Souvislosti

1. V roce 2021 stěžovatel, Irská rada pro občanské svobody, napsal Evropské komisi o prosazování obecného nařízení EU o ochraně osobních údajů (GDPR)[1] v Irsku.

2. Irsko hraje při provádění obecného nařízení o ochraně osobních údajů zvláštní úlohu, protože je hostitelem většiny „velkých technologických“ společností v Evropské unii [2]. Pokud orgán pro ochranu údajů jiného členského státu obdrží stížnost, která se v zásadě týká práce „velké technologické“ společnosti v Irsku, je tato záležitost obvykle postoupena irské komisi pro ochranu údajů. Poté je na irské komisi pro ochranu údajů, aby určila, jak bude tato záležitost řešena.

3. Stěžovatel poukázal na široce rozšířenou obavu, že irská komise pro ochranu údajů nepřijala odpovídající opatření k prosazování obecného nařízení o ochraně osobních údajů [3]. Stěžovatel zpochybnil, zda Evropská komise shromáždila dostatek informací, aby mohla tuto záležitost sledovat.

4. Komise v souhrnu odpověděla, že nemá žádné důkazy, které by tuto obavu potvrdily, a že podniká odpovídající kroky ke kontrole uplatňování GDPR v Irsku.

5. Stěžovatel nesouhlasil a v lednu 2022 se obrátil na evropského veřejného ochránce práv.

Šetření

6. Ve svém dopise Evropské komisi zahajující toto šetření veřejná ochránkyně práv uvedla rozsah svého šetření:

7. Šetření se týká toho, zda Evropská komise podnikla odpovídající kroky ke shromáždění dostatečných faktických prvků, které by jí umožnily řádně sledovat provádění obecného nařízení o ochraně osobních údajů v Irsku. Nejde o to, zda Evropská komise obecně dělá dost pro to, aby zajistila uplatňování GDRP. Evropská komise má při rozhodování o tom, zda a kdy zahájit řízení o nesplnění povinnosti, širokou posuzovací pravomoc. Veřejný ochránce práv může Evropskou komisi požádat, aby přezkoumala věcné otázky v případech nesplnění povinnosti, pouze pokud existují náznaky, že se při prezentaci skutkových nebo právních okolností dopustila zjevně nesprávného posouzení.

8. Veřejná ochránkyně práv zdůraznila, že toto šetření je nezbytné, protože v myslích občanů musí vyvstat otázky, pokud se v souvislosti s prováděním obecného nařízení o ochraně osobních údajů rozbíhají různé faktické účty. Poukázala na to, že veřejné orgány spolu s organizacemi občanské společnosti vyjádřily obavy, že uplatňování obecného nařízení o ochraně osobních údajů v Irsku je nedostatečné.

9. Veřejná ochránkyně práv proto požádala Evropskou komisi, aby poskytla podrobný a úplný popis informací, které shromáždila, aby se informovala o tom, zda je nařízení GDPR v Irsku uplatňováno ve všech ohledech. Požádala Komisi, aby vysvětlila, jak a z jakých zdrojů tyto informace shromažďuje.

10. Tým pro šetření veřejné ochránkyně práv uspořádal dvě setkání se zástupci Evropské komise. Veřejný ochránce práv rovněž obdržel dvě formální odpovědi [4]. Stěžovatel se vyjádřil ke zprávám ze zasedání a odpovědím Evropské komise.

11. Klíčovou otázkou je, zda je shromažďování informací ze strany Evropské komise dostatečné ve vztahu k výše uvedené otázce, konkrétně zda občané mohou skutečně důvěřovat tomu, že Irsko prostřednictvím své Komise pro ochranu údajů přijme vhodná opatření k přezkoumání a sledování případů ochrany údajů, na které orgány pro ochranu údajů jiných členských států odkazují ve vztahu k „velkým technologickým“ společnostem, které se tam nacházejí (dále jen „přeshraniční případy“).

12. Kromě připomínek uvedených v dopise o zahájení tohoto šetření veřejná ochránkyně práv konstatuje následující: toto šetření se netýká toho, zda by Evropská komise mohla nebo měla dávat pokyny jednotlivým dozorovým úřadům, pokud jde o jejich vyřizování konkrétních šetření. Vnitrostátní dozorové úřady jednají při provádění obecného nařízení o ochraně osobních údajů nezávisle a práce Evropské komise v souvislosti s možným porušením předpisů je v každém případě vedena vůči členským státům, nikoli vůči jednotlivým veřejným subjektům. Toto šetření je spíše zaměřeno na shromažďování informací. Obecné nařízení o ochraně osobních údajů klade velký důraz na poskytování informací, ať už prostřednictvím zveřejňování nebo povinného zveřejňování informací v reakci na žádosti. Při výkonu svých monitorovacích pravomocí na základě Smlouvy může Evropská komise podávat nezbytné žádosti o informace jednotlivým dozorovým úřadům.

Zda Evropská komise shromažďuje dostatečné informace

Argumenty předložené veřejnému ochránci práv

13. Hlavní argument ve stížnosti lze shrnout takto: Pokud jde o přeshraniční případy, Evropská komise může sledovat uplatňování obecného nařízení o ochraně osobních údajů ze strany Irska pouze tehdy, pokud ví, kolik takových případů je do Irska předáno; jak dlouhá je jejich doba zpracování (podle klíčových kroků v procesu); jaká konkrétní opatření byla (či nebyla) přijata s cílem zajistit nápravu pro jednotlivé občany a (případně) napravit protiprávní praktiky dotčených „velkých technologických“ společností [5]. Stěžovatel tyto informace nenalezl ve výročních zprávách irské komise pro ochranu údajů ani v první zprávě (sdělení) Evropské komise o uplatňování obecného nařízení o ochraně osobních údajů [6].

14. V roce 2020 zveřejnil stěžovatel svou vlastní zprávu o této otázce [7], přičemž vycházel mimo jiné z údajů v databázi EU [8]. Dospěla k závěru, že Irsko nevyřizuje přeshraniční případy řádně. V následné korespondenci s Evropskou komisí Komise stěžovatele informovala, že její zpráva obsahuje nepřesné údaje a že databáze EU, z níž vycházela, neslouží k informování veřejnosti o provádění nařízení GDPR.

15. V průběhu tohoto šetření zveřejnila Irská komise pro ochranu údajů zprávu zaměřenou na řešení přeshraničních případů [9]. Stěžovatel informoval Evropskou komisi, že navzdory této zprávě stále není možné znát odpověď na otázky uvedené v bodě 13 výše.

16. Evropská komise ve svých odpovědích veřejné ochránkyni práv popsala své zdroje informací v této oblasti. Jako hlavní zdroj informací o provádění obecného nařízení o ochraně osobních údajů odkázala zejména na Evropský sbor pro ochranu osobních údajů [10]. Evropská komise zastávala názor, že informace shromážděné Evropským sborem pro ochranu osobních údajů jsou z věcného hlediska uspokojivé, i když by mohly být prezentovány lépe. Pokud jde o informace, které má k dispozici sama Evropská komise, Komise upozornila na svou první zprávu (sdělení) o uplatňování nařízení GPDR a uvedla, že při přípravě této zprávy shromáždila informace od vnitrostátních orgánů pro ochranu údajů, včetně irské komise pro ochranu údajů. Konzultovala rovněž výroční zprávy této Komise.

17. Evropská komise rovněž informovala veřejnou ochránkyni práv, že jí irská komise pro ochranu údajů zasílá dvouměsíční přehled případů „velkých technologií“, které vyšetřuje. Tento dvouměsíční přehled (jehož obsah je důvěrný) poskytuje Evropské komisi rozsáhlejší a užitečnější informace, než mohou poskytnout samotné statistiky [11]. Evropská komise se proto domnívá, že přijímá vhodná opatření, aby se informovala o tom, zda Irsko odpovídajícím způsobem přezkoumává přeshraniční případy podle obecného nařízení o ochraně osobních údajů a jedná v nich.

18. Ve svých nejnovějších podáních veřejnému ochránci práv stěžovatel v souhrnu tvrdil, že stále není jasné, zda má Evropská komise ve skutečnosti informace odpovídající výše uvedenému (bod 13). Odkázala rovněž na legislativní vývoj, k němuž mezitím došlo, a poskytla odkazy na dvě nedávné žádosti o přístup k dokumentům, které podala v souvislosti s předmětem tohoto šetření.

19. Legislativní vývoj, na který stěžovatel poukázal, spočíval v přijetí aktu o digitálních službách [12] ze strany EU, který zajišťuje zvýšenou ochranu uživatelů internetu a přiznává Evropské komisi mnohem větší úlohu při kontrole „velkých technologických“ společností. Stěžovatel upozornil na novinový článek, v němž jeden z výkonných místopředsedů Evropské komise uvedl, že posílená úloha Evropské komise vznikla s ohledem na nedostatečnou důvěru, pokud jde o úlohu Irska při prosazování práva ve vztahu k „velkým technologickým“ společnostem [13].

20. Žádosti o přístup k dokumentům byly adresovány Evropskému sboru pro ochranu osobních údajů a Evropské komisi. Žádost adresovaná Evropskému sboru pro ochranu osobních údajů [14] shrnula informace, které má sbor k dispozici o přeshraničních případech. Zdá se, že stěžovatel ze svých výměn se sborem vyvozuje závěr, že sbor nemá k dispozici takové základní informace, o nichž se stěžovatel domnívá, že by měly být Evropské komisi k dispozici, aby mohla řádně sledovat uplatňování obecného nařízení o ochraně osobních údajů v přeshraničních případech. Zdálo se, že to stěžovatel považuje za důkaz toho, že Evropská komise nesprávně dospěla k závěru, že údaje sboru o provádění obecného nařízení o ochraně osobních údajů (k nimž má Komise přístup) jsou přiměřené.

21. Žádost stěžovatele adresovaná Evropské komisi byla velmi široká [15] a zahrnovala veškerou relevantní komunikaci mezi Komisí a irskými orgány. Stěžovatel zřejmě z některých dokumentů vyvodil závěr, že Komise zaujala postoj shovívavosti vůči práci jednotlivých orgánů pro ochranu údajů v členských státech [16].

Posouzení veřejného ochránce práv

22. Za účelem monitorování práva EU shromažďuje Evropská komise informace o široké škále otázek. Činí tak v rámci své široké posuzovací pravomoci při organizaci své práce za účelem zajištění uplatňování unijního práva. Ačkoli právní předpisy EU někdy stanoví povinnost podávat zprávy, zřídkakdy přesně stanoví, jaké konkrétní informace má Evropská komise shromažďovat.

23. S ohledem na širokou posuzovací pravomoc Evropské komise v této oblasti nemá evropská veřejná ochránkyně práv tendenci pravidelně a podrobně zkoumat, jaké informace Evropská komise shromažďuje za účelem sledování uplatňování práva EU. Veřejný ochránce práv tak obvykle učiní pouze tehdy, pokud ze skutečností vyplývá, že existují významné informační mezery, které nebyly dostatečně vysvětleny, a/nebo pokud to vyžadují zvláštní okolnosti.

24. Při zahájení tohoto šetření dospěla veřejná ochránkyně práv k závěru, že nastaly zvláštní okolnosti. Panoval všeobecný předpoklad, že Irsko dostatečně nechrání práva občanů podle obecného nařízení o ochraně osobních údajů. EU oslavila obecné nařízení o ochraně osobních údajů jako milník v ochraně základních práv občanů v digitálním věku. Občané EU mají právo očekávat, že Evropská komise shromáždí dostatečné informace pro sledování uplatňování těchto právních předpisů.

25. Informace uvedené v bodě 13 jsou druhem informací, které by Evropská komise měla mít k dispozici, což jsou základní informace pro účely posouzení toho, jak Irsko řeší přeshraniční případy. Informace by měly být věcné a měly by umožňovat nezávislé ověření Evropskou komisí. Evropská komise by navíc musela prokázat vysokou míru kontroly nad tím, jak jsou informace definovány a prezentovány. Evropská komise by například mohla vypracovat tabulku uvádějící kategorie věcných a ověřitelných informací, které by irská komise pro ochranu údajů musela pravidelně poskytovat.

26. V průběhu tohoto šetření Evropská komise vysvětlila, že od irské komise pro ochranu údajů pravidelně dostává aktuální informace o tom, jak tato komise řeší případy „velkých technologií“, včetně přeshraničních případů. Evropská komise ve své druhé odpovědi poukázala na to, že tento dvouměsíční přehled jí poskytuje rozsáhlejší a užitečnější informace než samotné statistiky [17].

27. Veřejná ochránkyně práv nemůže podrobně popsat obsah ani povahu tohoto pravidelného přehledu, protože jeho kopie byly její kanceláři předány jako důvěrné. Praxe Evropské komise při získávání takového přehledu je však povzbudivým příkladem konkrétního cíleného monitorovacího opatření, které je za okolností tohoto případu vhodné a v souladu s řádnou správou. Bez tohoto opatření by měl veřejný ochránce práv vážné pochybnosti o přiměřenosti informací, na které se Evropská komise odvolává [18].

28. V pravidelném přehledu však lze provést některá relevantní zlepšení. Veřejná ochránkyně práv proto při uzavírání tohoto šetření předloží Evropské komisi související návrhy na zlepšení.

29. Veřejná ochránkyně práv rovněž vyzve Evropskou komisi, aby zveřejnila zvláštní povahu pravidelného přehledu, který dostává od irské komise pro ochranu údajů (nebo od jiných vnitrostátních orgánů v podobném scénáři). Veřejná ochránkyně práv předkládá související návrh na zlepšení.

Závěr

Na základě šetření veřejná ochránkyně práv tento případ uzavírá s tímto závěrem:

Praxe Evropské komise spočívající v získávání dvouměsíčního přehledu od irské komise pro ochranu údajů o tom, jak tato komise řeší případy „velkých technologií“, včetně přeshraničních případů, je vhodná a v souladu s řádnou správou. Pokud by toto opatření neexistovalo, měl by veřejný ochránce práv vážné pochybnosti o přiměřenosti informací, o které se Evropská komise opírá.

Stěžovatel a Evropská komise budou o tomto rozhodnutí informováni.

Návrhy na zlepšení

Pravidelný přehled případů od irské komise pro ochranu údajů

Veřejná ochránkyně práv předkládá následující podrobné návrhy na dvouměsíční přehled, který Evropská komise dostává důvěrně od irské komise pro ochranu údajů ohledně toho, jak tato komise řeší případy „velkých technologií“, včetně přeshraničních případů.

Evropská komise by mohla vypracovat tabulku s řadou předem určených polí, která by měla vyplnit irská komise pro ochranu údajů, s informacemi o přeshraničních případech, která by pro každý takový případ obsahovala: číslo případu, zapojený správce údajů, ostatní dotčené orgány pro ochranu údajů, data klíčových kroků (podle obecného nařízení o ochraně osobních údajů) a jejich data a konkrétní přijatá opatření. Kdykoli jednotlivé případy vedly k šetření z vlastního podnětu, mělo by to být zaznamenáno i u jednotlivých případů spolu s odkazem na šetření z vlastního podnětu, aby Evropská komise mohla sledovat, jak byly jednotlivé případy vyřízeny.

Druhá zpráva Evropské komise o uplatňování obecného nařízení o ochraně osobních údajů

Veřejná ochránkyně práv navrhuje, aby Evropská komise ve své druhé zprávě (2024) o uplatňování obecného nařízení o ochraně osobních údajů informovala o své praxi, kdy od irské komise pro ochranu údajů dostává výše uvedený pravidelný přehled případů, a poskytla v něm co nejvíce nedůvěrných informací. To by mohlo zahrnovat například nástin konkrétních druhů údajů, které Evropská komise získává prostřednictvím tohoto pravidelného přehledu.

 

Emily O’Reilly
evropská veřejná ochránkyně práv

Štrasburk, 19. prosince 2022

 

[1] Úř. věst. Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:32016R0679

[2] Úř. věst. Jak je uvedeno ve zprávě Evropské komise z roku 2020 (sdělení) o provádění obecného nařízení o ochraně osobních údajů (uvedené zde k otázce zdrojů vnitrostátních dozorových úřadů, „Vzhledem k tomu, že největší velké technologické nadnárodní společnosti jsou usazeny v Irsku a Lucembursku, orgány pro ochranu údajů v těchto zemích jednají jako vedoucí orgány v mnoha důležitých přeshraničních případech a mohou potřebovat větší zdroje, než by jinak jejich obyvatelé navrhovali.“ – s. 6, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN), a viz také související „pracovní dokument útvarů Komise“, https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:52020DC0264&from=EN

[3] Úř. věst. Viz například zprávy sdělovacích prostředků v Politicu, například „Jak jedna země blokuje svět v oblasti ochrany osobních údajů“ (24. dubna 2019:  https://www.politico.com/story/2019/04/24/ireland-data-privacy-1270123), nebo ve Financial Times „Boj mezi Irskem a Německem kvůli regulaci velkých technologií“ (17. března 2021: https://www.ft.com/content/37705bcf-c5b6-4ef0-adb8-35a8680dbaec). Irská komise pro ochranu údajů sama zveřejnila informace o této otázce v roce 2022 („Vyřizování přeshraničních stížností ze strany DPC je i nadále předmětem veřejného komentáře, bohužel na základě informací, které jsou neúplné a postrádají kontext.“, https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf). Viz rovněž obavy vyjádřené v usnesení Evropského parlamentu ze dne 25. března 2021 o hodnotící zprávě Komise o provádění obecného nařízení o ochraně osobních údajů dva roky po jeho uplatňování (2020/2717(RSP)), bod 20. (http://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_EN.html)

[4] Úř. věst. "Jiné dokumenty", https://www.ombudsman.europa.eu/en/case/en/60860 )

[5] Úř. věst. Stěžovatel předložil techničtější návrhy ohledně toho, co by měla Evropská komise držet. Jsou zde prezentovány v souhrnné podobě.

[6] Úř. věst. Viz poznámka pod čarou 2 výše.

[7] „Europe’s enforcement paralysis – ICCL’s 2021 report on the enforcement capacity of data protection authorities“ („Tři a půl roku po zavedení obecného nařízení o ochraně osobních údajů je prosazování obecného nařízení EU o ochraně osobních údajů proti velkým technologiím paralyzováno tím, že Irsko nepředložilo návrhy rozhodnutí o významných přeshraničních případech.“): https://www.iccl.ie/digital-data/2021-gdpr-report/

[8] Úř. věst. Informace o tomto: https://ec.europa.eu/internal_market/imi-net/news/2018/07/index_en.htm

[9] „Statistika přeshraničních stížností v rámci jednoho správního místa – 25. května 2018 – 19. září 2022“: https://www.dataprotection.ie/sites/default/files/uploads/2022-10/04.10.22%20Cross%20border%20complaint%20stats%202018%20to%20Sept%202022.pdf

[10] https://edpb.europa.eu/edpb_cs

[11] „Komise si vyžádala informace od Komise pro ochranu údajů a dostává důvěrně a přibližně každé dva měsíce přehled rozsáhlých zákonných šetření. Komise se domnívá, že se jedná o podrobný přehled aktuálního stavu probíhajících jednotlivých šetření, který umožňuje pochopit jejich obsah a měřit procesní kroky na vnitrostátní úrovni, jejich pokrok a harmonogram pro předložení postupům podle článku 60 a případně článku 65 obecného nařízení o ochraně osobních údajů. Je důležité poznamenat, že prostřednictvím výše uvedeného přehledového dokumentu má Komise ve skutečnosti k dispozici více informací o opatřeních irské Komise pro ochranu údajů proti velkým nadnárodním technologickým společnostem, než by měla prostřednictvím statistik.“(Druhá odpověď Komise v tomto šetření, část II, s. 2).

[12] Nařízení Evropského parlamentu a Rady (EU) 2022/2065 ze dne 19. října 2022 o jednotném trhu digitálních služeb a o změně směrnice 2000/31/ES (nařízení o digitálních službách): https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=uriserv:OJ.L_.2022.277.01.0001.01.ENG

„Zákon o digitálních službách: Komise vítá politickou dohodu o pravidlech zajišťujících bezpečné a odpovědné online prostředí“: https://ec.europa.eu/commission/presscorner/detail/en/IP_22_2545

[13] „Vestager: Existovala „nedůvěra Irska jako donucovacího orgánu“ v Big Tech – výkonný místopředseda Evropské komise Peteru O’Dwyerovi říká, že nový režim aktu o digitálních službách zajistí řádné provádění pravidel“, Business Post, Tech, 1. října 2022: https://www.businesspost.ie/news/vestager-there-was-a-distrust-of-ireland-as-an-enforcer-on-big-tech/#:~:text=The%20European%20Commission%20stepped%20in,executive%20vice%2Dpresident%20has%20said

[14] https://www.asktheeu.org/en/request/lsa_csa_feedback_report_document#incoming-39411

[15] https://www.asktheeu.org/en/request/irish_data_protection_commission#incoming-40159

[16] Stěžovatel citoval informační sdělení pro setkání příslušného komisaře s irským ministrem spravedlnosti, prosinec 2021: „V souvislosti s přijetím usnesení EP jste se zúčastnil plenárního zasedání EP: obhajovali jste závěry, k nimž se dospělo ve zprávě Komise. Mimo jiné jste tvrdil, že vítáme úsilí EDPB o zlepšení jeho postupů pro jednotné kontaktní místo a že Komise jej bude i nadále podporovat a bude pečlivě sledovat dosažený pokrok.  Zároveň jste zdůraznil, že se nedomníváte, že by ukazování prstem na jednotlivé orgány pro ochranu údajů nebo odhalování neshod mezi orgány vedlo k nalezení konstruktivního řešení. Mechanismus spolupráce je založen na hledání konsensu, a nikoli na hospodářské soutěži mezi orgány pro ochranu údajů. Všechny orgány jsou nezávislé a všechny orgány mají při posuzování případů, které jim byly předloženy, prostor pro uvážení. Aby nový systém správy obecného nařízení o ochraně osobních údajů fungoval efektivně, je nezbytné rozvíjet důvěru a evropského ducha spolupráce, v nezbytné míře přijmout rozdíly a usilovat o vzájemně přijatelná řešení. Evropský sbor pro ochranu osobních údajů byl navržen tak, aby byl více než jen součtem úřadů pro ochranu osobních údajů.“

(15) 2021.12.10 briefing pro setkání s Csserem Reyndersem a IE Minster McEntee.pdf, s. 12:

https://www.asktheeu.org/en/request/11728/response/39971/attach/5/documents.zip?cookie_passthrough=1).

[17] „Komise si vyžádala informace od Komise pro ochranu údajů a dostává důvěrně a přibližně každé dva měsíce přehled rozsáhlých zákonných šetření. Komise se domnívá, že se jedná o podrobný přehled aktuálního stavu probíhajících jednotlivých šetření, který umožňuje pochopit jejich obsah a měřit procesní kroky na vnitrostátní úrovni, jejich pokrok a harmonogram pro předložení postupům podle článku 60 a případně článku 65 obecného nařízení o ochraně osobních údajů. Je důležité poznamenat, že prostřednictvím výše uvedeného přehledového dokumentu má Komise ve skutečnosti k dispozici více informací o opatřeních irské Komise pro ochranu údajů proti velkým nadnárodním technologickým společnostem, než by měla prostřednictvím statistik.“(Druhá odpověď Komise v tomto šetření, část II, s. 2).

[18] Kromě odkazů na výroční zprávy irské komise pro ochranu údajů a informace shromážděné pro účely první zprávy Komise o uplatňování obecného nařízení o ochraně osobních údajů, viz příloha v dopise veřejné ochránkyně práv o dalším šetření ze dne 19. července 2022.

https://www.ombudsman.europa.eu/en/doc/correspondence/en/158576