Úřad pro ochranu osobních údajů

• Úřad pro ochranu osobních údajů podle čl. 77 odst. 1GDPR od jeho použitelnosti do 20. prosince 2021 eviduje celkem 7287 stížností, přičemž podotýká, že v tomto údaji jsou zahrnuty i podněty za rok 2018 a částečně i za rok 2019, neboť uvedené nebylo v tomto období v rámci typu dokumentu v elektronické spisové službě odlišováno.
• Neuzavřené stížnosti [nevyřízené spisy (vedené k podnětu/stížnosti)] 

2018 = 0 

2019 = 3 (pozn.: po doručení doplnění k původní (již vyřízené) stížnosti došlo k „obnově“ spisu, nejedná se o 3 roky nevyřízené spisy) 

2020 = 6 (pozn.: po doručení doplnění původní (již vyřízené) stížnosti došlo k „obnově“ spisu, nejedná se o 2 roky nevyřízené spisy) 

2021 = 331 

2018 = 2460 

2019 = 1452 

2020 = 1691 

2021 = 1344 

• Úřad pro ochranu osobních údajů neobdržel žádnou stížnost podle čl. 77 odst. 1GDPR, u které by Úřad pro ochranu osobních údajů postupoval podle čl. 58 odst. 1 písm. c) GDPR. 
• Úřad pro ochranu osobních údajů neobdržel žádnou stížnost podle čl. 77 odst. 1GDPR, u které by Úřad pro ochranu osobních údajů postupoval podle čl. 58 odst. 2 písm. h) GDPR. 
• Úřad pro ochranu osobních údajů podle čl. 58 odst. 3 písm. b) GDPR vydal za dobu jeho použitelnosti 541 vyjádření k věcným záměrům zákonů, k návrhům zákonů, k návrhům nařízení vlády, k návrhům vyhlášek a k nelegislativním dokumentům. 
• Úřad pro ochranu osobních údajů neeviduje žádnou stížnost podle čl. 77 odst. GDPR, u které by se subjekt údajů (stěžovatel) odvolal proti rozhodnutí Úřadu pro ochranu osobních údajů. 

Tato odpověď je do značné míry determinována dotazem samotným: V případě, že na základě stížnosti subjektu údajů (jako podnětu k zahájení řízení ve smyslu § 42 zákona č. 500/2004 Sb., správní řád, dále jen „SŘ“) vyhodnotí potřebu provést kontrolu správce nebo zpracovatele osobních údajů, je výsledkem kontroly kontrolní protokol, který není rozhodnutím (v rámci kontrolního protokolu se pouze konstatuje zjištěný stav) a nelze se proti němu odvolat. Proti zjištěním uvedeným v kontrolním protokolu je možné podat námitky, toto právo však přísluší pouze kontrolovanému, nikoliv subjektu údajů (stěžovateli). Kontrolní protokol ani vyřízení námitek nelze ani napadnout soudní cestou (správní žalobou proti rozhodnutí), neboť nejde o rozhodnutí. V případě, že Úřad pro ochranu osobních údajů z podnětu subjektu údajů (stěžovatele) zahájí správní řízení o uložení nápravného opatření, přísluší právo odvolat se proti případnému rozhodnutí Úřadu pro ochranu osobních údajů o uložení nápravného opatření, resp. podat rozklad, popř. i správní žalobu v souladu s § 65 a násl. zákona č. 150/2002 Sb., soudní řád správní, ve znění pozdějších předpisů (dále jen „SŘS“), zásadně adresátu takového nápravného opatření, nikoliv subjektu údajů (stěžovateli). Ani v případě, že Úřad pro ochranu osobních údajů na základě stížnosti (podnětu) subjektu údajů zahájí vůči určité fyzické nebo právnické osobě podezřelé z porušování GDPR řízení o přestupku, nebude právo podat odvolání/rozklad proti rozhodnutí o přestupku, popř. následně i správní žalobu podle SŘS, svědčit subjektu údajů (stěžovateli), ale obviněnému. Výjimku tvoří případy, v nichž je subjekt údajů (stěžovatel) současně v pozici poškozeného, kterému bylo v rámci rozhodnutí o přestupku přiznáno právo na náhradu škody nebo na vydání bezdůvodného obohacení, popř. přiznány náklady spojené s uplatněním nároku na náhradu škody nebo nároku na vydání bezdůvodného obohacení (společně pro zjednodušení „nárok na náhradu škody“). I v takovém případě je však poškozený oprávněn se odvolat jen proti výroku o nároku na náhradu škody. Mj. i s ohledem na povahu přestupků, o kterých Úřad pro ochranu osobních údajů rozhoduje, se dosud v praxi Úřadu pro ochranu osobních údajů nevyskytl případ, ve kterém by součástí rozhodnutí Úřadu pro ochranu osobních údajů o přestupku byl také výrok o nároku poškozeného na náhradu škody. V případě, že Úřad pro ochranu osobních údajů na základě stížnosti (podnětu) subjektu údajů (stěžovatele) neshledá důvody k zahájení kontroly ani žádného z výše uvedených řízení, v souladu s § 42 SŘ (a tedy i ve smyslu čl. 77 odst. 2 GDPR o tom vyrozumí subjekt údajů (stěžovatele). Postup Úřadu pro ochranu osobních údajů v takovém případě nemá podobu rozhodnutí, tj. subjekt údajů se nemá proti čemu odvolávat ani nepřipadá v úvahu podání správní žaloby podle SŘS. 

• Jak bylo blíže osvětleno v odpovědi na otázku v předchozím bodě, žádná taková soudní řízení neexistují, nelze tedy poskytnout jejich identifikátory. 
• Úřad pro ochranu osobních údajů primárně vymáhá dodržování GDPR prostřednictvím vlastních rozhodnutí, proti nimž je přípustná správní žaloba účastníka řízení; Úřad pro ochranu osobních údajů sám žaloby proti vlastním rozhodnutím nepodává. Podle důvodové zprávy k zákonu č. 111/2019 Sb. (tzv. doprovodný zákon k zákonu č. 110/2019 Sb., o zpracování osobních údajů) je pak implementačním ustanovením k čl. 58 odst. 5 GDPR ustanovení § 114a odst. 2 písm. f) zákona č. 99/1963 Sb., občanský soudní řád, ve znění pozdějších předpisů (dále jen „OSŘ“), upravující postavení Úřadu pro ochranu osobních údajů jako tzv. předzvědné osoby, jejíž názor předseda senátu zjistí, souvisí-li předmět řízení bezprostředně s otázkou ochrany osobních údajů. Tento institut je s ohledem na subsidiární aplikaci OSŘ využitelný také v řízeních podle SŘS. Úřad dosud nevedl interní evidenci počtu těchto vyjádření, návazně na dotaz žadatele shledal celkem 4 případy, kdy byl soudy požádán o názor (např. ve věci likvidace vzorku DNA). 
• Úřad pro ochranu osobních údajů předal 22 stížností podle čl. 77 odst. 1 GDPR jinému vedoucímu dozorovému úřadu. 
• Monitoring obchodních praktik a technologií se provádí například při sestavování plánu kontrol, nebo i v rámci posouzení podnětů, při legislativních úpravách, nebo v rámci mezinárodní spolupráce, přičemž žádné statistické údaje vedeny Úřadem pro ochranu osobních údajů nejsou. 
• Vzhledem k tomu, že Úřad pro ochranu osobních údajů pro ochranu osobních údajů dosud neobdržel žádnou žádost, která by splňovala náležitosti podle článku 35 a 36 odst. 1 GDPR, nebylo vydáno ani žádné upozornění podle článku 36 odst. 2 GDPR. 
• Úřad pro ochranu osobních údajů neeviduje případy, u nichž by se proti rozhodnutí v přestupkovém řízení (pouze v přestupkovém řízení lze hovořit o obviněném), jehož předmětem by byl přestupek spáchaný při zpracování osobních údajů stěžovatele podle čl. 77 odst. 1 GDPR, odvolal obviněný. 

Vzhledem k tomu, že část požadované informace byla posouzena ve smyslu § 2 odst. 4 jako dotaz na názory, budoucí rozhodnutí a vytváření nových informací, bylo rozhodnuto v této části o částečném odmítnutí žádosti o poskytnutí informace v souladu s § 2 odst. 4 zákona č. 106/1999 Sb. 

Vzhledem k tomu, že vymezení 2 dotazů požadovaných informací bylo obecné, neboť nebylo zřejmé, v jedné z otázek, co je myšleno příklady, jak Úřad pro ochranu osobních údajů monitoruje uplatňování GDPR podle čl. 57 odst. 1 písm. b) a v druhé, co je myšleno nejdelší dobou, která uplynula od podání stížnosti a Úřad pro ochranu osobních údajů dosud vůbec neinformoval stěžovatele, neboť v čl. 57 odst. 1 písm. d) GDPR se nevztahuje ke stížnostem a není v něm rovněž uvedena žádná doba, byl žadatel vyzván v souladu s § 14 odst. 5 písm. b) zákona č. 106/1999 Sb. k upřesnění žádosti o poskytnutí informace. Jelikož žádost nebyla upřesněna do 30 dnů ode dne doručení výzvy, bylo rozhodnuto o částečném odmítnutí žádosti o poskytnutí informace v souladu s § 14 odst. 5 písm. b) in fine zákona č. 106/1999 Sb. 

Ve zbylé části nebyla požadovaná informace poskytnuta, vzhledem k tomu, že žadatel neuhradil náhradu nákladů ve smyslu § 17 odst. 1 zákona č. 106/1999 Sb. za mimořádně rozsáhlé vyhledání informací odůvodněné dlouhým časovým obdobím, za kterou žadatel požadoval poskytnutí informací a nutností provedení další kategorizace příslušných podání, proto byla žádost v této části v souladu s § 17 odst. 5 po marném uplynutí 60 dnů ode dne oznámení odložena.