1

Svými žalobami podanými na základě článku 263 SFEU se žalobkyně, Data Protection Commission, irský dozorový úřad pro ochranu osobních údajů, domáhá částečného zrušení závazných rozhodnutí Evropského sboru pro ochranu osobních údajů (dále jen „EDPB“) 3/2022, 4/2022 a 5/2022 ze dne 5. prosince 2022 týkajících se sporů mezi dotčenými dozorovými úřady, které vznikly v souvislosti s návrhy rozhodnutí žalobkyně týkajících se sociální sítě Facebook, sociální sítě Instagram a aplikace pro zasílání zpráv WhatsApp v rozsahu, v němž jí tato závazná rozhodnutí ukládají povinnost provést nová šetření zpracování údajů v souvislosti s využíváním těchto aplikací a vypracovat na tomto základě doplňující návrhy rozhodnutí.

6

Po korespondenci s ostatními dotčenými dozorovými úřady žalobkyně konstatovala, že ohledně námitek vznesených vůči jejím návrhům rozhodnutí nebylo dosaženo konsensu, a obrátila se na EDPB v rámci mechanismu jednotnosti zavedeného nařízením 2016/679 v souladu s čl. 60 odst. 4 tohoto nařízení.

7

Po posouzení všech tří případů přijal EDPB dne 5. prosince 2022 na základě čl. 65 odst. 1 písm. a) nařízení 2016/679 závazná rozhodnutí 3/2022, 4/2022 a 5/2022. V těchto třech závazných rozhodnutích měl EDPB nejprve za to, že většina námitek vznesených k návrhům rozhodnutí žalobkyně je relevantní a odůvodněná ve smyslu čl. 4 bodu 24 nařízení 2016/679 a může zaujmout stanovisko ke vzneseným otázkám. V tomto ohledu EDPB věcně vyhověl některým z těchto námitek, které považoval za relevantní a odůvodněné.

[omissis]

15

Žalobkyně navrhuje, aby Tribunál:

16

EDPB ve všech třech věcech navrhuje, aby Tribunál:

17

Žalobkyně uplatňuje ve všech třech věcech jediný žalobní důvod vycházející z toho, že EDPB překročil pravomoc, která je mu svěřena čl. 65 odst. 1 písm. a) nařízení 2016/679, a to tím, že jí v každém z dotčených závazných rozhodnutí uložil povinnost provést nové šetření ohledně dosud neposuzovaných aspektů a na základě výsledků tohoto nového šetření předložit doplňující návrh rozhodnutí v souladu s čl. 60 odst. 3 téhož nařízení.

[omissis]

29

Je však třeba připomenout, že z ustálené judikatury vyplývá, že pro výklad ustanovení unijního práva je v zásadě třeba vzít v úvahu nejen jeho znění, ale i jeho kontext a cíle sledované právní úpravou, jejíž je součástí (v tomto smyslu viz rozsudek ze dne 29. listopadu 2018, Mensing, C‑264/17, EU:C:2018:968, bod 24 a citovaná judikatura). V projednávané věci některé argumenty žalobkyně vycházejí rovněž z úvah nebo zásad, které jdou nad rámec samotného nařízení 2016/679. Tribunál tedy rozhodne o rozsahu pravomoci EDPB podle čl. 65 odst. 1 písm. a) nařízení 2016/679 tím, že v případě potřeby posoudí nejprve argumenty předložené žalobkyní v rámci doslovné, kontextuální, teleologické a historické analýzy tohoto nařízení, poté argumenty vycházející z podmínek svěření pravomoci instituci Unie, charakteristik soudního přezkumu prováděného na vnitrostátní úrovni a nezávislosti dozorových úřadů pro ochranu osobních údajů.

30

Žalobkyně se opírá o znění čl. 65 odst. 1 písm. a), čl. 65 odst. 6, jakož i čl. 4 bodu 24 nařízení 2016/679 a tvrdí, že EDPB nemá pravomoc uložit vedoucímu dozorovému úřadu v závazném rozhodnutí přijatém podle prvního z těchto ustanovení povinnost rozšířit své šetření a předložit nový návrh rozhodnutí, ve kterém vyvodí závěry z tohoto doplňujícího šetření. V tomto smyslu rovněž uplatňuje body 126 a 136 odůvodnění tohoto nařízení.

31

Článek 65 odst. 1 písm. a) nařízení 2016/679 stanoví:

„S cílem zajistit, aby toto nařízení bylo v jednotlivých případech správně a důsledně uplatňováno, přijme [EDPB] závazné rozhodnutí […] pokud […] dotčený dozorový úřad relevantní a odůvodněnou námitku vůči návrhu rozhodnutí vedoucího dozorového úřadu nebo pokud vedoucí dozorový úřad tuto námitku nezohlednil nebo ji zamítl jako irelevantní či nedůvodnou. Závazné rozhodnutí se týká všech záležitostí, které jsou předmětem relevantní a odůvodněné námitky, zejména dojde-li k porušení tohoto nařízení.“

32

Článek 4 bod 24 nařízení 2016/679 definuje relevantní a odůvodněnou námitku takto:

„[N]ámitka vůči návrhu rozhodnutí za účelem posouzení, zda došlo k porušení tohoto nařízení, nebo zda je zamýšlený úkon v souvislosti se správcem či zpracovatelem v souladu s tímto nařízením, která jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Unie“.

33

Článek 65 odst. 6 nařízení 2016/679 stanoví zejména následující:

„Vedoucí dozorový úřad nebo dozorový úřad, u něhož byla stížnost podána, přijme své konečné rozhodnutí na základě rozhodnutí uvedeného v odstavci 1 tohoto článku bez zbytečného odkladu a nejpozději do jednoho měsíce poté, co [EDPB] oznámil své rozhodnutí. […] Konečné rozhodnutí dotčených dozorových úřadů se přijme podle čl. 60 odst. 7, 8 a 9. Konečné rozhodnutí musí odkazovat na rozhodnutí uvedené v odstavci 1 tohoto článku a uvádět, že rozhodnutí zmíněné v uvedeném odstavci bude zveřejněno na internetových stránkách [EDPB] v souladu s odstavcem 5 tohoto článku. Ke konečnému rozhodnutí se přiloží rozhodnutí uvedené v odstavci 1 tohoto článku.“

34

Podle žalobkyně tato tři ustanovení citovaná v bodech 31 až 33 výše omezují rozsah závazného rozhodnutí EDPB přijatého na základě čl. 65 odst. 1 písm. a) nařízení 2016/679 na oblast analýz provedených v návrhu rozhodnutí vedoucího dozorového úřadu, který byl oznámen ostatním dotčeným dozorovým úřadům. Takové závazné rozhodnutí totiž může pouze vyhovět relevantní a odůvodněné námitce, která se musí týkat obsahu návrhu rozhodnutí a nikoli toho, co v něm není uvedeno. Právní účinek závazného rozhodnutí je omezen na změny, které podle čl. 65 odst. 6 téhož nařízení musí dotčený dozorový úřad do jednoho měsíce od jeho oznámení provést v konečném rozhodnutí oproti návrhu rozhodnutí. Závazné rozhodnutí se tak může týkat pouze správného výkladu nařízení 2016/679 ve vztahu k tomu, co je uvedeno v návrhu rozhodnutí vedoucího dozorového úřadu, a dotčená ustanovení nesvěřují EDPB žádnou pravomoc dávat tomuto úřadu pokyny týkající se jiného předmětu, například uložit mu povinnost prošetřit nebo předložit nový návrh rozhodnutí.

35

Tento výklad je však s ohledem na znění ustanovení citovaných v bodech 31 až 33 výše restriktivní. Je totiž třeba připomenout, že čl. 4 bod 24 nařízení 2016/679 zahrnuje pod pojmem „relevantní a odůvodněná námitka“„námitk[u] vůči návrhu rozhodnutí za účelem posouzení, zda došlo k porušení tohoto nařízení […] která jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů“. I když čl. 65 odst. 1 písm. a) nařízení 2016/679 stanoví, že závazné rozhodnutí přijaté z tohoto důvodu „se týká všech záležitostí, které jsou předmětem relevantní a odůvodněné námitky“, nic nezakazuje, aby se taková námitka týkala neexistence nebo nedostatečnosti analýzy některého aspektu věci v tomto návrhu rozhodnutí vedoucího dozorového úřadu, který brání zjištění, zda v tomto aspektu došlo k porušení uvedeného nařízení. Výraz „námitka vůči návrhu rozhodnutí“ není na rozdíl od toho, co tvrdí žalobkyně, omezen na námitky vůči úvahám obsaženým v návrhu rozhodnutí. Vzhledem k tomu, že se závazné rozhodnutí EDPB musí týkat veškerých záležitostí, které jsou předmětem relevantních a odůvodněných námitek, nic nebrání tomu, aby v případě, že EDPB vyhoví relevantní a odůvodněné námitce týkající se neexistence nebo nedostatečnosti takové povahy, obsahovalo toto rozhodnutí příkaz, aby vedoucí dozorový úřad odstranil tento nedostatek analýzy, a pokud se to jeví jako nezbytné s ohledem na spis, který má EDPB k dispozici, aby za tímto účelem prohloubil nebo rozšířil dosud provedené šetření. Pokud se totiž ukáže, že spis nepostačuje k úplnému provedení požadované analýzy, musí to vést k tomu, že EDPB může vedoucímu dozorovému úřadu uložit povinnost doplnit šetření.

36

Je třeba rovněž konstatovat, že znění tří ustanovení citovaných v bodech 31 až 33 výše posuzovaných společně neomezuje rozsah závazného rozhodnutí pouze na okamžité změny návrhu rozhodnutí předloženého vedoucím dozorovým úřadem za účelem přijetí konečného rozhodnutí za podmínek stanovených v čl. 65 odst. 6 nařízení 2016/679, tedy pouze na změny týkající se obsahu návrhu rozhodnutí, a nikoli toho, co v něm není uvedeno. V tomto ohledu je třeba uvést, že na rozdíl od toho, co tvrdí žalobkyně, je cílem posledně uvedeného ustanovení pouze upřesnit podmínky přijetí konečného rozhodnutí, pokud toto rozhodnutí může bez dalšího následovat závazné rozhodnutí EDPB, zvláště pokud neexistuje potřeba obnovit šetření nebo provést širší či hlubší analýzu některých aspektů případu. Toto ustanovení nepředstavuje ustanovení o možném obsahu závazného rozhodnutí, který je určen právním základem, na jehož základě bylo toto rozhodnutí přijato, v projednávané věci článkem 65 odst. 1 písm. a) nařízení 2016/679, který musí být vykládán ve spojení s čl. 4 bodem 24 tohoto nařízení, pokud jde o definici pojmu „relevantní a odůvodněná námitka“. V tomto ohledu je třeba zdůraznit, že čl. 65 odst. 1 nařízení 2016/679 stanoví různé druhy závazných rozhodnutí EDPB, které nutně nevyžadují následné a okamžité přijetí konečného rozhodnutí dozorového úřadu.

[omissis]

38

Na rozdíl od toho, co tvrdí žalobkyně, nemůže být doslovná analýza tří ustanovení citovaných v bodech 31 až 33 výše, provedená v bodech 35 a 36 výše, vyvrácena zněním bodů 126 a 136 odůvodnění nařízení 2016/679. V prvním z těchto bodů odůvodnění totiž normotvůrce tím, že uvedl, že „[r]ozhodnutí by mělo být odsouhlaseno společně vedoucím dozorovým úřadem a dotčenými dozorovými úřady“, nevyjímá otázku rozsahu analýzy, kterou musí takové rozhodnutí v konkrétním případě zahrnovat, z posouzení jiných dotčených dozorových úřadů, než je vedoucí dozorový úřad, ale naopak, neboť „rozhodnutí“ nespočívá pouze v posouzeních, která jsou v něm obsažena, ale také v rozsahu aspektů, které zahrnuje. I když tedy není mezi dotčenými dozorovými úřady v tomto ohledu shoda a EDPB je v tomto ohledu předložen spor, znění tohoto bodu odůvodnění nevylučuje, aby EDPB mohlo uložit rozšíření analýzy a v případě potřeby i šetření. Stejně tak bod 136 odůvodnění nařízení 2016/679 uvádí, že by EDPB „ měl vydávat […] právně závazná rozhodnutí v jasně určených případech, kdy mezi dozorovými úřady existují protikladná stanoviska, zejména v rámci mechanismu spolupráce mezi vedoucím dozorovým úřadem a dotčenými dozorovými úřady, pokud jde o podstatu věci, zejména o to, zda došlo k porušení tohoto nařízení“. Na rozdíl od toho, co tvrdí žalobkyně, rozsah šetření není procesním, ale meritorním aspektem věci, neboť určuje rozsah toho, co je třeba přezkoumat za účelem posouzení, zda dotčené zpracování či dotčená zpracování údajů jsou v souladu s nařízením 2016/679.

39

V tomto ohledu lze již na tomto místě odmítnout další argument žalobkyně, podle kterého výklad pojmu „relevantní a odůvodněná námitka“ uvedený v bodě 35 výše poskytuje EDPB možnost udělovat vedoucímu dozorovému úřadu příkazy týkající se veškerých pravomocí tohoto úřadu pod pouhou podmínkou, že otázka vznesená dotčeným dozorovým úřadem bude kvalifikována jako relevantní a odůvodněná námitka v tomto smyslu. Jak je uvedeno v čl. 4 bodě 24 nařízení 2016/679, relevantní a odůvodněná námitka vůči návrhu rozhodnutí vedoucího dozorového úřadu se může týkat pouze aspektu týkajícího se toho, zda je toto nařízení dodržováno nebo zda jsou nápravná opatření vůči správci nebo zpracovateli sama o sobě v souladu s tímto nařízením. Taková námitka se tedy může týkat pouze meritorní stránky věci a konečných rozhodovacích pravomocí vedoucího dozorového úřadu, které jsou stanoveny zejména v čl. 58 odst. 2 téhož nařízení a které jsou rovněž součástí meritorní stránky věci. Taková námitka se proto nemůže týkat samotného šetření (na rozdíl od rozsahu šetření), které je založeno na vyšetřovacích pravomocích dozorových úřadů uvedených v čl. 58 odst. 1 nařízení 2016/679.

40

Doslovná analýza čl. 65 odst. 1 písm. a) nařízení 2016/679 provedená s přihlédnutím ke znění čl. 4 bodu 24, čl. 65 odst. 6 a bodů 126 a 136 odůvodnění téhož nařízení hovoří tedy ve prospěch pravomoci EDPB přijímat taková ustanovení, jako jsou napadená ustanovení, která žalobkyni ukládají pokyn, aby provedla nové šetření určitých aspektů dotčených případů a následně v tomto ohledu přijala nové návrhy rozhodnutí. Je třeba zkoumat, zda argumenty žalobkyně předložené v rámci jejího kontextuálního a teleologického výkladu nařízení 2016/679 mohou vyvrátit výsledky této první analýzy.

[omissis]

43

V tomto ohledu na rozdíl od toho, co tvrdí žalobkyně, postup spolupráce mezi dotčenými dozorovými úřady v daném případě popsaný v článku 60 nařízení 2016/679, který může zahrnovat spuštění mechanismu jednotnosti zajišťovaného EDPB, který je stanoven v odstavci 4, není „jednosměrným“ postupem, v jehož rámci by jednotlivé fáze vždy probíhaly v pořadí podle ustanovení, která je upravují, bez možnosti návratu do předchozí fáze nebo dočasného setrvání v téže fázi. Například na základě situace uvedené žalobkyní, stanovené v odstavci 5, v níž měl vedoucí dozorový úřad v úmyslu se sám řídit námitkami ostatních dotčených dozorových úřadů vznesenými vůči jeho návrhu rozhodnutí předloženému podle odstavce 3 a v níž těmto úřadům předložil revidovaný návrh rozhodnutí, se postup může vyvíjet vícero způsoby. Nevznesou-li tyto orgány vůči revidovanému návrhu námitky, konečné rozhodnutí nebo konečná rozhodnutí se následně přímo přijmou v souladu s odstavci 6 až 9. V opačném případě, a sice v případě námitek vůči revidovanému návrhu, pokud vedoucí dozorový úřad tyto námitky zcela nebo zčásti uzná, obnoví se fáze stanovená v odstavci 5 s tím, že vedoucí dozorový úřad musí předložit nový revidovaný návrh, ve kterém zohlední námitky, které uznal. Pokud vedoucí dozorový úřad neuzná zcela nebo zčásti námitky vůči revidovanému návrhu, musí v souladu s odstavcem 4 spustit mechanismus jednotnosti tím, že postoupí záležitost EDPB na základě nejpropracovanějšího revidovaného návrhu rozhodnutí.

44

EDPB ve své žalobní odpovědi uvádí další příklad, který ukazuje, že postup spolupráce mezi dotčenými dozorovými úřady, stanovený v článku 60 nařízení 2016/679, není nezbytně „jednosměrný“. V návaznosti na námitky ostatních dotčených dozorových úřadů vznesené k návrhu rozhodnutí předloženému podle odstavce 3 tohoto článku může mít vedoucí dozorový úřad sám za to, že místo toho, aby nejprve předložil revidovaný návrh rozhodnutí nebo spustil mechanismus jednotnosti, je třeba vrátit se zpět a provést hlubší přezkum před opětovným předložením návrhu rozhodnutí podle téhož odstavce 3. EDPB uvádí, že francouzský dozorový úřad tak v jednom případě postupoval.

45

Stejně tak v případě zásahu EDPB podle odstavce 4 téhož článku a přijetí závazného rozhodnutí je možných několik scénářů. I když se návrh rozhodnutí vedoucího dozorového úřadu dostatečně zabýval všemi relevantními aspekty případu, může vedoucí dozorový úřad nebo případně dozorový úřad, u něhož byla podána stížnost, přijmout podle odstavců 6 až 9 téhož článku jedno nebo více konečných rozhodnutí, kterými se uzavírá případ, přičemž zejména zohlední závazné rozhodnutí EDPB. Pokud se naproti tomu v závazném rozhodnutí EDPB v návaznosti na námitky vznesené v tomto smyslu má za to, že se návrh rozhodnutí vedoucího dozorového úřadu nezabývá nebo dostatečně nezabývá všemi relevantními aspekty případu a případně, že je tedy nezbytné opětovné zahájení šetření, může vedoucí dozorový úřad nebo dozorový úřad, u něhož byla podána stížnost, podle potřeby přijmout jedno nebo více částečných konečných rozhodnutí na základě výše uvedených ustanovení, avšak vedoucí dozorový úřad musí současně po případném novém šetření doplnit svou analýzu, aby v souladu s odstavcem 3 téhož článku předložil ostatním dotčeným dozorovým úřadům doplňující návrh rozhodnutí.

46

V rámci kontextuálního výkladu předkládá žalobkyně druhý argument, podle něhož ve světle bodu 141 odůvodnění nařízení 2016/679 čl. 57 odst. 1 písm. f) téhož nařízení, který uvádí, že se dozorový úřad zabývá stížnostmi a ve vhodné míře prošetřuje jejich předmět, prokazuje, že rozsah šetření, které má být provedeno v návaznosti na stížnost, podléhá posouzení vnitrostátních dozorových úřadů, a to s výhradou vnitrostátního soudního přezkumu.

47

Bod 141 odůvodnění nařízení 2016/679 uvádí zejména následující:

„Každý subjekt údajů by měl mít právo podat stížnost u jediného dozorové[ho] úřadu, zejména v členském státě, kde má své obvyklé bydliště, a právo na účinnou soudní ochranu v souladu s článkem 47 Listiny, jestliže se domnívá, že byla porušena jeho práva podle tohoto nařízení, nebo pokud dozorový úřad na stížnost nereaguje, stížnost zcela či částečně odmítne či zamítne, nebo pokud nekoná, přestože je to nutné z důvodu ochrany práv subjektu údajů. Šetření, které následuje po podání stížnosti, by mělo být s výhradou soudního přezkumu provedeno v rozsahu, jenž je v daném případě přiměřený. […]“

48

Článek 57 odst. 1 písm. f) nařízení 2016/679 a úvahy uplatněné žalobcem však nevedou k vynětí otázky přiměřenosti rozsahu šetření z mechanismu spolupráce mezi dotčenými dozorovými úřady a z mechanismu jednotnosti EDPB.

49

Článek 57 nařízení 2016/679, který se týká veškerých úkolů dozorových úřadů, totiž v odst. 1 písm. a) stanoví jako první úkol monitorování a vymáhání uplatňování uvedeného nařízení. Na rozdíl od toho, co v podstatě uvedla žalobkyně na jednání, analýza podmínek, za kterých je prováděno zpracování osobních údajů, a jeho souladu s tímto nařízením se nesmí omezit na to, co uvádí stěžovatel ve své stížnosti.

50

Především plné zajištění úkolů stanovených v čl. 57 odst. 1 písm. a) a f) nařízení 2016/679, kterými je vymáhání uplatňování tohoto nařízení a zabývání se stížnostmi ve vhodné míře, vyžaduje stanovení patřičného rozsahu analýzy případu s ohledem na stížnost, která je jeho základem, ale také s ohledem na ostatní skutečnosti, které ji mohou doplnit. Vzhledem k tomu, že dotčené zpracování osobních údajů je přeshraniční, musí tato analýza vést k přijetí rozhodnutí, která jsou předmětem postupu spolupráce stanoveného v článku 60 tohoto nařízení. V rámci tohoto postupu je kritériem, které musí být splněno, aby určitá záležitost mohla být předmětem závazného rozhodnutí EDPB přijatého na základě čl. 65 odst. 1 písm. a) uvedeného nařízení, to, že vyvolala relevantní a odůvodněnou námitku, která je definována v čl. 4 bodě 24 téhož nařízení. Relevantní a odůvodněná námitka se přitom podle své definice týká aspektů, jejichž analýza skutečně spadá pod oba výše uvedené úkoly. Proto skutečnost, že se relevantní a odůvodněná námitka týká rozsahu analýzy a případně rozsahu šetření a EDPB jí vyhoví, tyto úkoly nijak neohrožuje. Kromě toho skutečnost, že mezitímní rozhodnutí dozorových úřadů přijaté v návaznosti na stížnost mohou být napadena u vnitrostátních soudů, nebrání tomu, aby návrh rozhodnutí vedoucího dozorového úřadu mohl být v rámci věcných omezení mechanismu jednotnosti zavedeného nařízením 2016/679 předmětem přezkumu ze strany EDPB.

51

Argumenty žalobkyně předložené v rámci kontextuálního výkladu tedy neumožňují podpořit její stanovisko k nedostatku pravomoci EDPB k přijetí napadených ustanovení.

52

Naopak obecný kontext povinnosti spolupráce mezi dotčenými dozorovými úřady, který je zakotven v nařízení 2016/679, potvrzuje v tomto ohledu pravomoc EDPB. Článek 60 odst. 1 uvedeného nařízení totiž zejména stanoví, že „[v]edoucí dozorový úřad spolupracuje s ostatními dotčenými dozorovými úřady v souladu s tímto článkem ve snaze dosáhnout konsensu“. Článek 60 odst. 3 téhož nařízení upřesňuje, že „[v]edoucí dozorový úřad neprodleně sdělí relevantní informace o dané záležitosti ostatním dotčeným dozorovým úřadům“ a „neprodleně jim předloží […] návrh rozhodnutí, aby se k němu vyjádřily, a řádně zohlední jejich stanoviska“.

53

Z toho vyplývá, že spolupráce mezi dotčenými dozorovými úřady se týká zejména analýzy případu v jeho celku a vypracování rozhodnutí a vedoucí dozorový úřad musí v tomto ohledu usilovat o souhlas ostatních dotčených dozorových úřadů. Nic ve výše uvedených ustanoveních neumožňuje vyloučit z této povinnosti spolupráce otázku rozsahu analýzy, která má být provedena, ani případně otázku rozsahu předběžného šetření, které má být provedeno. V rozsudku ze dne 15. června 2021, Facebook Ireland a další (C‑645/19, EU:C:2021:483, body 63 a 64), Soudní dvůr připomněl nezbytnost dialogu a loajální a účinné spolupráce mezi dotčenými dozorovými úřady.

54

Z bodů 41 až 53 výše vyplývá, že posouzení kontextu vyplývajícího z ustanovení nařízení 2016/679 potvrzuje výše provedenou doslovnou analýzu.

55

Na základě teleologického výkladu žalobkyně nejprve tvrdí, že přiznat EDPB pravomoc uložit vedoucímu dozorovému úřadu povinnost vypracovat doplňující návrh rozhodnutí a předem za tímto účelem rozšířit rozsah svého šetření je neslučitelné s cíli mechanismu „jediného kontaktního místa“, který normotvůrce zamýšlel při přijímání nařízení 2016/679. Zřízení jediného dozorového úřadu pro dotčené osoby mělo zejména zabránit zbytečným nákladům a přílišným obtížím, jak uvádí bod 129 odůvodnění tohoto nařízení. Opětovné zahájení šetření z důvodu pouhé neshody mezi dozorovými úřady by bylo v rozporu s tímto cílem tím, že by nutilo stěžovatele a dotčené podniky čelit obnovení šetření spojeného s náklady a obtížemi, ačkoli tato fáze měla být již ukončena.

56

Aniž by však bylo nutné se vyjadřovat k záměrům normotvůrce, stačí konstatovat, že jediné kontaktní místo odpovídá cíli zjednodušení procesní povahy, který nemůže převážit nad základním cílem nařízení 2016/679, kterým je zajištění dodržování základního práva fyzických osob na ochranu jejich osobních údajů. První bod odůvodnění uvedeného nařízení v tomto ohledu připomíná, že čl. 8 odst. 1 Listiny základních práv a čl. 16 odst. 1 SFEU přiznávají každému právo na ochranu osobních údajů, které se jej týkají. Rozšíření šetření, o které nevyhnutelně požádala přinejmenším polovina dozorových úřadů v rámci EDPB, nemá na rozdíl od toho, co tvrdí žalobkyně, za cíl komplikovat úlohu osoby, která podala stížnost, nebo úlohu správce, kterého se tato stížnost týká, ale představuje opatření k ochraně jejich příslušných práv. Šetření a analýza vedoucího dozorového úřadu pokrývající bez dalšího všechny aspekty nezbytné k vypracování úplného konečného rozhodnutí týkajícího se dotčeného případu ostatně umožňují zabránit nevýhodám uvedeným žalobkyní.

57

Argument žalobkyně, podle kterého opětovné zahájení šetření oddaluje konečné vyřešení aspektů, které již byly analyzovány a vyřešeny, musí být rovněž odmítnut.

58

Jak ostatně učinila v projednávané věci žalobkyně, v takové situaci musí příslušný orgán naopak přijmout konečné rozhodnutí o meritorních aspektech analyzovaných a vyřešených po závazném rozhodnutí EDPB ve lhůtě stanovené v čl. 65 odst. 6 nařízení 2016/679. To mu nebrání v tom, aby provedl doplňující šetření a analyzoval aspekty případu, které dosud nebyly posouzeny.

59

Žalobkyně dále tvrdí, že skutečnost, že EDPB nezasáhl do určení rozsahu analýzy, kterou případ vyžaduje, což představuje předběžnou či procesní otázkou, nebrání tomu, aby fungoval mechanismus spolupráce mezi dozorovými úřady.

60

Mechanismus spolupráce naráží však na své meze, pokud dotčené dozorové úřady nedosáhnou konsensu. Právě v této situaci, výslovně stanovené v čl. 60 odst. 4 nařízení 2016/679, musí vedoucí dozorový úřad postoupit záležitost, ve které nebylo dosaženo konsensu, k řešení v rámci mechanismu jednotnosti, který vede k závaznému rozhodnutí EDPB, jak uvádí toto ustanovení.

61

Žalobce nakonec tvrdí, že nedosažení konsensu lze vyřešit využitím vnitrostátního soudního přezkumu. Připomíná, že čl. 58 odst. 4 a bod 141 odůvodnění nařízení 2016/679 uvádějí, že šetření podléhá účinnému soudnímu přezkumu.

62

Je pravda, že pokud by EDPB nemohl vyřešit problém související s rozsahem analýzy provedené vedoucím dozorovým úřadem, mohl by vnitrostátní soud v tomto ohledu zasáhnout. Nařízení 2016/679 však stanoví, že otázky nadnesené v souvislosti s relevantní a odůvodněnou námitkou dotčeného dozorového úřadu ve smyslu čl. 4 bodu 24 uvedeného nařízení jsou řešeny v rámci mechanismů spolupráce a případně v rámci mechanismu jednotnosti mezi dozorovými úřady. Jak však bylo analyzováno výše, problém týkající se rozsahu analýzy a případně rozsahu šetření vedoucího dozorového úřadu může vyvolat relevantní a odůvodněnou námitku ve výše uvedeném smyslu. Proto možnost obrátit se na vnitrostátní soud s problémem této povahy, což ostatně není nutně bezproblémové pro stěžovatele s bydlištěm v jiném státě, než je stát vedoucího dozorového úřadu, nemůže znamenat, že přetrvávající neshody mezi dotčenými dozorovými úřady ohledně otázek, které byly předmětem relevantních a odůvodněných námitek, nemohou být vyřešeny v rámci EDPB.

63

Z bodů 55 až 62 výše vyplývá, že přezkum cílů nařízení 2016/679 rovněž potvrzuje výše provedenou doslovnou analýzu.

[omissis]

65

V první řadě má žalobkyně v podstatě za to, že zásady, jimiž se řídí svěření pravomoci unijní instituci, neumožňují vykládat nařízení 2016/679 ve smyslu vytyčeném předchozími analýzami, a sice ve smyslu, podle kterého toto nařízení svěřuje EDPB spornou pravomoc.

66

Žalobkyně odkazuje na článek 5 SEU a připomíná, že Unie může jednat pouze v mezích pravomocí, které jí byly svěřeny. Tato zásada se vztahuje na orgány, jakož i instituce Unie, jako je EDPB. Na posledně uvedené se navíc vztahuje „doktrína Meroni“ vycházející z rozsudku ze dne 13. června 1958, Meroni v. Vysoký úřad (9/56, EU:C:1958:7), která se vztahuje na unijní instituce, jak Soudní dvůr rozhodl v souvislosti s Evropským orgánem pro cenné papíry a trhy (ESMA) v rozsudku ze dne 22. ledna 2014, Spojené království v. Parlament a Rada (C‑270/12, EU:C:2014:18, body 53 a 54). Tato doktrína vyžaduje, aby pravomoci unijních institucí byly přesně vymezeny a mohly být předmětem soudního přezkumu s ohledem na cíle stanovené dotyčné instituci. Konkrétně v bodě 45 druhého výše uvedeného rozsudku bylo konstatováno, že pravomoc ESMA diskutovaná v této věci, která byla nakonec potvrzena Soudním dvorem, se řídí různými kritérii a podmínkami, které vymezují rozsah činnosti tohoto orgánu. V rozsudku ze dne 15. července 2021, FBF (C‑911/19, EU:C:2021:599, body 67 a 75), týkajícím se Evropského orgánu pro bankovnictví (EBA), Soudní dvůr upřesnil, že pravomoc unijní instituce musí být výslovně stanovena normotvůrcem a soudní přezkum této pravomoci musí být přísný.

67

Tyto zásady uplatněné v judikatuře se totiž týkají EDPB, který byl zřízen jako subjekt Unie v článku 68 nařízení 2016/679.

68

Je tedy třeba nejprve ověřit, zda výklad přijatý výše v tomto rozsudku umožňuje mít za to, že je výkon pravomoci EDPB při uložení povinnosti vedoucímu dozorovému úřadu rozšířit svou analýzu a případně i své šetření, „vázán na různá kritéria a podmínky, které vymezují [jeho] rozsah činnosti“, jak konstatoval Soudní dvůr ohledně pravomoci ESMA, která byla zpochybněna ve věci, v níž byl vydán rozsudek ze dne 22. ledna 2014, Spojené království v. Parlament a Rada (C‑270/12, EU:C:2014:18).

69

V tomto ohledu, jak vyplývá z čl. 65 odst. 1 písm. a) nařízení 2016/679 ve spojení s čl. 4 bodem 24 uvedeného nařízení, tato pravomoc uložit vedoucímu dozorovému úřadu povinnost rozšířit svou analýzu a případně své šetření může být uplatněna až poté, co dotčený dozorový úřad vznese relevantní a odůvodněnou námitku k návrhu rozhodnutí vedoucího dozorového úřadu v dané věci, týkající se neprovedení analýzy některého aspektu otázky, „zda došlo k porušení […] nařízení [2016/679], nebo zda je zamýšlený úkon v souvislosti se správcem či zpracovatelem v souladu s tímto nařízením“ a která „jasně dokazuje významnost rizik vyplývajících z návrhu rozhodnutí, pokud jde o základní práva a svobody subjektů údajů, případně volný pohyb osobních údajů v rámci Unie“.

70

Kromě toho podle čl. 65 odst. 2 a 3 nařízení 2016/679 výkon výše uvedené pravomoci předpokládá, že v rámci EDPB dvoutřetinová většina nebo alespoň polovina jeho členů za určitých okolností včetně předsedy v případě rovnosti hlasů v podstatě schválila tuto relevantní a odůvodněnou námitku a opatření na ní navazující. Je tedy třeba, aby značný počet dozorových úřadů potvrdil neexistenci nebo nedostatečnost analýzy důležitého aspektu dotčeného případu a dohodl se na opatřeních, která má vedoucí dozorový úřad přijmout za účelem nápravy. V tomto ohledu je třeba vzít v úvahu, že EDPB je sám složen z velkého počtu nezávislých orgánů specializovaných v dané oblasti, a tedy většinový shodný názor těchto orgánů v jeho rámci skýtá záruky, pokud jde o výkon této pravomoci. Kromě toho, i když je pravda, že pojem „relevantní a odůvodněná námitka“, připomenutý v bodě 69 výše, ponechává určitý prostor pro uvážení, konkrétně za účelem stanovení, zda došlo k porušení nařízení 2016/679 dotyčným správcem nebo zpracovatelem nebo zda je třeba takový aspekt posoudit za účelem zjištění této skutečnosti, odkazují všechny tyto otázky na konkrétní právní pravidla obsažená v tomto nařízení, což neumožňuje výkon „široké diskreční pravomoci“.

71

Stručně řečeno, pokud jde o otázku vymezení pravomoci EDPB, kterou žalobkyně zpochybňuje, je tedy třeba konstatovat, že tato pravomoc je vykonávána pouze v případě jasně zjištěné nedostatečnosti analýzy vedoucího dozorového úřadu při řešení případu, která může mít významné důsledky, jak vyplývá z definice relevantní a odůvodněné námitky uvedené v čl. 4 bodě 24 nařízení 2016/679, a dále tato pravomoc vyplývá z kolektivního posouzení provedeného dozorovými úřady, které tvoří EDPB, jenž zasahuje za podmínek uvedených v bodě 70 výše.

72

Pokud jde o otázku, zda je dotčená pravomoc „výslovně“ stanovena normotvůrcem, je třeba poukázat na to, že příslovce „výslovně“, jakož i příslovce „přesně“ a „jasně“, které jsou synonymy a odkazují na přídavná jména „výslovný“, „přesný“ a „jasný“, znamenají, že není pochyb o rozsahu toho, co je vyjádřeno. Z výše uvedeného doslovného, kontextuálního a teleologického výkladu přitom vyplývá, že není pochyb o tom, že EDPB disponuje spornou pravomocí, a tedy o tom, že tato pravomoc je výslovně stanovena normotvůrcem. Lze poznamenat, že v rozsudku ze dne 15. července 2021, FBF (C‑911/19, EU:C:2021:599), týkajícím se EBA, se obecné pokyny tohoto orgánu, v jejichž případě bylo zpochybněno, že je má pravomoc přijmout, týkaly „dohledu a mechanismům pro správu a řízení retailových bankovních produktů“. V žádném z předpisů použitelných na tento orgán nebylo nikde uvedeno, že by mohl v této věci přijmout obecné pokyny. Soudní dvůr dospěl k závěru, že sporné obecné pokyny spadají do této pravomoci právě na základě analýzy všech těchto textů, tj. nařízení o EBA, které obecně stanovilo jeho pravomoc přijímat pro určité účely obecné pokyny, a různých směrnic o finančních institucích a finančních produktech.

73

Mimo jiné je třeba konstatovat, že výkon pravomoci EDPB uložit vedoucímu dozorovému úřadu povinnost rozšířit svou analýzu a v případě potřeby své šetření podléhá soudnímu přezkumu. Je pravda, že v projednávané věci se žalobkyně rozhodla zpochybnit napadená ustanovení pouze z důvodu nedostatku pravomoci EDPB, aniž zpochybnila jeho konkrétní posouzení námitek vznesených některými dozorovými úřady k jeho návrhům rozhodnutí, které vedlo k přijetí těchto ustanovení. V mezích žalobních důvodů, které byly před ním uplatněny, může však unijní soud ověřit materiální legalitu takových ustanovení v závislosti na okolnostech projednávané věci. Zejména může v prvním sledu ověřit, zda EDPB přijetím ustanovení této povahy skutečně vyhověl relevantní a odůvodněné námitce dozorového úřadu ve smyslu čl. 4 bodu 24 nařízení 2016/679. Ve druhém sledu může ověřit legalitu samotné podstaty takových ustanovení, která dávají pokyny dozorovým úřadům.

74

Takový druh soudního přezkumu je „přísný“ ve smyslu použitém v rozsudku ze dne 15. července 2021, FBF (C‑911/19, EU:C:2021:599, bod 67). Soud posuzující otázky legality je totiž obecně vázán svou povinností, jakož i procesními pravidly a jeho přezkum je nezbytně přísný, pokud v rámci těchto pravidel zcela plní svou povinnost. Pokud jde o meritorní otázky, soud posuzující otázky legality provádí běžný přezkum (v zásadě pokud jde o právní aspekty, zjištění skutkového stavu a případy vázané pravomoci) nebo omezený přezkum (v zásadě ohledně složitých technických aspektů nebo pokud má orgán prostor pro uvážení, kdy soud sankcionuje pouze zjevně nesprávné posouzení), a to v závislosti na prostoru pro uvážení, který má či nemá autor napadeného aktu k dispozici [v tomto smyslu a obdobně, pokud jde o přezkum rozhodnutí vnitrostátních orgánů v oblasti ochrany osobních údajů prováděný vnitrostátním soudem, viz rozsudek ze dne 7. prosince 2023, SCHUFA Holding (Oddlužení), C‑26/22 a C‑64/22, EU:C:2023:958, body 68 a 69].

75

Z bodů 67 až 74 výše vyplývá, že podmínky svěření pravomoci unijní instituci nebrání analýze provedené výše v tomto rozsudku.

76

Ve druhé řadě žalobkyně uvádí různé důvody k prokázání, že vnitrostátní soudy jsou „vhodným fórem“ pro řešení sporů souvisejících s šetřením, tj. že jsou k tomu nejpovolanější.

77

Jak je však uvedeno v bodě 62 výše, unijní normotvůrce rozhodl, že přetrvávající neshody mezi dotčenými dozorovými úřady týkající se rozsahu analýzy případu a případně rozsahu šetření vedeného v souvislosti s tímto případem budou rozhodovány prostřednictvím mechanismu jednotnosti v rámci EDPB. Argumenty žalobkyně směřující k prokázání, že vnitrostátní soudy jsou „vhodným fórem“ pro řešení námitek souvisejících s šetřením, jsou proto irelevantní.

78

Vzhledem k tomu, že vnitrostátní soud i EDPB mohou být vyzvány, aby se vyjádřily k rozsahu analýzy a šetření, je třeba dodat, že v oblasti působnosti pravidel hospodářské soutěže stanovených v článcích 101 a 102 SFEU, kde je odpovědnost za provádění unijní politiky rozdělena také mezi vnitrostátní a unijní úroveň, bylo v judikatuře Soudního dvora formulováno několik zásad za účelem koordinace činnosti vnitrostátních soudů a unijního subjektu pověřeného zajištěním soudržnosti při uplatňování dotčené politiky, a sice Komise (rozsudky ze dne 28. února 1991,Delimitis, C‑234/89, EU:C:1991:91, a ze dne 14. prosince 2000, Masterfoods a HB, C‑344/98, EU:C:2000:689). I když není vyloučeno, že na základě těchto zásad má vnitrostátní soud za to, že je vhodnější přerušit řízení do doby, než příslušný unijní subjekt vydá rozhodnutí, nebo pokud bylo toto rozhodnutí již přijato, že jím může být vázán, ledaže má pochybnosti o jeho platnosti a v rámci řízení o předběžné otázce požádá Soudní dvůr v tomto ohledu o jeho posouzení, jsou tyto situace vlastní takovému rozdělení odpovědnosti a nutnosti zajistit v celé Unii soudržnost při uplatňování dotyčné politiky.

79

Je třeba rovněž dodat, že na rozdíl od toho, co tvrdí žalobkyně ve třetí řadě, závazné rozhodnutí EDPB přijaté na základě čl. 65 odst. 1 písm. a) nařízení 2016/679, které jí ukládá rozšířit svou analýzu a šetření, nezpochybňuje její schopnost stanovovat priority pro plnění jejích jednotlivých úkolů jakožto nezávislého orgánu, což je úloha, jejíž přezkum přísluší pouze vnitrostátnímu soudu. Obecněji ani nezpochybňuje její nezávislost zakotvenou v článku 39 SEU, čl. 16 odst. 2 SFEU a čl. 8 odst. 3 Listiny základních práv.

80

Má-li totiž vedoucí dozorový úřad, ať již z vlastního podnětu ve fázi spolupráce mezi dotčenými dozorovými úřady v návaznosti na zásahy jeho protějšků v tomto smyslu nebo po takovém závazném rozhodnutí, povinnost doplnit svou analýzu a šetření v určitém případě, není povinen tak učinit ihned přednostně před svými ostatními úkoly. Může například oznámit, že první návrh rozhodnutí nebo první rozhodnutí, které přijme, se zabývá pouze částí otázek vyvolaných dotčeným případem a následně bude pokračovat ve svých analýzách a šetření.

81

Pouze za okolností stanovených v článku 66 nařízení 2016/679, kdy se jiný dotčený dozorový úřad domnívá, že je třeba naléhavě jednat v zájmu ochrany práv a svobod subjektů údajů, může naléhavé závazné rozhodnutí EDPB vyžadovat, aby vedoucí dozorový úřad neprodleně přehodnotil pořadí svých priorit pro řešení případu. Normotvůrce tedy tuto možnost stanovil pouze pro výjimečné případy. Závazná rozhodnutí 3/2022, 4/2022 a 5/2022 totiž nebyla přijata na základě uvedeného článku 66, a neukládala tedy žalobkyni pořadí priorit mezi jejími jednotlivými úkoly.

82

Kromě toho ustanovení primárního práva, která uplatňuje žalobkyně, neznamenají absolutní nezávislost, ve smyslu neexistence jakékoli kontroly, orgánů členských států, které jsou v první řadě pověřeny dohledem nad uplatňováním pravidel ochrany osobních údajů. Tato ustanovení pouze uvádějí, že dohled nad dodržováním uvedených pravidel je svěřen nezávislým orgánům, což tedy nijak nebrání systému vzájemné kontroly mezi nezávislými orgány, jako jsou mechanismy spolupráce a jednotnosti stanovené v nařízení 2016/679, ani soudnímu přezkumu rozhodnutí přijatých jednotlivými zúčastněnými orgány. Důležité je, aby kontroloři kontrolorů byli sami nezávislí. Je tomu tak v případě EDPB, neboť se skládá z dozorových úřadů členských států a evropského inspektora ochrany údajů, který je sám nezávislým orgánem ve vztahu k orgánům a jiným subjektům Unie, nad nimiž vykonává dozor.

[omissis]

84

Podle čl. 134 odst. 1 jednacího řádu se účastníku řízení, který neměl úspěch ve věci, uloží náhrada nákladů řízení, pokud to účastník řízení, který měl ve věci úspěch, požadoval. Vzhledem k tomu, že EDPB požadovala náhradu nákladů řízení a žalobkyně neměla ve věci úspěch, je důvodné posledně uvedené uložit náhradu nákladů řízení.

Z těchto důvodů

TRIBUNÁL (desátý rozšířený senát)

rozhodl takto: