Souvislosti

1. V roce 2021 stěžovatel, Irská rada pro občanské svobody, napsal Evropské komisi o prosazování obecného nařízení EU o ochraně osobních údajů (GDPR)[1] v Irsku.

2. Irsko hraje při provádění obecného nařízení o ochraně osobních údajů zvláštní úlohu, protože hostí většinu „velkých technologických“ společností v Evropské unii [2]. Pokud orgán pro ochranu údajů jiného členského státu obdrží stížnost, která se v zásadě týká práce „velké technologické“ společnosti v Irsku, je záležitost obvykle předána irské komisi pro ochranu údajů. Poté je na irské komisi pro ochranu údajů, aby určila, jak bude tato záležitost řešena.

3. Stěžovatel poukázal na široce rozšířené obavy, že irská komise pro ochranu údajů nepodniká odpovídající kroky k prosazování obecného nařízení o ochraně osobních údajů [3]. Stěžovatel zpochybnil, zda Evropská komise shromáždila dostatek informací, aby mohla tento problém sledovat.

4. Komise v souhrnu odpověděla, že nemá žádné důkazy, které by tuto obavu potvrdily, a že přijímá vhodná opatření ke sledování uplatňování obecného nařízení o ochraně osobních údajů v Irsku.

5. Stěžovatel nesouhlasil a v lednu 2022 se obrátil na evropského veřejného ochránce práv.

Šetření

6. Veřejná ochránkyně práv ve svém dopise Evropské komisi, kterým zahájila toto šetření, uvedla rozsah svého šetření:

7. Šetření se týká toho, zda Evropská komise podnikla odpovídající kroky ke shromáždění dostatečných faktických prvků, které by jí umožnily řádně sledovat provádění obecného nařízení o ochraně osobních údajů v Irsku. Nejde o to, zda Evropská komise obecně dělá dost pro to, aby zajistila uplatňování NDRP. Evropská komise má širokou posuzovací pravomoc při rozhodování o tom, zda a kdy zahájit řízení o nesplnění povinnosti. Veřejný ochránce práv může Evropskou komisi požádat, aby věcné otázky v případech porušení právních předpisů přezkoumala pouze tehdy, pokud existují náznaky, že předložení skutkového nebo právního stavu bylo zjevně nesprávné.

8. Veřejná ochránkyně práv zdůraznila, že toto šetření je nezbytné, protože občané musí mít na mysli otázky týkající se provádění obecného nařízení o ochraně osobních údajů, pokud se budou šířit různé faktické údaje. Poukázala na to, že veřejné subjekty spolu s organizacemi občanské společnosti vyjádřily obavy, že uplatňování obecného nařízení o ochraně osobních údajů v Irsku je nedostatečné.

9. Veřejná ochránkyně práv proto požádala Evropskou komisi, aby poskytla podrobný a úplný přehled informací, které shromáždila, aby se mohla sama informovat o tom, zda je obecné nařízení o ochraně osobních údajů v Irsku uplatňováno ve všech ohledech. Požádala Komisi, aby vysvětlila, jak a z jakých zdrojů informace shromažďuje.

10. Vyšetřovací tým veřejného ochránce práv se dvakrát setkal se zástupci Evropské komise. Veřejný ochránce práv rovněž obdržel dvě formální odpovědi [4]. Stěžovatel se vyjádřil ke zprávám ze zasedání a k odpovědím Evropské komise.

11. Klíčovou otázkou je, zda je shromažďování informací Evropskou komisí dostatečné v souvislosti s výše uvedenou otázkou, konkrétně zda mohou občané skutečně důvěřovat tomu, že Irsko prostřednictvím své Komise pro ochranu údajů přijme vhodná opatření k přezkoumání případů ochrany údajů, na které odkazují orgány pro ochranu údajů jiných členských států ve vztahu k „velkým technologickým“ společnostem, které se tam nacházejí (dále jen „přeshraniční případy“), a k přijetí následných opatření.

12. Kromě připomínek uvedených v dopise o zahájení tohoto šetření bere veřejná ochránkyně práv na vědomí následující: toto šetření se netýká toho, zda by Evropská komise mohla nebo měla instruovat jednotlivé dozorové úřady, aby se zabývaly konkrétními šetřeními. Vnitrostátní dozorové úřady jednají při provádění obecného nařízení o ochraně osobních údajů nezávisle a činnost Evropské komise v souvislosti s možnými porušeními se v každém případě provádí vůči členským státům, nikoli vůči jednotlivým veřejným subjektům. Toto šetření je zaměřeno spíše na shromažďování informací. Obecné nařízení o ochraně osobních údajů klade značný důraz na poskytování informací, ať už zveřejněním nebo povinným zveřejněním informací v reakci na žádosti. Při výkonu svých kontrolních pravomocí na základě Smlouvy může Evropská komise požádat jednotlivé orgány dohledu o nezbytné informace.

Zda Evropská komise shromažďuje dostatečné informace

Argumenty předložené veřejnému ochránci práv

13. Hlavní argument ve stížnosti lze shrnout takto: V souvislosti s přeshraničními případy může Evropská komise sledovat, jak Irsko uplatňuje obecné nařízení o ochraně osobních údajů, pouze pokud ví, kolik takových případů je předáno do Irska; jak dlouho trvá jejich zpracování (podle klíčových kroků procesu); jaká konkrétní opatření jsou (nebo nejsou) přijata k zajištění nápravy pro jednotlivé občany a (případně) k nápravě nezákonných praktik dotčených „velkých technologických“ společností [5]. Stěžovatel tyto informace nenalezl ve výročních zprávách irské komise pro ochranu údajů ani v první zprávě (sdělení) Evropské komise o uplatňování obecného nařízení o ochraně osobních údajů [6].

14. V roce 2020 zveřejnil žadatel svou vlastní zprávu o této otázce [7], která vycházela mimo jiné z údajů v databázi EU [8]. Dospěla k závěru, že Irsko se přeshraničními případy řádně nezabývalo. V následné korespondenci s Evropskou komisí stěžovatele informovala, že její zpráva obsahuje nepřesné údaje a že unijní databáze, z níž vycházela, neslouží k informování veřejnosti o provádění obecného nařízení o ochraně osobních údajů.

15. V průběhu tohoto šetření zveřejnila irská komise pro ochranu údajů zprávu zaměřenou na řešení přeshraničních případů [9]. Stěžovatel informoval Evropskou komisi, že bez ohledu na tuto zprávu stále není možné znát odpověď na otázky uvedené v bodě 13 výše.

16. Evropská komise ve svých odpovědích veřejné ochránkyni práv popsala své zdroje informací v této oblasti. Jako hlavní zdroj informací o provádění obecného nařízení o ochraně osobních údajů odkázala zejména na Evropský sbor pro ochranu osobních údajů [10]. Evropská komise zastávala názor, že informace shromážděné Evropským sborem pro ochranu osobních údajů jsou v podstatě uspokojivé, i když by mohly být prezentovány lépe. Pokud jde o informace, které má k dispozici sama Evropská komise, Komise upozornila na svou první zprávu (sdělení) o uplatňování GPDR a uvedla, že při přípravě této zprávy shromáždila informace od vnitrostátních orgánů pro ochranu údajů, včetně irské Komise pro ochranu údajů. Konzultovala rovněž výroční zprávy této Komise.

17. Evropská komise rovněž informovala veřejnou ochránkyni práv, že jí irská komise pro ochranu údajů zasílá dvouměsíční přehled případů „big tech“, které vyšetřuje. Tento dvouměsíční přehled (jehož obsah je důvěrný) poskytuje Evropské komisi rozsáhlejší a užitečnější informace, než mohou poskytnout samotné statistiky [11]. Evropská komise se proto domnívá, že přijímá vhodná opatření, aby se informovala o tom, zda Irsko náležitě zkoumá přeshraniční případy podle obecného nařízení o ochraně osobních údajů a jedná v těchto případech.

18. Ve svých posledních podáních veřejnému ochránci práv stěžovatel v souhrnu tvrdil, že stále není jasné, zda Evropská komise ve skutečnosti disponuje informacemi odpovídajícími tomu, co je uvedeno výše (bod 13). Poukázala rovněž na legislativní vývoj, k němuž mezitím došlo, a poskytla odkazy na dvě nedávné žádosti o přístup k dokumentům, které podala v souvislosti s předmětem tohoto šetření.

19. Legislativním vývojem, na který stěžovatel poukázal, bylo přijetí aktu o digitálních službách [12] ze strany EU, který zajišťuje zvýšenou ochranu uživatelů internetu a uděluje Evropské komisi mnohem větší úlohu při kontrole „velkých technologických“ společností. Stěžovatel upozornil na novinový článek, v němž jeden z výkonných místopředsedů Evropské komise rozhodl, že posílená úloha Evropské komise vznikla s ohledem na nedostatečnou důvěru, pokud jde o úlohu Irska při prosazování práva ve vztahu k „velkým technologickým“ společnostem [13].

20. Žádosti o přístup k dokumentům byly adresovány Evropské radě pro ochranu údajů a Evropské komisi. Žádost adresovaná Evropskému sboru pro ochranu osobních údajů [14] se v souhrnu týkala získání informací, které má sbor k dispozici o přeshraničních případech. Zdá se, že stěžovatel na základě svých výměn s sborem dospěl k závěru, že sbor nemá k dispozici druh základních informací, o nichž se stěžovatel domnívá, že by Evropská komise měla mít k dispozici, aby mohla řádně sledovat uplatňování obecného nařízení o ochraně osobních údajů ve vztahu k přeshraničním případům. Stěžovatel to zřejmě považoval za důkaz toho, že Evropská komise nesprávně dospěla k závěru, že údaje sboru o provádění obecného nařízení o ochraně osobních údajů (k nimž má Komise přístup) jsou přiměřené.

21. Žádost stěžovatele adresovaná Evropské komisi byla velmi široká [15] a zahrnovala veškerou relevantní komunikaci mezi Komisí a irskými orgány. Zdá se, že stěžovatel z některých dokumentů vyvodil závěr, že Komise zaujala k práci jednotlivých orgánů pro ochranu údajů v členských státech shovívavý postoj [16].

Posouzení veřejného ochránce práv

22. Za účelem monitorování práva EU shromažďuje Evropská komise informace o široké škále otázek. Činí tak v rámci své široké posuzovací pravomoci a organizuje svou činnost za účelem zajištění uplatňování unijního práva. Ačkoli právní předpisy EU někdy stanoví oznamovací povinnosti, zřídkakdy podrobně předepisují, jaké konkrétní informace má Evropská komise shromažďovat.

23. Vzhledem k široké posuzovací pravomoci Evropské komise v této oblasti nemá evropský veřejný ochránce práv tendenci pravidelně a podrobně zkoumat, jaké informace Evropská komise shromažďuje za účelem sledování uplatňování práva EU. Veřejný ochránce práv tak obvykle učiní pouze tehdy, pokud ze skutečností vyplývá, že existují významné informační mezery, které nebyly dostatečně vysvětleny, a/nebo pokud to vyžadují zvláštní okolnosti.

24. Při zahájení tohoto šetření dospěla veřejná ochránkyně práv k závěru, že existují zvláštní okolnosti. Panoval rozšířený předpoklad, že Irsko dostatečně nechrání práva občanů podle obecného nařízení o ochraně osobních údajů. EU oslavila obecné nařízení o ochraně osobních údajů jako milník v ochraně základních práv občanů v digitálním věku. Občané EU mají právo očekávat, že Evropská komise shromáždí dostatek informací, aby mohla sledovat uplatňování těchto právních předpisů.

25. Informace uvedené v bodě 13 jsou druhem informací, které by Evropská komise měla mít k dispozici, tj. základními informacemi pro účely posouzení toho, jak Irsko řeší přeshraniční případy. Informace by měly být věcné a měly by umožňovat nezávislé ověření Evropskou komisí. Evropská komise by navíc musela prokázat vysokou míru kontroly nad tím, jak jsou informace definovány a prezentovány. Evropská komise by například mohla vypracovat tabulku uvádějící kategorie faktických a ověřitelných informací, které by irská komise pro ochranu údajů musela pravidelně poskytovat.

26. V průběhu tohoto šetření Evropská komise vysvětlila, že od irské komise pro ochranu údajů pravidelně dostává aktuální informace o tom, jak tato komise řeší případy „big tech“, včetně přeshraničních případů. Evropská komise ve své druhé odpovědi poukázala na to, že tento dvouměsíční přehled jí poskytuje rozsáhlejší a užitečnější informace než samotné statistiky [17].

27. Veřejná ochránkyně práv nemůže podrobně popsat obsah nebo povahu tohoto pravidelného přehledu, protože jeho kopie byly předány její kanceláři jako důvěrné. Praxe Evropské komise spočívající v získávání takového přehledu je však povzbudivým příkladem konkrétního cíleného monitorovacího opatření, které je za okolností tohoto případu vhodné a v souladu s řádnou správou. V případě neexistence tohoto opatření by veřejný ochránce práv měl vážné pochybnosti o přiměřenosti informací, o které se Evropská komise opírá [18].

28. V pravidelném přehledu však lze provést určitá relevantní zlepšení. Veřejná ochránkyně práv proto při uzavírání tohoto šetření předloží Evropské komisi související návrhy na zlepšení.

29. Veřejná ochránkyně práv rovněž vyzve Evropskou komisi, aby zveřejnila zvláštní povahu pravidelného přehledu, který obdrží od irské Komise pro ochranu údajů (nebo od jiných vnitrostátních orgánů v podobném scénáři). Veřejná ochránkyně práv předkládá související návrh na zlepšení.

Závěr

Na základě šetření veřejná ochránkyně práv uzavírá tento případ následujícím závěrem:

Postup Evropské komise spočívající v získávání dvouměsíčního přehledu od irské komise pro ochranu údajů o tom, jak tato komise vyřizuje případy „big tech“, včetně přeshraničních případů, je vhodný a v souladu s řádnou správou. V případě neexistence tohoto opatření by veřejný ochránce práv měl vážné pochybnosti o přiměřenosti informací, o něž se Evropská komise opírá.

Stěžovatel a Evropská komise budou o tomto rozhodnutí informováni.

Návrhy na zlepšení

Pravidelný přehled případů od irské komise pro ochranu údajů

Veřejná ochránkyně práv předkládá následující podrobné návrhy týkající se dvouměsíčního přehledu, který Evropská komise dostává důvěrně od irské komise pro ochranu údajů o tom, jak tato komise vyřizuje případy týkající se „velkých technologií“, včetně přeshraničních případů.

Evropská komise by mohla vypracovat tabulku s řadou předem určených polí, která by měla vyplnit irská komise pro ochranu údajů, s informacemi o přeshraničních případech, která by u každého takového případu obsahovala číslo případu, dotčeného správce údajů, ostatní dotčené orgány pro ochranu údajů, data klíčových kroků (podle obecného nařízení o ochraně osobních údajů) a jejich data a konkrétní přijatá opatření. Pokud byly jednotlivé případy vyšetřovány z vlastního podnětu, mělo by to být rovněž zaznamenáno u jednotlivých případů spolu s odkazem na vyšetřování z vlastního podnětu, aby Evropská komise mohla sledovat, jak byly jednotlivé případy zpracovány.

Druhá zpráva Evropské komise o uplatňování obecného nařízení o ochraně osobních údajů

Veřejná ochránkyně práv navrhuje, aby Evropská komise ve své druhé zprávě (2024) o uplatňování obecného nařízení o ochraně osobních údajů informovala o své praxi získávání výše uvedeného pravidelného přehledu případů od irské komise pro ochranu údajů a aby v ní poskytla co nejvíce nedůvěrných informací. To by mohlo zahrnovat například nástin konkrétních druhů údajů, které Evropská komise dostává prostřednictvím tohoto pravidelného přehledu.

 

Emily O’Reilly
evropská veřejná ochránkyně práv

Štrasburk, 19. prosince 2022

 

[1] Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679

[2] Jak je uvedeno ve zprávě (sdělení) Evropské komise z roku 2020 o provádění obecného nařízení o ochraně osobních údajů (citované zde k otázce zdrojů vnitrostátních dozorových úřadů, „Vzhledem k tomu, že největší nadnárodní společnosti působící v oblasti velkých technologií jsou usazeny v Irsku a Lucembursku, působí orgány pro ochranu údajů těchto zemí jako vedoucí orgány v mnoha důležitých přeshraničních případech a mohou potřebovat větší zdroje, než by jinak naznačovalo jejich obyvatelstvo.“ – s. 6, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN), a srov. také související „pracovní dokument zaměstnanců“ Komise, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN;from=EN

[3] Viz například mediální zprávy v Politicu, jako je „Jak jedna země blokuje svět v oblasti ochrany údajů“ (24. dubna 2019: https://www.politico.com/story/2019/04/24/ireland-data-privacy-1270123), nebo ve Financial Times „Fight breaks out between Ireland and Germany over Big Tech regulation“ (17. března 2021: https://www.ft.com/content/37705bcf-c5b6-4ef0-adb8-35a8680dbaec). Irská komise pro ochranu údajů sama zveřejnila informace o této otázce v roce 2022 („Vyřizování přeshraničních stížností Komisí pro ochranu údajů je i nadále předmětem veřejného komentáře, bohužel na základě informací, které jsou neúplné a postrádají kontext.“, https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf). Viz rovněž obavy vyjádřené v usnesení Evropského parlamentu ze dne 25. března 2021 o hodnotící zprávě Komise o provádění obecného nařízení o ochraně osobních údajů dva roky po jeho použitelnosti (2020/2717(RSP)), bod 20. (https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_EN.html)

[4] Pro tento případ viz internetové stránky veřejného ochránce práv („Jiné dokumenty“, https://www.ombudsman.europa.eu/en/case/en/60860 )

[5] Stěžovatel předložil více technických návrhů, pokud jde o to, co by Evropská komise měla mít. Jsou zde prezentovány v souhrnné podobě.

[6] Viz poznámka pod čarou 2 výše.

[7] „Europe’s enforcement paralysis – ICCL’s 2021 report on the enforcement capacity of data protection authorities“ („Tři a půl roku po zavedení obecného nařízení o ochraně osobních údajů je prosazování obecného nařízení o ochraně osobních údajů v EU proti velkým technologiím paralyzováno tím, že Irsko nevydalo návrhy rozhodnutí o významných přeshraničních případech“): https://www.iccl.ie/digital-data/2021-gdpr-report/

[8] Informace k tomuto tématu: https://ec.europa.eu/internal_market/imi-net/news/2018/07/index_en.htm

[9] „One-Stop-Shop Cross Border Complaint Statistics - 25 May 2018 - 19 September 2022“: https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf

[10] https://edpb.europa.eu/edpb_en

[11] „Komise si vyžádala informace od Výboru pro ochranu údajů a dostává důvěrně a přibližně každé dva měsíce přehled rozsáhlých zákonných šetření. Komise se domnívá, že se jedná o podrobný přehled aktuálního stavu probíhajících jednotlivých šetření, který umožňuje porozumět jejich obsahu a měřit procesní kroky na vnitrostátní úrovni, jejich pokrok a harmonogram pro předložení k řízení podle článku 60 a případně článku 65 obecného nařízení o ochraně osobních údajů. Je důležité poznamenat, že prostřednictvím výše uvedeného přehledového dokumentu má Komise ve skutečnosti k dispozici více informací o irských žalobách v rámci ochrany údajů proti velkým nadnárodním technologickým společnostem, než by měla prostřednictvím statistik.„ (Druhá odpověď Komise v tomto šetření, část II, s. 2).

[12] Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2022.277.01.0001.01.ENG

„Akt o digitálních službách: Komise vítá politickou dohodu o pravidlech zajišťujících bezpečné a odpovědné on-line prostředí“: https://ec.europa.eu/commission/presscorner/detail/cs/IP_22_2545

[13] „Vestager: Existovala „nedůvěra Irska jako donucovacího orgánu“ v oblasti velkých technologií – výkonný místopředseda Evropské komise řekl Peteru O’Dwyerovi, že nový režim pro akt o digitálních službách zajistí, že pravidla budou řádně provedena“, Business Post, Tech, 1. října 2022: https://www.businesspost.ie/news/vestager-there-was-a-distrust-of-ireland-as-an-enforcer-on-big-tech/#:~:text=The%20European%20Commission%20stepped%20in,executive%20vice%2Dpresident%20has%20said

[14] https://www.asktheeu.org/en/request/lsa_csa_feedback_report_document#incoming-39411

[15] https://www.asktheeu.org/en/request/irish_data_protection_commission#incoming-40159

[16] Stěžovatel citoval informativní poznámku pro setkání příslušného komisaře s irským ministrem spravedlnosti v prosinci 2021: „V souvislosti s přijetím usnesení EP jste se zúčastnil plenárního zasedání EP: obhájil jste závěry, k nimž dospěla Komise ve své zprávě. Mimo jiné jste uvedl, že vítáme úsilí EDPB o zlepšení jeho postupů pro jednotné kontaktní místo a že jej Komise bude i nadále podporovat a bude pečlivě sledovat dosažený pokrok.  Zároveň jste zdůraznil, že se nedomníváte, že ukazování prstem na jednotlivé orgány pro ochranu údajů nebo odhalování neshod mezi orgány vede k nalezení konstruktivního řešení. Mechanismus spolupráce je založen na hledání shody, a nikoli na hospodářské soutěži mezi orgány pro ochranu údajů. Všechny orgány jsou nezávislé a všechny orgány mají při posuzování případů, které jim byly předloženy, prostor pro uvážení. Aby nový systém správy GDPR fungoval efektivně, je nezbytné rozvíjet důvěru a evropského ducha spolupráce, přijmout rozdíly v nezbytném rozsahu a usilovat o vzájemně přijatelná řešení. EDPB byl navržen tak, aby byl více než jen součtem úřadů pro ochranu osobních údajů.“

(15) 2021.12.10 briefing pro zasedání Csser Reynders a IE Minster McEntee.pdf, s. 12:

https://www.asktheeu.org/en/request/11728/response/39971/attach/5/documents.zip?cookie_passthrough=1).

[17] „Komise si vyžádala informace od Výboru pro ochranu údajů a dostává důvěrně a přibližně každé dva měsíce přehled rozsáhlých zákonných šetření. Komise se domnívá, že se jedná o podrobný přehled aktuálního stavu probíhajících jednotlivých šetření, který umožňuje porozumět jejich obsahu a měřit procesní kroky na vnitrostátní úrovni, jejich pokrok a harmonogram pro předložení k řízení podle článku 60 a případně článku 65 obecného nařízení o ochraně osobních údajů. Je důležité poznamenat, že prostřednictvím výše uvedeného přehledového dokumentu má Komise ve skutečnosti k dispozici více informací o irských žalobách v rámci ochrany údajů proti velkým nadnárodním technologickým společnostem, než by měla prostřednictvím statistik.„ (Druhá odpověď Komise v tomto šetření, část II, s. 2).

[18] Kromě odkazů na výroční zprávy irské komise pro ochranu údajů a informace shromážděné pro první zprávu Komise o uplatňování obecného nařízení o ochraně osobních údajů, viz příloha v dopise veřejné ochránkyně práv o dalším šetření ze dne 19. července 2022.

https://www.ombudsman.europa.eu/en/doc/correspondence/en/158576