62023TJ0070_RES
Spojené veci T‑70/23, T‑84/23 a T‑111/23
[Výňatky]
Data Protection Commission
proti
Európskemu výboru pre ochranu údajov
Rozsudok Všeobecného súdu z 29. januára 2025
„Ochrana osobných údajov – Článok 65 ods. 1 písm. a) nariadenia (EÚ) 2016/679 – Záväzné rozhodnutie, ktorým sa vedúcemu dozornému orgánu udeľuje pokyn rozšíriť rozsah vyšetrovania a vypracovať doplňujúci návrh rozhodnutia – Právomoc Európskeho výboru pre ochranu údajov“
Ochrana fyzických osôb pri spracovaní osobných údajov – Nariadenie 2016/679 – Právomoc Európskeho výboru pre ochranu údajov (EDPB) – Rozsah – Záväzné rozhodnutie, ktorým sa vedúcemu dozornému orgánu udeľuje pokyn rozšíriť rozsah vyšetrovania a vypracovať doplňujúci návrh rozhodnutia – Zahrnutie
[Článok 39 ZEÚ; článok 16 ods. 1 a 2, články 101 a 102 ZFEÚ; Charta základných práv Európskej únie, článok 8 ods. 1 a 3; nariadenie Európskeho parlamentu a Rady 2016/679, odôvodnenia 126, 136 a 141 a článok 4 bod 24, článok 57 ods. 1 písm. a) a f), článok 58 ods. 2, článok 60, článok 65 ods. 1 písm. a), ods. 2 a ods. 3 a článok 66]
(pozri body 35, 36, 38 – 40, 43 – 45, 49 – 54, 56 – 59, 62, 63, 68 – 75, 77 – 82)
Zhrnutie
Všeobecný súd rozhodujúci v rozšírenej komore zamietol žalobu, ktorú podala Data Protection Commission, írsky dozorný orgán v oblasti ochrany osobných údajov, požadujúcu čiastočnú neplatnosť záväzných rozhodnutí Európskeho výboru pre ochranu údajov (ďalej len „EDPB“). Vo svojom rozsudku Všeobecný súd po prvýkrát rozhodoval o právomoci EDPB uložiť vnútroštátnemu dozornému orgánu povinnosť rozšíriť analýzu a prípadne i vyšetrovanie.
Po výmene korešpondencie s ostatnými dotknutými dozornými orgánmi Data Protection Commission ako vedúci dozorný orgán konštatovala, že sa nedosiahol konsenzus, pokiaľ ide o námietky vznesené voči jej návrhom rozhodnutia týkajúcim sa cezhraničného spracúvania údajov v súvislosti s používaním sociálnej siete Facebook, sociálnej siete Instagram a služby zasielania správ WhatsApp. Preto sa obrátila na EDPB v rámci mechanizmu konzistentnosti. (
1
)
EDPB sa domnieval, že väčšina námietok vznesených v súvislosti s návrhmi rozhodnutia je relevantná a odôvodnená, a po preskúmaní troch spisov sa rozhodol zaujať stanovisko k otázkam, ktoré v nich boli vznesené.
Dňa 5. decembra 2022 tak prijal záväzné rozhodnutia, ktorými uložil Data Protection Commission povinnosť viesť nové vyšetrovania týkajúce sa spracúvania údajov v súvislosti s využívaním troch vyššie uvedených aplikácií a na tomto základe vypracovať doplňujúce návrhy rozhodnutia.
Data Protection Commission spochybnila právomoc EDPB ukladať jej prostredníctvom záväzných rozhodnutí takéto opatrenia.
Posúdenie Všeobecným súdom
V prvom rade Všeobecný súd spresnil rozsah právomoci EDPB (
2
) na základe doslovnej, kontextuálnej a teleologickej analýzy nariadenia o ochrane údajov.
V tejto súvislosti najprv zdôraznil, že podľa doslovného výkladu relevantných ustanovení nariadenia o ochrane údajov (
3
) má EDPB právomoc prijímať ustanovenia, akými sú napadnuté ustanovenia, ktorými udelí vedúcemu dozornému orgánu pokyn, aby vykonal nové vyšetrovanie určitých aspektov dotknutých vecí a následne prijal nové návrhy rozhodnutia. Keďže sa záväzné rozhodnutie EDPB musí týkať všetkých záležitostí, ktoré sú predmetom relevantných a odôvodnených námietok, tak príslušné ustanovenia nariadenia o ochrane údajov nezakazujú, aby – v prípade, keď EDPB schváli relevantnú a odôvodnenú námietku týkajúcu sa návrhu rozhodnutia a neexistencie alebo nedostatočnosti analýzy nejakého aspektu zabraňujúceho dozvedieť sa, či bolo alebo nebolo porušené toto nariadenie – toto rozhodnutie obsahovalo príkaz, aby vedúci dozorný orgán napravil túto nedostatočnú analýzu, a ak sa to zdá byť nevyhnutné vzhľadom na spis, ktorý má EDPB k dispozícii, aby na tento účel prehĺbil alebo rozšíril doterajšie vyšetrovanie. Ak sa zdá, že spis nepostačuje na úplné vykonanie požadovanej analýzy, musí to viesť k tomu, že EDPB bude môcť uložiť vedúcemu dozornému orgánu povinnosť doplniť vyšetrovanie.
Všeobecný súd ďalej v rámci kontextuálneho výkladu relevantných ustanovení nariadenia o ochrane údajov usúdil, že všeobecný kontext povinnosti spolupráce medzi dozornými orgánmi, ktorých sa prípad týka, zakotvený v nariadení o ochrane údajov, potvrdzuje právomoc EDPB prijímať napadnuté opatrenia.
V tejto súvislosti uviedol, že postup spolupráce medzi dotknutými dozornými orgánmi v danom prípade, (
4
) ktorý môže zahŕňať spustenie kontrolného mechanizmu konzistentnosti zabezpečovaného zo strany EDPB, nie je „jednosmerným“ postupom, v rámci ktorého by jednotlivé štádiá po sebe vždy nastupovali v poradí ustanovení, ktoré ich stanovujú, bez možnosti návratu do predchádzajúceho štádia alebo možnosti dočasného zotrvania v rovnakom štádiu.
Okrem toho uviedol, že analýza podmienok, za ktorých sa osobné údaje spracúvajú, a súladu spracovania údajov s nariadením o ochrane údajov, sa nemôže obmedziť na to, čo uvádza sťažnosť sťažovateľa. Predovšetkým úplné zabezpečenie úloh kontroly dodržiavania tohto nariadenia a vybavovania sťažností v primeranom rozsahu, (
5
) stanovených v nariadení o ochrane údajov, si vyžaduje primeraný rozsah analýzy prípadu vo vzťahu k sťažnosti, ktorá je jeho základom, ale aj vo vzťahu k ostatným skutočnostiam, ktoré ju môžu doplniť. Relevantná a odôvodnená námietka sa však podľa svojej definície týka aspektov, ktorých analýza patrí do dvoch vyššie uvedených úloh. Preto skutočnosť, že relevantná a odôvodnená námietka sa týka rozsahu analýzy a prípadne rozsahu vyšetrovania a že EDPB sa ňou zaoberá, nijako neohrozuje tieto úlohy.
Všeobecný súd napokon zdôraznil, že toto preskúmanie cieľov nariadenia o ochrane údajov potvrdzuje aj doslovný výklad relevantných ustanovení nariadenia o ochrane údajov.
V tejto súvislosti najmä pripomenul, že mechanizmus spolupráce medzi dozornými orgánmi, ktorých sa prípad týka, je obmedzený, ak tieto orgány nedosiahnu konsenzus. Práve v tejto situácii musí vedúci dozorný orgán predložiť záležitosť, v ktorej sa nedosiahol konsenzus, mechanizmu konzistentnosti, ktorý vedie k vydaniu záväzného rozhodnutia EDPB. V prípade opätovného začatia vyšetrovania musí príslušný orgán prijať konečné rozhodnutie o hmotnoprávnych aspektoch analyzovaných a vyriešených po záväznom rozhodnutí EDPB v lehote stanovenej v nariadení o ochrane údajov. To mu nebráni v tom, aby vykonal doplňujúce vyšetrovanie a analyzoval aspekty prípadu, ktoré ešte neboli preskúmané.
V druhom rade Všeobecný súd konštatoval, že podmienky zverenia právomoci orgánu Únie nebránia presadzovanému výkladu, podľa ktorého má EDPB právomoc uložiť vedúcemu dozornému orgánu povinnosť rozšíriť analýzu a prípadne i vyšetrovanie. Výkon takejto právomoci je totiž ohraničený rôznymi kritériami a podmienkami, ktoré vymedzujú jej pôsobnosť. Na jednej strane sa táto právomoc vykonáva len v prípade jasne zistenej nedostatočnosti analýzy vedúceho dozorného orgánu pri riešení prípadu, ktorá môže mať významné dôsledky, ako to vyplýva z definície relevantnej a odôvodnenej námietky, a na druhej strane táto právomoc vyplýva z kolektívneho posúdenia dozornými orgánmi tvoriacimi EDPB.
Okrem toho Všeobecný súd spresnil, že výkon uvedenej právomoci podlieha súdnemu preskúmaniu. Konkrétne, Súd Únie môže v medziach žalobných dôvodov, ktoré mu boli predložené, overiť zákonnosť podstaty napadnutých ustanovení v závislosti od okolností prejednávanej veci. Predovšetkým by mohol v prvom rade overiť, či EDPB prijatím ustanovení takejto povahy skutočne zohľadnil relevantnú a odôvodnenú námietku dozorného orgánu. V druhom rade by mohol overiť zákonnosť samotnej podstaty takýchto ustanovení udeľujúcich pokyny dozorným orgánom.
V tejto súvislosti Všeobecný súd dodal, že záväzné rozhodnutie EDPB, ktorým sa vedúcemu dozornému orgánu ukladá povinnosť rozšíriť analýzu a vyšetrovanie, nespochybňuje jeho schopnosť hierarchicky usporiadať plnenie svojich rôznych úloh ako nezávislého orgánu, čo je úloha, ktorej preskúmanie prináleží výlučne vnútroštátnemu súdu. Rozhodnutie EDPB ani všeobecnejšie nespochybňuje jeho nezávislosť. (
6
)
(
1
)	Podľa článku 60 ods. 4 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (Ú. v. EÚ L 119, 2016, s. 1; ďalej len „nariadenie o ochrane údajov“).
(
2
)	V zmysle článku 65 ods. 1 písm. a) nariadenia o ochrane údajov.
(
3
)	Článok 65 ods. 1 písm. a) nariadenia o ochrane údajov v spojení s článkom 4 bodom 24, článkom 65 ods. 6 a odôvodneniami 126 a 136 tohto nariadenia.
(
4
)	Stanovený v článku 60 nariadenia o ochrane údajov.
(
5
)	Článok 57 ods. 1 písm. a) a f) nariadenia o ochrane údajov.
(
6
)	Zakotvenú v článku 39 ZEÚ, článku 16 ods. 2 ZFEÚ a článku 8 ods. 3 Charty základných práv Európskej únie.