Věc T‑183/23

Lisa Ballmann

v.

Evropský sbor pro ochranu osobních údajů

Rozsudek Tribunálu ze dne 16. července 2025

„Ochrana osobních údajů – Stížnost proti správci osobních údajů uživatelů on-line sociální sítě v Unii – Článek 65 odst. 1 písm. a) nařízení (EU) 2016/679 – Závazné rozhodnutí Evropského sboru pro ochranu osobních údajů – Žádost stěžovatele o přístup ke spisu, který obsahuje přípravné podklady k závaznému rozhodnutí – Odepření přístupu – Žaloba na neplatnost – Akt napadnutelný žalobou – Přípustnost – Článek 41 odst. 2 písm. b) Listiny základních práv“

1. Žaloba na neplatnost – Akty napadnutelné žalobou – Pojem – Akty vyvolávající závazné právní účinky – Rozhodnutí, kterým se zamítá žádost o přístup ke spisu, který obsahuje přípravné podklady k závaznému rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB), podaná na základě Listiny – Akt, který mění právní postavení žalobce – Akt, kterým se stanoví konečné stanovisko EDPB k právu na přístup ke spisu – Zahrnutí – Žádost o přístup na základě práva na přístup veřejnosti k dokumentům, jež byla posuzována souběžně – Neexistence vlivu

   [Článek 263 SFEU; Listina základních práv Evropské unie, čl. 41 odst. 2 písm. b); nařízení Evropského parlamentu a Rady č. 1049/2001 a 2016/679, čl. 65 odst. 1 písm. a)]

   (viz body 26–28, 32–37)

2. Základní práva – Listina základních práv – Právo na řádnou správu – Právo každého na přístup ke spisu, který se jej týká – Rozsah – Výkon tohoto práva podmíněný výkonem práva být vyslechnut – Neexistence – Spis, jenž se nevztahuje k řízení, jež může vést k vydání aktu nepříznivého pro uvedenou osobu – Zahrnutí – Podmínka – Neexistence zvláštní úpravy omezující právo na přístup ke spisu v dotčené oblasti

   (Listina základních práv Evropské unie, článek 41)

   (viz body 61–66, 75)

3. Základní práva – Listina základních práv – Právo na řádnou správu – Právo každého na přístup ke spisu, který se jej týká – Rozsah – Spis, který obsahuje přípravné podklady k závaznému rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB) – Rozhodnutí vyplývající v důsledku mechanismu jednotnosti uplatněného v případě neshody mezi dozorovými úřady – Právo na přístup k tomuto spisu ze strany stěžovatele, který podal stížnost vnitrostátnímu dozorovému úřadu, jež se týká porušení obecného nařízení o ochraně osobních údajů – Přípustnost

   [Listina základních práv Evropské unie, čl. 41 odst. 2 písm. b); nařízení Evropského parlamentu a Rady 2016/679, čl. 56 odst. 1, článek 60 a čl. 65 odst. 1 písm. a)]

   (viz body 83–86)

Shrnutí

Tribunál, který vyhověl žalobě na neplatnost proti rozhodnutí Evropského sboru pro ochranu osobních údajů (EDPB), kterým byla zamítnuta žádost o přístup (dále jen „napadené rozhodnutí“) podaná na základě čl. 41 odst. 2 písm. b) Listiny základních práv Evropské unie (dále jen „Listina“) ke spisu, který obsahuje přípravné podklady k jeho závaznému rozhodnutí ( 1 ), objasnil rozsah a povahu práva na přístup ke spisu na základě tohoto ustanovení Listiny.

Žalobkyně podala v roce 2018 prostřednictvím neziskového sdružení NOYB – European Center for Digital Rights (dále jen „sdružení NOYB“) k Österreichische Datenschutzbehörde (Rakouský úřad pro ochranu osobních údajů) stížnost na základě obecného nařízení o ochraně osobních údajů ( 2 ) proti společnosti Facebook Ireland Ltd (od roku 2022 společnost Meta) kvůli porušení GDPR při zpracování osobních údajů souvisejících s používáním sociální sítě Facebook. Rakouský úřad pro ochranu údajů předal stížnost Data Protection Commission (dále jen „irský dozorový úřad“), jakožto vedoucímu dozorovému úřadu ( 3 ).

V návaznosti na své šetření předložil irský dozorový úřad ostatním dotčeným vnitrostátním dozorovým úřadům návrh rozhodnutí ( 4 ), k němuž bylo vzneseno několik relevantních a odůvodněných námitek. Z důvodu neshody mezi irským dozorovým úřadem a ostatními dozorovými úřady se irský dozorový úřad obrátil na EDPB v rámci mechanismu jednotnosti zavedeného GDPR ( 5 ), aby k těmto námitkám zaujal stanovisko ( 6 ).

Žalobkyně, která obdržela návrh rozhodnutí irského dozorového úřadu, nebyla následně do uvedeného řízení zahrnována a neobdržela kopie těchto námitek, ani jí nebylo umožněno, aby vyjádřila své připomínky. Sdružení NOYB požádalo EDPB, aby byla žalobkyně vyslechnuta poté, co jí bude poskytnut přístup k úplnému spisu v této věci, nicméně EDPB dne 21. listopadu 2022 odpověděl, že žalobkyně nemůže být nepříznivě dotčena závazným rozhodnutím, a že tedy nemá právo na to, aby před ním byla vyslechnuta. Dne 5. prosince 2022 přijal EDPB závazné rozhodnutí, v němž byly převzaty tytéž argumenty z uvedené odpovědi. Dne 31. prosince 2022 přijal irský dozorový úřad konečné rozhodnutí pro účely provedení závazného rozhodnutí.

E-mailem ze dne 6. ledna 2023 sdružení NOYB požádalo EDPB, aby mu zaslal závazné rozhodnutí, konečné rozhodnutí irského dozorového úřadu a relevantní a odůvodněné námitky dotčených dozorových úřadů, které byly vzneseny k uvedenému návrhu rozhodnutí, přičemž se dovolávalo článku 41 Listiny, GDPR a „práva na přístup k dokumentům podle unijního práva“. V odpovědi EDPB sdělil uvedenému sdružení, že mu poskytne internetové odkazy na znění těchto rozhodnutí, jakmile budou zveřejněna, a že žádost o přístup k námitkám bude projednávána jako žádost o přístup k dokumentům podle nařízení č. 1049/2001 ( 7 ). Následně předal irský dozorový úřad sdružení NOYB konečné rozhodnutí a EDPB mu poskytl internetový odkaz na znění závazného rozhodnutí a na základě nařízení č. 1049/2001 mu poskytl úplný přístup k některým relevantním a odůvodněným námitkám a částečný přístup k dalším námitkám.

Dne 25. ledna 2023 sdružení NOYB podalo EDPB novou žádost o přístup k jeho celému spisu, přičemž se dovolávalo zejména práv žalobkyně vyplývajících z článku 41 Listiny „jakožto účastníka řízení“, jakož i „všech ostatních právních základů“, jako je nařízení č. 1049/2001. V napadeném rozhodnutí, jež bylo uvedeno v e-mailu ze dne 7. února 2023, EDPB, který považoval uvedenou žádost o žádost o přístup ke spisu podle nařízení č. 1049/2001, zaprvé vyzval sdružení NOYB, aby objasnilo rozsah této žádosti a aby přijalo přijatelné řešení. Zadruhé EDPB uvedl, že souběžně s tím důkladně posoudil žádost o přístup ke spisu podle Listiny a že má za to, že žalobkyně jakožto stěžovatelka nemá z tohoto titulu právo na přístup ke spisu.

Poté, co žalobkyně podala dne 7. dubna 2023 žalobu k Tribunálu, poskytl EDPB na základě nařízení č. 1049/2001 sdružení NOYB úplný přístup k některým z dokumentů, o něž toto sdružení požádalo, a částečný přístup k některým z dalších požadovaných dokumentů.

Závěry Tribunálu

Tribunál, který připomněl ( 8 ), že za napadnutelné akty jsou v zásadě považována opatření, která vyjadřují konečné stanovisko orgánu, instituce nebo jiného subjektu Unie ve správním řízení a jejichž účelem je vyvolat závazné právní účinky, kterými mohou být dotčeny zájmy žalobce, v první řadě zamítl námitku nepřípustnosti, kterou vznesl EDPB. V tomto ohledu Tribunál konstatoval, že EDPB v napadeném rozhodnutí uvedl, že žádost o přístup ke spisu na základě Listiny zamítl až po jejím „důkladném“ posouzení. Mimoto, vzhledem k tomu, že tato žádost o přístup ke spisu byla podána, a v důsledku toho i napadené rozhodnutí bylo přijato až v okamžiku, kdy již bylo přijato jak závazné rozhodnutí, tak i konečné rozhodnutí irského dozorového úřadu, napadené rozhodnutí s konečnou platností zachycuje postoj EDPB k této žádosti o přístup a bezprostředně a nezvratně ovlivňuje právní situaci žalobkyně, pokud jde o její případné právo na přístup ke spisu EDPB. Okolnost, že EDPB souběžně posuzoval žádost o přístup na základě nařízení č. 1049/2001, výše uvedené závěry nezpochybňuje, neboť tyto dvě možnosti přístupu k dokumentům náleží do dvou odlišných právních režimů.

Tato dvě práva tak především nejsou přiznána stejným oprávněným osobám, neboť zatímco právo na přístup k dokumentům je přiznáno všem občanům Unie a všem fyzickým a právnickým osobám, které mají bydliště nebo sídlo v členském státě, právo na přístup ke spisu má osoba, které se dotčený spis „týká“. Dále se tato dvě práva nutně netýkají stejných dokumentů: Listina se vztahuje na spis osoby, která je tímto spisem dotčena, zatímco nařízení č. 1049/2001 se vztahuje na jakýkoli dokument orgánu. Mimoto, zatímco v nařízení č. 1049/2001 je stanoveno dvoufázové správní řízení předcházející případnému podání žaloby k unijnímu soudu, takový požadavek v případě žádosti o přístup ke spisu na základě Listiny neexistuje. V neposlední řadě podléhá právo na přístup k dokumentům určitým omezením založeným na důvodech veřejného nebo soukromého zájmu, zatímco právo na přístup ke spisu je omezeno pouze „respektováním oprávněných zájmů důvěrnosti a profesního a obchodního tajemství“. Není tudíž zaručeno, že žádost o přístup založená na nařízení č. 1049/2001 povede za všech okolností ke stejnému výsledku, pokud jde o zpřístupněné dokumenty, jako žádost podaná na základě Listiny.

Tribunál ve druhé řadě ve věci samé, pokud jde zaprvé o autonomní povahu práva na přístup ke spisu ve vztahu k právu být vyslechnut, nejprve uvádí, že neexistuje žádný právní předpis, který by konkrétně upravoval či dokonce omezoval právo stěžovatele, který podal stížnost podle GDPR, na přístup ke spisu EDPB, jenž obsahuje přípravné podklady pro přijetí závazného rozhodnutí. Omezení výkonu tohoto práva zejména nelze nalézt v GDPR ani v jednacím řádu EDPB.

Co se čl. 41 odst. 2 písm. b) Listiny týče, Tribunál předně konstatuje, že znění tohoto ustanovení neomezuje právo osoby na přístup ke spisu, který se jí týká, na okolnost, že tento spis souvisí s opatřením, které by se jí mohlo nepříznivě dotknout. Takový požadavek je zajisté obsažen v písmenu a) téhož článku, který zakotvuje právo být vyslechnut, avšak nic ve znění těchto ustanovení ani ve znění článku 41 Listiny posuzovaných jako celek zásadně nepodmiňuje výkon prvně uvedeného práva výkonem práva druhého. I když je pravda, že právo na přístup ke spisu představuje nezbytný předpoklad pro účinný výkon práva na obhajobu, jeho působnost může být nicméně širší, a nelze je tedy redukovat na to, že je logickým důsledkem zásady dodržování práva na obhajobu. Tak je tomu v případě žalobkyně, která požádala o přístup ke spisu EDPB, aby na základě jeho obsahu posoudila, zda je vhodné podat opravný prostředek k soudu.

Mimoto čl. 41 odst. 2 písm. b) Listiny musí být vykládán ve spojení s odstavcem 1 téhož článku v tom smyslu, že právo na přístup ke spisu je spojeno s právem každého na to, aby jeho záležitosti byly unijní správou řešeny nestranně, spravedlivě a v přiměřené lhůtě. Uvedená správa se přitom neomezuje pouze na přijímání opatření, která jsou nebo mohou být pro osoby, jímž je její činnost určena, nepříznivá. Povinnost řešit záležitosti určité osoby spravedlivě může být zejména vykládána tak, že zahrnuje povinnost umožnit jí, aby se seznámila se správním spisem, jenž se jí týká.

Tribunál navíc uvedl, že právo na přístup ke spisu uvedené v Listině je součástí „práva na řádnou správu“ ( 9 ), které se netýká pouze výkonu práva být vyslechnut unijní správou, ale má širší působnost. Zahrnuje rovněž další práva nebo zásady, které musí tato správa dodržovat ve svých vztazích s adresáty unijní správy ( 10 ) a jež se neomezují pouze na situace, v nichž se má uplatnit právo na obhajobu. Tribunál tudíž dospěl k závěru, že každá osoba má právo na základě Listiny přístup ke spisu, který se jí týká, i když se nenachází v situaci, kdy by mohla uplatnit své právo být vyslechnuta, avšak s výhradou, že v dotčené oblasti neexistují zvláštní pravidla, která by omezovala výkon tohoto práva na přístup ke spisu ( 11 ).

Zadruhé, co se týče otázky, zda spis, k němuž žalobkyně požaduje přístup na základě Listiny, je spisem, který se jí týká, Tribunál nejprve uvádí, že závazné rozhodnutí vychází ze stížnosti podané žalobkyní podle GDPR. GDPR ( 12 ) přitom přiznává každému subjektu údajů nejen právo podat stížnost u dozorového úřadu, pokud se subjekt údajů domnívá, že zpracováním jeho osobních údajů je porušeno toto nařízení, ale i právo být tímto dozorovým úřadem informován o pokroku v řešení stížnosti a o jeho výsledku.

Tribunál následně připomíná, že pokud má dotčené zpracování údajů přeshraniční povahu ( 13 ), jako je tomu v projednávané věci, je vedoucí dozorový úřad, který v rámci postupu spolupráce usiluje o nalezení konsensu mezi dozorovými úřady, povinen neprodleně předložit ostatním dozorovým orgánům návrh rozhodnutí, aby se k němu vyjádřily ( 14 ). Pokud kterýkoliv z ostatních dotčených dozorových úřadů vznese relevantní a odůvodněnou námitku, postoupí vedoucí dozorový úřad v případě, že ji nesdílí nebo ji považuje za irelevantní či nedůvodnou, záležitost k řešení v rámci mechanismu jednotnosti, aby získal závazné rozhodnutí EDPB ( 15 ). Vzhledem k tomu, že cílem tohoto mechanismu je vyřešit jeho prostřednictvím rozdílná stanoviska vedoucího dozorového úřadu a ostatních dotčených dozorových úřadů, je pravomoc EDPB omezena pouze na otázky, které byly předmětem relevantní a odůvodněné námitky. Závazné rozhodnutí je určeno všem dotčeným dozorovým úřadům a týká se pouze těchto otázek ( 16 ).

Nicméně i když stěžovatel podávající stížnost podle GDPR není formálně účastníkem řízení, které vede k přijetí závazného rozhodnutí, tato stížnost má v tomto řízení zásadní úlohu. Předně je právě tato stížnost výchozím bodem celého rozhodovacího procesu. Dále námitky, o kterých EDPB rozhoduje v rámci řízení zahájeného na základě této stížnosti, často zohledňují skutečnosti a argumenty předložené subjektem údajů. Uvedený subjekt údajů si tak může oprávněně přát ověřit, zda EDPB zohlednil prvky jeho stížnosti, nebo do jaké míry uvedené prvky ovlivnily obsah závazného rozhodnutí. V tomto ohledu Tribunál uvádí, že v projednávané věci závazné rozhodnutí opakovaně odkazuje nejen na stížnost podanou žalobkyní, ale rovněž přímo na samotnou žalobkyni. V neposlední řadě má žalobkyně jakožto stěžovatelka přímý zájem na výsledku řízení, jelikož jeho cílem je zajistit individuální uplatnění GDPR na situaci zahrnující zpracování jejích osobních údajů. Tribunál tudíž konstatoval, že spis EDPB, který obsahuje přípravné podklady pro přijetí závazného rozhodnutí, se ve smyslu čl. 41 odst. 2 písm. b) Listiny týká žalobkyně.

( 1 ) – Závazné rozhodnutí EDPB 3/2022.

( 2 ) – Článek 77 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46 (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, oprava Úř. věst. 2021, L 74, s. 35; dále jen „GDPR“).

( 3 ) – Podle čl. 56 odst. 1 GDPR je dozorový úřad pro hlavní provozovnu správce či zpracovatele příslušný k tomu, aby jednal jako vedoucí dozorový úřad v případě přeshraničního zpracování prováděného tímto správcem či zpracovatelem.

( 4 ) – V souladu s čl. 60 odst. 3 GDPR.

( 5 ) – Článek 60 odst. 4 GDPR.

( 6 ) – Článek 65 odst. 1 písm. a) GDPR.

( 7 ) – Nařízení Evropského parlamentu a Rady (ES) č. 1049/2001 ze dne 30. května 2001 o přístupu veřejnosti k dokumentům Evropského parlamentu, Rady a Komise (Úř. věst. 2001, L 145, s. 43; Zvl. vyd. 01/03, s. 331).

( 8 ) – Rozsudek ze dne 25. června 2020, SATCEN v. KF (C‑338/19, EU:C:2020:492, bod 70).

( 9 ) – Zakotveného v článku 41 Listiny.

( 10 ) – Jako např. zásada, podle které musí být záležitosti řešeny v přiměřené lhůtě, povinnost odůvodňovat rozhodnutí, odpovědnost Unie za náhradu škody způsobené unijní správou a povinnost komunikovat s adresáty unijní správy v jazyce Unie, který tito adresáti používají, jak je stanoveno v ustanoveních čl. 41 odst. 1, čl. 41 odst. 2 písm. c) a čl. 41 odst. 3 a 4 Listiny.

( 11 ) – V souladu s požadavky čl. 52 odst. 1 Listiny.

( 12 ) – Článek 77 GDPR.

( 13 ) – Ve smyslu čl. 4 bodu 23 GDPR.

( 14 ) – V souladu s čl. 60 odst. 3 GDPR.

( 15 ) – Článek 60 odst. 4, článek 63 a čl. 65 odst. 1 písm. a) GDPR.

( 16 ) – Článek 65 odst. 1 písm. a) čl. 65 odst. 2 GDPR.