[OBRÁZEK]ČESKÁ REPUBLIKA

ROZSUDEK

JMÉNEM REPUBLIKY

Městský soud v Praze rozhodl v senátě složeném z předsedy Milana Taubera, soudce Vadima Hlavatého a soudkyně Pavly Klusáčkové ve věci

o žalobách proti rozhodnutí předsedy žalovaného ze dne 20. 6. 2025, č. j. UOOU-02462/23-213,

takto:

1. Rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, se k žalobě žalobce a) ve výroku I zrušuje a věc se v tomto rozsahu vrací žalovanému k dalšímu řízení.
2. Žaloba žalobce a) se v rozsahu, v němž napadá výroky II a III rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, odmítá.
3. Rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, se k žalobě žalobce b) ve výroku III zrušuje a věc se v tomto rozsahu vrací žalovanému k dalšímu řízení.
4. Žaloba žalobce b) se v rozsahu, v němž napadá výroky I a II rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 20. 6. 2025, č. j. UOOU-02462/23-213, odmítá.
5. Žalovaný je povinen zaplatit žalobci a) do jednoho měsíce od právní moci tohoto rozsudku na náhradě nákladů řízení 15 269,40 Kč, a to do rukou jeho zástupce JUDr. Ing. Jaroslava Zahradníčka, Ph.D., advokáta.
6. Žalovaný je povinen zaplatit žalobci b) do jednoho měsíce od právní moci tohoto rozsudku na náhradě nákladů řízení 15 269,40 Kč, a to do rukou jeho zástupkyně Mgr. Andrey Voglové, advokátky.

Odůvodnění:

Základ sporu

1. Žalobci se samostatně podanými žalobami (sp. zn. 17 A 91/2025 a sp. zn. 17 A 106/2025) domáhali zrušení v záhlaví uvedeného rozhodnutí, přičemž soud usnesením ze dne 27. 11. 2025, č. j. 17 A 91/2025-35, tyto věci spojil ke společnému projednání a rozhodnutí.
2. Prvostupňovým rozhodnutím žalovaného ze dne 7. 5. 2025, č. j. UOOU-02462/23-193, ve znění opravného rozhodnutí žalovaného ze dne 27. 5. 2025, č. j. UOOU-02462/23-194, bylo ohledně žalobce a) ve výroku A) rozhodnuto tak, že
   1. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 nařízení (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „GDPR“), svých klientů nejméně z nedbalosti nebyl v rozporu s čl. 7 odst. 1 GDPR ke dni 6. 5. 2025 schopen doložit udělení souhlasu se zpracováním osobních údajů ve vztahu ke zpracování osobních údajů spočívajícímu v zpřístupnění osobních údajů svých klientů uložených v informačním systému STORMM žalobci b) [dříve pod firmou DELUVIS CZ s. r. o.] a společnosti Deluvis Advisory CZ s.r.o. pro účely nabídky finančních, investičních a obdobných produktů, k němuž došlo v období od 2. 6. 2020 nejméně do 1. 7. 2020 a jehož právním základem měl být udělený souhlas subjektů údajů ve smyslu čl. 6 odst. 1 písm. a) GDPR, a to pokud jde o osobní údaje nejméně 241 subjektů údajů zpřístupněné žalobci b) a 250 subjektů údajů zpřístupněné společnosti Deluvis Advisory CZ s.r.o., uvedených v příloze 1 tohoto rozhodnutí, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 7 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů,
   2. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR svých klientů nejméně z nedbalosti nebyl v rozporu s čl. 5 odst. 2 GDPR ke dni 6. 5. 2025 schopen doložit dodržení zásady korektnosti a transparentnosti dle čl. 5 odst. 1 písm. a) GDPR spočívající v poskytnutí informací subjektům údajů dle čl. 13 odst. 3 GDPR ve vztahu k výše uvedenému zpracování osobních údajů, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 5 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů,
   3. za což mu byla dle čl. 83 odst. 5 písm. a) ve spojení s čl. 83 odst. 3 GDPR uložena pokuta ve výši 3 993 000 Kč,
   4. a dále povinnost nahradit náklady řízení ve výši 333 Kč.
3. Ohledně žalobce b) bylo prvostupňovým rozhodnutím ve výroku B) rozhodnuto tak, že

1. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR klientů žalobce a) nejméně z nedbalosti nebyl v rozporu s čl. 7 odst. 1 GDPR ke dni 6. 5. 2025 schopen doložit udělení souhlasu se zpracováním osobních údajů ve vztahu ke zpracování osobních údajů spočívajícímu v použití osobních údajů klientů žalobce a) uložených v jeho informačním systému STORMM pro účely nabídky finančních, investičních a obdobných produktů, k němuž došlo v období od 2. 6. 2020 nejméně do 1. 7. 2020, a jehož právním základem měl být udělený souhlas subjektů údajů ve smyslu čl. 6 odst. 1 písm. a) GDPR, a to nejméně v případě 250 subjektů údajů uvedených v příloze 2 tohoto rozhodnutí, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 7 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb.,
2. je vinen tím, že jako správce osobních údajů dle čl. 4 bodu 7 GDPR klientů žalobce a) nejméně z nedbalosti nebyl v rozporu s čl. 5 odst. 2 GDPR ke dni 6. 5. 2025 schopen doložit dodržení zásady korektnosti a transparentnosti dle čl. 5 odst. 1 písm. a) GDPR spočívající v poskytnutí informací subjektům údajů dle čl. 14 odst. 1 a 2 GDPR k výše uvedenému zpracování osobních údajů, čímž porušil základní zásadu pro zpracování osobních údajů dle čl. 5 GDPR, a tím spáchal přestupek dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb.
3. za což mu byla dle čl. 83 odst. 5 písm. a) ve spojení s čl. 83 odst. 3 GDPR uložena pokuta ve výši 99 000 Kč,
4. a dále povinnost nahradit náklady řízení ve výši 333 Kč.

4. Prvostupňovým rozhodnutím bylo dále ve výroku C) rozhodnuto, že je společnost Deluvis Advisory CZ s.r.o. vinna porušením totožných ustanovení právních předpisů jako žalobce b), čímž spáchala shodné přestupky jako žalobce b), za což jí byla uložena pokuta ve výši 124 000 Kč a povinnost nahradit náklady řízení ve výši 333 Kč. Konečně prvostupňové rozhodnutí ve výroku D) ve věci přestupků přičítaných společnosti Top Financial group s.r.o. řízení zastavilo, neboť spáchání skutků, o nichž se vedlo řízení, nebylo obviněné společnosti prokázáno.
5. Napadené rozhodnutí na základě podaných rozkladů ve výroku I zrušilo výrok A) II prvostupňového rozhodnutí a řízení v této části zastavilo, snížilo pokutu uloženou žalobci a) na 3 194 000 Kč a změnilo výši jeho povinnosti nahradit náklady řízení na 500 Kč; ve zbytku výrok A) prvostupňového rozhodnutí potvrdilo. Napadené rozhodnutí dále ve výroku II zrušilo výrok C) prvostupňového rozhodnutí a řízení vůči společnosti Deluvis Advisory CZ s.r.o. zastavilo. Konečně napadené rozhodnutí ve výroku III s ohledem na zrušení výroku C) prvostupňového rozhodnutí změnilo výši povinnosti žalobce b) nahradit náklady řízení na 500 Kč; jinak rozklad žalobce b) zamítlo a ve zbytku výrok B) prvostupňového rozhodnutí potvrdilo.

Obsah žaloby žalobce a)

6. Žalobce a) v žalobě v prvním žalobním bodě uvedl, že napadené rozhodnutí nabylo právní moci 5 let a 28 dní poté, kdy žalobce a) zpřístupnil osobní údaje dotčených subjektů údajů žalobci b) a společnosti Deluvis Advisory CZ s.r.o. Došlo tudíž k zániku odpovědnosti za přestupek v důsledku marného uplynutí pětileté objektivní promlčecí doby dle § 32 odst. 3 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich.
7. Delikt dle výroku A) I prvostupňového rozhodnutí je dle žalobce a) jednorázovým deliktem dokonaným v okamžiku, kdy došlo ke zpřístupnění osobních údajů třetím osobám. Následné nakládání s osobními údaji ze strany třetích osob představuje jejich zpracování osobních údajů, na něž neměl žalobce a) žádný vliv. Nemohlo se tedy jednat o trvající přestupek. Důkazy potvrzují, že ke zpřístupnění systému STORMM žalobci b) a společnosti Deluvis Advisory CZ s.r.o. došlo již dne 2. 6. 2020 (e-mail Tomáše Zahálky z toho dne, popř. další e-mailová komunikace). Z hlediska počátku počítání promlčecí doby pak není relevantní, kdy byl ukončen přístup do systému STORMM.
8. Ve druhém žalobním bodě žalobce a) uvedl, že žalovaný v rozporu se zásadou materiální pravdy a právem na spravedlivý proces provedl nepřípustné omezení rozsahu dokazování, což vedlo k nedostatečnému zjištění skutkového stavu. Ve správním řízení měla být zkoumána schopnost doložit souhlas s předáním údajů cca 2 500 subjektů údajů. Žalobce a) na svou obranu doložil 420 konkrétních písemných prohlášení dokazujících existenci souhlasu. Správní orgány tyto důkazy ignorovaly a závěr o vině postavily na tom, že žalobce nedoložil souhlas u jiného, náhodně vybraného vzorku 250 subjektů údajů. Správní orgány tím zkreslily fakta a závažnost provinění. Žalobce a) k tomu odkázal na rozsudek zdejšího soudu ze dne 8. 6. 2023, č. j. 10 A 121/2020-94.
9. Žalovaný selekci na 250 subjektů údajů provedl na základě vyrozumění o změně popisu skutku a jeho právní kvalifikace a výzvy k doložení zásad zpracování ze dne 21. 3. 2025, tedy téměř 2 roky od zahájení správního řízení a necelý měsíc a půl před vydáním prvostupňového rozhodnutí. Na doložení souhlasů poskytl žalovaný 7 dnů, ač věděl, že žalobce a) již souhlasy nedisponuje a bude se patrně snažit doložit dodatečná písemná prohlášení subjektů údajů, které bude muset oslovit. Žádosti žalobce a) o prodloužení lhůty pro jejich doložení pak bylo vyhověno jen omezeně.
10. Ve třetím žalobním bodě žalobce a) uvedl, že je napadené rozhodnutí nezákonné a nepřezkoumatelné z důvodu rozdílného zacházení s účastníky správního řízení, a tedy porušení zásady rovnosti a zákazu libovůle. Napadené rozhodnutí zrušilo výrok C) prvostupňového rozhodnutí a řízení vůči společnosti Deluvis Advisory CZ s.r.o. zastavilo, což v bodě 45 odůvodnilo pouze tím, že u ní nebyla vedena kontrola a správní řízení bylo zahájeno těsně před uplynutím tříleté promlčecí doby.
11. U žalobce a) kontrola vedena byla, ovšem její provedení není zákonným předpokladem pro rozhodnutí o spáchání přestupku. Argument žalovaného je tudíž irelevantní, až absurdní, zvláště když předseda žalovaného konstatoval, že má za prokázané, že společnost Deluvis Advisory CZ s.r.o. předmětnými osobními údaji disponovala.
12. Pokud jde o zahájení správního řízení, k tomu došlo vůči všem jeho účastníkům oznámením o zahájení správního řízení dne 1. 6. 2023. Skutek se stal v červnu 2020, i ve vztahu k žalobci a) tak bylo správní řízení zahájeno těsně před uplynutím tříleté promlčecí lhůty, což ovšem předseda žalovaného ignoroval a rozdílný přístup nevysvětlil. S ohledem na postup předsedy žalovaného vůči společnosti Deluvis Advisory CZ s.r.o. žalobci a) vzniklo legitimní očekávání shodného postupu.
13. Ve čtvrtém žalobním bodě žalobce a) uvedl, že je napadené rozhodnutí nepřezkoumatelné z důvodu nevypořádání jeho námitek, přičemž celé správní řízení je zatíženo vadami, které způsobují jeho nezákonnost.
14. Žalobce a) v rozkladu navrhoval doplnit dokazování, zejména výslechem svědků. Předseda žalovaného však nijak nezdůvodnil, proč je nepovažoval za nutné a proč postačují pouze listinné důkazy, které řadu nejasností nevysvětlují. Předseda žalovaného se též srozumitelně a uceleně nevyjádřil k tomu, proč nepostačuje, že žalobce a) předložil více než 400 konkrétních prohlášení o udělení souhlasu. Předseda žalovaného rovněž nereagoval na argument žalobce a), že případná neschopnost doložit některé souhlasy je důsledkem jejich skartace po uplynutí doby a že jeho jednání lze hodnotit maximálně jako nedbalostní, což má vliv na posouzení kritérií pro výši pokuty dle čl. 83 odst. 2 GDPR.
15. Žalovaný dále nezdůvodnil, proč zvolil metodu, při které vybral vzorek cca 250 subjektů údajů, z jakých důvodů ji považoval za správnou a proč odmítl hodnotit důkazy vztahující se k subjektům údajů mimo tento vzorek. Žalobce a) v rozkladu také namítal, že předmět řízení o přestupku byl širší než původní předmět kontroly, která řízení předcházela, s čímž se předseda žalovaného nijak nevypořádal. Konečně žalovaný nevysvětlil extrémní nepoměr mezi pokutami uloženými žalobci a) a ostatním účastníkům řízení.
16. Žalobce a) podotkl, že správní řízení bylo od počátku vedeno v rozporu se základními zásadami správního řízení, jako je zásada rychlosti řízení, právo na spravedlivý proces a zásada dobré správy, což zakládá jeho nezákonnost jako celku. Žalovaný si během řízení počínal liknavě a nehospodárně, což je patrné zejména ze zahájení správního řízení těsně před uplynutím promlčecí doby, z vydání pravomocného rozhodnutí po 5 letech od zpřístupnění údajů, z bezdůvodného předvolání náhodně vybraných subjektů údajů, aniž by byli předvoláni klíčoví svědci, z odpovědi žalovaného na dotaz žalobce ohledně obsahu správního spisu až po 8 měsících a opětovné urgenci. V kontrastu k tomu pak žalovaný odmítl prodloužit lhůtu pro doložení vyžádaných souhlasů na 30 dnů a vyhověl žádosti žalobce jen o cca 10 dnů, když přitom žádal doložení 250 souhlasů. Žalovaný také odmítl poskytnout lhůtu pro doplnění rozkladu o odůvodnění v délce 10 dnů, za dostatečné považoval prodloužení o 7 dnů.
17. V pátém žalobním bodě žalobce a) uvedl, že jsou obě správní rozhodnutí nesprávná z důvodu nedostatečných skutkových zjištění a nesprávných právních závěrů.
18. Žalobce a) v rozkladu namítal, že žalovaný založil svá zjištění na podkladech z jiného (civilního) řízení, aniž by sám provedl výslech klíčových osob. Tím byla porušena zásada bezprostřednosti dokazování. Předseda žalovaného se spokojil s protokoly z civilního řízení, přestože Obvodní soud pro Prahu 3 sám sdělil, že používání osobních údajů klientů žalobce a) nebylo předmětem dokazování v dané věci. Předseda žalovaného se omezil na konstatování, že se jedná o totožné závěry ze dvou důvěryhodných zdrojů, přičemž odmítl důkazy, které dokládaly opačné závěry.
19. Žalobce a) ve správním řízení předložil řadu důkazů prokazujících, že souhlasy subjektů údajů byly v rozhodné době získány. Jednalo se jak o důkazy přímé – 420 doložených prohlášení, tak nepřímé – zmínka „klienti podepsali GDPR“ v e-mailové komunikaci, dohoda o spolupráci, vzor souhlasu atd. Předseda žalovaného v bodě 41 napadeného rozhodnutí nepřímé důkazy odmítl s tím, že udělení souhlasu je třeba prokázat individuálně vůči každému subjektu údajů. Tento závěr je však formalistický a nemá oporu v GDPR. Jak žalobce argumentoval již v rozkladu, stanoviska EDPB (European Data Protection Board) i odborná literatura připouštějí, že způsob doložení souhlasu není striktně předepsán a má odpovídat rizikům spojeným se zpracováním. Jelikož se jednalo o jednorázové zpřístupnění údajů pro marketingové účely, tedy zpracování s nižší mírou rizika, byl soubor předložených důkazů dostatečný k prokázání existence souhlasů.
20. V šestém žalobním bodě žalobce a) uvedl, že je uložená sankce nedostatečně odůvodněná a nepřiměřená. Dle žalobce a) nebyly při stanovení výše pokuty řádně zohledněny klíčové okolnosti dle čl. 83 odst. 2 nařízení GDPR, ač na ně žalobce v rozkladu upozorňoval. Mimoto je žalobci ukládána pokuta cca 40násobně vyšší než ostatním obviněným.

Obsah žaloby žalobce b)

21. Žalobce b) v žalobě v prvním žalobním bodě uvedl, že je napadené rozhodnutí vnitřně rozporné, což způsobuje jeho nicotnost. Napadené rozhodnutí zrušilo výrok C) prvostupňového rozhodnutí a řízení vůči společnosti Deluvis Advisory CZ s.r.o. zastavilo. Tato společnost se měla dopustit totožných přestupků jako žalobce b), z napadeného rozhodnutí však není zřejmé, proč bylo v jejím případě postupováno rozdílně. Naopak je z napadeného rozhodnutí (body 39, 40 a 47) zřejmé, že vina obou obviněných měla být prokázána. Předseda žalovaného tak rozhodl v rozporu se zásadou legitimního očekávání a napadené rozhodnutí je nepřezkoumatelné.
22. Ve druhém žalobním bodě žalobce b) uvedl, že žalovaný neaplikoval zásadu in dubio pro reo a jeho skutková zjištění nejsou úplná a jsou založena na nezákonně opatřených důkazech (tzv. ovoce otráveného stromu). Žalobce b) od počátku popíral, že by 250 údajných klientů žalobce a) bylo zaneseno v systému STORMM a že by jejich osobní údaje zpracovával žalobce b), a žalovaný o tom nemá žádný důkaz.
23. Dle žalobce b) se žalovanému na základě shromážděných důkazů nepodařilo jednoznačně zjistit, zda osoby, které měly do systému STORMM přístup, jej měly jako pracovníci žalobce b) anebo společnosti Deluvis Advisory CZ s.r.o. Byla to společnost Deluvis Advisory CZ s.r.o., která měla se žalobcem a) uzavřenu smlouvu o spolupráci. Internetové články hovořily o úniku osobních údajů k prodejci směnek Arca Investments, tj. společnosti Deluvis Advisory CZ s.r.o. Žalobce b) tyto směnky nikdy nenabízel, což konstatoval i Obvodní soud pro Prahu 3. Společnost Top Financial group s.r.o. uvedla, že byla smluvním partnerem výlučně společnosti Deluvis Advisory CZ s.r.o. Konečně žádný z žalovaným dotázaných klientů žalobce a) nesdělil, že by ho žalobce b) kontaktoval. Většina uvedla, že je buď nekontaktoval nikdo nebo že to nebyl žalobce b).
24. Co se týče souhlasů se zpracováváním osobních údajů založených do správního spisu žalobcem a), v nichž osoby udělily souhlas ve vztahu k žalobci b), ty žalobce a) obstaral až dodatečně po skartaci původních souhlasů, přičemž žalobce b) nemohl jejich znění ovlivnit. Všechny představují formulářový souhlas, v němž je zjevná chyba v psaní, když zde není uvedeno Deluvis Advisory CZ s.r.o., ale Deluvis CZ s.r.o., což je shodou okolností název, který žalobce b) v minulosti, avšak ještě před udělením dodatečných souhlasů, používal.
25. Pokud je přitom jisté či vysoce pravděpodobné, že jedna z vícero konkrétních osob se jednání majícího znaky skutkové podstaty přestupku dopustila, avšak není postaveno na jisto, která z nich to byla, nelze za přestupek postihnout nikoho (rozsudek Nejvyššího správního soudu ze dne 24. 5. 2006, č. j. 2 As 46/2005-55, usnesení rozšířeného senátu Nejvyššího správního soudu ze dne 14. 1. 2014, č. j. 5 As 126/2011-68, Sb. NSS 3014/2014).
26. Žalovaný nedisponoval natolik uceleným řetězcem důkazů, aby mohl uzavřít, že se žalobce b) vytýkaných přestupků dopustil. Tento řetězec navíc zahrnuje i nezákonně opatřené stěžejní důkazní prostředky, jimiž jsou interní e-mailová komunikace a protokoly o výsleších svědků před Obvodním soudem pro Prahu 3. Dotčená e-mailová komunikace nebyla žalovanému předložena žádným z obviněných, ale třetí osobou, které nebyla tato e-mailová komunikace určena. Je tudíž jasné, že se k nim dostala nelegálně. Společnost Deluvis Advisory CZ s.r.o. ve svém rozkladu uvedla, že u ní v září roku 2020 došlo k bezpečnostnímu incidentu, kdy neznámý pachatel získal přístup do notebooku zaměstnankyň a stáhl z něj data. Společnost Deluvis Advisory CZ s.r.o. měla podezření na J. M., který následně vydíral jednatelku této společnosti, pročež na něho bylo podáno trestní oznámení a věc byla řešena také s pověřencem pro ochranu osobních údajů. O tom měl žalovaný od počátku řízení dostatek informací. Žalobce b) upozornil, že e‑maily nebyly žalovanému předány v originálních souborech, ale ve formě textových přepisů, u nichž nelze vyloučit, že s jejich obsahem bylo manipulováno.
27. Co se týče protokolů o výsleších svědků v řízení před Obvodním soudem pro Prahu 3, svědci vypovídali o věci, která nijak nesouvisela s předmětem řízení u tohoto soudu, a nebyli opětovně vyslechnuti v řízení před žalovaným, pročež jim žalobce b) ani žádný jiný obviněný nemohli položit doplňující otázky. Postup správních orgánů je v rozporu se zásadami materiální pravdy, ústnosti, přímosti a bezprostřednosti (srov. rozsudek Nejvyššího správního soudu ze dne 9. 9. 2010, č. j. 1 As 34/2010-73, Sb. NSS 2208/2011, bod 30). Na porušení těchto zásad lze usuzovat i z toho, že od výslechu jiných původně předvolaných svědků žalovaný upustil, a z toho, že žalovaný nevzal v potaz prohlášení doložená žalobcem a), ale rozhodl se vyjít z vlastního vzorku subjektů údajů.
28. I kdyby pak bylo prokázáno, že žalobce b) měl přístup do systému STORMM, panovaly by nadále pochybnosti, k jakým všem osobním údajům měl přístup, a které z nich sám spravoval, resp. užíval. Například J. Š. [který nikdy nebyl vázaným zástupcem žalobce b) a prokazatelně byl jen tipařem společnosti Deluvis Advisory CZ s.r.o.], z jehož svědecké výpovědi před Obvodním soudem pro Prahu 3 žalovaný vyšel, uvedl, že žádné telefonáty neuskutečnil. Nebylo prokázáno, zda vůbec a případně které kontakty žalobce b) využil – výpovědi svědků slyšených před Obvodním soudem pro Prahu 3 si v tomto protiřečí. Žalovaný totiž nedokázal jednoznačně přičíst obvolávání klientů žalobce a) společnosti Deluvis Advisory CZ s.r.o. ani žalobci b). Žádný z klientů žalobce a) si nikdy nestěžoval na to, že by byl neoprávněně kontaktován spolupracovníkem žalobce b), společnosti Deluvis Advisory CZ s.r.o. nebo kohokoli jiného.
29. Dle komentáře k GDPR (Uřičař M., Rámiš V. a kol. Obecné nařízení o ochraně osobních údajů. Praha: C. H. Beck, 2021, s. 468, marg. č. 48) je nutno informace o zpracování údajů poskytnout nejpozději v okamžiku zahájení komunikace se subjektem osobních údajů. Jestliže tedy komunikace se subjektem ani není započata, pak k porušení čl. 14 GDPR nedojde. Žalobce b) dodal, že i kdyby bylo prokázáno obvolávání klientů žalobce a), bylo by možné informační povinnost splnit ústně na počátku telefonního hovoru, přičemž to, zda se tak případně stalo, nebylo žalovaným šetřeno.
30. Stejně tak dle žalobce b) panovala pochybnost o tom, zda ze strany klientů žalobce a) byl udělen souhlas se zpracováním osobních údajů žalobcem b) anebo společností Deluvis Advisory CZ s.r.o. Pomine-li žalobce b), že se žalovanému nepodařilo prokázat, zda a kdy lze protiprávní jednání přičíst žalobci b), a zda a kdy společnosti Deluvis Advisory CZ s.r.o., je třeba zdůraznit, že existenci souhlasu deklaroval žalobce a). Nikoho nelze uznat vinným tím, že neměl k dispozici souhlasy, neboť je měl k dispozici žalobce a). Stejně tak žalobce b) nebyl schopen ovlivnit délku skartační lhůty nastavenou u žalobce a), tudíž je zde opět pochybnost, která měla být žalobci b) přičtena k dobru. To, zda souhlasy existovaly, popř. zda následně byly skartovány, se žalovanému nepodařilo prokázat.
31. Ve třetím žalobním bodě žalobce b) uvedl, že se předseda žalovaného nevypořádal se všemi námitkami uplatněnými žalobcem b) a ostatními obviněnými, a proto je jeho rozhodnutí nepřezkoumatelné. Předseda žalovaného nevypořádal námitky nezákonně opatřených a potenciálně neautentických interních e-mailů, dále že žalobce b) nebyl předem vyrozuměn o poslední změně popisu skutků, která se promítla do znění napadeného rozhodnutí, a konečně že žalovaný při svém rozhodování nepostupoval v souladu se zásadou in dubio pro reo. Nepřezkoumatelný je též výrok o nákladech řízení, jenž není nijak odůvodněn.
32. Ohledně nezákonně opatřených důkazů – e-mailové komunikace – žalobce nad rámec již uvedeného v druhém žalobním bodě dodal, že lze dovodit, že se jednalo o interní komunikaci Deluvis Advisory CZ s.r.o., nikoli žalobce b), jenž nikdy nezaznamenal bezpečnostní incident.
33. Námitka nezákonnosti byla vznesena rovněž společností Deluvis Advisory CZ s.r.o. ve vztahu k svědectvím Tomáše Zahálky, J. L. a J. Š. předneseným před Obvodním soudem pro Prahu 3. Společnost Deluvis Advisory CZ s.r.o. namítla, že nebyla účastníkem daného řízení, pročež svědkům sama nemohla pokládat otázky, popř. namítat nezákonnost pokládání otázek nesouvisejících s předmětem řízení.
34. V bodě 39 napadeného rozhodnutí předseda žalovaného uvedl, že „[ž]ádná z uvedených společností pak výslovně nepopřela věrohodnost podkladu pro uvedená skutková zjištění, resp. neuvedla žádné konkrétní aspekty, v nichž by mohla spočívat jejich údajná nevěrohodnost, neautenticita nebo manipulace s jejich obsahem“. To je však v rozporu s obsahem rozkladů podaných všemi obviněnými i s jejich předchozími procesními stanovisky. Teze předsedy žalovaného, že je třeba chránit totožnost osoby, která podala podnět ke kontrole, a to i s ohledem na smysl zákona č. 171/2023 Sb., o ochraně oznamovatelů, je dle žalobce b) lichá. Potřeba chránit totožnost podatele podnětu nemá žádný dopad na povinnost žalovaného vypořádat se se všemi námitkami, mimoto v době zahájení kontroly i následného přestupkového řízení ještě zákon č. 171/2023 Sb. neplatil.
35. Stran nákladů správního řízení žalobce b) odkázal na bod 54 napadeného rozhodnutí, dle nějž „paušální částku nákladů řízení ve výši 1.000 Kč bylo nutno rozdělit rovným dílem mezi společnosti, které byly uznány vinnými ze spáchání přestupků“. Dle žalobce b) však zákon neumožňuje takto rozhodnout, mj. proto, že tím byla porušena zásada zákazu reformationis in peius.
36. Ve čtvrtém žalobním bodě žalobce b) uvedl, že ve věci jde o nepřípustný souběh dvou přestupků z důvodu faktické konzumpce. Dle žalobce b) není možný jednočinný souběh jemu vytýkaných přestupků – neschopnost doložit udělení souhlasu se zpracováváním osobních údajů a neschopnost doložit poskytnutí odpovídajících informací subjektům údajů. Zpracovávání osobních údajů bez právního důvodu v sobě totiž zahrnuje i neplnění informační povinnosti ve vztahu k subjektům údajů. Nadto přestupek spočívající ve zpracovávání osobních údajů bez právního důvodu je natolik závažný, že se nejeví účelným sankcionovat obviněného i za přestupek spočívající v neplnění informační povinnosti (srov. rozsudek Nejvyššího správního soudu ze dne 5. 5. 2023, č. j. 5 As 63/2022-29, body 17–19).
37. Nelze souhlasit s argumentací v bodě 47 napadeného rozhodnutí, že ve vztahu k žalobci a) je závěr o faktické konzumpci správný, ovšem vůči žalobci b) nikoli, protože žalobce b) měl odlišný rozsah informační povinnosti. Liší se totiž jen v drobnostech. To, že obě informační povinnosti jsou stejně důležité, pak vyplývá i z komentářové literatury, která jim přikládá stejný význam (Uřičař M., Rámiš V. a kol. Obecné nařízení o ochraně osobních údajů. Praha: C. H. Beck, 2021, s. 455, marg. č. 14).
38. V pátém žalobním bodě žalobce b) uvedl, že napadené rozhodnutí není v souladu s GDPR. Žalobce b) zopakoval tezi ze čtvrtého žalobního bodu, že předseda žalovaného nesprávně vyložil čl. 13 a 14 GDPR ohledně jednočinného souběhu. Žalobce b) dále nesouhlasil se závěrem vyjádřeným v bodě 44 napadeného rozhodnutí, že základní doba, po kterou musí být správce osobních údajů schopen doložit udělení souhlasu se zpracováním osobních údajů, musí pokrývat, resp. dokonce přesahovat tříletou promlčecí dobu dle zákona č. 250/2016 Sb., a je třeba ji odvozovat ode dne ukončení zpracování, nikoli od okamžiku získání souhlasu. Tento výklad nemá výslovnou oporu v GDPR ani jiném právním předpise.
39. Pokud by nějaký přístup k osobním údajům žalobce a) existoval, pak soudě dle e-mailů Tomáše Zahálky existoval nejpozději do 1. 7. 2020. Jako přiměřená doba dalšího uchovávání souhlasů se jeví doba jednoho roku stanovená skartačním řádem žalobce a), protože ta odpovídá promlčecí době méně závažných přestupků [§ 30 písm. a) zákona č. 250/2016 Sb.] a skartačním lhůtám v běžné praxi. Žádný subjekt nemůže důvodně předpokládat kontrolu ze strany žalovaného, a proto shromažďovat podklady déle, než je rozumně nutné. Cílem GDPR není klást na správce osobních údajů nepřiměřené požadavky, ale docílit zajištění přiměřené úrovně ochrany fyzických osob a volného pohybu osobních údajů v EU (recitál 170). Žalobce b) zopakoval, že skartační lhůta byla jednostranně určena žalobcem a) a žalobce b) její délku nemohl ovlivnit.
40. Žalobce b) dodal, že v jeho případě by eventuálně mohl být dán důvod zpracování osobních údajů v podobě oprávněného zájmu správce osobních údajů dle čl. 6 odst. 1 písm. f) GDPR, jímž by mohla být realizace vlastní činnosti žalobce b).
41. V šestém žalobním bodě žalobce b) uvedl, že je uložená pokuta likvidační. Předseda žalovaného k tomu podotkl, že žalobce b) již je v likvidaci, tudíž pro něj pokuta nemůže být likvidační, aniž by zjišťoval či alespoň odhadoval majetkové poměry žalobce b). Žalobce b) rovněž navrhl moderaci pokuty soudem.
42. V sedmém žalobním bodě žalobce b) uvedl, že prvostupňové rozhodnutí bylo vydáno po uplynutí zákonné 60denní lhůty dle § 94 zákona č. 250/2016 Sb. Prvostupňové rozhodnutí bylo vydáno téměř dva roky po zahájení řízení, což ve spojení s dalšími nedostatky zakládá jeho nezákonnost; napadené rozhodnutí délku řízení nijak nezdůvodnilo.

Vyjádření žalovaného k žalobě žalobce a)

43. Žalovaný navrhl žalobu žalobce a) zamítnout.
44. K prvnímu žalobnímu bodu žalobce a) žalovaný uvedl, že přestupek dle výroku A) I prvostupňového rozhodnutí je přestupkem trvajícím dle § 8 zákona č. 250/2016 Sb., pročež v souladu s § 31 odst. 2 písm. c) tohoto zákona počíná promlčecí doba běžet dnem následujícím po dni, kdy došlo k odstranění protiprávního stavu, což bylo nejdříve dne 2. 7. 2020.
45. K druhému žalobnímu bodu žalobce a) žalovaný uvedl, že povinnost správce osobních údajů být schopen doložit udělení souhlasu subjektu údajů se zpracováním osobních údajů se zásadně vztahuje samostatně ke každému subjektu údajů. 250 souhlasů se zpracováním osobních údajů, které měly být prokázány, bylo vybráno ze souborů získaných v rámci kontrolní činnosti, a jednalo se tedy o požadavek vstřícnější vůči žalobci. Pokud jde o doložení souhlasů více než 400 subjektů údajů zmiňované žalobcem a), žalovaný odkázal na body 71–78 prvostupňového rozhodnutí.
46. Tvrzení žalobce a) ohledně údajné časové tísně pro prokázání existence předmětných souhlasů jsou dle žalovaného účelová. Žalobce souhlas dotčených subjektů údajů nepředložil v rámci kontroly vedené pod sp. zn. UOOU-03510/21 zahájené 13. 10. 2021, problematika existence právního titulu byla předmětem přestupkového řízení již od jeho zahájení dne 1. 6. 2023, a relevantní souhlasy žalobce nedoložil ani v rámci této správní žaloby.
47. K žalobcem a) odkazovanému rozsudku sp. zn. 10 A 121/2020 žalovaný podotkl, že se skutkově odlišuje od nyní projednávané věci, nadto citovaný rozsudek aproboval přístup žalovaného, který požadoval doložení udělených souhlasů ve vztahu k 1 % náhodně vybraných adresátů obchodního sdělení.
48. K třetímu žalobnímu bodu žalobce a) žalovaný uvedl, že ze dvou důvodů, na jejichž základě byl zrušen výrok C) prvostupňového rozhodnutí a řízení vůči společnosti Deluvis Advisory CZ s.r.o. bylo zastaveno, žalobci svědčí pouze to, že správní řízení bylo zahájeno těsně před uplynutím tříleté promlčecí doby. GDPR výslovně nestanoví konkrétní časový úsek, po nějž je správce osobních údajů povinen být schopen doložit předchozí udělení souhlasu subjektu údajů se zpracováním osobních údajů. Zahájení kontroly však jednoznačně signalizuje, že doložení souhlasu je nutné po celou dobu, po níž je nezbytné doložit legálnost předmětného zpracování.
49. Ke čtvrtému žalobnímu bodu žalobce a) žalovaný uvedl, že skutečnosti zjištěné v rámci předmětného řízení vytváří dostatečný řetězec nepřímých důkazů potvrzující závěry ohledně zpřístupnění systému STORMM žalobci b) a společnosti Deluvis Advisory CZ s.r.o. Ti přitom výslovně nepopřeli věrohodnost podkladů pro uvedená zjištění, resp. neuvedli žádné konkrétní aspekty, v nichž by měla spočívat jejich údajná nevěrohodnost, neautenticita nebo manipulace s jejich obsahem. Provádění dalších důkazů tak bylo shledáno neúčelným. Dále je třeba uvést, že žalobci bylo připsáno nedbalostní jednání. Předmět kontroly ukončené protokolem o kontrole ze dne 1. 6. 2023, č. j. UOOU-03510/21-37, zahrnoval dodržování povinností dle čl. 5, 6, 12–22 GDPR, tudíž nemohl být v rámci řízení o přestupku překročen. Nadto vedení přestupkového řízení není předchozí kontrolou nijak limitováno. Co se pak týče prodloužení lhůty pro doplnění rozkladu, to nelze nárokovat.
50. K pátému žalobnímu bodu žalobce a) žalovaný uvedl, že je nutno odmítnout jako nedostatečné podklady, na něž žalobce odkazoval, jako je předložený vzor souhlasu, smlouva o předávání osobních údajů se společností Deluvis Advisory CZ s.r.o. nebo e-mailová komunikace obsahující konstatování „klienti podepsali GDPR“, které nijak nedokladují konkrétní projev vůle dotčených subjektů údajů, jenž je podstatou souhlasu se zpracováním osobních údajů (čl. 4 bod 11 GDPR).
51. K šestému žalobnímu bodu žalobce a) žalovaný uvedl, že trvá na zdůvodnění výše pokuty dle napadeného a prvostupňového rozhodnutí. Rozdíly v pokutách uložených jednotlivým obviněným pak korespondují s kvalifikací příslušného jednání.

Vyjádření žalovaného k žalobě žalobce b)

52. K prvnímu žalobnímu bodu žalobce b) žalovaný uvedl, že důvody pro zastavení řízení vůči společnosti Deluvis Advisory CZ s.r.o. jsou uvedeny v bodě 45 napadeného rozhodnutí, tj. absence předchozího vedení kontroly u této společnosti a zahájení přestupkového řízení těsně před uplynutím tříleté promlčecí doby. Naproti tomu u žalobce b) byla kontrola zahájena dne 27. 7. 2022, přičemž souhlasy měly být dokladovány již v rámci této kontroly.
53. K druhému žalobnímu bodu žalobce b) žalovaný uvedl, že 250 souhlasů se zpracováním osobních údajů, které měly být prokázány, bylo vybráno ze souborů získaných v rámci kontrolní činnosti, a jednalo se tedy o požadavek vstřícnější vůči žalobci b), jenž byl v postavení správce osobních údajů, tudíž byl povinen souhlas sám doložit a nemohl se odvolávat na jednání žalobce a). K tvrzení žalobce b), že není prokázáno, zda vůbec kontakty ze systému STORMM aktivně využil, žalovaný podotkl, že zpracováním osobních údajů je i shromáždění osobních údajů za účelem realizace vlastní obchodní činnosti (bod 122 prvostupňového rozhodnutí a bod 43 napadeného rozhodnutí).
54. Tezi žalobce b) o údajné chybě v psaní v souhlasech předložených žalobcem a) považoval žalovaný za nevěrohodnou. Jak uvádí bod 38 prvostupňového rozhodnutí, osobní údaje zákazníků žalobce a) byly zpřístupněny i za účelem nabízení jiných investičních produktů než směnek společnosti Arca Investments, a.s. Ze skutkových zjištění žalovaného je také zjevné, že v důsledku vystupování žalobce b) a společnosti Deluvis Advisory CZ s.r.o. pod společnou značkou DWM (Deluvis Wealth Management) nebyly tyto společnosti pro subjekty údajů reálně odlišitelné, a tedy že předmětné závadové jednání lze přičíst oběma těmto obviněným (mj. bod 40 napadeného rozhodnutí). Žalobcem b) odkazovaná judikatura k nutnosti jednoznačně zjistit osobu pachatele je irelevantní, neboť se vztahuje k přestupkové odpovědnosti fyzických osob. Dle § 20 odst. 6 zákona č. 250/2016 Sb. není odpovědnost právnické osoby za přestupek podmíněna zjištěním konkrétní fyzické osoby, jejíž jednání je přičitatelné právnické osobě.
55. Skutkový stav věci byl doložen zejména prostřednictvím zjištění ohledně propojení jednotlivých obviněných, dále svědeckými výpověďmi v rámci řízení před Obvodním soudem pro Prahu 3 vedeným proti žalobci b) coby žalovanému, a e-mailovou komunikací. Žalovaný zopakoval, že žalobce b) nikdy neuvedl žádné konkrétní okolnosti, proč by měla být předložená e-mailová komunikace neautentická nebo jak konkrétně mělo být s textovými přepisy manipulováno (bod 39 napadeného rozhodnutí). Pokud jde o počet subjektů údajů, žalovaný zdůraznil, že žalobce b) byl shledán vinným výhradně ve vztahu k 250 subjektům údajů (od čehož se odvíjí také výše uložené pokuty). Co se týká lhůty pro poskytnutí informací dle čl. 14 GDPR, žalovaný odkázal na body 131–135 prvostupňového rozhodnutí.
56. K třetímu žalobnímu bodu žalobce b) žalovaný uvedl, že k relevanci a hodnocení důkazů se vyjádřil výše. Připomenul, že předmětná dokumentace byla zčásti získána v rámci kontrolní činnosti, tudíž je třeba dle § 22 zákona č. 255/2012 Sb., o kontrole, chránit totožnost osoby, která podala podnět ke kontrole, což platí i pro navazující přestupkové řízení. Zákon č. 171/2023 Sb. nabyl účinnosti dne 1. 8. 2023 a v bodě 39 napadeného rozhodnutí na něj bylo odkázáno pouze proto, že ochrana oznamovatele koresponduje i s tímto právním předpisem.
57. Co se týče povinnosti hradit náklady řízení, výkladem § 35 zákona č. 250/2016 Sb. lze a contrario dovodit, že se nejedná o sankci, pročež nelze uplatnit zásadu zákazu reformationis in peius.
58. Dle žalovaného nelze mít za to, že by se formulace výroku B) I a II prvostupňového rozhodnutí vymykala popisu skutků naposledy vymezených přípisem ze dne 21. 3. 2025, č. j. UOOU-02462/23-161, jakož i přípisem ze dne 11. 4. 2025, č. j. UOOU-02462/23-176.
59. K čtvrtému žalobnímu bodu žalobce b) žalovaný uvedl, že nelze vázat povinnost doložit právní základ zpracování k plnění informační povinnosti dle čl. 14 odst. 1 a 2 GDPR tak, jak to činí žalobce b). K tomu citoval bod 47 napadeného rozhodnutí. Přestupek spočívající v neschopnosti doložit udělení souhlasu nemůže konzumovat přestupek spočívající v neschopnosti doložit splnění předmětné informační povinnosti, a to s ohledem na rozdílnou povahu těchto povinností. Přestupek spočívající v porušení čl. 14 GDPR ze strany žalobce b) ovšem byl z hlediska určení sankce uznán jako méně závažný.
60. Žalovaný měl za to, že je dán zásadní rozdíl mezi informacemi poskytovanými subjektům údajů dle čl. 14 odst. 1 a 2 GDPR a dle čl. 13 odst. 3 GDPR. Poskytnutí informací dle čl. 13 odst. 3 GDPR má především upozornit na nový účel zpracování, a to ještě před tímto dalším zpracováním. Smyslem poskytnutí informací dle čl. 14 odst. 1 a 2 GDPR je upozornit na získání osobních údajů jiným správcem, a to primárně do jednoho měsíce po jejich získání. Důvody pro konzumpci uznané ve vztahu k žalobci a) tudíž nelze aplikovat vůči žalobci b).
61. K pátému žalobnímu bodu žalobce b) žalovaný uvedl, že aplikace právního titulu dle čl. 6 odst. 1 písm. f) GDPR nebyla možná, k čemuž citoval bod 43 napadeného rozhodnutí. Ohledně skartačních lhůt žalovaný odkázal na bod 44 napadeného rozhodnutí a body 81–84 prvostupňového rozhodnutí. Přestupek spočívající ve zpracování osobních údajů bez právního titulu přitom nelze považovat za méně závažný přestupek, a to již vzhledem k výši hrozící sankce. Existenci souhlasu je nutno dokladovat alespoň do doby uplynutí promlčecí doby, během níž lze důvodně očekávat uplatnění dozorových pravomocí žalovaného. Odpovědnost za toto dokladování nese výlučně správce osobních údajů a není možno ji přesouvat na jiný subjekt. Co se týká vztahu informačních povinností dle čl. 13 a čl. 14 GDPR, žalovaný se již vyjádřil výše.
62. K šestému žalobnímu bodu žalobce b) žalovaný uvedl, že v rozkladu žalobce b) poukázal na fakt, že vstoupil do likvidace, nikoli na likvidační charakter pokuty; svou aktuální finanční situaci nijak nedoložil.
63. K sedmému žalobnímu bodu žalobce b) žalovaný uvedl, že lhůta uvedená v § 94 zákona č. 250/2016 Sb. má jen pořádkový charakter.

Další vyjádření

64. Žalobce b) v replice uvedl, že důvody pro zastavení přestupkového řízení vůči společnosti Deluvis Advisory CZ s.r.o., jak je žalovaný sdělil ve vyjádření k žalobě, nejsou obsaženy v napadeném rozhodnutí.
65. K přičitatelnosti přestupku žalobci b) žalovaný ve vyjádření k žalobě uvedl, že žalobce b) a společnost Deluvis Advisory CZ s.r.o. nebyli pro subjekty údajů reálně odlišitelní, pročež lze závadové jednání přičíst oběma z nich. Pak ovšem žalobce b) nevidí důvod pro to, aby byl za přestupek potrestán jen on a nikoli společnost Deluvis Advisory CZ s.r.o. Pokud přitom nelze zjistit, v zastoupení koho fyzická osoba jednala, pak její jednání nelze přičíst právnické osobě. Nebylo prokázáno, že by žalobce b) měl s žalobcem a) jakýkoli právní vztah, na rozdíl od společnosti Deluvis Advisory CZ s.r.o. U žalobce b) sice jako vázaní zástupci působily osoby spolupracující i se společností Deluvis Advisory CZ s.r.o., ale jen proto nemůže být jednání těchto osob přičitatelné žalobci b).
66. Žalobce b) se rovněž vyjádřil k žalobě žalobce a) a souvisejícímu vyjádření žalovaného tak, že se ohradil proti stylizaci žaloby žalobce a), když uvádí, že zpřístupnil osobní údaje „společnostem Deluvis“, tj. žalobci b) a společnosti Deluvis Advisory CZ s.r.o. Žalobce a) nanejvýš usvědčuje společnost Deluvis Advisory CZ s.r.o. Žalobce b) k tomu poukázal na skutečnost, že existují další „společnosti Deluvis“, konkrétně slovenské společnosti DELUVIS s. r. o. a Deluvis Advisory, s. r. o.
67. Žalobce a) přiznal, že předmětnými souhlasy nedisponuje a v souvislosti s přestupkovým řízením je opatřoval dodatečně. To ovšem snižuje jejich autenticitu, a nadto to prokazuje, že to byl výhradně žalobce a), který znění dodatečných souhlasů formuloval. Zvolil-li v nich souhlas formulovaný ve vztahu k žalobci b), je to jeho pochybení.
68. Uvádí-li žalovaný okolnosti týkající se vazeb společnosti Deluvis Advisory CZ s.r.o. na společnost Arca Investments, a.s., posiluje to závěr, že přestupku se dopustila výhradně společnost Deluvis Advisory CZ s.r.o. Žalobce b) nemá se společností Arca Investments a.s. nic společného.

Odmítnutí částí žalob

69. Soud se předtím, než se zabýval žalobami samotnými, musel vypořádat s otázkou, zda žaloby nebyly podány osobami k tomu zjevně neoprávněnými.
70. Podle § 2 zákona č. 150/2002 Sb., soudní řád správní (dále jen „s. ř. s.“), ve správním soudnictví poskytují soudy ochranu veřejným subjektivním právům fyzických i právnických osob způsobem stanoveným tímto zákonem a za podmínek stanovených tímto nebo zvláštním zákonem a rozhodují v dalších věcech, v nichž tak stanoví tento zákon.
71. Podle § 46 odst. 1 písm. c) s. ř. s., nestanoví-li tento zákon jinak, soud usnesením odmítne návrh, jestliže návrh byl podán osobou k tomu zjevně neoprávněnou.
72. Podle § 65 odst. 1 s. ř. s., kdo tvrdí, že byl na svých právech zkrácen přímo nebo v důsledku porušení svých práv v předcházejícím řízení úkonem správního orgánu, jímž se zakládají, mění, ruší nebo závazně určují jeho práva nebo povinnosti, (dále jen „rozhodnutí“), může se žalobou domáhat zrušení takového rozhodnutí, popřípadě vyslovení jeho nicotnosti, nestanoví-li tento nebo zvláštní zákon jinak.
73. Soud má za to, že oba žalobci jsou osobami zjevně neoprávněnými k podání žalob v rozsahu těch výroků napadeného rozhodnutí, které se jich netýkají. Jak vyplývá z rozsudku Nejvyššího správního soudu ze dne 27. 9. 2005, č. j. 4 As 50/2004-59, Sb. NSS 1043/2007, odmítnutí žaloby dle § 46 odst. 1 písm. c) s. ř. s. „lze vyhradit toliko případům nedostatku procesní legitimace, například absence osoby v právním slova smyslu na místě žalobce, nedostatek tvrzení o poškozených právech, nedostatek tvrzení o tom, že napadené rozhodnutí bylo nezákonné, a jen zcela zjevným nedostatkům legitimace hmotné, zjistitelným bez pochyb, okamžitě zpravidla již ze žaloby samotné (například v těch případech, kdy žalobce tvrdí porušení práva, jehož již pojmově vůbec nemůže být nositelem (shodně též rozsudek Vrchního soudu v Praze ze dne 30. 6. 1995, č. j. 6 A 56/94-28)“.
74. Oba žalobci se domáhali zrušení celého napadeného rozhodnutí, tj. všech jeho výroků. Výrok II napadeného rozhodnutí se však dotýká výhradně práv a povinností společnosti Deluvis Advisory CZ s.r.o., na práva a povinnosti obou žalobců nemá žádný dopad. Výrok I napadeného rozhodnutí se pak nedotýká práv a povinností žalobce b), výrok III napadeného rozhodnutí se pro změnu nedotýká práv a povinností žalobce a). O vině a trestu se u každého z obviněných rozhoduje individuálně.
75. Na tom nic nemění ani okolnost, že oba žalobci poukazují na rozdílný postup předsedy žalovaného vůči nim oproti společnosti Deluvis Advisory CZ s.r.o. Oba žalobci mohou napadat pouze ty výroky, kterými se rozhoduje o jejich právech a povinnostech – u žalobce a) výrok I napadeného rozhodnutí, u žalobce b) výrok III napadeného rozhodnutí, k čemuž mohou v rámci argumentace poukazovat na rozdílnost postupu předsedy žalovaného. Nemohou se však domáhat toho, aby bylo ve vztahu k dalšímu obviněnému rozhodnuto jinak.
76. Oba žalobci jsou tudíž ve vztahu k výroku II napadeného rozhodnutí osobami zjevně neoprávněnými k podání žaloby, dále je žalobce b) osobou zjevně neoprávněnou k podání žaloby proti výroku I napadeného rozhodnutí, zatímco žalobce a) je osobou zjevně neoprávněnou k podání žaloby proti výroku III napadeného rozhodnutí. Soudu proto nezbývá než obě žaloby v rozsahu uvedených výroků napadeného rozhodnutí odmítnout dle § 46 odst. 1 písm. c) s. ř. s.

Posouzení žalob soudem

77. Soud přezkoumal napadené rozhodnutí, včetně řízení, jež jeho vydání předcházelo, v mezích žalobních bodů, jimiž je vázán, vycházeje přitom ze skutkového a právního stavu, který tu byl v době rozhodnutí správního orgánu (§ 75 s. ř. s.).
78. Soud ve věci rozhodl bez nařízení jednání dle § 51 odst. 1 s. ř. s., neboť žalobci i žalovaný s tímto postupem souhlasili, resp. nevyjádřili nesouhlas s rozhodnutím věci bez nařízení jednání.
79. Po posouzení věci dospěl soud k závěru, že obě žaloby jsou důvodné (každá obsahuje alespoň jeden důvodný žalobní bod).
80. Podle čl. 5 odst. 1 písm. a) GDPR osobní údaje musí být ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem („zákonnost, korektnost a transparentnost“).
81. Podle čl. 5 odst. 2 GDPR správce odpovídá za dodržení odstavce 1 a musí být schopen toto dodržení souladu doložit („odpovědnost“).
82. Podle čl. 6 odst. 1 GDPR zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:

a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů. […]

f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.

83. Podle čl. 7 odst. 1 GDPR, pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
84. Podle čl. 83 odst. 3 GDPR, pokud správce nebo zpracovatel úmyslně či z nedbalosti u stejných nebo souvisejících operací zpracování poruší více ustanovení tohoto nařízení, nesmí celková výše správní pokuty překročit výši stanovenou pro nejzávažnější porušení.
85. Podle čl. 83 odst. 5 GDPR za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20 000 000 EUR, nebo jedná-li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší

a)              základní zásady pro zpracování, včetně podmínek týkajících se souhlasu podle článků 5, 6, 7 a 9. […].

86. Podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb. správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679.

Posouzení žaloby žalobce a)

87. První žalobní bod žalobce a) [zánik odpovědnosti za přestupek v důsledku uplynutí promlčecí doby] soud shledal nedůvodným. Soud připomíná, že by se otázkou případné prekluze byl povinen zabývat i bez žalobní námitky, níže uvedené tudíž platí i ve vztahu k žalobci b).
88. Podle § 30 písm. b) zákona č. 250/2016 Sb. promlčecí doba činí 3 roky, jde-li o přestupek, za který zákon stanoví sazbu pokuty, jejíž horní hranice je alespoň 100 000 Kč.
89. Podle § 31 odst. 2 písm. c) zákona č. 250/2016 Sb. promlčecí doba počíná běžet u trvajícího přestupku dnem následujícím po dni, kdy došlo k odstranění protiprávního stavu.
90. Podle § 32 odst. 2 zákona č. 250/2016 Sb. promlčecí doba se přerušuje

a) oznámením o zahájení řízení o přestupku,

b) vydáním rozhodnutí, jímž je obviněný uznán vinným; je-li prvním úkonem v řízení vydání příkazu, přerušuje se běh promlčecí doby jeho doručením,

c) vydáním rozhodnutí o schválení dohody o narovnání;

přerušením promlčecí doby počíná promlčecí doba nová.

91. Podle § 32 odst. 3 zákona č. 250/2016 Sb. odpovědnost za přestupek zaniká nejpozději 3 roky od jeho spáchání; jde-li o přestupek, za který zákon stanoví sazbu pokuty, jejíž horní hranice je alespoň 100 000 Kč, odpovědnost za přestupek zaniká nejpozději 5 let od jeho spáchání. Do této doby se nezapočítává doba, po kterou trvala některá ze skutečností podle odstavce 1.
92. Z výroků prvostupňového rozhodnutí je dle soudu jednoznačně seznatelné, že žalovaný vymezil vytýkané přestupky žalobce a) i b) časovým obdobím, tj. od 2. 6. 2020 nejméně do 1. 7. 2020. Z čl. 6 odst. 1 písm. a) GDPR lze dovodit, že je správce osobních údajů povinen disponovat uděleným souhlasem subjektu údajů po celou dobu zpracování osobních údajů pro konkrétní účel. Není-li tomu tak, pak se daný správce osobních údajů dopustí přestupku dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., a to po celou dobu, kdy osobní údaje zpracovává bez příslušného souhlasu.
93. Žalobce a) měl za to, že došlo k dokonání jednorázového deliktu tím, že zpřístupnil osobní údaje třetím stranám. S tím soud nesouhlasí. Z prvostupňového i napadeného rozhodnutí je zřejmé, že žalobci a) je vytýkáno, že třetím osobám (ostatním obviněným) umožnil přístup do svého systému STORMM, tj. umožnil jim tam po určitou dobu přistupovat tím, že jim poskytl platné přihlašovací údaje. Po dobu jejich platnosti tudíž ostatní obvinění mohli v systému STORMM libovolně přistupovat k osobním údajům a používat je pro účely nabídky finančních, investičních a obdobných produktů. Tato úvaha správních orgánů je dle soudu logická a vede k závěru, že se jednalo o trvající delikt.
94. Vytýkané jednání bylo dle správních orgánů ukončeno dne 1. 7. 2020. Promlčecí doba počala dle § 31 odst. 2 písm. c) zákona č. 250/2016 Sb. běžet dne 2. 7. 2020, odpovědnost za dotčené přestupky by dle § 32 odst. 3 zákona č. 250/2016 Sb. zanikla dne 2. 7. 2025. Ze správního spisu vyplývá, že napadené rozhodnutí nabylo právní moci dne 30. 6. 2025, tedy před uplynutím promlčecí doby. Soud dodává, že tříletá promlčecí doba dle § 30 písm. b) zákona č. 250/2016 Sb. byla včas přerušena oznámením o zahájení společného řízení ze dne 1. 6. 2023, č. j. UOOU-02462/23-13 [žalobci a) doručeno dne 1. 6. 2023, žalobci b) dne 5. 6. 2023].
95. Druhý žalobní bod žalobce a) [omezení rozsahu dokazování, selekce na 250 subjektů údajů] soud shledal nedůvodným.
96. Obecně platí, že v řízení o přestupku postupuje správní orgán tak, aby byl zjištěn stav věci, o němž nejsou důvodné pochybnosti, a to v rozsahu potřebném pro rozhodnutí o přestupku (usnesení rozšířeného senátu Nejvyššího správního soudu ze dne 14. 1. 2014, č. j. 5 As 126/2011-68, Sb. NSS 3014/2014). Potřebný rozsah zjištění stavu věci pak lze dle soudu zajistit i náležitým vzorkem. Je totiž rozumné a hospodárné, aby správní orgán při prověřování plnění určité zákonné povinnosti, jejíž celková kontrola by byla obtížně proveditelná, časově a pracovně náročná a byla by i značně zatěžující pro prověřovaný subjekt, postupoval tak, že zvolí vhodný kontrolní vzorek. Ten by měl být dostatečně reprezentativní, a to s přihlédnutím k množství prověřovaných skutečností. Jestliže tedy žalovaný zvolil vzorek 250 subjektů údajů, což je 10 % z celkového počtu subjektů údajů, považuje soud tento postup za správný a proporcionální.
97. K legitimitě prověřování formou vybraného vzorku lze analogicky poukázat např. na rozsudek Nejvyššího správního soudu ze dne 28. 1. 2026, č. j. 6 As 137/2025-39, který se zabývá odběrem vzorku potraviny, kdy lze výsledek kontroly vzorku vztáhnout na celou šarži (shodně rozsudek Nejvyššího správního soudu ze dne 6. 12. 2019, č. j. 5 As 354/2018‑44).
98. Žalovaný zdůraznil, že povinnost být schopen doložit udělení souhlasu subjektem údajů se zpracováním osobních údajů je třeba vykládat tak, že se vztahuje ke každému subjektu údajů samostatně (body 69 a 74 prvostupňového rozhodnutí). Žalovaný podotkl (bod 73 prvostupňového rozhodnutí), že existovalo podezření, že nikoli každý z dotčených subjektů údajů udělil souhlas, prvotně předložených 280 souhlasů představovalo cca 11 % všech subjektů údajů. Dle soudu je zcela zřejmé, na základě čeho žalovaný přistoupil k výzvě k doložení souhlasů u jím zvoleného vzorku. Žalobce a) nepředložil souhlasy u všech subjektů údajů, jím předložená část nebyla s ohledem na svůj nedostatečný rozsah s to vyvrátit podezření žalovaného, žalovaný tudíž sám vybral vzorek subjektů údajů. Žalobce a) reagoval předložením dalších 140 souhlasů, z nichž ovšem jen 9 odpovídalo vzorku zvolenému žalovaným (bod 78 prvostupňového rozhodnutí). Souhlasy předložené žalobcem a) se tak téměř zcela minuly se vzorkem zvoleným žalovaným.
99. Není tak pravda, že by žalovaný ignoroval 420 souhlasů předložených žalobcem a). Až na výjimky se ovšem míjely s kontrolním vzorkem. Lze dodat, že 9 souhlasů odpovídajících vzorku zvolenému žalovaným se promítlo do výroku A) I prvostupňového rozhodnutí, který hovoří o nejméně 241 chybějících souhlasech. Z toho je také patrné, že žalovaný žalobci a) nevytýkal nedoložení všech 2 500 souhlasů a doložené souhlasy reflektoval.
100. K námitce žalobce a), že mu byla poskytnuta krátká lhůta pro reakci na výzvu, která byla prodloužena jen omezeně, soud podotýká, že žalobce mohl souhlasy dokládat i později, a to i v době, kdy probíhalo řízení o rozkladu. Sám o sobě proto postup žalovaného nemohl mít negativní dopad na práva žalobce, nehledě na to, že žalobce si musel být vědom nutnosti předložit všechny souhlasy již před výzvou žalovaného, a část z nich i doložil.
101. Pokud jde o žalobcem a) odkazovaný rozsudek sp. zn. 10 A 121/2020, žalovaný správně poukázal na skutkové odlišnosti tamějšího případu – jednalo se o souhlasy ve formě IP adres, přičemž žalovanému bylo soudem vyčítáno, že ve správním spise není žádný podklad o identifikaci subjektů na základě IP adres (bod 188 citovaného rozsudku). Ohledně velikosti kontrolního vzorku – 1 % z relevantních e-mailových adres – je nutno poznamenat, že se jí soud v citovaném rozsudku nezabýval z hlediska toho, zda je 1 % dostačující pro závěr o spáchání přestupku, nýbrž z hlediska toho, zda požadavek doložení 4 600 e-mailových adres nebyl zbytečně zatěžující pro přestupce. Z citovaného rozsudku tak lze dovodit jen to, že nepřiměřeně velký kontrolní vzorek by byl pro přestupce zatěžující. Jak ovšem soud uvedl výše, žalovaný mohl postupovat metodou kontrolního vzorku a učinil tak ve správném rozsahu; ostatně žalobce a) si stěžoval na to, že vzorek je příliš malý, nikoli příliš velký.
102. Třetí žalobní bod žalobce a) [rozdílné zacházení s účastníky řízení] soud shledal důvodným.
103. Předseda žalovaného zdůvodnil svůj postup vůči společnosti Deluvis Advisory CZ s.r.o. v bodě 45 napadeného rozhodnutí. Uvedl, že u žalobce a) byla zahájena kontrola dne 13. 10. 2021, u žalobce b) dne 27. 7. 2022, v obou případech výrazně před uplynutím tříleté promlčecí doby dle zákona č. 250/2016 Sb. Dále konstatoval, že u společnosti Deluvis Advisory CZ s.r.o. nebyla kontrola vedena, přičemž přestupkové řízení bylo zahájeno těsně před uplynutím tříleté promlčecí doby, předseda žalovaného proto zrušil výrok o vině společnosti Deluvis Advisory CZ s.r.o. a zastavil řízení.
104. Soud považuje toto odůvodnění za nepřezkoumatelné. Ze správního spisu se podává, že přestupkové řízení bylo vůči všem jeho účastníkům zahájeno oznámením o zahájení společného řízení dne 1. 6. 2023, č. j. UOOU-02462/23-13. Jeden z důvodů, pro který byl zrušen výrok o vině – zahájení řízení těsně před uplynutím tříleté promlčecí doby, tak prospívá všem obviněným. Pokud jde o druhý důvod – neprovedení kontroly, soud se nedomnívá, že by mohl obstát sám o sobě, resp. ve spojení s prvním důvodem, jako příčina odlišného postupu vůči společnosti Deluvis Advisory CZ s.r.o. oproti ostatním obviněným.
105. Z napadeného (bod 44) i prvostupňového (body 81–84) rozhodnutí je zřejmé, že správní orgány dovodily, že při absenci výslovné lhůty pro uchování souhlasu se zpracováním osobních údajů v GDPR je nezbytné vycházet z promlčecí doby daného přestupku. Souhlas je tak nutné uchovávat po dobu alespoň 3 let; k otázce délky uchování souhlasu se soud vyjadřuje ve vypořádání pátého žalobního bodu žalobce b).
106. Soudu není zřejmé, proč by provádění kontroly mělo na tomto závěru něco měnit. Provedení kontroly není nutným předpokladem pro zahájení přestupkového řízení, shledání viny a uložení trestu. Provedení kontroly také nemůže být signálem, že má kontrolovaný subjekt plnit své zákonné povinnosti, ty musí plnit v každém případě, a nemůže být ani důvodem pro prodloužení doby plnění určité zákonné povinnosti. Soud tak považuje postup, kdy předseda žalovaného konstatuje, že souhlasy se zpracováním osobních údajů musí být uchovávány přinejmenším 3 roky, leč fakticky to uplatňuje jen vůči správcům osobních údajů, u nichž byla předtím zahájena kontrola, za vnitřně rozporný. Nadto takový postup umožňuje postupovat v zásadě libovolně, jelikož není seznatelné, za jakých přesných okolností nebude daný správce osobních údajů postihován – s jakým odstupem musí být zahájena kontrola a kdy už je přestupkové řízení zahájeno těsně před uplynutím promlčecí doby.
107. Soud proto uzavírá, že předseda žalovaného řádně nezdůvodnil svůj odlišný postup vůči společnosti Deluvis Advisory CZ s.r.o., pročež je napadené rozhodnutí ve vztahu k žalobci a) a b) nepřezkoumatelné.
108. Čtvrtý žalobní bod žalobce a) [nevypořádání námitek, vady řízení] soud shledal nedůvodným. Pokud jde o návrh na doplnění dokazování výslechem svědků, k tomu se soud vyjadřuje ve vypořádání pátého žalobního bodu žalobce a). Ohledně toho, že správní orgány řádně vysvětlily využití kontrolního vzorku a to, že nepostačují žalobcem předložené souhlasy subjektů údajů, se již soud vyjádřil ve vypořádání druhého žalobního bodu žalobce a).
109. Dílčí námitka, že předsedou žalovaného nebyla vypořádána teze žalobce a), že jeho jednání mělo být posouzeno jako nedbalostní, je bezpředmětná. Ve výroku A) I prvostupňového rozhodnutí, který byl napadeným rozhodnutím potvrzen, je jasně uvedeno, že žalobce a) spáchal vytýkaný přestupek „nejméně z nedbalosti“. Žalobce se zřejmě ohrazuje proti slovu nejméně, potažmo proti výši pokuty, ovšem konkrétnější argumentaci neuvedl. Jde-li o kritéria pro výši pokuty a žalobcem tvrzený extrémní nepoměr její výše oproti ostatním obviněným, jak soud uvádí ve vypořádání šestého žalobního bodu žalobce a), touto otázkou se soud nemohl zabývat.
110. Nedůvodná je dílčí námitka, že předsedou žalovaného nebyla vypořádána teze žalobce a), že předmět řízení o přestupku byl širší než původní předmět kontroly. Předseda žalovaného toto tvrzení vypořádal v bodě 39 napadeného rozhodnutí tak, že předmět kontroly ukončené protokolem o kontrole ze dne 1. 6. 2023, č. j. UOOU-03510/21-37, zahrnoval dodržování povinností dle čl. 5, 6, 12–22 GDPR, tudíž nemohl být v rámci řízení o přestupku překročen. Žalobce a) proti tomu v žalobě nepředestřel žádnou konkrétní argumentaci. Kromě toho, jak dodal i žalovaný ve vyjádření k žalobě, předmět přestupkového řízení není omezen tím, co bylo předmětem předcházející kontroly.
111. Dále žalobce a) namítl vleklost správního řízení a to, že mu byly stanoveny krátké lhůty, které k jeho žádostem nebyly adekvátně prodlouženy, což v souhrnu činí správní řízení nezákonným. Soud konstatuje, že délka řízení sama o sobě nemůže vést k závěru o nezákonnosti meritorního rozhodnutí. K tomu lze odkázat i na vypořádání sedmého žalobního bodu žalobce b), jež se zabývá tím, že lhůta pro vydání správního rozhodnutí je lhůtou pořádkovou. K prodloužení lhůty pro předložení souhlasů subjektů údajů se soud již vyjádřil ve vypořádání druhého žalobního bodu žalobce a). U neprodloužení lhůty pro doplnění rozkladu pak žalobce a) nezmínil, jak konkrétně to zasáhlo do jeho práv. Ani z kontrastu mezi délkou postupu správního orgánu a lhůtami stanovenými účastníkům nelze bez dalšího dovozovat, že správní orgány postupovaly nepřiměřeně, tudíž nezákonně. Ostatně žalovaný netrval zcela striktně na stanovených lhůtách a alespoň v určitém rozsahu je prodloužil.
112. Pátý žalobní bod žalobce a) [nedostatečná skutková zjištění, nesprávné právní závěry] soud shledal nedůvodným.
113. Žalobce a) akcentoval, že žalovaný založil svá zjištění na podkladech ze soudního řízení u Obvodního soudu pro Prahu 3 sp. zn. 7 C 82/2022. Tím byla porušena zásada bezprostřednosti dokazování, žalobce a) nemohl klást svědkům dotazy. Žalobce a) ovšem v žalobě ani nenaznačil, jaké konkrétní otázky by svědkům kladl, popř. v čem konkrétně byly jejich výpovědi neúplné, rozporné atd. Totéž platí pro žalobcův rozklad (doplnění blanketního rozkladu ze dne 3. 6. 2025). Porušení určité obecné zásady přitom nemůže bez dalšího vést k nezákonnosti správního rozhodnutí. Daný žalobce musí uvést specifické okolnosti, na jejichž základě vedlo porušení obecného principu k porušení jeho práv, což se v projednávané věci nestalo. Samotný fakt, že řízení před civilním soudem řešilo jinou věc než využívání osobních údajů klientů žalobce a), nečiní protokoly o výsleších nepoužitelnými ve správním řízení.
114. Co se týče důkazů předložených žalobcem, k jím předloženým souhlasům (přímým důkazům) a kontrolnímu vzorku se již soud vyjádřil ve vypořádání druhého žalobního bodu žalobce a). Nepřímé důkazy pak soud ve shodě s žalovaným neshledává dostatečně průkaznými ani každý zvlášť, ani ve vzájemných souvislostech. Forma souhlasu sice musí odpovídat rizikům spojeným se zpracováním, jak uvádí žalobce a), to ovšem dle soudu neznamená, že je možné domýšlet konkrétní souhlas určitého subjektu osobních údajů se specifickým zpracováním svých osobních údajů z pouhého řetězce indicií, které jsou nadto v nyní projednávané věci neprůkazné. V každém případě musí být souhlas projevem vůle subjektu údajů. V nyní projednávané věci žalobce a) dokládal zmínku v e-mailové komunikaci, že „klienti podepsali GDPR“, což ovšem není komunikace žádného z dotčených subjektů údajů, ale jen tvrzení pocházející od osoby spojené s obviněnými. Dohoda o spolupráci žalobce a) se společností Deluvis Advisory CZ s.r.o. též nic neprokazuje, protože na ní participovali jen obvinění, nikoli dotčené subjekty údajů. Ani vzor souhlasu nic nedokazuje, protože je to vzor, nikoli konkrétní udělený souhlas. Závěr předsedy žalovaného zachycený v bodě 41 napadeného rozhodnutí je tudíž správný.
115. Soud dodává, že na rozdíl od tohoto žalobního bodu žalobce a) shledal důvodným druhý žalobní bod žalobce b), který se též dotýká neúplnosti skutkových zjištění. Odkazovaný žalobní bod však byl formulován odlišně a namítá jiné vady.
116. Šestým žalobním bodem žalobce a) [sankce není dostatečně odůvodněna a není přiměřená] se soud nezabýval, jelikož vešel na žalobní námitku týkající se závěru o vině. Posuzování uložené sankce by proto bylo předčasné.

Posouzení žaloby žalobce b)

117. První žalobní bod žalobce b) [rozdílné zacházení s obviněnými] soud shledal důvodným potud, že je napadené rozhodnutí nepřezkoumatelné, nikoli však nicotné, jak se domnívá žalobce b).
118. Podle § 77 odst. 1 správního řádu nicotné je rozhodnutí, k jehož vydání nebyl správní orgán vůbec věcně příslušný; to neplatí, pokud je vydal správní orgán nadřízený věcně příslušnému správnímu orgánu. Nicotné je dále rozhodnutí, které trpí vadami, jež je činí zjevně vnitřně rozporným nebo právně či fakticky neuskutečnitelným, anebo jinými vadami, pro něž je nelze vůbec považovat za rozhodnutí správního orgánu.
119. Podle rozsudku rozšířeného senátu Nejvyššího správního soudu ze dne 22. 7. 2005, č. j. 6 A 76/2001-96, Sb. NSS 793/2006, je nicotný takový správní akt, který trpí natolik intenzivními vadami, že jej vůbec za rozhodnutí nelze ani považovat. Takovými vadami jsou např. absolutní nedostatek pravomoci, absolutní nepříslušnost rozhodujícího správního orgánu, zásadní nedostatky projevu vůle vykonavatele veřejné správy (absolutní nedostatek formy, neurčitost, nesmyslnost), požadavek plnění, které je trestné nebo absolutně nemožné, uložení povinnosti nebo založení práva něčemu, co v právním smyslu vůbec neexistuje, či nedostatek právního podkladu k vydání rozhodnutí.
120. Podle doktríny (Staša J., § 5 [Nicotnost]. In: Hendrych D. a kol. Správní právo. Obecná část. 9. vydání. Praha: C. H. Beck, 2016, str. 148–152) nicotnost nastává zpravidla v důsledku: nedostatku právního podkladu, nedostatku pravomoci, nejtěžších vad příslušnosti, absolutního nedostatku formy, absolutního omylu v osobě adresáta, neexistence skutkového základu způsobujícího bezobsažnost, požadavku trestného nebo jiného právně nemožného plnění, požadavku plnění fakticky nemožného, neurčitosti, nesmyslnosti či vnitřní rozpornosti a neexistence vůle.
121. Soud neshledal, že by napadené rozhodnutí trpělo některou z výše uvedených vad způsobujících jeho nicotnost. Jak již soud vysvětlil ve vypořádání třetího žalobního bodu žalobce a), napadené rozhodnutí je nepřezkoumatelné, neboť řádně nezdůvodnilo rozdílné zacházení s obviněnými. Tato vada ovšem není natolik intenzivní, aby bylo možné hovořit o nicotném rozhodnutí, což je vyhrazeno pro nejtěžší vady správních rozhodnutí. Vnitřní rozpornost, na kterou žalobce b) poukazoval, by musela překročit „pouhou“ nepřezkoumatelnost odůvodnění, např. ukládáním zcela protichůdných povinností. Z napadeného rozhodnutí je patrný jednoznačný závěr ve vztahu ke společnosti Deluvis Advisory CZ s.r.o., jenž ovšem není řádně odůvodněn v kontextu odlišného postupu vůči žalobci a) a b).
122. Druhý žalobní bod žalobce b) [nedodržení zásady in dubio pro reo, neúplná skutková zjištění založená na nezákonně získaných důkazech] soud shledal důvodným.
123. Jak vyplývá z bodů 35 a násl. napadeného rozhodnutí a 5 a násl. prvostupňového rozhodnutí, správní orgány vystavěly své skutkové závěry především na e-mailové komunikaci předložené třetí osobou a protokolech o výsleších v řízení u Obvodního soudu pro Prahu 3 sp. zn. 7 C 82/2022. Předseda žalované pak v bodě 39 napadeného rozhodnutí uvedl, že žádný z obviněných nepopřel věrohodnost podkladů pro uvedená zjištění, resp. neuvedl žádné konkrétní aspekty, v nichž by měla spočívat jejich údajná nevěrohodnost, neautenticita nebo manipulace s jejich obsahem. Dle soudu je ovšem tento závěr ve vztahu k žalobci b) nesprávný.
124. Žalobce b) ve svém rozkladu a jeho doplnění brojí proti autenticitě konkrétními argumenty, že se jedná o dokumenty získané třetí osobou, přičemž není zřejmé, jak je tato osoba získala, zda k tomu došlo legálně, v jaké formě je předložila (elektronicky či písemně) a zda byly ověřeny seznamy subjektů údajů z hlediska správnosti jejich osobních údajů. Byť se nejedná o konkrétní zpochybnění stricto sensu, kdy by žalobce b) např. namítal, co přesně bylo v e-mailech pozměněno, nebo kdo konkrétně je nelegálně získal, nelze je vypořádat způsobem, k němuž se uchýlil předseda žalovaného. Již jen skutečnost, že nějaký důkazní prostředek opatřila třetí osoba, a nikoli sám správní orgán, by měla vést k obezřetnosti správního orgánu a k tomu, že bude náležitě vyhodnocena legalita a autenticita důkazního prostředku. Z obou správních rozhodnutí pak vyplývá jen to, že správní orgány důkazním prostředkům předloženým třetí osobou uvěřily a plně z nich vycházely.
125. S přihlédnutím k individuálním okolnostem je nutno také případně zvážit, jaké cíle tato třetí osoba sleduje, tedy zda není motivována jen snahou poškodit účastníky řízení, ergo manipulovat důkazními prostředky. Dle soudu proto nelze zcela odhlédnout od toho, že společnost Deluvis Advisory CZ s.r.o. ve svém rozkladu poukázala na bezpečnostní incident, při němž došlo k odcizení jejích dat. Jakkoli se jedná o rozkladovou námitku vznesenou jiným obviněným, váže se k důkazům, jejichž autenticitu a legalitu zpochybňuje žalobce b).
126. Není přitom vyloučeno, aby byly v řízení před správními orgány použity důkazy získané třetí osobou v rozporu se zákonem. Např. dle rozsudku Nejvyššího správního soudu ze dne 18. 11. 2011, č. j. 2 As 45/2010-68, Sb. NSS 2518/2012, i za situace, kdy kamerový záznam pořízený soukromou osobou, který zasahuje do sféry osobnostních práv zaznamenané osoby, nebyl pořízen s jejím souhlasem či v souladu se zákonnými výjimkami, není jeho použitelnost pro potřeby dokazování ve správním řízení zcela vyloučena. Je vždy nutno poměřit legitimitu cíle, kterého mělo být pořízením záznamu dosaženo, na straně jedné a přiměřenost užitého postupu na straně druhé. Je tak vždy nutno uvážit, zda v konkrétním případě může nad ochranou osobnostních práv dotčeného subjektu převážit zájem společnosti na objasnění a potrestání deliktních jednání, a především pak ochrana ústavně zaručených práv pořizovatele takového záznamu.
127. Předseda žalovaného ani žalovaný ovšem žádné takové poměření neprovedl, což zakládá nepřezkoumatelnost napadeného rozhodnutí. Poukaz předsedy žalovaného na to, že je třeba chránit identitu třetí osoby, je sice souladný se zákonem, ale nemá žádný vliv na to, že bylo potřeba vyhodnotit použitelnost důkazů. Ad absurdum by totiž správní orgány mohly každou námitku směřující proti legalitě či relevanci důkazních prostředků vypořádat jen tím, že nemohou prozradit identitu třetí osoby. Není přitom rozhodné, že žalobce a) autenticitu e-mailové komunikace nezpochybnil a ani nenamítal nelegálnost opatření tohoto důkazu; každý z obviněných volí svou procesní strategii. Podstatné není ani to, že žalobce a) ve správním řízení výslovně uvedl, že systém STORMM zpřístupnil společnost Deluvis Advisory CZ s.r.o., protože to nic neříká o důkazních prostředcích a nevztahuje se to k žalobci b). Vznesená námitka žalobce b) měla být vypořádána, jak z hlediska autenticity, tak legálnosti, potažmo použitelnosti důkazu.
128. Současně soud konstatuje, že v důsledku výše uvedené nepřezkoumatelnosti odůvodnění napadeného rozhodnutí jsou rovněž dány pochybnosti o úplnosti zjištěného skutkového stavu. Z obou rozhodnutí správních orgánů je totiž patrné, že e-mailová komunikace představovala klíčový důkaz pro závěr o tom, že žalobce b) přistupoval do systému STORMM. Soud připomíná, že dle judikatury (rozsudek Nejvyššího správního soudu ze dne 2. 8. 2013, č. j. 4 As 28/2013-24, Sb. NSS 2938/2014) je-li ve správním řízení použit důkaz získaný v rozporu se zákonem, nemusí to být vždy bez dalšího důvodem pro zrušení rozhodnutí správního orgánu pro vady řízení. Žaloba může být nedůvodná, pokud lze i při odhlédnutí od nezákonného důkazu z ostatních důkazů provedených ve správním řízení učinit jednoznačný závěr, že skutkový stav, který vzal správní orgán za základ napadeného rozhodnutí, obstojí. V nyní projednávané věci tomu tak ovšem dle soudu není.
129. Vzhledem k výše uvedenému pak soud považuje za předčasné, aby se vypořádal s dalšími dílčími námitkami žalobce b). Jsou-li pochybnosti o úplnosti zjištěného skutkového stavu z důvodu, že nebyla řádně posouzena validita stěžejního důkazního prostředku, pak se soud nemůže vyjadřovat k dalším důkazním prostředkům, zde k protokolům o výsleších z řízení u Obvodního soudu pro Prahu 3 sp. zn. 7 C 82/2022, a k tomu, zda měli být ve správním řízení vyslýcháni svědci. Z koncepce obou správních rozhodnutí je zřejmé, že ve vztahu k dokazování existence přístupu do systému STORMM byla primární e‑mailová komunikace, obsah protokolů o výsleších sloužil pro potvrzení zjištění z e‑mailové komunikace. Kromě toho měly protokoly o výsleších spolu s dalšími důkazy svědčit o tom, že žalobce b) a společnost Deluvis Advisory CZ s.r.o. vystupovali pod společnou značkou Deluvis Wealth Management, pročež měly být vytýkané přestupky přičitatelné oběma. I v této otázce ovšem správní orgány vycházely mj. z e-mailové komunikace (srov. bod 36 napadeného rozhodnutí), soud se k ní proto s ohledem na nevyjasněnou důkazní validitu e-mailové komunikace nemůže vyjádřit. Soud pro úplnost dodává, že žalobce b) na rozdíl od žalobce a) uváděl i konkrétní rozpory ve výsleších svědků před civilním soudem, což je nutno vzít v dalším správním řízení v potaz.
130. Pokud jde o argumenty žalobce b) týkající se toho, že pravidla skartace si stanovil žalobce a), který také dle žalobce b) chybně formuloval souhlas se zpracováním údajů, soud pouze stručně podotýká, že každý správce osobních údajů odpovídá za své zpracování osobních údajů a nemůže se hájit pochybeními jiných správců osobních údajů. Tyto dílčí námitky jsou proto liché, k čemuž soud odkazuje na vypořádání pátého žalobního bodu žalobce b).
131. Třetí žalobní bod žalobce b) [nevypořádání námitek, nepřezkoumatelnost] soud shledal důvodným v rozsahu nevypořádání námitek týkajících se nezákonně získaných důkazů, potažmo neúplnosti skutkových zjištění, viz předchozí žalobní bod. Ve zbytku je tento žalobní bod nedůvodný.
132. Stran námitky, že předseda žalovaného nevypořádal námitky jiných obviněných, soud podotýká, že žalobce b) nemůže brojit proti nevypořádání námitek jiných účastníků řízení – žalobce v tomto soudním řízení hájí výhradně svá práva.
133. Co se týče námitky, že žalobce b) nebyl předem vyrozuměn o poslední změně popisu skutků, soud porovnal Oznámení o zahájení společného řízení ze dne 1. 6. 2023, č. j. UOOU-02462/23-13, Vyrozumění o změně popisu skutku a jeho právní kvalifikaci a výzva k doložení zásah zpracování ze dne 21. 3. 2025, č. j. UOOU-02462/23-161, a Výzvu k vyjádření se k podkladům rozhodnutí ze dne 11. 4. 2025, č. j. UOOU-02462/23-176, a dospěl k závěru, že v průběhu správního řízení docházelo pouze ke zpřesňování popisu skutku a jeho právní kvalifikace a žalobce b) o tom byl řádně informován. V průběhu správního řízení se zpřesňoval počet dotčených subjektů údajů (na začátku bez specifikace, poté cca 2 500, a nakonec 241, resp. 250) a to, že na začátku řízení nebylo postaveno najisto, o jaký právní titul se opírá zpracování osobních údajů, kdy ve vyrozumění ze dne 21. 3. 2025 bylo upřesněno, že to měl být souhlas. Oboje souviselo se zjištěními žalovaného získanými v průběhu správního řízení. Totožnost skutku tedy byla v průběhu celého správního řízení zachována, neboť jeho podstata se nijak nezměnila.
134. Podle § 98 odst. 2 zákona č. 250/2016 Sb. odvolací správní orgán nemůže změnit výrok napadeného rozhodnutí o správním trestu nebo výrok o náhradě škody anebo výrok o vydání bezdůvodného obohacení v neprospěch obviněného.
135. Podle § 90 odst. 3 správního řádu (aplikovatelného v řízení o rozkladu na základě § 152 odst. 5 správního řádu) odvolací správní orgán nemůže změnit napadené rozhodnutí v neprospěch odvolatele, ledaže odvolání podal také jiný účastník, jehož zájmy nejsou shodné, anebo je napadené rozhodnutí v rozporu s právními předpisy nebo jiným veřejným zájmem.
136. Co se týče změny výroků ukládajících žalobci a) a b) nahradit náklady správního řízení, kdy došlo k jejich zvýšení z 333 Kč na 500 Kč v důsledku toho, že byl zrušen odsuzující výrok vůči dalšímu obviněnému a řízení bylo zastaveno, soud uvádí, že nedošlo k porušení zásady zákazu reformationis in peius. Z § 98 odst. 2 zákona č. 250/2016 Sb. nevyplývá, že by bylo zapovězeno změnit výrok o náhradě nákladů správního řízení. Dále se subsidiárně použije § 90 odst. 3 správního řádu (viz důvodová zpráva k § 98 odst. 2 zákona č. 250/2016 Sb.), z nějž plyne, že prvostupňové rozhodnutí lze změnit v neprospěch podatele rozkladu v případě, že rozklad podal také další účastník, jehož zájmy nejsou shodné.
137. Společnost Deluvis Advisory CZ s.r.o. jako další obviněný hájila výhradně své vlastní zájmy. Každý obviněný vystupuje v přestupkovém řízení samostatně a je u něj individuálně vyslovena vina či nevina a ukládán trest, ergo sleduje své vlastní zájmy. Tím, že byl vůči společnosti Deluvis Advisory CZ s.r.o. zrušen odsuzující výrok, se ve svém zájmu zprostila povinnosti hradit náklady správního řízení. Ty se pak rozložily mezi účastníky, u nichž nedošlo ke zrušení odsuzujícího výroku, pročež jim byla k úhradě uložena vyšší částka.
138. Čtvrtý žalobní bod žalobce b) [nepřípustný souběh dvou přestupků z důvodu faktické konzumpce] soud shledal nedůvodným.
139. Podle čl. 13 odst. 1 GDPR, pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

a) totožnost a kontaktní údaje správce a jeho případného zástupce;

b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů;

c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;

d) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);

e) případné příjemce nebo kategorie příjemců osobních údajů;

f) případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

140. Podle čl. 13 odst. 2 GDPR vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:

a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;

b) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz, popřípadě omezení zpracování, a vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;

c) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním;

d) existence práva podat stížnost u dozorového úřadu;

e) skutečnost, zda poskytování osobních údajů je zákonným či smluvním požadavkem, nebo požadavkem, který je nutný pro uzavření smlouvy, a zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů;

f) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

141. Podle čl. 13 odst. 3 GDPR, pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.
142. Podle čl. 14 odst. 1 GDPR, jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

a) totožnost a kontaktní údaje správce a případně jeho zástupce;

b) případně kontaktní údaje případného pověřence pro ochranu osobních údajů;

c) účely zpracování, pro které jsou osobní údaje určeny, a právní základ pro zpracování;

d) kategorie dotčených osobních údajů;

e) případné příjemce nebo kategorie příjemců osobních údajů;

f) případný záměr správce předat osobní údaje příjemci ve třetí zemi nebo mezinárodní organizaci a existence či neexistence rozhodnutí Komise o odpovídající ochraně nebo, v případech předání uvedených v článcích 46 nebo 47 nebo v čl. 49 odst. 1 druhém pododstavci, odkaz na vhodné záruky a prostředky k získání kopie těchto údajů nebo informace o tom, kde byly tyto údaje zpřístupněny.

143. Podle čl. 14 odst. 2 GDPR kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů:

a) doba, po kterou budou osobní údaje uloženy, nebo není-li ji možné určit, kritéria použitá pro stanovení této doby;

b) oprávněné zájmy správce nebo třetí strany v případě, že je zpracování založeno na čl. 6 odst. 1 písm. f);

c) existence práva požadovat od správce přístup k osobním údajům týkajícím se subjektu údajů, jejich opravu nebo výmaz anebo omezení zpracování a práva vznést námitku proti zpracování, jakož i práva na přenositelnost údajů;

d) pokud je zpracování založeno na čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a), existence práva odvolat kdykoli souhlas, aniž je tím dotčena zákonnost zpracování založeného na souhlasu před jeho odvoláním;

e) existence práva podat stížnost u dozorového úřadu;

f) zdroj, ze kterého osobní údaje pocházejí, a případně informace o tom, zda údaje pocházejí z veřejně dostupných zdrojů;

g) skutečnost, že dochází k automatizovanému rozhodování, včetně profilování, uvedenému v čl. 22 odst. 1 a 4, a přinejmenším v těchto případech smysluplné informace týkající se použitého postupu, jakož i významu a předpokládaných důsledků takového zpracování pro subjekt údajů.

144. Soud má za to, že předseda žalovaného řádně vysvětlil, proč u žalobce a) došlo k faktické konzumpci u přestupku spočívajícího v nedoložení poskytnutí informací dle čl. 13 odst. 3 GDPR subjektům údajů, zatímco u žalobce b) k faktické konzumpci u přestupku spočívajícího v nedoložení poskytnutí informací dle čl. 14 odst. 1 a 2 GDPR subjektům údajů nedošlo.
145. Předseda žalovaného tak učinil v bodě 47 napadeného rozhodnutí. Uvedl, že žalobce a) měl souhlas se zpracováním osobních údajů získat právě pro účely stanovené předmětnou klauzulí souhlasu, nikoli pro odlišné účely. Jinými slovy informační povinnost dle čl. 13 odst. 3 GDPR a souhlas se zpracováním údajů spolu bezprostředně souvisí, informační povinnost by měla být splněna před či při získávání souhlasu. Soudu se proto závěr o faktické konzumpci jeví logický.
146. Předseda žalovaného pak ozřejmil, že u žalobce b) je situace odlišná. Je dán rozdílný rozsah informací poskytovaných subjektům údajů a rozdílný okamžik jejich poskytnutí. Předseda žalovaného také poukázal na smysl informační povinnosti dle čl. 14 odst. 1 a 2 GDPR, která slouží tomu, aby se subjekt údajů ve věci zorientoval, případně uváděné informace zpochybnil, uplatnil námitku apod.
147. Soud k tomu uvádí, že rozdílný rozsah informační povinnosti uvedený v čl. 13 odst. 1 a 2 a v čl. 14 odst. 1 a 2 GDPR nepovažuje za podstatný, liší se totiž pouze v margináliích a je dán povahou dotčené informační povinnosti. Za podstatný soud považuje smysl dotčené informační povinnosti. Rozdíl mezi nimi předseda žalovaného vystihl sice stručně, leč dostatečně. V případě získání souhlasu se zpracováním pro jiný účel je s tím nerozlučně spojena informační povinnost dle čl. 13 odst. 3 GDPR. Soud akcentuje, že subjekt údajů v takovém případě ví, že určitý správce osobních údajů disponuje jeho osobními údaji, informační povinnost se týká nového účelu zpracování. Informační povinnost dle čl. 14 odst. 1 a 2 GDPR naopak slouží tomu, aby byl subjekt údajů upozorněn, že jeho osobní údaje byly získány dosud pro něj neznámým správcem osobních údajů. Z toho pak vyplývá i fakt, že subjekt údajů je informován novým správcem osobních údajů až ex post.
148. Soud dodává, že žalobcem b) odkazovaný rozsudek sp. zn. 5 As 63/2022 se netýká přestupků v oblasti ochrany osobních údajů, přičemž pouze obecně konstatuje, že podmínkou faktické konzumpce je, aby jeden z deliktů byl relativně nevýznamný ve vztahu k deliktu základnímu. Dle soudu ovšem delikt žalobce b) ohledně nesplnění informační povinnosti dle čl. 14 odst. 1 a 2 GDPR není nevýznamný oproti zpracování osobních údajů bez právního důvodu. Pokud totiž správce osobních údajů svou informační povinnost dle čl. 14 odst. 1 a 2 GDPR splní, např. jestliže se mylně domnívá, že disponuje příslušným souhlasem, může dotčený subjekt údajů včas brojit proti zpracování svých osobních údajů. Informační povinnost je tak sice méně významná než povinnost disponovat souhlasem se zpracováním osobních údajů, nikoli však nepodstatná.
149. Pátý žalobní bod žalobce b) [nesoulad napadeného rozhodnutí s GDPR] soud shledal nedůvodným. Pokud jde o jednočinný souběh, soud odkazuje na vypořádání čtvrtého žalobního bodu žalobce b). Co se týče doby, po kterou má být souhlas uchováván, soud se ztotožňuje se závěry správních orgánů v bodě 44 napadeného rozhodnutí a v bodech 81–84 prvostupňového rozhodnutí.
150. Soud opakuje, že z čl. 6 odst. 1 písm. a) GDPR lze dovodit, že je správce osobních údajů povinen disponovat uděleným souhlasem subjektu údajů po celou dobu zpracování jeho osobních údajů pro konkrétní účel. Není-li tomu tak, pak se daný správce osobních údajů dopustí přestupku dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., a to po celou dobu, kdy osobní údaje zpracovává bez příslušného souhlasu.
151. GDPR výslovně nestanoví konkrétní časový úsek, po nějž je správce osobních údajů, jenž zakládá zpracování osobních údajů na právním základu souhlasu dle čl. 6 odst. 1 písm. a) GDPR, povinen být schopen předchozí udělení souhlasu subjektem údajů se zpracováním osobních údajů doložit. Jestliže ovšem ze zákona č. 110/2019 Sb. ve spojení s GDPR vyplývá, že správce osobních údajů může být sankcionován za přestupek spočívající v neschopnosti doložit souhlas, pak se dle soudu jeví logické, že doba, po kterou by měl správce osobních údajů souhlas uchovávat, musí pokrýt promlčecí dobu daného přestupku. S ohledem na horní hranici sazby pokuty dle čl. 83 odst. 5 písm. a) GDPR činí dle § 30 písm. b) zákona č. 250/2016 Sb. tato promlčecí doba 3 roky (a při zahájení přestupkového řízení 5 let). Žalobce b) pak nijak blíže nezdůvodnil, proč by se mělo vycházet z kratší, jednoleté promlčecí doby, či z jím tvrzené, údajně běžné jednoleté skartační lhůty.
152. Daný správce osobních údajů se nemůže hájit tím, že jiný správce osobních údajů souhlasy skartoval, popř. jimi ani nedisponoval – každý jednotlivý správce osobních údajů nese odpovědnost sám za sebe, v případě předávání osobních údajů mezi nimi je v zájmu přijímajícího správce osobních údajů, aby pro sebe získal i souhlasy (jejich kopie). Argumenty žalobce b) v tomto směru jsou tudíž bezpředmětné.
153. Tezi žalobce b), že v jeho případě mohl být dán důvod zpracování osobních údajů v podobě oprávněného zájmu správce osobních údajů dle čl. 6 odst. 1 písm. f) GDPR, jímž by mohla být realizace vlastní činnosti žalobce b), soud považuje za lichou. Tuto námitku předseda žalovaného vypořádal v bodě 43 napadeného rozhodnutí – dotčený důvod zpracování osobních údajů by přicházel v úvahu u případného navazujícího zpracování osobních údajů jedině v případě, kdy by žalobce b) doložil existenci souhlasu jako právního titulu pro prvotní zpracování, čemuž nedostál. Tato aplikace by předpokládala provedení balančního testu, na jehož provedení žalobce b) zjevně rezignoval. Soud podotýká, že žalobce b) toto vypořádání v žalobě nijak konkrétně nerozporoval.
154. Šestým žalobním bodem žalobce b) [likvidační výše pokuty] se soud nezabýval, jelikož soud vešel na žalobní námitky týkající se závěru o vině. Posuzování uložené sankce by proto bylo předčasné. Z téhož důvodu se soud nezabýval ani návrhem na moderaci sankce.
155. Sedmý žalobní bod žalobce b) [prvostupňové rozhodnutí bylo vydáno po zákonné lhůtě] soud shledal nedůvodným. Soud konstatuje, že lhůta pro vydání správního rozhodnutí je lhůtou toliko pořádkovou a její nedodržení zásadně nemůže být důvodem pro zrušení správního rozhodnutí soudem (rozsudky Nejvyššího správního soudu ze dne 30. 10. 2003, č. j. 6 A 171/2002-41, a ze dne 10. 12. 2012, č. j. 2 Ans 14/2012-41, a rozsudek zdejšího soudu ze dne 22. 7. 2011, č. j. 9 A 128/2010-33). Žalobce b) podotkl, že překročení zákonné lhůty je markantní a neodůvodněné, přičemž má v kontextu s dalšími nedostatky způsobovat nezákonnost prvostupňového rozhodnutí. Soud uvádí, že žalobce b) netvrdil ani nedoložil, že by tímto postupem byl konkrétně zkrácen na svých specifikovaných právech; tvrzení žalobce b) jsou toliko povšechná.

Závěr

156. S ohledem na výše uvedené soud zrušil napadené rozhodnutí v rozsahu výroků I a III dle § 76 odst. 1 písm. a) s. ř. s. pro nepřezkoumatelnost spočívající v nedostatku důvodů. Dále soud vrátil věc dle § 78 odst. 4 s. ř. s. žalovanému k dalšímu řízení, ve kterém bude žalovaný, resp. předseda žalovaného vázán právním názorem vysloveným v tomto rozsudku (§ 78 odst. 5 s. ř. s.). V dalším řízení bude žalovaný, resp. předseda žalovaného povinen odstranit nepřezkoumatelnost odůvodnění rozdílného zacházení s účastníky řízení a řádně se vypořádat s námitkami ke klíčovému důkaznímu prostředku, e‑mailové komunikaci, a to v kontextu s dalšími důkazy, případně též doplnit skutková zjištění, vyjde-li tato potřeba najevo.
157. Ve zbytku, tj. v rozsahu těch výroků napadeného rozhodnutí, u nichž je každý ze žalobců osobou zjevně neoprávněnou k podání žaloby, soud obě žaloby odmítl, jak již podrobně vysvětlil výše.
158. Soud nezrušil prvostupňové rozhodnutí, jak navrhoval žalobce a), neboť k tomu soud přikročí v zásadě jen tehdy, pokud by s ohledem na vyřčený právní názor soudu danému správnímu orgánu zjevně nezbývalo nic jiného než zrušit prvostupňové rozhodnutí.
159. O náhradě nákladů řízení soud rozhodl podle § 60 odst. 1 s. ř. s., podle něhož má účastník, který měl ve věci plný úspěch, právo na náhradu nákladů řízení před soudem, které důvodně vynaložil, proti účastníkovi, který ve věci úspěch neměl. Jelikož byli žalobci a) i b) ve svých věcech zcela úspěšní (u odmítnuté části žalob by náhrada nákladů řízení nepříslušela žádnému z účastníků), uložil soud žalovanému zaplatit jim náhradu nákladů řízení, a to každému zvlášť (nejedná se o nerozlučné společenství žalobců a každý byl také zastoupen jiným advokátem). V případě obou žalobců představují náklady zaplacený soudní poplatek ve výši 3 000 Kč a náklady zastoupení advokátem, kterému náleží odměna stanovená dle § 6 odst. 1, § 7 a § 9 odst. 5 vyhlášky č. 177/1996 Sb., o odměnách advokátů a náhradách advokátů za poskytování právních služeb, ve znění od 1. 1. 2025, ve výši 4 620 Kč a paušální náhrada hotových výdajů stanovená dle § 13 odst. 4 téže vyhlášky, ve výši 450 Kč za každý ze dvou úkonů právní služby (převzetí a příprava zastoupení, písemné podání nebo návrh ve věci samé – žaloba), a konečně náhrada za daň z přidané hodnoty v sazbě 21 % ve výši 2 129,40 Kč. Celkem náklady řízení u každého ze žalobců činí 15 269,40 Kč. Soud dodává, že nepřiznal náhradu za repliku žalobce b), neboť nepřinášela žádné nové, pro posouzení věci podstatné skutečnosti.

Poučení:

Proti tomuto rozhodnutí lze podat kasační stížnost ve lhůtě dvou týdnů ode dne jeho doručení. Kasační stížnost se podává ve dvou (více) vyhotoveních u Nejvyššího správního soudu, se sídlem Moravské náměstí 6, Brno. O kasační stížnosti rozhoduje Nejvyšší správní soud.

Lhůta pro podání kasační stížnosti končí uplynutím dne, který se svým označením shoduje se dnem, který určil počátek lhůty (den doručení rozhodnutí). Připadne-li poslední den lhůty na sobotu, neděli nebo svátek, je posledním dnem lhůty nejblíže následující pracovní den. Zmeškání lhůty k podání kasační stížnosti nelze prominout.

Kasační stížnost lze podat pouze z důvodů uvedených v § 103 odst. 1 s. ř. s. a kromě obecných náležitostí podání musí obsahovat označení rozhodnutí, proti němuž směřuje, v jakém rozsahu a z jakých důvodů jej stěžovatel napadá, a údaj o tom, kdy mu bylo rozhodnutí doručeno.

V řízení o kasační stížnosti musí být stěžovatel zastoupen advokátem; to neplatí, má-li stěžovatel, jeho zaměstnanec nebo člen, který za něj jedná nebo jej zastupuje, vysokoškolské právnické vzdělání, které je podle zvláštních zákonů vyžadováno pro výkon advokacie.

Soudní poplatek za kasační stížnost vybírá Nejvyšší správní soud. Variabilní symbol pro zaplacení soudního poplatku na účet Nejvyššího správního soudu lze získat na jeho internetových stránkách: www.nssoud.cz.

Praha dne 30. dubna 2026

Milan Tauber v. r.

předseda senátu