Guidelines 9 2020 on relevant and reasoned objection
Obecné nařízení zřídilo koordinační orgán – Evropský sbor pro ochranu osobních údajů (Sbor), který připravuje pokyny k různým aspektům s cílem harmonizovat provádění GDPR v rámci Evropské unie, resp. Evropského hospodářského prostoru (EHP). Ve dnech 13. 10. až 24. 11. 2020 probíhala veřejná konzultace k návrhu pokynů upřesňujících předkládání relevantních a odůvodněných námitek definovaných v čl. 4 odst. 24 GDPR v rámci konzultačního procesu mezi vedoucím dozorovým úřadem a dotčeným dozorovým úřadem podle článku 60 odst. 4 GDPR.
Spolupráce mezi dozorovými úřady byla do nabytí účinnosti Obecného nařízení upravena jen velmi stručně. Obecné nařízení se věnuje vztahům mezi dozorovými úřady poměrně podrobně, mimo jiné také v čl. 60, kde jsou stanovena pravidla spolupráce mezi vedoucím dozorovým úřadem a dotčenými dozorovými úřady. Je obecným pravidlem, že dozor nad činností přeshraničního zpracování nebo činností zpracování týkající se občanů více než jedné země EU vykonává pouze jeden dozorový úřad, který se nazývá vedoucí dozorový úřad. Jedná se o subjekt, který má hlavní odpovědnost za přeshraničního zpracování, například pokud se prošetřuje společnost, která vykonává zpracování v několika členských státech. Mechanismus vedoucího dozorového úřadu se aktivuje pouze v souvislosti s přeshraničním zpracováním. Je proto nutné určit, zda se nějaké přeshraniční zpracování provádí. [1]
Relevantní a odůvodněná námitka se tedy týká vztahu mezi dozorovými úřady a nelze ji zaměňovat s právem subjektu údajů vznést námitku podle čl. 21 Obecného nařízení.
Využití námitek, na jejichž podání má dotčený dozorový úřad lhůtu čtyři týdny, je nejzazším řešením. Jak Obecné nařízení, tak pokyny zdůrazňují, že případné rozdíly názorů dozorových úřadů v rámci konkrétních kauz by měly být řešeny ideálně už v přípravné fázi s cílem dosažení konsensu.
Pokud už dojde k podání námitek a nejsou přijaty, rozpor řeší Sbor svým závazným rozhodnutím na základě čl. 65 odst. 1 písm. a) Obecného nařízení.
Nové pokyny se zaměřují na bližší definování relevantních a důvodných námitek. Za prvé, dotčený dozorový úřad musí jasně sdělit, s kterými částmi návrhu rozhodnutí nesouhlasí. Námitka musí zejména obsahovat určení, v čem navrhované rozhodnutí špatně řeší otázku případného porušení Obecného nařízení, nebo v jaké části neuvádí přiměřené úkony vůči správci či zpracovateli.[2] Námitka se může týkat obou částí. Námitky se musí týkat závěru rozhodnutí a lze je předkládat až k návrhu rozhodnutí vedoucího dozorového úřadu.
Předmětem námitky nemůže být otázka, zda má dozorový úřad, který se v daném případu ujal vedoucí role, pravomoc vydat v tomto případu rozhodnutí. Kompetenční spor má v Obecném nařízení jiný právní základ [čl. 65 odst. 1 písm. b)]. Závazně jej rozhoduje Sbor, a to v jakékoliv fázi případu.
Za druhé, podmínky relevance a odůvodněnosti musí být splněny obě, což má oporu v ustanovení čl. 60 odst. 4 Obecného nařízení – vedoucí dozorový orgán postoupí Sboru záležitost v případě, že námitku považuje za „irelevantní či nedůvodnou“.
Relevantnost námitky
Aby byla námitka relevantní, musí mít přímý vztah k návrhu rozhodnutí. Musí buď napadnout závěr o porušení či neporušení Obecného nařízení (nebo prezentovat názor, že se jedná o porušení jiné, než je v návrhu uvedeno), nebo předpokládaná opatření vůči správci či zpracovateli, případně obojí. Relevantní námitkou není připomínka k formulaci nebo právnímu zdůvodnění, pokud nezpochybňuje samotný závěr o porušení Obecného nařízení či navržené úkony vůči správci či zpracovateli. Stejně tak nejsou námitkou teoretické a obecné komentáře. Relevantní a odůvodněnou námitkou je i taková, která se týká procedurálních otázek, jestliže dojde k situaci, kdy vedoucí dozorový úřad ignoroval procesní požadavky předepsané v Obecného nařízení, což ovlivnilo závěry navrhovaného rozhodnutí – například že provedené vyšetřování bylo nedostatečné do té míry, že by v případě řádnějšího šetření vedlo k odlišnému rozhodnutí. V případě úkonů vůči správci či zpracovateli se jedná např. o rozdílné chápání intenzity porušení, za které vedoucí dozorový úřad navrhuje napomenutí, dotčený dozorový úřad pak doloží dopad na velký počet subjektů údajů a navrhne uložení pokuty.
Odůvodněnost námitky
Znaky odůvodněnosti námitka splní, když jasně vysvětlí, proč k podání námitky došlo, a uvede, jak by úprava rozhodnutí vedla k odlišnému závěru buď o porušení Obecného nařízení, nebo úkonech vůči správci, resp. zpracovateli. Samozřejmostí by měly být právní argumenty, tj. odkazy na konkrétní ustanovení komunitního či vnitrostátního práva, i příslušné argumenty věcné. Jako vhodné, mj. z hlediska lepšího chápání námitky, Sbor v pokynech doporučuje, aby námitka obsahovala též návrh nového znění rozhodnutí.
Významnost rizik
Z definice obsažené v čl. 4 odst. 24 Obecného nařízení vyplývá i povinnost, aby námitka zjevně dokázala „významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Unie“. Z logiky věci je nutno významnost rizik ve vztahu k základním právům a svobodám subjektů údajů prokázat v každé námitce, rizika ve vztahu k volnému pohybu osobních údajů se hodnotí jen tehdy, kdy je to vhodné (a dotčený dozorový úřad to musí doložit). Námitku, která prokazuje pouze rizika vůči volnému pohybu osobních údajů, ale nikoliv vůči právům a svobodám subjektu údajů, pokyny nepovažují za dostatečně relevantní. Relevantní však může být taková námitka, která argumentuje rizikem vůči volnému pohybu osobních údajů na základě toho, že navrhované rozhodnutí ve vztahu ke správci či zpracovateli předpokládá opatření, které není přiměřené k rozhodnutím jiných dozorových úřadů v totožných či podobných situacích. Velké rozdíly v rozhodovací praxi mohou vytvořit nerovné podmínky v rámci EHP, rozdílné úrovně standardů ochrany osobních údajů, tím i právní nejistotu na straně správců a zpracovatelů, v horším případě snahu situace zneužít např. přesunem zpracování do zemí, kde je riziko sankcí minimální. V tomto pokyny společně s ustanoveními GDPR i dalšími pokyny Sboru (např. Pokyny k uplatňování a stanovování správních pokut pro účely nařízení 2016/679 z roku 2017) směřují k nastolení určité míry harmonizace rozhodování dozorových úřadů.
Pavel Janeček
Autor je odborník na mezinárodní vztahy
[1] Pokyny pro určení vedoucího dozorového úřadu správce nebo zpracovatele (Často kladené otázky), https://www.uoou.cz/schvalene-pokyny/d-28603
[2] Čl. 4 odst. 24 Obecného nařízení – „relevantní a odůvodněnou námitkou“ je námitka za účelem posouzení, zda došlo k porušení tohoto nařízení či nikoli, nebo zda je zamýšlený úkon v souvislosti se správcem či zpracovatelem v souladu s tímto nařízením, která jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Unie.