odst. 3 správního řádu přitom běžela. Nadřízený orgán žalovaného ve vyřízení žádosti o uplatnění opatření proti nečinnosti z 27. 2. 2024 namítanou nečinnost nesprávně odmítl, nadto s chybným odkazem na lhůtu tří měsíců. Tím spíše byla bezvýsledným vyčerpáním prostředku ochrany druhá žádost podle § 80 správního řádu z 25. 3. 2024. I kdyby snad žalovaný (resp. jeho nadřízený orgán) považoval za datum podání stížnosti den jejího doplnění, tj. 23. 2. 2024, nemění to nic na tom, že ani od tohoto okamžiku žalovaný rozhodnutí nevydal, byť v řízení činil určité úkony. Ani jedna ze žádostí žalobce podle § 80 správního řádu zjevně nevedla k odstranění nečinnosti žalovaného.

38. Soud tak mohl přistoupit k posouzení důvodnosti žaloby. Předesílá ještě, že v souladu s § 51 odst. 1 s. ř. s. rozhodoval bez nařízení jednání, jelikož účastníci řízení s takovým postupem souhlasili. Soud rovněž neshledal důvod nařídit jednání z důvodu dokazování, ve věci bylo možné vyjít z předloženého spisového materiálu a tvrzení stran. Dosavadní průběh věci ostatně není mezi stranami sporný a je dostatečně zřetelný i z jejich podání. Pokud jde o důkazní návrhy, žalobce k žalobě přiložil text své žádosti podle § 80 správního řádu z 25. 3. 2024, který je součástí správního spisu. Dále v replice k důkazu označil obsah spisu vedeného u zdejšího soudu pod sp. zn. 15 A 46/2024, jehož obsah soud mohl seznat v rámci své rozhodovací činnosti bez potřeby dokazování (nadto ve věci nebyl ani nijak potřebný). Žalobce dále (nad rámec obsahu správního spisu) odkázal na odborné práce týkající se práva na spravedlivý proces[1] a otázky sporného řízení dle § 141 správního řádu[2]. Soud z procesní opatrnosti doplňuje, že ani ty, jak vyplyne z argumentace soudu, nebyly pro řešení nynější věci relevantní, soud tak jimi nedokazoval. V.4 Důvodnost žaloby 39. Jak již soud konstatoval, žalobce se může nečinnostní žalobou domáhat vydání rozhodnutí o jeho stížnosti podané na základě čl. 77 GDPR. Soud proto musel posoudit, zda žalovaný rozhodnutí vydal, či nikoliv, ačkoli došlo k uplynutí lhůty pro jeho vydání (příp. zda nebyly dány okolnosti, které by lhůtu pro jeho vydání objektivně stavěly). Uzavřel, že žalovaný o stížnosti do vydání tohoto rozsudku nerozhodl, přičemž z podání stran ani spisového materiálu nevyplývají skutečnosti, jež by mu v tom důvodně bránily.

40. Z výše popsaného průběhu vyřizování stížnosti je ve světle závěrů rozsudku NSS sp. zn. 1 As 71/2024 zřejmé, že žalovaný ke dni vydání rozsudku rozhodnutí o stížnosti nevydal – žalovaný je stále nečinný. Ostatně sám to ani nerozporuje, když ve svém posledním vyjádření soudu z 29. 1. 2024 uvedl, že se k tomu chystá poté, co žalobce bude moct uplatnit své právo podle § 36 správního řádu (soud podotýká, že k tomu jej žalovaný vyzval až 27. 1. 2025). Soud na tomto místě předesílá, že k tomu (i s ohledem na přednostní projednávání nečinnostní žaloby a také vzhledem k tomu, že od uplynutí lhůty pro vydání rozhodnutí uběhl více jak rok), již nemohl přihlédnout. Soud neshledal důvod dále ve věci vyčkávat; přihlédl i k tomu, že z obsahu spisového materiálu je zřejmé, že žalovaný měl v úmyslu vydat rozhodnutí o stížnosti žalobce již po podání žaloby podané dne 1. 10. 2024 a dosud tak neučinil. Vzhledem k odpovědi žalovaného a avizovanému nahlížení do správního spisu ze strany žalobce, je zjevné, že tak nemohl žalovaný učinil ani v mezidobí od doručení posledního vyjádření soudu, což soud ještě u žalovaného telefonicky ověřil.

41. S ohledem na výše uvedené lze vycházet ze závěrů NSS, podle nichž musí žalovaný o stížnosti rozhodnout ve lhůtách stanovených správním řádem, tj. do 30 dnů, eventuálně do 60 dnů od zahájení správního řízení, což se nestalo. Ze správního spisu pak soud neshledal žádné relevantní překážky vydání rozhodnutí (překážkou rozhodně nemůže být nedostatek personálních kapacit). Žalovaný žádné (legitimní) procesní kroky stavící lhůtu pro vydání rozhodnutí neučinil (ze správního spisu ani nevyplývá, že by k tomu shledával během řízení důvod).

42. Je zodpovědností správního orgánu, jakým způsobem správní řízení povede. Jakkoli nelze tvrdit, že by se žalovaný stížností vůbec nezabýval (činil kroky vůči dotčené společnosti), je plně v jeho kompetenci organizovat a řídit průběh řízení tak, aby mohlo být skončeno v zákonné lhůtě, dovozené NSS. V případě řízení o žádosti podle čl. 77 GDPR žalovaný aplikuje ten „nejobecnější“ procesní předpis – správní řád. Žalovaný by tak měl znát nástroje, kterým případně vyřeší situaci, kdy ví, že nestihne ve lhůtě rozhodnout (samozřejmě za předpokladu, že k tomu jsou legitimní důvody). Účastník řízení se pak proti takovým postupům může bránit (např. podá odvolání/rozklad proti usnesení o přerušení či v rámci nečinnostní žaloby přerušení napadne).

43. Soud tak uzavírá, že dospěl k závěru, že žalovaný je v době vydání tohoto rozsudku nečinný. V.5 Další námitky žalobce 44. Pouze nad rámec nezbytného odůvodnění pak soud dodává, že domáhal–li se žalobce zahájení sporného řízení dle § 141 správního řádu (se správcem údajů jako druhou stranou sporu), není pro to v kontextu projednávané věci právní základ. Dikce čl. 77 GDPR (a ostatně ani zákon č. 110/2019 Sb.) nestanoví základ pro vedení takového sporu, předmětem postupu dle čl. 77 GDPR je stížnost směřující k dozorovému úřadu, nikoliv spor vůči správci/zpracovateli údajů, který by měl dozorový úřad rozhodnout. Dozorový úřad stížnost „pouze“ prověří, a o výsledku šetření poté musí formálně (ve správním řízení) stěžovatele spravit – jedná se přitom o standardní řízení o žádosti, nikoli o sporné řízení. Soud nyní o nemůže rozhodovat o tom, že by snad mělo být zahájeno ještě jiné (sporné) řízení, pouze podotýká, že GDPR případné soukromoprávní spory (nikoliv v režimu § 141 správního řádu, ale např. cestou občanskoprávní žaloby) nepochybně nevylučuje, ale závazně je nezakládá. K tomu soud žalobce odkazuje na dikci čl. 77 odst. 1 věta první a čl. 79 GDPR a jím zmiňovaný rozsudek SDEU ve věci C–132/21.

45. Pokud jde o žalobcem namítané paralelní procesy (viz postup podle § 3 kontrolního řádu), žalobce v rámci kontrolních postupů vůči jiným subjektům skutečně nemůže uplatňovat svá práva, tato skutečnost se ale nijak nedotýká předmětu tohoto řízení. Neznamená to totiž, že je tím jakkoli znemožněno vedení řízení o jeho stížnosti dle čl. 77 GDPR. Bez ohledu na to, jaké opatření pro prošetření stížnosti a na základě čeho (ať již po provedení kontroly dle kontrolního řádu, resp. přestupkového řízení) dozorový úřad učiní vůči správci/zpracovateli údajů, má žalobce právo být formalizovaným způsobem zpraven o tom, jak bylo vyhodnoceno (prošetřeno) jeho podezření na porušování pravidel na ochranu osobních údajů. Takové rozhodnutí dozorového úřadu pak je skutečně plně přezkoumatelné správními soudy (bod 143 odůvodnění GDPR). Je tak třeba shrnout, že stěžovatel (zde žalobce) se toliko může domáhat vydání rozhodnutí o jeho stížnosti, popřípadě se poté domáhat soudního přezkumu rozhodnutí žalovaného o jeho stížnosti (jak ostatně žalobce sám mnohokrát zdůrazňoval), nemůže se však, tím spíše ne, v řízení o zásahové žalobě, domáhat toho, aby soud žalovanému určoval, zda a jaké procesní prostředky má v rámci svého postupu použít. Žalobci totiž nelze přisvědčit v tom, že by mu takové vedlejší procesy bránily v účinné ochraně proti nečinnosti žalovaného. Je na jeho posouzení, zda takový postup případně opodstatní přerušení řízení, a zda k tomu žalovaný přistoupí. Pokud žalovaný řízení nepřerušil a ani ve lhůtách podle § 71 odst. 3 správního řádu nerozhodl, bylo vzhledem k závěrům NSS možné podat nečinnostní žalobu.

46. Mimoběžným je pak žalobcův návrh na předložení předběžných otázek SDEU za účelem výkladu čl. 77 a 78 GDPR. S ohledem na výše uvedené závěry zdejšího soudu (a NSS) je zřejmé, že veškeré žalobcem formulované otázky (kdy lze podat nečinnostní žalobu po podání stížnosti, možnost zahájit sporné řízení, rozsah přezkoumatelnosti rozhodnutí o stížnosti, vede–li žalovaný současné „jiné správní řízení“ o téže stížnosti) jsou výkladem českého procesního práva, nikoliv práva unijního (viz již zmíněná procesní autonomie členských států), přičemž nezbytná východiska již byla SDEU zodpovězena (viz výše). Soud tak konstatuje, že ani v nynější věci nevyvstala žádná otázka výkladu unijního práva, zdejší soud nadto není povinen předběžnou otázku podat (není soudem poslední instance).

47. Závěrem soud opravdu již na okraj podotýká, že je třeba respektovat institut stížnosti podle čl. 77 GDPR, jak jej navrhnul unijní zákonodárce. S ohledem na to, že zákon č. 110/2019 Sb. skutečně pro tyto „obecné“ stížnosti žádný procesní rámec nestanoví, je třeba aplikovat obecný procesní předpis – správní řád, a to včetně lhůt v něm uvedených. Pokud má žalovaný pocit, že vyřizování stížností podle čl. 77 GDPR je specifickou oblastí, která je časově a procesně náročnější, nezbývá soudu nic jiného, než jej toliko odkázat na případný návrh legislativní změny v této oblasti. Do té doby je třeba respektovat postup, jak jej soud nastínil výše.

VI. Závěr a náklady řízení

48. Na základě shora uvedených skutečností soud žalobu shledal důvodnou, v souladu s § 81 odst. 2 s. ř. s. proto žalovanému výrokem I uložil vydat rozhodnutí o žalobcově žádosti. Lhůtu stanovil v délce 30 dnů s přihlédnutím ke standardní zákonné lhůtě pro vydání rozhodnutí. Na jejím horním limitu pak uvedenou povinnost žalovanému uložil s přihlédnutím k tomu, že teprve dne 27. 1. 2025 žalobce vyzval ve smyslu § 36 správního řádu, a ten se teprve v polovině měsíce února roku 2025 chystá využit svého práva nahlížet do spisu.

49. Výrok II o náhradě nákladů řízení je odůvodněn ustanovením § 60 odst. 1 s. ř. s., podle kterého má úspěšný účastník řízení právo na náhradu nákladů. Žalobce nebyl v řízení před soudem zastoupen, má tudíž právo jen na náhradu nákladů ve výši soudního poplatku za podání žaloby (2 000 Kč). Žalobce sice v petitu žaloby požadoval „náklady řízení, náklady zastupování“, a to včetně příslušenství. S ohledem na to, že ve smyslu rozsudku NSS z 25. 8. 2015, č. j. 6 As 135/2015 – 79, č. 3344/2016 Sb. NSS, soudu neprokázal vynaložení dalších nákladů v souvislosti s úkony, které v řízení učinil, soud mu nemohl jejich náhradu přiznat.

Poučení

I. Vymezení věci II. Žaloba III. Vyjádření žalovaného IV. Replika žalobce a další průběh řízení V. Posouzení věci Městským soudem v Praze V.2 Průběh vyřizování stížnosti žalobce V.3 Podmínky řízení V.4 Důvodnost žaloby V.5 Další námitky žalobce VI. Závěr a náklady řízení