8 A 105/2025 – 22

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedy senátu JUDr. Slavomíra Nováka a soudkyň Mgr. Jany Jurečkové a Mgr. Andrey Veselé ve věci žalobce: Ing. L. P., bydlištěm X, proti žalovanému: Úřad pro ochranu osobních údajů, pplk. Sochora 27, 170 00 Praha 7, v řízení o žalobě na ochranu proti nečinnosti žalovaného při vyřizování stížnosti podle čl. 77 nařízení (EU) 2016/679 ze dne 24. března 2025, takto:

Výrok

I. Žalovaný je povinen do 30 dnů od právní moci tohoto rozsudku rozhodnout o stížnosti žalobce vedené pod sp. zn. UOOU–01902/21.

II. Žalovaný je povinen zaplatit žalobci náhradu nákladů řízení ve výši 2 000 Kč, a to do jednoho měsíce od právní moci rozsudku k rukám žalobce.

Odůvodnění

I. Základ sporu

1. Dne 31. března 2021 žalobce podal žalovanému stížnost ve věci podezření z porušení ochrany osobních údajů (dále jen „původní stížnost“) správcem osobních údajů Zdravotní pojišťovnou ministerstva vnitra České republiky (dále jen „správce osobních údajů“) podle čl. 77 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „nařízení GDPR“). Žalovaný o žalobcově stížnosti dosud nerozhodl.

2. Dne 24. března 2025 podal žalobce opakovaně stížnost totožného znění podle čl. 77 nařízení GDPR (dále jen „stížnost“). Žalobce se domáhá uložení povinnosti žalovanému Úřadu pro ochranu osobních údajů rozhodnout ve lhůtě 30 dnů od doručení rozsudku o jeho stížnosti ze dne 24. března 2025.

II. Obsah žaloby, vyjádření žalovaného a replika žalobce

3. Žalobce brojí proti nečinnosti žalovaného při vyřizování jeho stížnosti podle čl. 77 nařízení GDPR, podané dne 24. března 2025. Žalovaný o stížnosti dosud nerozhodl a podání ignoruje; stížnost byla založena do spisu vedeného pod sp. zn. UOOU–01902/21, v němž se řeší jeho původní stížnost ze dne 31. března 2021. Zdůrazňuje, že jeho podání z 24. března 2025 je „novou“ stížností v totožné věci, jež má být rozhodnuta samostatně.

4. Žalobce se opírá o judikaturu, podle níž se při rozhodování o stížnosti podle čl. 77 nařízení GDPR uplatní lhůta pro vydání rozhodnutí podle § 71 odst. 3 správního řádu, a odkazuje na rozsudek Nejvyššího správního soudu ze dne 16. 9. 2024, č. j. 1 As 71/2024–53. Dále zmiňuje, že obdobně rozhodl městský soud ve věcech vedených pod č. j. „18 A 69/2024–50“ a „18 A 70/2024–57“, a uvádí, že dne 28. 4. 2025 zaslal předsedovi žalované podnět k ukončení nečinnosti, avšak bez výsledku. S odkazem na právo na účinnou soudní ochranu podle čl. 78 odst. 2 nařízení GDPR žalobce tvrdí, že tříměsíční informační lhůta začala běžet dnem podání jeho stížnosti (24. března 2025) a uplynula 24. června 2025; podal–li žalobu dne 14. srpna 2025, má za to, že splnil předpoklady pro soudní ochranu, neboť nebyl informován o pokroku ani o výsledku řešení této stížnosti.

5. Žalobce akcentuje, že ze spisu neplyne potřeba ústního jednání, místního šetření či jiného časově náročného procesního úkonu a nejde o zvlášť složitý případ; zdůrazňuje též, že podal podnět podle § 80 správního řádu a administrativní cestu k nápravě tak vyčerpal. Současně odkazuje na rozhodnutí Soudního dvora ve věci C–416/23, v níž Soudní dvůr vyložil, že má žalovaný povinnost reagovat i pokud vyhodnotil, že stížnost je nepřiměřená, např. z důvodu jejich počtu.

6. Žalovaný ve vyjádření k žalobě namítá, že nečinný není. Popisuje, že žalobce se žalobou domáhá, aby žalovaný rozhodl do 30 dnů od doručení rozsudku soudu o jeho stížnosti, jež se týká podezření z porušení právních předpisů o ochraně osobních údajů správcem osobních údajů. Připomíná, že prvotní podání žalobce ze dne 31. března 2021, v němž požadoval zastavení přenosů osobních údajů do nespolehlivých zemí s oporou v rozhodnutí Soudního dvora ve věci C–311/18 (Schrems II), a dále výmaz dříve přenesených údajů, postavil kvůli absenci řádného podpisu najisto jako podnět podle § 42 správního řádu; na jeho základě provedl revizi webů správce osobních údajů, upozornil správce osobních údajů na možné porušení povinností a věc interně postoupil k dalším dozorovým opatřením, o čemž žalobce informoval. U nového podání ze dne 24. března 2025 žalovaný konstatuje, že mělo náležitosti žádosti podle § 44 a § 45 správního řádu a bylo posouzeno jako stížnost podle čl. 77 nařízení GDPR; uvádí, že v době vyjádření zpracovává podklady pro vydání rozhodnutí.

7. Žalovaný proto navrhuje zamítnutí žaloby jako nedůvodné podle § 81 odst. 3 s. ř. s. Nad rámec toho upozorňuje na absenci příslušné hmotněprávní úpravy v českém právním řádu, která by výslovně stanovila obsah rozhodnutí o stížnosti, zejména uzná–li žalovaný její důvodnost; má za to, že ve veřejném zájmu i v zájmu žalobce by bylo pro případ vyhovění žalobě vyjasnit, zda a jaké rozhodnutí má žalovaný následně vydat. K judikatuře o lhůtách (30, resp. 60 dnů od zahájení řízení) žalovaný akcentuje objektivní i procesní limity: po úvodním posouzení a případném odstraňování vad stížnosti je třeba zjistit skutkový stav postupy podle zákona č. 255/2012 Sb., o kontrole ( dále jen „kontrolní řád“), které předpokládají souhrn lhůt zpravidla delší než 30 či 60 dnů; i navazující fáze správního řízení vyžaduje čas k zajištění procesních práv účastníků, jejich návrhů a opravných prostředků a kvalitu rozhodnutí pro instanční a soudní přezkum. Uvádí, že ve lhůtách podle § 71 odst. 3 správního řádu je zpravidla schopen vydávat jen rozhodnutí, která nejsou výsledkem šetření ve věci samé (tj. rozhodnutí reflektující deficity podmínek řízení či formálních náležitostí stížnosti, případně vycházející pouze ze stížnosti či z nesporného vyjádření správce osobních údajů).

8. V replice žalobce setrvává na tom, že žalovaný je nečinný. Zdůrazňuje použitelnost právní věty z rozsudku Nejvyššího správního soudu sp. zn. 1 As 71/2024, podle níž se při rozhodování o stížnosti podle čl. 77 nařízení GDPR uplatní lhůta z § 71 odst. 3 správního řádu. Namítá, že výklad žalovaného, podle něhož by rozhodnutí o stížnosti bylo pouze formální zprávou, odporuje závěrům Soudního dvora ve spojených věcech C–26/22 a C–64/22, které zdůrazňují právo na účinný soudní prostředek. Dále odkazuje na body 29 až 51 stanoviska generálního advokáta ve věci C–655/23 (ECLI:EU:C:2025:201), z něhož dovozuje právo na zamezení opětovného protiprávního zpracování. Žalobce argumentuje zásadami rovnocennosti a efektivity (rozsudek Soudního dvora ve spojených věcech C–6/90 a C–9/90, Francovich) a čl. 47 Listiny základních práv EU. Tvrdí, že stížnosti podle čl. 77 nařízení GDPR jsou návrhy na zahájení sporného řízení podle § 141 správního řádu. V závěru žalobce uvádí, že žalovaný dosud nevydal rozhodnutí a podle svých slov teprve zpracovává podklady pro jednání rozkladové komise; proto žádá, aby soud uložil žalovanému povinnost rozhodnout a vyjasnil, podle jaké hmotněprávní úpravy má postupovat.

III. Posouzení žaloby

9. Městský soud v Praze ověřil, že žaloba na ochranu proti nečinnosti byla podána osobou k tomu oprávněnou, po vyčerpání prostředků k ochraně proti nečinnosti a splňuje všechny formální náležitosti na ni kladené (§ 79 odst. 1 soudního řádu správního).

10. Dle ust. § 80 odst. 1 s.ř.s., žalobu lze podat nejpozději do jednoho roku ode dne, kdy ve věci, v níž se žalobce domáhá ochrany, marně proběhla lhůta stanovená zvláštním zákonem pro vydání rozhodnutí nebo osvědčení, a není–li taková lhůta stanovena, ode dne, kdy byl žalobcem vůči správnímu orgánu nebo správním orgánem proti žalobci učiněn poslední úkon.

11. K včasnosti nečinnostní žaloby správní soud uvádí, že v posuzované věci žalovaný ve vztahu k původní stížnosti z roku 2021 (byť ji posoudil jen jako podnět podle § 42 správního řádu) nepostupoval v přiměřené době a žalobce ani řádně neinformoval způsobem odpovídajícím čl. 78 odst. 2 nařízení GDPR a zásadám správního řízení. Pokud jde o stížnost z roku 2025, žalovaný ji bez dalšího pouze založil k původní stížnosti, aniž by o ní rozhodl, či alespoň v rámci tříměsíční lhůty informoval subjekt údajů o pokroku v řešení stížnosti či o jeho výsledku.

12. Ze správního spisu vyplývá, že po podání původní stížnosti ze dne 31. března 2021 byl žalobce vyrozuměn o stavu řešení věci až 3. listopadu 2022, následně 14. března 2024 a 14. června 2024. Skutečnost, že pro podání žaloby proti nečinnosti ve vztahu k původní stížnosti z roku 2021 již uplynula roční lhůta podle soudního řádu správního, neznamená, že správní orgán je zbaven povinnosti bezodkladně rozhodnout. Soud má za to, že opačný závěr lze aplikovat pouze za situace, kdy lze o něco požádat jen jednou v určité lhůtě, nikoliv však pokud nějaká situace, u které lze požadovat prošetření dozorového orgánu, trvá. Závěr, že i v takovém případě, kdy účastník zmešká lhůtu k podání žaloby, následně na protiprávní stav upozorní podruhé, správní orgán stížnost podřadí pod první stížnost, o které ještě nerozhodl, mohla vést k absurdní praxi, kdy správní orgán o nějaké záležitosti nebude chtít rozhodovat a bude vyčkávat, zda účastník podá žalobu či nikoliv. Pokud je nečinný a žalobu nepodá, může stížnost odložit ad acta, jelikož účastník již nemá právní nástroj, kterým by orgán mohl donutit jednat.

13. Soud má tedy za to, že v případě stížnosti žalobce ze dne 24. března 2025 se jedná o novou stížnost a nikoliv stížnost z roku 2021. Správní orgán má o této stížnosti rozhodnout. Tuto povinnost by neměl pouze v případě, že již bylo o stížnosti stejného znění rozhodnuto, v tom případě by mohl řízení o této nové stížnosti zastavit z důvodu rei iudicata, což však není tento případ.

14. Soud má za to, že u této stížnosti na určité porušení zákona jde o obdobnou situaci jako u zásahové žaloby při trvajícím zásahu. Lhůta tedy nemůže uplynout.

15. Vzhledem k zásadnímu nedodržení lhůt (ať již pro vydání rozhodnutí, nebo alespoň pro informování o stavu řešení věci), jak v rámci opakovaně podané stížnosti z roku 2025, tak i v rámci původní stížnosti, soud uzavírá, že žaloba v posuzované věci je přípustná a včasná. O původní stížnosti totiž nebylo nijak rozhodnuto, takže se nejedná o rei iudicata, tedy porušení zásady zákazu dvojího rozhodování o té samé věci. V tomto případě lze podat podnět v té samé věci, o to víc, za situace, že zásah do osobních údajů dle žalobce trvá. Odmítnutí soudního přezkumu pro opožděnost žaloby by za těchto konkrétních okolností představovalo denegatio iustitiae.

16. Předmětem soudního přezkumu je otázka, zda je žalovaný ve vztahu ke stížnosti žalobce podané podle čl. 77 nařízení GDPR nečinný ve smyslu § 79 a násl. s. ř. s., neboť o této stížnosti nebylo rozhodnuto ve lhůtách podle § 71 správního řádu, a současně žalobce neobdržel ani ve lhůtě tří měsíců podle článku 78 odst. 2 nařízení GDPR informaci o pokroku či výsledku vyřizování stížnosti v rozsahu odpovídajícím účelu tohoto ustanovení.

17. Spornou otázkou je dále to, jakým způsobem se uplatní lhůty pro vydání rozhodnutí podle správního řádu v řízení o stížnosti dle čl. 77 nařízení GDPR. Přihlédne–li se k tomu, že vyřízení takové stížnosti zpravidla předpokládá nikoliv pouze splnění zákonných podmínek jako při řízení o žádosti ve smyslu ust. § 44 a násl. správního řádu, ale o posouzení jednání třetího subjektu, tj. správce osobních údajů, a tedy často vyvolává potřebu zahájit kontrolní řízení či případně přestupkové řízení.

18. Podle čl. 77 odst. 1 nařízení GDPR platí, že aniž jsou dotčeny jakékoliv jiné prostředky správní nebo soudní ochrany, má každý subjekt údajů právo podat stížnost u některého dozorového úřadu, zejména v členském státě svého obvyklého bydliště, místa výkonu zaměstnání nebo místa, kde došlo k údajnému porušení, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení.

19. Podle čl. 78 odst. 2 nařízení GDPR platí, že aniž je dotčena jakákoli jiná správní či mimosoudní ochrana, má každý subjekt údajů právo na účinnou soudní ochranu, pokud se dozorový úřad, který je příslušný podle článků 55 a 56, stížností nezabývá nebo pokud neinformuje subjekt údajů do tří měsíců o pokroku v řešení stížnosti podané podle článku 77 či o jeho výsledku.

20. Podle § 42 správního řádu, správní orgán je povinen přijímat podněty, aby bylo zahájeno řízení z moci úřední. Pokud o to ten, kdo podal podnět, požádá, je správní orgán povinen sdělit mu ve lhůtě 30 dnů ode dne, kdy podnět obdržel, že řízení zahájil, nebo že neshledal důvody k zahájení řízení z moci úřední, popřípadě že podnět postoupil příslušnému správnímu orgánu. Sdělení správní orgán nezasílá, postupuje–li vůči tomu, kdo podal podnět, podle § 46 odst. 1 nebo § 47 odst. 1.

21. Podle § 71 odst. 1 správního řádu, správní orgán je povinen vydat rozhodnutí bez zbytečného odkladu.

22. Podle § 71 odst. 3 písm. a) správního řádu, pokud nelze rozhodnutí vydat bezodkladně, je správní orgán povinen vydat rozhodnutí nejpozději do 30 dnů od zahájení řízení, k nimž se připočítává doba až 30 dnů, jestliže je zapotřebí nařídit ústní jednání nebo místní šetření, je–li třeba někoho předvolat, někoho nechat předvést nebo doručovat veřejnou vyhláškou osobám, jimž se prokazatelně nedaří doručovat, nebo jde–li o zvlášť složitý případ.

23. Nejvyšší správní soud ve svém rozsudku ze dne 16. září 2024, č. j. 1 As 71/2024–53, vyslovil tuto právní větu: Při rozhodování o stížnosti podle čl. 77 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů se uplatní lhůta pro vydání rozhodnutí podle § 71 odst. 3 správního řádu.

24. Podle bodu 24 cit. rozhodnutí Nejvyššího správního soudu, sp. zn. 1 As 71/2024, je tedy věcí českého práva podřadit řízení, vedené před českým správním orgánem, jehož hmotně–právní základ je v přímo aplikovatelném unijním nařízení, pod odpovídající ustanovení českého práva. Pro toto posouzení je rovněž podstatné, že Soudní dvůr v rozsudku ze dne 7. 12. 2023, Land Hessen, spojené věci C–26/22 a C–64/22, body 47 až 60, vyloučil obdobný výklad v tomto řízení zastávaný žalovaným, tedy že by stížnost subjektu údajů podle čl. 77 GDPR mohla být vnímána jako prostý „podnět“ subjektu údajů dozorovému orgánu, ze kterého by plynula pouze povinnost dozorového orgánu podatele o osudu jeho podnětu zpravit (v českých podmínkách tedy podnět k zahájení řízení dle § 42 správního řádu, za podmínek tam stanovených). Soudní dvůr odmítl podobný přístup některých německých soudů, které vnímaly stížnost subjektů údajů dle čl. 77 GDPR jako pouhou „petici“, ze které plynulo pouze právo petenta být zpraven o závěru šetření (podrobněji k analogické německé úpravě usnesení správního soudu ve Wiesbadenu ze dne 11. 1. 2022, sp. zn. 6 K 441/21.WI, body 23–31, přístupné na www.curia.europa.eu, kterým tento soud předložil právě předběžnou otázku v věci C–26/22).

25. Podle bodu 25 cit. rozhodnutí Nejvyššího správního soudu, sp. zn. 1 As 71/2024, Soudní dvůr naproti tomu zdůraznil, že z texu, smyslu i účelu čl. 77 a 78 GDPR jasně plyne, že vnitrostátní dozorový orgán rozhoduje vydáním právně závazného rozhodnutí (bod 50) o právech a povinnostech subjektů údajů. Za účelem účinného vyřizování podaných stížností přiznává čl. 58 GDPR dozorovému orgánu významné vyšetřovací, stejně jako různé nápravné pravomoci, které může dozorový orgán vůči správci údajů v daném řízení přijmout (bod 57). Soudní dvůr proto uzavřel, že řízení o stížnost podle čl. 77 GDPR, „není podobné řízení o petici, je koncipováno jako mechanismus schopný účinně chránit práva a zájmy subjektů údajů“ (bod 58 rozsudku Soudního dvora ve věcech C–26/22 a C–64/22).

26. Podle bodu 26 cit. rozhodnutí Nejvyššího správního soudu, sp. zn. 1 As 71/2024, v důsledku tohoto zpřesnění co do charakteru práv, které mají být přímo v řízení podle čl. 77 GDPR před vnitrostátním dozorovým orgánem chráněna, stejně jako typu rozhodnutí, které má daný dozorový orgán přijmout, se v českém právním rámci bude nepochybně jednat o rozhodnutí, která mohou založit, měnit, či rušit práva nebo povinnosti určitých osob (§ 67 odst. 1 správního řádu). Řízení o žádosti podle čl. 77 GDPR je tedy s ohledem přinejmenším na práva a povinnosti daného subjektu údajů nezbytné podřadit pod řízení o žádosti podle Hlavy VI správního řádu. Na rozhodování o stížnosti podané u českého dozorového orgánu se proto uplatní rovněž § 71 odst. 3 správního řádu. Žalovaný je povinen o stížnosti subjektu údajů rozhodnout bezodkladně, nejpozději však do 30 dnů od zahájení řízení. Tato lhůta může být prodloužena až od 30 dnů, jde–li o zvlášť složitý případ.

27. Nejvyšší správní soud ve své judikatuře dovodil, že na postup správního orgánu při vyřizování stížnosti podle čl. 77 nařízení GDPR dopadají obecná ustanovení správního řádu o lhůtách pro vydání rozhodnutí. Takový výklad je shledán konformním s právem Evropské unie, neboť odpovídá požadavku včasné a účinné ochrany práv subjektů údajů ve smyslu článku 78 odst. 2 nařízení GDPR.

28. Nejvyšší správní soud současně odmítl výklad, podle něhož by mohlo být řízení o stížnosti časově neomezené za situace, kdy by dozorový úřad toliko v pravidelných tří­měsíčních intervalech poskytoval formální sdělení o „pokroku“. Takový postup by postrádal oporu v účelu nařízení GDPR a vedl by k faktickému vyprázdnění práva subjektu údajů na přístup k účinné soudní ochraně. Tento judikaturní závěr se opírá o rozhodovací praxi Soudního dvora Evropské unie, jenž stížnost podle čl. 77 nařízení GDPR vykládá jako samostatný prostředek ochrany základního práva na ochranu osobních údajů, a klade proto důraz na její reálnou a časově přiměřenou účinnost.

29. Žalobce namítá, že žalovaný byl povinen o jeho stížnosti z roku 2025 rozhodnout ve lhůtě podle § 71 odst. 3 správního řádu, popřípadě jej přezkoumatelným způsobem informovat o důvodech, které brání vydání rozhodnutí. Jelikož se tak nestalo, je podle něj žaloba na ochranu proti nečinnosti důvodná. Žalovaný naopak uvádí, že vyřízení stížnosti podle čl. 77 nařízení GDPR se v řadě případů neobejde bez vedení kontrolního postupu vůči správci osobních údajů, a nelze proto podle jeho názoru mechanicky aplikovat lhůty správního řádu.

30. Soud shledává, že posuzovaná věc stojí na kolizi dvou protichůdných krajních případů, které je třeba vymezit a následně nalézt jejich racionální rovnováhu.

31. První krajnost představuje výklad, podle něhož by řízení o stížnosti podle čl. 77 nařízení GDPR nebylo vázáno žádnou reálnou lhůtou, a postačovalo by, aby správní orgán stěžovateli v tříměsíčních intervalech poskytoval obecné informace o „pokroku“. Takový přístup odporuje požadavku efektivní ochrany práv subjektů údajů, umožňuje faktickou nečinnost, a vede k vyprázdnění smyslu čl. 78 odst. 2 nařízení GDPR. Posuzovaná věc tuto obavu konkrétně ilustruje: o původní stížnosti žalobce z roku 2021, posouzené žalovaným jako podnět podle § 42 správního řádu, nebylo ani po téměř pěti letech rozhodnuto, přičemž žalovaný ve vztahu k jeho vyřizování po více než 3 letech odkázal toliko na skutečnost, že se „oddělení kontroly veřejných subjektů Vaší stížností zabývá“ (viz sdělení žalovaného ze dne 14. června 2024, č. j. UOOU–01902/21–13). Takový postup je v rozporu se zásadami hospodárnosti, rychlosti a procesní odpovědnosti správního orgánu.

32. Druhá krajnost spočívá ve výkladu, podle něhož by žalovaný byl povinen o stížnosti rozhodnout vždy v rámci 30, resp. 60 dnů, a to i tehdy, dotýká–li se stížnost z povahy věci třetí osoby (správce osobních údajů), vůči níž je třeba vést kontrolní řízení podle kontrolního řádu, popř. následné přestupkové řízení. Trvání na vydání rozhodnutí ve stížnosti ještě před řádným ukončením těchto řízení by vedlo k neúplnému zjištění skutkového stavu, omezení procesních práv správce osobních údajů (zejména práva vyjádřit se, navrhovat důkazy a využívat opravné prostředky), a tím k zásahu do jeho ústavně zaručených práv jako adresáta výkonu veřejné moci. Soud zdůrazňuje, že správci osobních údajů nejsou pouze orgány veřejné moci, nýbrž zejména soukromoprávní subjekty, zpravidla fyzické osoby – podnikatelé a právnické osoby, jejichž právní sféra musí být v řízeních vedených státem řádně a přiměřeně chráněna.

33. Úkolem soudu není přiklonit se výlučně k jedné z těchto poloh, nýbrž nalézt řešení, které zároveň zabrání neomezenému prodlužování řízení, a umožní řádné vedení kontrolních či přestupkových řízení, v nichž jsou šetřena ústavní práva správce osobních údajů.

34. Podle § 141 správního řádu platí, že ve sporném řízení správní orgán řeší spory z veřejnoprávních smluv (část pátá) a v případech stanovených zvláštními zákony spory vyplývající z občanskoprávních, pracovních, rodinných nebo obchodních vztahů.

35. Žalobcem navržené řešení prostřednictvím sporného řízení podle § 141 správního řádu není na posuzovanou věc aplikovatelné. Podle § 141 odst. 1 správního řádu se sporné řízení vede ve věcech sporů z veřejnoprávních smluv a v případech stanovených zvláštními zákony. Pro posuzovanou věc tento procesní režim není právně předvídán, neboť řízení o stížnosti podle čl. 77 nařízení GDPR nemá povahu sporu ve smyslu uvedeného ustanovení.

36. Podle recitálu 4 nařízení GDPR platí, že zpracování osobních údajů by mělo sloužit lidem. Právo na ochranu osobních údajů není právem absolutním; musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy. Toto nařízení ctí všechna základní práva a dodržuje svobody a zásady uznávané Listinou, jak jsou zakotveny ve Smlouvách, zejména respektování soukromého a rodinného života, obydlí a komunikace, ochranu osobních údajů, svobodu myšlení, svědomí a náboženského vyznání, svobodu projevu a informací, svobodu podnikání, právo na účinnou právní ochranu a spravedlivý proces, jakož i kulturní, náboženskou a jazykovou rozmanitost (zvýraznění doplněno soudem).

37. Podle čl. 1 odst. 1 nařízení GDPR platí, že toto nařízení stanoví pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů a pravidla týkající se volného pohybu osobních údajů (zvýraznění doplněno soudem).

38. Osmý senát má za to, že stížnost podle čl. 77 nařízení GDPR lze podřadit pod režim podnětu podle § 42 správního řádu, nejedná se tedy o řízení o žádosti podle správního řádu. Vychází přitom z přímé aplikovatelnosti unijního nařízení a skutečnosti, že obecné nařízení o ochraně osobních údajů nestanoví ani formálně, ani materiálně obsah rozhodnutí, které má být vydáno při vyřízení stížnosti podle čl. 77 nařízení GDPR. Podřazení pod režim řízení o žádosti dle správní řádu by tak mohla vést k právně problematickým závěrům, které jsou stěží realizovatelné v praxi, což ostatně dokládá i argumentace žalovaného dozorového úřadu.

39. Podle názoru osmého senátu je stížnost podle čl. 77 nařízení GDPR podáním sui generis, které v sobě částečně zahrnuje prvky obecného podnětu, avšak současně se dotýká práv subjektu údajů. Tento závěr senát opírá o systematickou povahu nařízení GDPR, které není všeobecným soukromoprávním předpisem komplexně chránícím právo na soukromí, nýbrž specifickým veřejnoprávním předpisem poskytujícím ochranu soukromí výlučně v rámci činnosti definované jako zpracování osobních údajů. Nařízení GDPR se nevztahuje na jednorázová porušení ochrany soukromí a nevylučuje ochranu podle jiných předpisů. Svou povahou je však dle soudu nejblíže řízení právě podnětu k zahájení přestupkového řízení.

40. Ostatně recitál 4 nařízení GDPR výslovně uvádí, že právo na ochranu osobních údajů není právem absolutním, nýbrž musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality vyvažováno s dalšími základními právy. Již čl. 1 nařízení GDPR stanoví, že toto nařízení upravuje ochranu fyzických osob v souvislosti se zpracováním osobních údajů a pravidla týkající se volného pohybu osobních údajů. Nejedná se tedy o všeobecnou ochranu soukromí a není jím vyloučena jiná soukromoprávní ochrana vůči správci osobních údajů (např. v rámci civilního soudnictví), nýbrž jde o specifický správněprávní předpis sloužící k úpravě situací týkajících se zpracování osobních údajů, což je činnost přesně definovaná v čl. 4 nařízení GDPR.

41. Podstatnou skutečností proto je, že jakákoli stížnost podaná dozorovému úřadu z povahy věci vždy poukazuje na jednání třetí osoby (správce osobních údajů) ryze v souvislosti se systematickým zpracováním osobních údajů. Aby dozorový úřad mohl rozhodnout o stížnosti, musí posoudit jednání správce osobních údajů, k čemuž využívá kontrolní řád či přestupkové řízení, které mají vlastní pravidla, lhůty a vyžadují respektování právní jistoty jak subjektů údajů, tak správců osobních údajů. Podle názoru osmého senátu dosavadní judikatorní linie opomíjí zvážit i ústavní a procesní práva, která mají správci osobních údajů jako adresáti veřejné moci, vůči nimž je zahajována kontrola nebo přestupkové řízení, a kteří mohou využívat hojné procesní obrany. Tyto úkony správního orgánu vůči nim nelze provést bez přiměřených procesních postupů limitovaných zákonem.

42. Osmý senát proto uzavírá, že stížnost podle čl. 77 nařízení GDPR má být zpracována jako podnět ve smyslu ust. § 42 správního řádu ve lhůtách podle správního řádu, tj. v této lhůtě musí žalovaný o podnětu rozhodnout a subjektu údajů sdělit, že kontrolní nebo přestupkové řízení zahájil, nebo že neshledal důvody k zahájení řízení z moci úřední. Tímto jednáním bude o stížnosti s konečnou platností rozhodnuto. V této souvislosti osmý senát připomíná, že subjekt údajů nemá právo na sankcionování správce osobních údajů (stejně tak jako neexistuje všeobecné veřejné subjektivní právo na zahájení řízení z moci úřední) a je v následné gesci dozorového úřadu, jak naloží s kontrolními závěry či přestupkovým šetřením vůči správci osobních údajů. Skutečnost, že je potřeba šetřit procesní práva správců osobních údajů, a že subjekt údajů nemá právo požadovat sankcionování správce osobních údajů v rámci působnosti nařízení GDPR, vede osmý senát k závěru, že stížnost podle čl. 77 GDPR má smíšenou povahu podle správního řádu a je nutno ji vnímat jako podání sui generis, představující specifický unijní institut ochrany osobních údajů.

43. Opačný výklad by vedl k druhé krajnosti, kdy trvání na vydání meritorního rozhodnutí o stížnosti zahrnující i konečné konstatování porušení nařízení GDPR správcem osobních údajů ještě před řádným ukončením kontrolního nebo přestupkového řízení by znamenalo neúplné zjištění skutkového stavu, omezení procesních práv správce osobních údajů, zejména právo vyjádřit se, předkládat důkazní návrhy a využívat opravné prostředky. Takový postup by představoval zásah do jeho ústavně zaručených práv jako adresáta výkonu veřejné moci. Soud připomíná, že správci osobních údajů nejsou pouze orgány veřejné moci, ale především soukromoprávní subjekty, zpravidla podnikající fyzické osoby či právnické osoby, jejichž právní sféra musí být v řízeních vedených státem taktéž chráněna. Proto osmý senát opakuje svůj závěr, že o stížnosti podle čl. 77 nařízení GDPR má být rozhodnuto ve lhůtách podle správního řádu způsobem, kdy bude buď shledána nedůvodnou nebo bude shledána prima facie důvodnou a na jejím základě dozorový úřad zahájí následné kontrolní či přestupkové řízení, o čemž stěžovatele vyrozumí. Tímto postupem bude o stížnosti s konečnou platností rozhodnuto.

44. Ke shora uvedenému názoru osmý senát vede i úprava podnětu subjektu údajů o ověření zákonnosti zpracování osobních údajů uvedená v ust. § 31 zákona č. 110/2019 Sb. o zpracování osobních údajů, dle jehož odst. 1 Úřad může na základě podnětu subjektu údajů ověřit zákonnost zpracování osobních údajů. Dle odst. 2, Úřad nemusí podnětu podle odstavce 1 vyhovět zejména, pokud doloží, že podnět je zjevně nedůvodný nebo nepřiměřený, například proto, že se v krátké době v téže věci opakuje. A dle odst. 3, Úřad do 4 měsíců ode dne podání podnětu o ověření zákonnosti zpracování osobních údajů informuje subjekt údajů, zda ověřil zákonnost jejich zpracování či nikoliv; pokud tak neučinil, připojí k informaci odůvodnění svého postupu. A dle odst. 4, Úřad rovněž informuje subjekt údajů o možnosti žádat o soudní ochranu.

45. Dle ust. § 1 je tento zákon implementací Směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV, který zároveň navazuje právě na GDPR.

46. S tím platí, že dle ust. § 60 dojde–li k porušení povinnosti stanovené zákonem nebo uložené na jeho základě při zpracování osobních údajů podle hlavy II nebo III nebo podle nařízení Evropského parlamentu a Rady (EU) 2016/679, může Úřad uložit opatření k odstranění zjištěných nedostatků a stanovit přiměřenou lhůtu pro jejich odstranění. Na toto konstatování může navázat žalovaný tím, že ve smyslu ust. § 64 projedná přestupek dle tohoto zákona a to dle ustanovení zákona upravujícího odpovědnost za přestupky a řízení o nich.

47. Dle ust. § 65 pak žalovaný, aniž řízení o přestupku podle tohoto zákona a porušení nařízení Evropského parlamentu a Rady (EU) 2016/679 zahájí, může Úřad věc usnesením odložit též, jestliže je vzhledem k významu a míře porušení nebo ohrožení chráněného zájmu, který byl činem dotčen, způsobu provedení činu, jeho následku, okolnostem, za nichž byl čin spáchán, nebo vzhledem k chování podezřelého po spáchání činu zřejmé, že účelu, jehož by bylo možno dosáhnout provedením řízení o přestupku, bylo dosaženo nebo jej lze dosáhnout jinak. Usnesení o odložení věci podle věty první se pouze poznamená do spisu; ustanovení zákona upravujícího odpovědnost za přestupky a řízení o nich týkající se vyrozumění o odložené věci se v takovém případě nepoužije.

IV. Závěr a rozhodnutí o nákladech řízení

48. Městský soud seznal, že žalovaný je v řízení o žalobcově stížnosti ze dne 24. března 2025 nečinný, a proto mu podle § 81 odst. 2 s. ř. s. uložil povinnost o stížnosti vedené pod sp. zn. UOOU–01902/21 rozhodnout do 30 dnů od právní moci tohoto rozsudku. Délku této lhůty soud považuje s ohledem na dosavadní délku řízení za přiměřenou. Soud k tomuto závěru dospěl s ohledem na skutečnost, že nová (resp. opakovaná) stížnost žalobce byla zahrnuta do řízení vedeného pod uvedenou spisovou značkou, a s přihlédnutím k důvodům podrobně rozvedeným v odůvodnění tohoto rozhodnutí.

49. O náhradě nákladů řízení soud rozhodl podle § 60 odst. 1 soudního řádu správního, podle něhož má účastník, který měl ve věci plný úspěch, právo na náhradu nákladů řízení před soudem, které důvodně vynaložil, proti účastníkovi, který ve věci úspěch neměl. Ve věci měl plný úspěch žalobce a jeho náklady sestávají ze zaplaceného soudního poplatku ve výši 2 000 Kč. Celková výše nákladů tak činí 2 000 Kč.

Poučení

I. Základ sporu II. Obsah žaloby, vyjádření žalovaného a replika žalobce III. Posouzení žaloby IV. Závěr a rozhodnutí o nákladech řízení