62023TJ0070_RES
Spojené věci T‑70/23, T‑84/23 a T‑111/23
(zveřejnění formou výňatků)
Data Protection Commission
v.
Evropský sbor pro ochranu osobních údajů
Rozsudek Tribunálu ze dne 29. ledna 2025
„Ochrana osobních údajů – Článek 65 odst. 1 písm. a) nařízení (EU) 2016/679 – Závazné rozhodnutí, kterým se vedoucímu dozorovému úřadu uděluje pokyn rozšířit rozsah šetření a vypracovat doplňující návrh rozhodnutí – Pravomoc Evropského sboru pro ochranu osobních údajů“
Ochrana fyzických osob v souvislosti se zpracováním osobních údajů – Nařízení 2016/679 – Pravomoc Evropského sboru pro ochranu osobních údajů (EDPB) – Rozsah – Závazné rozhodnutí, kterým se vedoucímu dozorovému úřadu uděluje pokyn rozšířit rozsah šetření a vypracovat doplňující návrh rozhodnutí – Zahrnutí
[Článek 39 SEU; čl. 16 odst. 1 a 2, články 101 a 102 SFEU; Listina základních práv Evropské unie, čl. 8 odst. 1 a 3; nařízení Evropského parlamentu a Rady 2016/679, body 126, 136 a 141 odůvodnění, čl. 4 bod 24, čl. 57 odst. 1 písm. a) a f), čl. 58 odst. 2, článek 60, čl. 65 odst. 1 písm. a), odst. 2, 3 a 6 a článek 66]
(viz body 35, 36, 38–40, 43–45, 49–54, 56–59, 62, 63, 68–75, 77–82)
Shrnutí
Tribunál rozhodující v rozšířeném senátu zamítl žalobu Data Protection Commission, irského dozorového úřadu pro ochranu osobních údajů, směřující k částečnému zrušení závazných rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB). Ve svém rozsudku se Tribunál poprvé vyjádřil k pravomoci EDPB uložit povinnost vedoucímu dozorovému úřadu rozšířit svou analýzu případu a případně své šetření.
Po korespondenci s ostatními dotčenými dozorovými úřady Data Protection Commission, jakožto vedoucí dozorový úřad, konstatovala, že ohledně námitek vznesených vůči jejím návrhům rozhodnutí týkajícím se přeshraničního zpracování údajů v souvislosti s využíváním sociální sítě Facebook, sociální sítě Instagram a aplikace pro zasílání zpráv WhatsApp nebylo dosaženo konsensu. Proto se obrátila na EDPB v rámci mechanismu jednotnosti (
1
).
Po posouzení všech tří případů se EDPB, který měl za to, že většina námitek vznesených k návrhům rozhodnutí je relevantní a odůvodněná, rozhodl zaujmout stanovisko ke vzneseným otázkám.
Dne 5. prosince 2022 tak přijal závazná rozhodnutí ukládající Data Protection Commission povinnost provést nová šetření zpracování údajů v souvislosti s využíváním třech výše uvedených aplikací a vypracovat na tomto základě doplňující návrhy rozhodnutí.
Data Protection Commission zpochybnila pravomoc EDPB ukládat jí taková opatření prostřednictvím závazných rozhodnutí.
Závěry Tribunálu
V první řadě Tribunál upřesnil rozsah pravomoci EDPB (
2
) na základě doslovné, kontextuální a teleologické analýzy GDPR.
V tomto rámci nejprve uvedl, že podle doslovného výkladu příslušných ustanovení GDPR (
3
) má EDPB pravomoc přijímat taková ustanovení, jako jsou napadená ustanovení, která vedoucímu dozorovému úřadu ukládají pokyn, aby provedl nové šetření určitých aspektů dotyčných případů a následně přijal nové návrhy rozhodnutí. Vzhledem k tomu, že se závazné rozhodnutí EDPB musí týkat veškerých záležitostí, které jsou předmětem relevantních a odůvodněných námitek, příslušná ustanovení GDPR nebrání tomu, aby v případě, že EDPB vyhoví relevantní a odůvodněné námitce týkající se neexistence nebo nedostatečnosti analýzy některého aspektu v tomto návrhu rozhodnutí, který brání zjištění, zda došlo k porušení tohoto nařízení, obsahovalo toto rozhodnutí příkaz, aby vedoucí dozorový úřad odstranil tento nedostatek analýzy, a pokud se to jeví jako nezbytné s ohledem na spis, který má EDPB k dispozici, aby za tímto účelem prohloubil nebo rozšířil dosud provedené šetření. Pokud se ukáže, že spis nepostačuje k úplnému provedení požadované analýzy, musí to vést k tomu, že EDPB může vedoucímu dozorovému úřadu uložit povinnost doplnit šetření.
Dále měl Tribunál na základě kontextuálního výkladu příslušných ustanovení GDPR za to, že obecný kontext povinnosti spolupráce mezi dotčenými dozorovými úřady, který je zakotven v GDPR, potvrzuje pravomoc EDPB přijímat napadená opatření.
K této věci uvedl, že postup spolupráce mezi dotčenými dozorovými úřady v daném případě (
4
), který může zahrnovat spuštění mechanismu jednotnosti zajišťovaného EDPB, není „jednosměrným“ postupem, v jehož rámci by jednotlivé fáze vždy probíhaly v pořadí podle ustanovení, která je upravují, bez možnosti návratu do předchozí fáze nebo dočasného setrvání v téže fázi.
Kromě toho poznamenal, že analýza podmínek, za kterých je prováděno zpracování osobních údajů, a jeho souladu s GDPR se nesmí omezit na to, co uvádí stěžovatel ve své stížnosti. Konkrétně plné zajištění úkolů dozorových úřadů stanovených v GDPR, kterými je vymáhání uplatňování tohoto nařízení a zabývání se stížnostmi ve vhodné míře (
5
), vyžaduje stanovení patřičného rozsahu analýzy případu s ohledem na stížnost, která je jeho základem, ale také s ohledem na ostatní skutečnosti, které ji mohou doplnit. Relevantní a odůvodněná námitka se přitom podle své definice týká aspektů, jejichž analýza skutečně spadá pod oba výše uvedené úkoly. Proto skutečnost, že se relevantní a odůvodněná námitka týká rozsahu analýzy a případně rozsahu šetření a EDPB jí vyhoví, tyto úkoly nijak neohrožuje.
Nakonec Tribunál poukázal na to, že přezkum cílů GDPR rovněž potvrzuje doslovný výklad příslušných ustanovení GDPR.
V tomto ohledu zejména připomněl, že mechanismu spolupráce mezi dotčenými dozorovými úřady naráží na své meze, pokud tyto úřady nedosáhnou konsensu. Právě v této situaci musí vedoucí dozorový úřad postoupit záležitost, ve které nebylo dosaženo konsensu, k řešení v rámci mechanismu jednotnosti, který vede k závaznému rozhodnutí EDPB. V případě opětovného zahájení šetření musí příslušný orgán přijmout konečné rozhodnutí o meritorních aspektech analyzovaných a vyřešených po závazném rozhodnutí EDPB ve lhůtě stanovené v GDPR. To mu nebrání v tom, aby provedl doplňující šetření a analyzoval aspekty případu, které dosud nebyly posouzeny.
Ve druhé řadě měl Tribunál za to, že podmínky svěření pravomoci unijní instituci nebrání přijatému výkladu, podle kterého má EDPB pravomoc uložit vedoucímu dozorovému úřadu povinnost rozšířit svou analýzu a případně i své šetření. Výkon takové pravomoci je totiž vázán na různá kritéria a podmínky, které vymezují jeho rozsah činnosti. Tato pravomoc je tak vykonávána pouze v případě jasně zjištěné nedostatečnosti analýzy vedoucího dozorového úřadu při řešení případu, která může mít významné důsledky, jak vyplývá z definice relevantní a odůvodněné námitky, a dále tato pravomoc vyplývá z kolektivního posouzení provedeného dozorovými úřady, které tvoří EDPB.
Kromě toho Tribunál upřesnil, že výkon uvedené pravomoci podléhá soudnímu přezkumu. Konkrétněji v mezích žalobních důvodů, které byly před ním uplatněny, může unijní soud ověřit materiální legalitu napadených ustanovení v závislosti na okolnostech projednávané věci. Zejména může v prvním sledu ověřit, zda EDPB přijetím ustanovení této povahy skutečně vyhověl relevantní a odůvodněné námitce dozorového úřadu. Ve druhém sledu může ověřit legalitu samotné podstaty takových ustanovení, která dávají pokyny dozorovým úřadům.
V tomto kontextu Tribunál dodal, že závazné rozhodnutí EDPB, které ukládá vedoucímu dozorovému úřadu povinnost rozšířit svou analýzu a šetření, nezpochybňuje jeho schopnost stanovovat priority pro plnění jeho jednotlivých úkolů jakožto nezávislého orgánu, což je úloha, jejíž přezkum přísluší pouze vnitrostátnímu soudu. Obecněji ani nezpochybňuje jeho nezávislost (
6
).
(
1
) – V souladu s čl. 60 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).
(
2
) – Na základě čl. 65 odst. 1 písm. a) GDPR.
(
3
) – Článek 65 odst. 1 písm. a) GDPR ve spojení s čl. 4 bodem 24, čl. 65 odst. 6 a body 126 a 136 odůvodnění tohoto nařízení.
(
4
) – Stanovený v článku 60 GDPR.
(
5
) – Článek 57 odst. 1 písm. a) a f) GDPR.
(
6
) – Zakotvenou v článku 39 SEU, čl. 16 odst. 2 SFEU a čl. 8 odst. 3 Listiny základních práv Evropské unie.