Městský soud v Praze: ÚOOÚ musí o stížnosti rozhodnout do 30 dní

Městský soud v Praze rozhodoval ve sporu týkajícím se postupu Úřadu pro ochranu osobních údajů (ÚOOÚ) při vyřizování stížnosti dotčené osoby na neoprávněné zpracování jejích osobních údajů. Rozsudek ze dne 24. července 2025, č. j. 11 A 17/2025 - 51, zdůrazňuje povinnost dozorových úřadů postupovat vůči stěžovatelům vstřícně a povinnost v souladu se správním řádem vyřídit stížnost ve lhůtě 30 dní.

Předmět sporu

Pan L. P. zaslal dne 1. září 2024 na ÚOOÚ podnět týkající se zpracování osobních údajů při online žádosti o dlouhodobou jízdenku do brněnské MHD, tzv. šalinkartu, na webových stránkách https://www.brnoid.cz/. Stěžovatel uváděl, že při zřizování karty byl nucen využít služby od společnosti Google (reCAPTCHA a předat jí své osobní údaje. Stěžovatel rovněž zpochybnil legalitu dalšího zpracování osobních údajů ze strany Google.

Správní řád v § 71 stanovuje, že správní orgán (úřad) je povinen o stížnosti rozhodnout bezodkladně, nejpozději do 30 dní od jejího obdržení. V některých procesně komplikovanějších případech lze tuto lhůtu prodloužit.

ÚOOÚ ovšem v této lhůtě o stížnosti nerozhodl. Soud dokonce konstatoval, že o stížnosti není rozhodnuto ani ke dni vydání rozsudku, tedy téměř 10 měsíců od podání stížnosti. Stěžovatel se proto bránil stížností proti nečinnosti, kterou však předseda ÚOOÚ zamítl. Stěžovatel se tudíž obrátil na správní soud.

Argumentace dozorového úřadu

Úřad pro ochranu osobních údajů argumentoval především tím, že daný podnět není stížností ve smyslu obecného nařízení o ochraně osobních údajů (GDPR). Stěžovatel ve svém podnětu přesně neidentifikoval správce, který se měl dopustit protiprávního zpracování dat, ani jaké přesně osobní údaje má tento správce zpracovávat. ÚOOÚ na základě podnětu podnikl další kroky k ověření celé situace, ale podnět nechápe jako stížnost odpovídající požadavkům GDPR, kterou je povinen vyřídit ve lhůtě 30 dní dle správního řádu.

Co na to soud? Subjekt údajů je na prvním místě!

Městský soud argumentaci dozorového úřadu nepřisvědčil. Soud konstatoval, že se v tomto případě o stížnost podle GDPR jedná. Stěžovatel označil konkrétní organizace a jednání, které může porušovat pravidla pro zpracování a ochranu osobních dat. Pokud ÚOOÚ podnět vyhodnotil jako neúplný nebo nekonkrétní, byl povinen stěžovatele vyzvat k jeho doplnění či upřesnění.

Tato povinnost vyplývá přímo z GDPR, které dozorovým úřadům ukládá jednat vůči subjektům údajům vstřícně a usnadnit jim výkon jejich práv. Městský soud se rovněž odkázal na některé zásady správní řízení (rychlost a hospodárnost správního řízení), které bylo (ne)činností ÚOOÚ rovněž porušeny.

Jak městský soud věc uzavřel? ÚOOÚ, aby do 30 uložil, aby do 30 dní od nabytí právní moci rozsudku o stížnosti pana L. P. rozhodl.

‍