(EU) 2025/2518Nařízení Evropského parlamentu a Rady (EU) 2025/2518 ze dne 26. listopadu 2025, kterým se stanoví další procesní pravidla pro prosazování nařízení (EU) 2016/679 (Text s významem pro EHP)

(1)

Nařízení Evropského parlamentu a Rady (EU) 2016/679 (3) zavádí decentralizovaný systém prosazování, jehož cílem je zajistit jednotný výklad a uplatňování uvedeného nařízení v případech týkajících se přeshraničního zpracování. V takových případech vyžaduje decentralizovaný systém prosazování spolupráci mezi dozorovými úřady ve snaze dosáhnout konsensu. Pro případy, kdy dozorové úřady nemohou konsensu dosáhnout, stanoví nařízení (EU) 2016/679 řešení sporů Evropským sborem pro ochranu osobních údajů (dále jen „sbor“).

(2)

Aby bylo zajištěno hladké a účinné fungování mechanismu spolupráce a mechanismu řešení sporů stanovených v článcích 60 a 65 nařízení (EU) 2016/679, je nezbytné zavést pravidla pro to, jak mají dozorové úřady vést řízení v případech týkajících se přeshraničního zpracování a jak má jednat sbor při řešení sporů, včetně vyřizování stížností. Z tohoto důvodu je rovněž nezbytné zavést pravidla týkající se výkonu práva být vyslechnut předtím, než dozorové úřady a případně sbor přijmou rozhodnutí.

(3)

Při neexistenci pravidel Unie týkajících se této oblasti přísluší každému členskému státu, aby v souladu se zásadou procesní autonomie členských států stanovil podmínky pro správní a soudní řízení s cílem zajistit vysokou úroveň ochrany práv jednotlivců vyplývajících z práva Unie. Na dozorové úřady by se proto mělo vztahovat procesní právo jednotlivých členských států, pokud toto nařízení danou záležitost neharmonizuje a jestliže tato vnitrostátní procesní pravidla nebrání uplatnění zásad účinnosti a rovnocennosti práva Unie.

(4)

Cílem tohoto nařízení je zajistit, aby šetření případů týkajících se přeshraničního zpracování byla vedena v souladu se zásadou řádné správy, zejména aby byla vedena nestranně, spravedlivě a v přiměřené lhůtě. Toto nařízení proto stanoví některé horizontální zásady týkající se postupů při prosazování nařízení (EU) 2016/679 v případech týkajících se přeshraničního zpracování.

(5)

Stížnosti jsou základním zdrojem informací pro odhalování porušování pravidel pro ochranu údajů. Informace poskytnuté stěžovatelem v podané stížnosti nebo při vyjadřování jeho stanovisek mohou zahrnovat argumenty a důkazy, které mohou přispět k pokroku v šetření. Je nezbytné stanovit jasné a efektivní postupy pro vyřizování stížností v případech týkajících se přeshraničního zpracování, jelikož je možné, že stížnost bude vyřizovat jiný dozorový úřad než ten, u něhož byla stížnost podána.

(6)

Stížností je třeba rozumět žádost, kterou subjekt údajů podal u dozorového úřadu v souladu s čl. 77 odst. 1 nebo článkem 80 nařízení (EU) 2016/679. Pouhé oznámení údajných porušení, která se netýkají zpracování osobních údajů subjektu údajů, žádosti správců nebo zpracovatelů o poradenství nebo obecné žádosti týkající se uplatňování nařízení (EU) 2016/679 předložené správci, zpracovateli nebo fyzickými osobami se nepovažují za stížnost.

(7)

Aby byla stížnost týkající se přeshraničního zpracování přípustná, měla by obsahovat stanovené informace. Žádné další informace než ty, jež jsou stanoveny v tomto nařízení by pro přípustnost stížnosti neměly být vyžadovány. I nadále platí správní postupy a požadavky vztahující se k přípustnosti stížností podle vnitrostátního práva dozorového úřadu, u něhož byla stížnost podána, jako je jazyk, promlčecí lhůty, prostředky k identifikaci, elektronický formulář, zvláštní vzorový dokument nebo podpis.

(8)

Kontaktní údaje osoby podávající stížnost mohou zahrnovat poštovní adresu, místo bydliště a, je-li k dispozici, e-mailovou adresu. Skutečnost, že stěžovatelem je fyzická osoba, která nemůže uplatnit své právo podat stížnost bez pomoci právního zástupce, například proto, že je dítětem, nebo proto, že má zdravotní postižení nebo je zranitelná, a proto vykonává svá práva prostřednictvím jiné osoby, jako je rodič, zákonný zástupce nebo rodinný příslušník, je-li takové zastoupení povoleno podle vnitrostátního práva, musí být jasně uvedena v okamžiku podání stížnosti.

(9)

Pokud stížnost podává neziskový subjekt, organizace nebo sdružení podle článku 80 nařízení (EU) 2016/679, měl by být předložen doklad, že daný subjekt, organizace nebo sdružení byly řádně založeny v souladu s právem členského státu, spolu s názvem a kontaktními údaji tohoto subjektu, organizace nebo sdružení a rovněž dokladem, že tento subjekt, organizace nebo sdružení jednají na základě pověření subjektu údajů. Postupy tohoto prokazování se stanoví v souladu s právem členského státu dozorového úřadu, u něhož byla stížnost podána.

(10)

K tomu, aby byla stížnost přípustná, by se od stěžovatele nemělo vyžadovat, aby před jejím podáním kontaktoval vyšetřovanou stranu. Pokud se stížnost týká výkonu práva subjektu údajů, který se odvíjí od toho, že dotčený subjekt údajů podá žádost správci, měla by být tato žádost předložena správci před podáním stížnosti.

(11)

Dozorový úřad, u něhož byla stížnost podána, by měl prostřednictvím předběžného závěru určit, zda se stížnost týká přeshraničního zpracování, o kterém dozorovém úřadu se předpokládá, že je příslušný jednat jako vedoucí dozorový úřad podle čl. 56 odst. 1 nařízení (EU) 2016/679 a zda se uplatní čl. 56 odst. 2 uvedeného nařízení. Pokud nebyl zahájen postup pro časné řešení stížností, měl by dozorový úřad, u něhož byla stížnost podána, předat přípustné stížnosti dozorovému úřadu, o němž se předpokládá, že je příslušný jednat jako vedoucí dozorový úřad a informovat o tom stěžovatele. Určení přípustnosti stížnosti dozorovým úřadem, u něhož byla stížnost podána, by mělo být pro vedoucí dozorový úřad závazné.

(12)

Je důležité, aby dozorové úřady stěžovateli usnadňovaly předkládání všech požadovaných informací, například poskytnutím vzorových dokumentů nebo elektronických formulářů, se zohledněním relevantních pokynů sboru. Dozorové úřady mohou umožnit podávání stížností v uživatelsky přívětivém elektronickém formátu, a to s přihlédnutím k potřebám osob se zdravotním postižením, pokud informace požadované od stěžovatele odpovídají stanoveným požadovaným informacím. K tomu, aby byla žádost shledána přípustnou, by neměly být vyžadovány žádné další informace.

(13)

Aby se vyřizování stížnosti usnadnilo, měly by mít dozorové úřady možnost vyžádat si od stěžovatele doplňující informace. Pokud některé informace nezbytné k tomu, aby byla stížnost považována za přípustnou, chybí, může dozorový úřad, u něhož byla stížnost podána, za účelem získání chybějících informací kontaktovat stěžovatele, je-li to možné. Je-li stížnost nepřípustná, měl by ji dozorový úřad za nepřípustnou prohlásit a informovat stěžovatele o chybějících informacích ve lhůtě stanovené tímto nařízením, aby stěžovateli umožnil podat přípustnou stížnost.

(14)

Pokud vedoucí dozorový úřad poté, co od dozorového úřadu obdrží přípustnou stížnost týkající se přeshraničního zpracování, požaduje od stěžovatele další informace, aby mohl stížnost v plném rozsahu prošetřit, měl by být vedoucímu dozorovému úřadu nápomocen dozorový úřad, u něhož byla stížnost podána, a to i tím, že v případě potřeby kontaktuje stěžovatele a požadované informace si vyžádá.

(15)

Pokud vedoucí dozorový úřad zahájí šetření na základě stížnosti, měly by být vyšetřované strany o podání této stížnosti a jejích hlavních prvcích neprodleně informovány. Poskytnutí těchto informací vedoucím dozorovým úřadem by však mohlo být odloženo po dobu, která je nezbytná pro ochranu integrity šetření a jež umožní účinné provádění vyšetřovacích opatření.

(16)

Pro zajištění účinného fungování mechanismů spolupráce a jednotnosti podle kapitoly VII nařízení (EU) 2016/679 je důležité, aby případy týkající se přeshraničního zpracování byly řešeny včas a v souladu s duchem loajální a účinné spolupráce, která je základem článku 60 nařízení (EU) 2016/679. Vedoucí dozorový úřad by měl vykonávat svou pravomoc v úzké spolupráci s ostatními dotčenými dozorovými úřady. Stejně tak by se v rané fázi měly dotčené dozorové úřady aktivně zapojit do šetření ve snaze dosáhnout konsensu a plně využít nástrojů stanovených v nařízení (EU) 2016/679. Je důležité, aby spolupráce mezi dozorovými úřady byla založena na otevřeném dialogu, který dotčeným dozorovým úřadům umožní smysluplně ovlivnit průběh šetření tím, že se s vedoucím dozorovým úřadem podělí o své zkušenosti a stanoviska, přičemž je třeba náležitě zohlednit prostor pro uvážení, který má každý dozorový úřad. Dozorové úřady by měly postupovat účelně a efektivně a měly by navzájem loajálně a účinně spolupracovat, mimo jiné tak, že si v případě potřeby poskytují podporu a neprodleně reagují na žádosti.

(17)

Dozorové úřady by měly o stížnostech rozhodnout v přiměřené lhůtě. Z tohoto důvodu jsou v tomto nařízení stanoveny lhůty. Přiměřenost lhůty závisí na okolnostech každého případu, zejména na jeho souvislostech, na různých procesních krocích, které vedoucí dozorový úřad provedl, na jednání vyšetřovaných stran a stěžovatele v průběhu řízení a na složitosti případu. V zájmu účinné ochrany základních práv a svobod subjektů údajů v souvislosti se zpracováním osobních údajů je důležité, aby byly stížnosti vyřizovány efektivně a účelně. V závislosti na okolnostech případu by doba potřebná k vyřízení stížnosti mohla být kratší než lhůta stanovená v tomto nařízení. Efektivní spolupráce mezi vedoucím dozorovým úřadem a ostatními dotčenými dozorovými úřady může mít rovněž pozitivní dopad na účelné vyřizování případů.

(18)

Stěžovatel by měl mít možnost komunikovat výhradně s tím dozorovým úřadem, u něhož byla jeho stížnost podána. Tato možnost stěžovateli nebrání v přímé komunikaci s jiným dozorovým úřadem, včetně vedoucího dozorového úřadu.

(19)

Je důležité brát v úvahu zpracovávané osobní údaje a situaci subjektu údajů, například pokud se stížnost týká zpracování osobních údajů dětí.

(20)

Vedoucí dozorový úřad by měl dozorovému úřadu, u něhož byla stížnost podána, poskytnout nezbytné informace o průběhu šetření za účelem poskytnutí aktuálních informací stěžovateli.

(21)

Aby dozorové úřady mohly rychle ukončit porušování nařízení (EU) 2016/679 a rychle vyřešit stížnosti stěžovatelů, měly by pokud možno usilovat o řešení stížností prostřednictvím postupu pro časné řešení stížností v souladu s tímto nařízením. Za tímto účelem by měl dozorový úřad určit, zda bylo porušení uvedené ve stížnosti ukončeno způsobem, díky němuž se stížnost stala bezpředmětnou. Členské státy nejsou povinny do vnitrostátního práva zavádět nové postupy, které by jejich dozorovým úřadům umožňovaly řešit stížnosti prostřednictvím postupu pro časné řešení stížností.

(22)

Stížnost by měla být vyřešena pomocí postupu pro časné řešení pouze tehdy, pokud stěžovatel nevznesl včasnou námitku proti zjištění, že údajné porušení bylo ukončeno, a že stížnost je tudíž bezpředmětná. Časné řešení stížnosti by se proto mělo uplatňovat v těch případech, kdy je stěžovatel schopen řádně posoudit navrhovaný výsledek.

(23)

Časné řešení stížnosti může být obzvláště užitečné k rychlému řešení stížností týkajících se porušení práv subjektu údajů podle kapitoly III nařízení (EU) 2016/679 ke spokojenosti stěžovatele. Takové časné řešení stížnosti by mělo dozorovému úřadu, u něhož byla stížnost podána, nebo vedoucímu dozorovému úřadu umožnit, aby na základě předběžné spolupráce se správcem a za předpokladu, že byly získány podpůrné důkazy, konstatoval, že stížnost je bezpředmětná.

(24)

Časným vyřešením stížnosti prostřednictvím postupu pro časné řešení stížností by neměl být dotčen výkon pravomocí vedoucího dozorového úřadu v souladu s nařízením (EU) 2016/679 v téže věci, například v případě systémového nebo opakovaného porušování uvedeného nařízení.

(25)

Pokud se vedoucí dozorový úřad, kterému byla stížnost postoupena domnívá, že stížnost lze vyřešit prostřednictvím postupu pro časné řešení stížností, měl by být ostatním dotčeným dozorovým úřadům předložen návrh rozhodnutí podle čl. 60 odst. 3 nařízení (EU) 2016/679 s cílem přijmout konečné rozhodnutí v souladu s čl. 60 odst. 7 nařízení (EU) 2016/679, v němž se konstatuje, že údajné porušení bylo ukončeno a že stížnost nebo její část byla vyřešena vedoucím dozorovým úřadem. Předložený návrh rozhodnutí by proto mohl být zjednodušený a omezený na sdělení, že stížnost byla zcela nebo zčásti vyřešena prostřednictvím postupu pro časné řešení stížností, přičemž se uvedou důvody, na nichž je rozhodnutí založeno, a rozsah řešení, a potvrdí se, že stížnost je tudíž bezpředmětná. V takových případech by měl vedoucí dozorový úřad svůj návrh rozhodnutí předložit přímo ostatním dotčeným dozorovým úřadům, aniž by musel vypracovat a rozeslat shrnutí klíčových otázek nebo předběžná zjištění.

(26)

Pokud vedoucí dozorový úřad zaujal k hlavním otázkám šetření předběžné stanovisko, měl by mít možnost spolupracovat s ostatními dotčenými dozorovými úřady postupem prosté spolupráce. Postup prosté spolupráce by měl být uplatňován případ od případu za předpokladu, že se vedoucí dozorový úřad domnívá, že neexistují žádné důvodné pochybnosti o rozsahu šetření a že identifikované právní a skutkové otázky nevyžadují další spolupráci potřebnou pro účely komplexního šetření, zejména pokud lze tyto otázky řešit na základě povahy případu a předchozích rozhodnutí v podobných případech. Kromě toho je důležité, aby vedoucí dozorový úřad při posuzování, zda je možné dosáhnout konsensu ohledně hlavních prvků případu, rovněž zohlednil stávající judikaturu a pokyny přijaté sborem ohledně údajných porušení nařízení (EU) 2016/679, jež mají být předmětem šetření. Postup prosté spolupráce se v zásadě nepoužije, pokud případ vyvolává systémové nebo opakující se problémy v několika členských státech, týká se obecné právní otázky ohledně výkladu, uplatňování nebo prosazování nařízení (EU) 2016/679, souvisí s provázaností ochrany údajů s jinými právními oblastmi, má dopad na velký počet subjektů údajů v několika členských státech nebo souvisí s velkým počtem stížností v několika členských státech nebo pokud by mohlo existovat vysoké riziko pro práva a svobody subjektů údajů.

(27)

Pokud má vedoucí dozorový úřad v úmyslu použít postup prosté spolupráce, měl by o svém záměru informovat ostatní dotčené dozorové úřady a poskytnout jim veškeré relevantní informace o povaze případu a stížnost, včetně hlavních relevantních skutečností a údajného porušení, jež má být šetřeno. Pokud se použije postup prosté spolupráce, měl by vedoucí dozorový úřad pokračovat ve spolupráci s ostatními dotčenými dozorovými úřady a předložit návrh rozhodnutí ve lhůtách stanovených v tomto nařízení.

(28)

Je-li dozorový úřad povinen provést určité procesní kroky ve stanovených lhůtách, je účelem takových lhůt zajistit, aby řízení postupovalo a bylo dokončeno v přiměřené době. Tyto lhůty dozorovým úřadům nebrání v tom, aby požadované procesní kroky provedly po jejich uplynutí. Je proto nezbytné zajistit, aby provedení takovýchto procesních kroků po uplynutí příslušných lhůt nemohlo být považováno za důvod protiprávnosti nebo neplatnosti dotčeného procesního kroku nebo konečného rozhodnutí.

(29)

Vedoucí dozorový úřad by měl mít možnost prodloužit lhůtu pro předložení návrhu rozhodnutí. Takové prodloužení by mělo být uplatněno pouze výjimečně, a to z důvodu složitosti případu. Ostatní dotčené dozorové úřady by měly být o prodloužení informovány a měly by mít příležitost vznést proti němu námitky, které by měl vedoucí dozorový úřad zohlednit při rozhodování o tom, zda lhůtu prodlouží a případně o době trvání tohoto prodloužení.

(30)

Pokud vedoucí dozorový úřad lhůtu pro předložení návrhu rozhodnutí prodlouží, měly by mít ostatní dotčené dozorové úřady možnost informovat vedoucí dozorový úřad o svém závěru, že je třeba jednat za účelem ochrany práv a svobod subjektů údajů. Pokud byl vedoucí dozorový úřad o takovémto závěru informován a nepředloží návrh rozhodnutí v prodloužené lhůtě, má se za to, že vznikla potřeba naléhavě jednat ve smyslu čl. 66 odst. 1 nařízení (EU) 2016/679. Bez ohledu na tuto možnost mají dozorové úřady k dispozici postup pro naléhavé případy, pokud jsou splněny podmínky stanovené v článku 66 nařízení (EU) 2016/679.

(31)

Aby se zajistilo, že řízení bude vedeno efektivně, a aniž by byla dotčena procesní autonomie členských států, je vhodné, aby právní ochrana proti procesním krokům přijatým dozorovými úřady byla k dispozici pouze ve spojení s právní ochranou proti konečnému rozhodnutí, s výjimkou případů, kdy by měl procesní krok sám o sobě nevratný dopad na práva vyšetřované strany nebo stěžovatele bez ohledu na konečné rozhodnutí.

(32)

Je obzvláště důležité, aby dozorové úřady dosáhly konsensu o klíčových aspektech případu co nejdříve a před přijetím návrhu rozhodnutí uvedeného v článku 60 nařízení (EU) 2016/679.

(33)

Výměna relevantních informací mezi vedoucím dozorovým úřadem a ostatními dotčenými dozorovými úřady je důležitou součástí ducha loajální a účinné spolupráce. Tato výměna a včasné poskytování konkrétních informací vedoucím dozorovým úřadem je nepřetržitým procesem probíhajícím po celé šetření a požadované dokumenty a podrobnosti se mohou v závislosti na složitosti případu lišit. V závislosti na fázi šetření a okolnostech případu by mohly příslušné informace mimo jiné zahrnovat výměnu korespondence se správcem nebo subjektem údajů v souvislosti se stížností nebo šetřením, přípravné dokumenty pro audit nebo inspekci či předběžné technické nebo právní posouzení vedoucím dozorovým úřadem v důsledku konkrétního kroku v jeho šetření.

(34)

Vedoucí dozorový úřad by měl ostatním dotčeným dozorovým úřadům poskytovat veškeré relevantní informace neprodleně poté, co je obdrží, a ostatní dotčené dozorové úřady by měly rovněž proaktivně zpřístupňovat veškeré relevantní informace, které považují za užitečné pro posouzení právních a skutkových prvků případu. Výměna relevantních informací by měla podpořit rychlou a účinnou spolupráci mezi dozorovými úřady a v některých případech může být podpořena souhrny nebo výtahy z dokumentů nebo kopiemi dokumentů s cílem usnadnit rychlé pochopení případu a zároveň umožnit poskytnutí doplňujících informací v případě, že jsou zapotřebí. Aby se usnadnila účinná a vhodná výměna relevantních informací mezi dozorovými úřady, měl by mít sbor možnost stanovit postupy a požadavky pro výměnu těchto informací.

(35)

V rámci relevantních informací týkajících se konkrétního případu by měl vedoucí dozorový úřad ostatním dotčeným dozorovým úřadům poskytnout shrnutí klíčových otázek, v němž uvede své předběžné stanovisko k hlavním otázkám šetření. Toto shrnutí by mělo být poskytnuto v dostatečně rané fázi s cílem umožnit účinné začlenění stanovisek předložených ostatními dotčenými dozorovými úřady, ale zároveň ve fázi, kdy má vedoucí dozorový úřad k dispozici dostatek informací k tomu, aby mohl k danému případu zaujmout stanovisko, v případě potřeby prostřednictvím předběžné analýzy a případných prvních vyšetřovacích opatření. Shrnutí klíčových otázek by mělo rovněž zahrnovat předběžné určení možných nápravných opatření v případech, kdy má vedoucí dozorový úřad k dispozici dostatek informací k tomu, aby mohl k těmto opatřením zaujmout předběžné stanovisko, zejména pokud lze již v rané fázi snadno určit ustanovení nařízení (EU) 2016/679, která jsou dotčena údajným porušením.

(36)

Dotčené dozorové úřady by měly mít příležitost poskytnout připomínky ke shrnutí klíčových otázek, a to i k široké škále otázek, jako je rozsah šetření, určení údajných porušení a určení skutkových a právních otázek, které jsou pro šetření relevantní. Vzhledem k tomu, že rozsah šetření vymezuje záležitosti, které musí vedoucí dozorový úřad prošetřit, měly by dozorové úřady usilovat o to, aby konsensu o rozsahu šetření dosáhly co nejdříve.

(37)

V zájmu účinné inkluzivní spolupráce mezi vedoucím dozorovým úřadem a všemi ostatními dotčenými dozorovými úřady je důležité, aby shrnutí klíčových otázek a připomínky dotčených dozorových úřadů byly stručné a formulované dostatečně jasně a přesně, aby byly snadno srozumitelné všem dozorovým úřadům. Právní argumenty by měly být seskupeny a odkazovat na tu část shrnutí klíčových otázek, ke které se vztahují. Shrnutí klíčových otázek a připomínky dotčených dozorových úřadů mohou být doplněny dalšími dokumenty. Pouhý odkaz na doplňující dokumenty uvedený v připomínkách dotčeného dozorového úřadu však nemůže nahradit chybějící zásadní právní nebo skutkové argumenty, které mají být v připomínkách uvedeny. Základní právní a skutkové podrobnosti, na které se tyto dokumenty odvolávají, musí být alespoň ve shrnující formě přehledně a srozumitelně uvedeny v samotných připomínkách.

(38)

Dozorové úřady by měly mít možnost využít všech prostředků nezbytných k dosažení konsensu v duchu loajální a účinné spolupráce. Jestliže se, pokud jde o rozsah šetření zahájeného na základě stížnosti, včetně ustanovení nařízení (EU) 2016/679, jichž se týká údajné porušení, který má být předmětem šetření, názory vedoucího dozorového úřadu a ostatních dotčených dozorových úřadů rozcházejí, nebo pokud jsou připomínky dotčených dozorových úřadů spojeny s významnou změnou v celkovém právním nebo skutkovém posouzení nebo v předběžném určení možných nápravných opatření, mohou dotčené dozorové úřady vyžít nástroje stanovené v článcích 61 a 62 nařízení (EU) 2016/679.

(39)

Nařízení (EU) 2016/679 dozorovému úřadu umožňuje požádat sbor o naléhavé závazné rozhodnutí, jestliže příslušný dozorový úřad nepřijal vhodné opatření v situaci, kdy je třeba v zájmu ochrany práv a svobod subjektů údajů naléhavě jednat. Podle tohoto nařízení, pokud dozorové úřady po využití prostředků stanovených v tomto nařízení nedosáhnou konsensu ohledně rozsahu šetření zahájeného na základě stížnosti, považují se za splněné podmínky uvedené v čl. 66 odst. 3 nařízení (EU) 2016/679 pro žádost o naléhavé závazné rozhodnutí a vedoucí dozorový úřad by měl požádat o naléhavé závazné rozhodnutí sboru. Naléhavé závazné rozhodnutí sboru o rozsahu šetření zahájeného na základě stížnosti nemůže předjímat výsledek šetření vedoucího dozorového úřadu ani účinnost práva vyšetřovaných stran být vyslechnuty.

(40)

Stěžovateli by měla být přiznána procesní práva v rozsahu, v jakém jsou jeho práva a svobody jakožto subjektu údajů dotčena. Procesní kroky stanovené v tomto nařízení, které se týkají spolupráce mezi dozorovými úřady, nepřiznávají práva stěžovateli ani vyšetřovaným stranám. Toto nařízení proto objasňuje, která ustanovení o procesních krocích nepřiznávají práva jednotlivcům nebo vyšetřovaným stranám ani tato práva neomezují.

(41)

Stěžovatelé by měli mít příležitost vyjádřit svá stanoviska před přijetím rozhodnutí, které se jich nepříznivě dotýká. V případě úplného nebo částečného odmítnutí nebo zamítnutí stížnosti v případě týkajícím se přeshraničního zpracování by proto stěžovatel měl mít příležitost vyjádřit své stanovisko před předložením návrhu rozhodnutí podle čl. 60 odst. 3 nařízení (EU) 2016/679, revidovaného návrhu rozhodnutí podle čl. 60 odst. 5 uvedeného nařízení nebo závazného rozhodnutí sboru podle čl. 65 odst. 1 písm. a) uvedeného nařízení.

(42)

V případě úplného nebo částečného odmítnutí nebo zamítnutí stížnosti v případě týkajícím se přeshraničního zpracování je nezbytné vyjasnit rozdělení povinností mezi vedoucím dozorovým úřadem a dozorovým úřadem, u něhož byla stížnost podána. Jakožto kontaktní místo pro stěžovatele by měl dozorový úřad, u něhož byla stížnost podána, stěžovateli během šetření poskytnout příležitost vyjádřit své stanovisko k navrhovanému úplnému nebo částečnému odmítnutí nebo zamítnutí stížnosti a tento úřad by měl být odpovědný za veškerou komunikaci se stěžovatelem. Veškerá taková komunikace by měla být předána vedoucímu dozorovému úřadu. Vzhledem k tomu, že podle čl. 60 odst. 8 a 9 nařízení (EU) 2016/679 je za přijetí konečného rozhodnutí o úplném nebo částečném odmítnutí nebo zamítnutí stížnosti odpovědný dozorový úřad, u něhož byla stížnost podána, měl by vedoucí dozorový úřad připravit návrh rozhodnutí podle čl. 60 odst. 3 nařízení (EU) 2016/679 ve spolupráci s dozorovým úřadem, u něhož byla stížnost podána. Tato spolupráce zahrnuje možnost požádat dozorový úřad, u něhož byla stížnost podána, při přípravě takového návrhu o pomoc.

(43)

Účinné prosazování pravidel Unie v oblasti ochrany údajů by mělo být slučitelné s plným dodržováním práva vyšetřovaných stran na obhajobu, které představuje základní zásadu práva Unie, již je nutné dodržovat za všech okolností, přičemž toto právo je zejména důležité v řízeních, jež by mohla vést k uložení sankcí.

(44)

Pro účinnou ochranu práva na řádnou správu a práva na obhajobu zakotvených v Listině základních práv Evropské unie (dále jen „Listina“) je důležité stanovit jasná pravidla pro výkon práva každého být vyslechnut před přijetím jakéhokoli individuálního opatření, které by se jej mohlo nepříznivě dotknout.

(45)

Pravidla týkající se správního řízení uplatňovaná dozorovými úřady při prosazování nařízení (EU) 2016/679 by měla zajistit, aby vyšetřované strany měly v průběhu celého řízení účinnou příležitost vyjádřit svá stanoviska k reálnosti a relevanci skutkového stavu a dovolávaných okolností a námitek uváděných dozorovým úřadem, a tím jim umožnit výkon jejich práva na obhajobu. V předběžných zjištěních je uveden předběžný postoj k údajnému porušení nařízení (EU) 2016/679 po provedeném šetření. Představují tak základní procesní záruku, která zajišťuje dodržování práva být vyslechnut. Vyšetřovaným stranám by měly být poskytnuty dokumenty potřebné k tomu, aby se mohly účinně hájit a vyjádřit se k tvrzením vzneseným proti nim, a měl by jim proto být poskytnut přístup ke správnímu spisu.

(46)

Těmito pravidly by neměla být dotčena možnost, aby dozorové úřady udělily další přístup ke správnímu spisu za účelem vyslechnout v průběhu řízení v souladu s vnitrostátním právem vedoucího dozorového úřadu stanovisko kterékoliv z vyšetřovaných stran nebo stěžovatele.

(47)

Předběžná zjištění vymezují rozsah šetření, a tedy i rozsah případného budoucího konečného rozhodnutí, případně přijato na základě závazného rozhodnutí vydaného sborem podle čl. 65 odst. 1 písm. a) nařízení (EU) 2016/679, které může být určeno správcům nebo zpracovatelům. Předběžná zjištění by měla být i při své stručnosti dostatečně jasná a měla by umožnit vyšetřovaným stranám řádně zjistit povahu údajného porušení nařízení (EU) 2016/679. Povinnost poskytnout vyšetřovaným stranám veškeré informace nezbytné k tomu, aby se mohly řádně hájit, je splněna, pokud se v konečném rozhodnutí neuvádí, že se vyšetřované strany dopustily jiných porušení, než která jsou uvedena v předběžných zjištěních, a pokud se berou v úvahu pouze skutečnosti, ke kterým vyšetřované strany měly příležitost vyjádřit své stanovisko. Konečné rozhodnutí vedoucího dozorového úřadu však nemusí být replikou předběžných zjištění. Vedoucí dozorový úřad by měl mít možnost ve svém konečném rozhodnutí a případně v revidovaném návrhu rozhodnutí podle čl. 60 odst. 5 nařízení (EU) 2016/679 zohlednit odpovědi vyšetřovaných stran na předběžná zjištění. Vedoucí dozorový úřad by měl mít možnost provést vlastní posouzení skutečností a právních argumentů předložených vyšetřovanými stranami, aby mohl argumenty buď odmítnout, pokud je shledá neopodstatněnými, nebo skutkově i právně doplnit a přepracovat svá zjištění, ve vztahu k argumentům, které považuje za podložené. Například zohlednění argumentu předloženého vyšetřovanou stranou v průběhu správního řízení, aniž by jí byla dána příležitost vyjádřit se v tomto ohledu před přijetím konečného rozhodnutí, nemůže samo o sobě představovat porušení práva na obhajobu.

(48)

Toto nařízení stanoví pravidla pro situace, kdy je vedoucí dozorový úřad podle vnitrostátního práva povinen se dále zapojit do následných vnitrostátních řízení týkajících se téhož případu, jako jsou správní odvolací řízení.

(49)

Před předložením revidovaného návrhu rozhodnutí podle čl. 60 odst. 5 nařízení (EU) 2016/679 nebo předtím, než sbor přijme závazné rozhodnutí podle čl. 65 odst. 1 písm. a) uvedeného nařízení, by mělo být vyšetřovaným stranám poskytnuto právo být vyslechnuty. Mezi nové právní prvky spadají relevantní a odůvodněné námitky, pokud tyto námitky obsahují právní posouzení odlišná od posouzení navržených vedoucím dozorovým úřadem v návrhu rozhodnutí předloženém podle čl. 60 odst. 4 nařízení (EU) 2016/679.

(50)

Stěžovatelé by měli mít možnost zapojit se do řízení zahájených dozorovým úřadem za účelem zjištění nebo objasnění otázek týkajících se možného porušení nařízení (EU) 2016/679. Skutečnost, že dozorový úřad již zahájil šetření týkající se věci nebo se stížností bude zabývat v rámci šetření zahájeného z vlastního podnětu po obdržení stížnosti, nebrání tomu, aby byl subjekt údajů kvalifikován jako stěžovatel. Šetření dozorového úřadu týkající se možného porušení nařízení (EU) 2016/679 ze strany správce nebo zpracovatele zahájí dozorový úřad z vlastního podnětu nebo na základě stížnosti v rámci plnění svých úkolů podle čl. 57 odst. 1 uvedeného nařízení. Vyšetřované strany a stěžovatel se nenacházejí ve stejné procesní situaci a je nezbytné zajistit právo vyšetřované strany na obhajobu. Vyšetřované strany a stěžovatel se mohou dovolávat základního práva být vyslechnuty, pokud má rozhodnutí nepříznivý dopad na jejich právní postavení.

(51)

Stěžovatelé by měli mít možnost předložit k předběžným zjištěním písemné stanovisko, a to v rozsahu, v jakém se toto stanovisko týká jejich stížnosti na zpracování jejich osobních údajů. Neměli by však mít přístup k obchodním tajemstvím nebo jiným důvěrným informacím vyšetřovaných stran nebo třetích osob.

(52)

Při stanovování lhůt, v nichž mají vyšetřované strany a stěžovatelé předložit svá stanoviska k předběžným zjištěním, je důležité, aby dozorové úřady přihlédly ke složitosti otázek vznesených v předběžných zjištěních s cílem zajistit, že vyšetřované strany a stěžovatelé budou mít dostatečnou příležitost vyjádřit svá stanoviska ke vzneseným otázkám smysluplným způsobem.

(53)

Výměna názorů mezi dozorovými úřady před předložením návrhu rozhodnutí probíhá formou otevřeného dialogu a rozsáhlé výměny názorů, při níž by dozorové orgány měly vynaložit veškeré úsilí, aby dosáhly konsensu ohledně dalšího postupu při šetření. Naopak k neshodě vyjádřené v relevantních a odůvodněných námitkách podle čl. 60 odst. 4 nařízení (EU) 2016/679, která zvyšuje možnost, že dojde k řešení sporů mezi dozorovými úřady podle článku 65 uvedeného nařízení, a oddaluje přijetí konečného rozhodnutí příslušným dozorovým úřadem, by mělo dojít pouze v případě, kdy se dozorovým úřadům nepodaří dosáhnout konsensu, a je-li to nezbytné pro zajištění jednotného výkladu nařízení (EU) 2016/679. Tyto námitky by měly být využívány v případech, kdy se jedná o záležitosti jednotného prosazování nařízení (EU) 2016/679.

(54)

V zájmu efektivního a inkluzivního dokončení postupu pro řešení sporů, v jehož rámci by všechny dozorové úřady měly mít možnost přispět svými stanovisky, a s ohledem na časová omezení při řešení sporů by forma a struktura relevantních a odůvodněných námitek měla splňovat určité požadavky.

(55)

Přístup ke správnímu spisu tvoří součást práva na obhajobu a práva na řádnou správu zakotvených v Listině. Přístup ke správnímu spisu by měl být vyšetřovaným stranám umožněn, jakmile jsou jim oznámena předběžná zjištění, přičemž by měla být stanovena lhůta pro předložení písemné odpovědi na tato předběžná zjištění.

(56)

Při udělení přístupu vyšetřovaným stranám a stěžovateli ke správnímu spisu by měly dozorové úřady zajistit ochranu obchodního tajemství a dalších důvěrných informací. Kategorie dalších důvěrných informací zahrnuje informace, které nejsou obchodním tajemstvím, ale které by mohly být považovány za důvěrné v souladu s právem Unie a vnitrostátním právem, pokud by jejich zpřístupnění mohlo značně poškodit správce, zpracovatele nebo fyzickou či právnickou osobu. Důvěrné informace by měly zahrnovat zejména informace, které jsou známy pouze omezenému počtu osob a jejichž zpřístupnění by mohlo způsobit vážnou újmu osobě, která je poskytla, nebo třetím osobám, pokud jsou zájmy, jež by mohly být zpřístupněním těchto informací porušeny, objektivně hodny ochrany. Dozorové úřady by měly mít možnost požadovat, aby vyšetřované strany, které předkládají nebo předložily dokumenty nebo svá prohlášení, důvěrné informace označily.

(57)

Jestliže jsou obchodní tajemství nebo jiné důvěrná informace nezbytné k prokázání porušení, měly by dozorové úřady u každého jednotlivého dokumentu přiměřeným způsobem posoudit, zda potřeba jejich zpřístupnění převažuje nad újmou, která by tímto zpřístupněním mohla vzniknout.

(58)

Přístup k dokumentům obsaženým ve správním spisu na základě přístupu k veřejným dokumentům se poskytuje v souladu s právními předpisy členských států. V tomto ohledu je důležité chránit integritu rozhodovacího procesu do doby, dokud příslušný dozorový úřad nepřijme konečné rozhodnutí.

(59)

Je důležité, aby sbor usnadnil přístup k rozhodnutím přijatým v souladu s mechanismy spolupráce a jednotnosti tím, že znění konečných rozhodnutí přijatých vnitrostátními dozorovými úřady zpřístupní on-line prostřednictvím snadno přístupných rejstříků. V souladu s platným vnitrostátním právem mohou dozorové úřady odstraňovat jména a názvy, jakékoli další informace, které umožňují identifikaci vyšetřovaných stran nebo stěžovatele, a jiné informace, které jsou chráněny podle použitelných unijních a vnitrostátních právních předpisů.

(60)

Je důležité, aby tím, že je verze konečného rozhodnutí v souladu s tímto nařízením poskytnuta stěžovateli, nebyla dotčena možnost dozorového úřadu rozhodnout, zda rozhodnutí v rámci svých nápravných pravomocí zveřejní.

(61)

Při postoupení věci k řešení sporu podle článku 65 nařízení (EU) 2016/679 by měl vedoucí dozorový úřad poskytnout sboru všechny potřebné dokumenty a informace, aby sbor mohl posoudit přípustnost relevantních a odůvodněných námitek a přijmout rozhodnutí podle čl. 65 odst. 1 písm. a) uvedeného nařízení. Jakmile sbor obdrží všechny nezbytné dokumenty a informace, měl by předseda sboru zaregistrovat postoupení věci v souladu s čl. 65 odst. 2 nařízení (EU) 2016/679.

(62)

Závazné rozhodnutí sboru podle čl. 65 odst. 1 písm. a) nařízení (EU) 2016/679 by se mělo týkat výhradně záležitostí, které vedly k zahájení postupu řešení sporu, a mělo by být formulováno tak, aby na základě tohoto rozhodnutí sboru mohl vedoucí dozorový úřad přijmout konečné rozhodnutí.

(63)

V zájmu zjednodušení řešení sporů mezi dozorovými úřady předložených sboru podle čl. 65 odst. 1 písm. b) a c) nařízení (EU) 2016/679 je nezbytné upřesnit procesní pravidla týkající se dokumentů a informací, které mají být sboru předloženy a z nichž by mělo rozhodnutí sboru vycházet. Je rovněž nutné upřesnit, kdy by měl sbor zaregistrovat postoupení věci k řešení sporu.

(64)

V zájmu zefektivnění postupu přijímání naléhavých stanovisek a naléhavých závazných rozhodnutí sboru podle čl. 66 odst. 2 nařízení (EU) 2016/679 je nezbytné upřesnit procesní pravidla týkající se načasování žádosti o naléhavé stanovisko nebo naléhavé závazné rozhodnutí a dokumentů a informací, které mají být sboru předloženy a z nichž by mělo rozhodnutí sboru vycházet.

(65)

Nařízení (EU) 2016/679 stanoví, že pokud se příslušný dozorový úřad stížností nezabývá, má subjekt údajů právo na účinnou soudní ochranu. Toto nařízení nezavádí novou soudní ochranu nad rámec té, která je již zavedena nařízením (EU) 2016/679, ani neomezuje uplatňování soudní ochrany stanovené uvedeným nařízením. Některá ustanovení tohoto nařízení mají zvláštní význam pro včasné vydání konečného rozhodnutí dozorovými úřady při vyřizování stížností. Při určování toho, zda se dozorový úřad stížností zabýval, by se mělo zohlednit, zda dodržel určité lhůty stanovené v tomto nařízení a v nařízení (EU) 2016/679. Při tomto určování je nezbytné chránit právo stěžovatele na to, aby jeho stížnost byla vyřízena v přiměřené lhůtě. Ustanoveními tohoto nařízení není dotčena možnost stanovit ve vnitrostátním právu právní ochranu pro vyšetřovanou stranu s ohledem na její právo na to, aby její záležitosti byly vyřešeny v přiměřené lhůtě.

(66)

Provádění tohoto nařízení vyžaduje odpovídající digitální nástroje podporující rychlou a bezpečnou výměnu informací. Je důležité, aby byl všem úřadům pro ochranu údajů k dispozici vhodný bezpečný společný elektronický nástroj, přičemž se zohlední zkušenosti získané při používání stávajících nástrojů. Je rovněž důležité, aby k zavedení takového elektronického nástroje byly poskytnuty potřebné zdroje a aby tento nástroj usnadňoval sborem prováděné shromažďování a konsolidaci statistických údajů o prosazování práva v případech týkajících se přeshraničního zpracování údajů.

(67)

Kapitoly III a IV tohoto nařízení se týkají spolupráce mezi dozorovými úřady, procesních práv vyšetřovaných stran a zapojení stěžovatelů. V zájmu zajištění právní jistoty by se tato ustanovení neměla vztahovat na šetření, která v době vstupu tohoto nařízení v platnost již probíhají. Tyto kapitoly by se měly použít na šetření zahájená z moci úřední po uplynutí 15 měsíců ode dne vstupu tohoto nařízení v platnost a na šetření zahájená na základě stížnosti, pokud byla stížnost podána po uplynutí 15 měsíců ode dne vstupu tohoto nařízení v platnost. Kapitoly V a VI tohoto nařízení zavádí procesní pravidla pro případy postoupené k řešení sporů podle článku 65 nařízení (EU) 2016/679 a pro žádosti o naléhavé stanovisko nebo naléhavé závazné rozhodnutí podle článku 66 nařízení (EU) 2016/679. Z důvodu právní jistoty by se tyto kapitoly neměly vztahovat na případy, které byly postoupeny k řešení sporů před vstupem tohoto nařízení v platnost. Uvedené kapitoly by se měly vztahovat na všechny případy postoupené k řešení sporů po uplynutí 15 měsíců ode dne vstupu tohoto nařízení v platnost.

(68)

Evropský inspektor ochrany údajů a sbor byli konzultováni v souladu s čl. 42 odst. 1 a 2 nařízení Evropského parlamentu a Rady (EU) 2018/1725 (4) a dne 19. září 2023 vydali společné stanovisko,