6 As 68/2025- 28 - text
6 As 68/2025 - 33 pokračování
[OBRÁZEK]
ČESKÁ REPUBLIKA
ROZSUDEK
JMÉNEM REPUBLIKY
Nejvyšší správní soud rozhodl v senátě složeném z předsedkyně senátu Veroniky Juřičkové a soudců Filipa Dienstbiera a Štěpána Výborného v právní věci žalobkyně: BOMBAYERE s.r.o., sídlem Karlova 183/14, Praha 1, zastoupená JUDr. Pavlem Dostálem, advokátem, sídlem Krajinská 251/16, České Budějovice, proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, Praha 7, proti rozhodnutí předsedy žalovaného ze dne 30. 7. 2024, č. j. UOOU 00662/23
27, o kasační stížnosti žalobkyně proti rozsudku Městského soudu v Praze ze dne 15. 4. 2025, č. j. 15 A 95/2024 63,
I. Kasační stížnost žalobkyně se zamítá.
II. Žalobkyně nemá právo na náhradu nákladů řízení o kasační stížnosti.
III. Žalovanému se nepřiznává náhrada nákladů řízení o kasační stížnosti.
[1] Žalovaný rozhodnutím ze dne 12. 10. 2023, č. j. UOOU 00662/23 16, uznal žalobkyni vinnou ze spáchání tří přestupků podle zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti), ve znění účinném do 22. 3. 2023, spočívajících v tom, že žalobkyně opakovaně dvěma adresátům zaslala obchodní sdělení, která nesplňovala požadavky tohoto zákona. Žalobkyně pochybila tím, že obchodní sdělení zaslala opakovaně (osmkrát) bez souhlasu dvěma adresátům (výrok I), ve dvou případech neuvedla zřetelně a jasně totožnost odesílatele (výrok II) a opakovaně (osmkrát) neuvedla v obchodních sděleních vůči dvěma adresátům platnou adresu, na kterou by mohli přímo a účinně zaslat informaci, že si nepřejí, aby jim byla nadále zasílána (výrok III). Za uvedené přestupky žalovaný uložil žalobkyni pokutu ve výši 40 000 Kč (výrok IV) a povinnost nahradit náklady řízení ve výši 1 000 Kč (výrok V). Žalobkyně se proti rozhodnutí žalovaného bránila rozkladem, který předseda žalovaného rozhodnutím označeným v záhlaví tohoto rozsudku zamítl a prvostupňové rozhodnutí potvrdil.
[2] Žalobkyně podala proti rozhodnutí předsedy žalovaného žalobu, kterou Městský soud v Praze rozsudkem označeným v záhlaví zamítl. Městský soud potvrdil závěr žalovaného, že žalobkyně od adresátů obchodních sdělení nezískala platné a svobodné souhlasy pro jejich zasílání. Souhlasem se zpracováním osobních údajů pro účely přímého marketingu žalobkyně podmiňovala rezervaci jejích služeb. Bez tohoto souhlasu nebylo možné rezervaci služeb vůbec provést. Souhlas se zasíláním obchodních sdělení tedy adresáti neudělili svobodně a platně. Na základě těchto souhlasů proto žalobkyně nemohla v letech 2022 a 2023 zasílat adresátům žádná obchodní sdělení. Městský soud také nepřisvědčil námitce, že žalobkyně byla opakovaně trestána za stejný skutek. Žalovaný netrestal žalobkyni za způsob opatření souhlasů, nýbrž za to, že na konkrétní telefonní čísla adresátů zasílala obchodní sdělení, přestože nedisponovala platnými a svobodnými souhlasy uživatelů těchto telefonních čísel. Předchozí rozhodnutí, na která žalobkyně poukazovala, se týkala jiných adresátů obchodních sdělení, a tedy se nejednalo o totožný skutek.
[3] Městský soud také potvrdil závěr žalovaného, že některá obchodní sdělení zasílaná formou SMS zpráv neobsahovala zřetelné vymezení totožnosti odesílatele. Internetový odkaz, jehož prostřednictvím byl adresát obchodního sdělení přesměrován na webové stránky žalobkyně, dle městského soudu nepostačoval ke konkrétnímu označení a určení odesílatele. Dle městského soudu by adresát měl být schopen již z obchodního sdělení určit, kdo byl jeho odesílatelem, aniž by totožnost musel dohledávat. Na tomto závěru nemohly dle městského soudu nic změnit ani odkazy žalobkyně na obchodní sdělení jiných subjektů. Postup jiných subjektů při šíření obchodních sdělení nemá vliv na to, zda se žalobkyně dopustila vytýkaného jednání, či nikoli.
[4] Městský soud rovněž konstatoval, že každé obchodní sdělení mělo obsahovat informaci, jak docílit toho, aby zasílání obchodních sdělení ustalo. Žalobkyně této zákonné povinnosti nedostála. Odkaz, který uváděla v obchodních sděleních, směřoval adresáty zpráv pouze na webové stránky provozované žalobkyní, nikoli přímo na možnost se z odběru obchodních sdělení odhlásit. Obchodní sdělení tedy neobsahovala možnost přímého odhlášení jejich odběru ani informace o tom, jak by měl adresát postupovat v případě nesouhlasu s jejich zasíláním.
[5] Rovněž výši uložené pokuty městský soud považoval za odpovídající povaze a závažnosti přestupků. Žalobkyně mohla být potrestána pokutou až do výše 10 000 000 Kč, přičemž sankci uloženou ve výši 40 000 Kč, tedy ve výši 0,4 % maximální sazby, městský soud hodnotil vzhledem ke všem okolnostem jako přiměřenou. Výše pokuty nebyla pro žalobkyni ani likvidační, což žalovaný posoudil na základě údajů z účetní závěrky žalobkyně. Žalobkyně neuvedla a nedoložila žádné skutečnosti, které by prokazovaly likvidační účinek pokuty na její fungování. Městský soud nevyhověl návrhu na moderaci výše uložené pokuty. II. Kasační stížnost a vyjádření žalovaného
[6] Žalobkyně (dále jen „stěžovatelka“) podala proti rozsudku městského soudu kasační stížnost. V ní namítala, že městský soud se omezil toliko na potvrzení závěrů žalovaného, aniž se blíže vypořádal s jejími námitkami. Napadený rozsudek je proto nepřezkoumatelný. Městský soud úpravu regulující obchodní sdělení aplikoval nepřiměřeně přísně. Stěžovatelka od adresátů získala souhlas se zasíláním obchodních sdělení transparentním způsobem, a to v rezervačním sytému při rezervaci termínu jejích služeb. Adresáti obchodních sdělení (zákazníci stěžovatelky) si při tvorbě rezervace museli uvědomovat, že udělují souhlas se zasíláním obchodních sdělení, neboť registrační formulář na tuto skutečnost upozorňoval. Adresáti proto souhlas udělili svobodně, informovaně a bez nátlaku, což městský soud nesprávně vyhodnotil a nekriticky potvrdil závěr žalovaného. Stěžovatelka z opatrnosti rezervační formulář v roce 2022 upravila tak, aby respektoval požadavky žalovaného. Nadále však tyto požadavky považuje za jdoucí nad rámec zákona. Žalovaný však stěžovatelku znovu potrestal, což městský soud nesprávně potvrdil.
[7] Stěžovatelka rovněž rozporovala, že u některých obchodních sdělení chyběla náležitě vymezená totožnost odesílatele. Stěžovatelka totožnost v SMS zprávách neskrývala, neboť uváděla odkaz na vlastní webové stránky www.thajsky raj.cz. Pod označením „Thajský ráj“ byla stěžovatelka mezi zákazníky, kteří byli adresáty obchodních sdělení, známá. Informace o odesílateli tedy byly součástí obchodních sdělení, a to prostřednictvím odkazu na webové stránky. Žalovaný nezohlednil možnost identifikace stěžovatelky prostřednictvím obchodní značky, pod kterou vystupovala ve veřejném prostoru. Městský soud se se závěrem žalovaného ztotožnil, aniž by dle stěžovatelky přihlédl k její argumentaci. Pravidla označování odesílatele vymezená žalovaným zároveň řada jiných obchodníků nedodržovala, což stěžovatelka dokládala fotografiemi jiných obchodních sdělení. Z nich dle jejího názoru vyplývá, že odesílatelé využívali zkrácených verzí obchodní firmy či se prezentovali názvem svého e shopu. Stěžovatelka tím poukazovala na nerovnost v přístupu žalovaného k obdobným případům.
[8] Dále stěžovatelka uvedla, že obchodní sdělení obsahovala možnost odvolat dříve adresáty udělený souhlas se zasíláním obchodních sdělení. Konkrétně mohli adresáti odeslat SMS zprávu jako odpověď na číslo, ze kterého jim obchodní sdělení bylo doručeno, a požádat o ukončení zasílání. Adresáti mohli rovněž využít stěžovatelčiny kontaktní údaje dostupné prostřednictvím odkazu uvedeného v každém obchodním sdělení. Městský soud potvrdil, že obchodní sdělení mohla zahrnovat klikatelné odkazy vedoucí k ukončení zasílání obchodních sdělení, přičemž stěžovatelčina obchodní sdělení právě takové odkazy obsahovala. Adresáti se tak mohli tímto způsobem dostat ke stěžovatelčiným kontaktním údajům a zrušit odběr obchodních sdělení. Požadavek městského soudu, aby odkaz vedl přímo vedl ke zrušení odběru obchodních sdělení, pokládala stěžovatelka za nepřiměřeně přísný.
[9] Stěžovatelka připomněla, že některá zpochybňovaná obchodní sdělení zaslala v průběhu dřívější kontroly žalovaného. Pokud tedy stěžovatelka v době neukončené kontroly zaslala obchodní sdělení se shodnými nedostatky, nelze jí takové jednání klást k tíži. K této skutečnosti však městský soud nepřihlédl. Stěžovatelka rovněž nemohla předvídat, že žalovaný bude zastávat přísný výklad právní úpravy. S přístupem žalovaného se seznámila až v průběhu kontroly a reagovala na něj.
[10] Městský soud dle stěžovatelky také nesprávně posoudil výši uloženého trestu. Stěžovatelka považovala pokutu za přísnou a likvidační, její výši žalovaný náležitě neodůvodnil.
[11] Žalovaný se ve vyjádření ke kasační stížnosti ztotožnil se závěry městského soudu. Uvedl, že pokud adresáti obchodních sdělení nemohli rezervaci služeb stěžovatelky učinit jinak než bez souhlasu se zasíláním obchodních sdělení, neudělili platný a svobodný souhlas. Pozdější úprava rezervačního formuláře nezhojila nedostatky dřívějších „souhlasů“ v databázi. K označení odesílatele žalovaný uvedl, že stěžovatelčina obchodní firma se neshodovala s označením webových stránek. Za takové situace nebylo z obchodních sdělení zřejmé, kdo byl jejich odesílatelem. Žalovaný rovněž doplnil, že existuje rovněž společnost Thajský ráj s.r.o. Totožnost odesílatele obchodních sdělení proto nemusela být adresátům zřejmá, neboť se mohli mylně domnívat, že je jím tato jiná společnost. K fotografiím obchodních sdělení jiných subjektů žalovaný uvedl, že se nejednalo o obdobné případy. Možné pochybení jiných subjektů navíc stěžovatelku odpovědnosti za uvedené přestupky nezbavovalo.
[12] Žalovaný dále uvedl, že bylo povinností stěžovatelky zaslat adresátům informaci, jakým způsobem souhlas odvolat. To však stěžovatelčina obchodní sdělení nesplňovala. „Proklikávací“ odkaz představoval jedno z možných řešení, pokud by vedl přímo k odhlášení odběru. V posuzovaném případě však odkaz vedl na stěžovatelčiny webové stránky, nikoli přímo k odhlášení odběru obchodních sdělení. K dřívější kontrole u stěžovatelky žalovaný konstatoval, že nesloužila k osvětě kontrolované osoby, ale ke zjištění a hodnocení, zda došlo ke spáchání přestupků. Žalovaný o nedostatcích obchodních sdělení stěžovatelku opakovaně informoval již od roku 2015, tedy ještě před zahájením kontroly, jím zastávaný výklad nemohl být pro stěžovatelku překvapivý. Žalovaný měl za to, že řádně odůvodnil i výši pokuty, která nebyla pro stěžovatelku likvidační. Tento závěr ostatně Nejvyšší správní soud potvrdil též v jiné stěžovatelčině věci. III. Posouzení Nejvyšším správním soudem
[13] Nejvyšší správní soud kasační stížnost posoudil a dospěl k závěru, že není důvodná.
[14] Stěžovatelka v kasační stížnosti nejprve namítla nepřezkoumatelnost napadeného rozsudku, který dle jejího názoru z velké části vycházel ze závěrů žalovaného a dostatečně se nevypořádal s jejími žalobními námitkami.
[15] Dle ustálené judikatury Nejvyššího správního soudu není smyslem soudního přezkumu stále dokola podrobně opakovat již jednou vyřčené. Není proto vadou, pokud soud v případě shody s názorem správního orgánu odkáže na odůvodnění vydaného správního rozhodnutí, je li z něj zřejmé, proč správní orgán nepovažoval právní argumentaci účastníka řízení za důvodnou a proč odvolací (rozkladové) námitky považoval za liché, mylné nebo vyvrácené, a tyto se shodují s žalobními námitkami (rozsudky Nejvyššího správního soudu ze dne 27. 7. 2007, č. j. 8 Afs 75/2005 130, č. 1350/2007 Sb. NSS, ze dne 2. 7. 2007, č. j. 4 As 11/2006 86, nebo ze dne 29. 5. 2013, č. j. 2 Afs 37/2012 47). Povinnost posoudit všechny žalobní námitky zároveň neznamená, že městský soud musí reagovat na každou dílčí argumentaci a tu obsáhle vyvrátit. Úkolem soudu je vypořádat se s obsahem a smyslem žalobní argumentace (rozsudek Nejvyššího správního soudu ze dne 3. 4. 2014, č. j. 7 As 126/2013 19). Tomuto požadavku městský soud v daném případě dostál.
[16] Městský soud postupoval v souladu s výše citovanou judikaturou, odkázal li v napadeném rozsudku na závěry správních orgánů přímo se vztahující k žalobním námitkám a vysvětlil, proč se s posouzením správních orgánů obou stupňů ztotožnil. Napadený rozsudek tedy není namítanou nepřezkoumatelností zatížen, a Nejvyšší správní soud mohl přistoupit k posouzení věci samé.
[17] V nyní projednávaném případě je mezi účastníky řízení spor o to, zda stěžovatelka 1) získala od adresátů (svých zákazníků) platné a svobodné souhlasy potřebné k zasílání obchodních sdělení, 2) zda dostatečně vymezila odesílatele obchodních sdělení a 3) zda v obchodních sděleních uvedla platnou adresu, na kterou mohli adresáti přímo a účinně zaslat informaci, že si nepřejí, aby jim byla obchodní sdělení nadále zasílána. III.1 Udělení souhlasu se zasíláním obchodních sdělení a zpracováním osobních údajů
[18] Nejvyšší správní soud se nejprve zabýval tím, zda adresáti obchodních sdělení udělili v letech 2015 a 2016 platný a svobodný souhlas, na jehož základě jim stěžovatelka v letech 2022 a 2023 zasílala obchodní sdělení formou SMS zpráv.
[19] Problematiku zasílání obchodních sdělení upravuje zejména zákon o některých službách informační společnosti, který zapracoval mj. směrnici Evropského parlamentu a Rady 2002/58/ES ze dne 12. července 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (směrnice o soukromí a elektronických komunikacích).
[20] Dle čl. 2 písm. f) směrnice 2002/58/ES „souhlas“ uživatele či účastníka odpovídá souhlasu subjektu údajů podle směrnice 95/46/ES.
[21] Podle § 7 odst. 2 zákona o některých službách informační společnosti podrobnosti elektronického kontaktu lze za účelem šíření obchodních sdělení elektronickými prostředky využít pouze ve vztahu k uživatelům, kteří k tomu dali předchozí souhlas. Podle odst. 3 téhož ustanovení zákona, ve znění účinném do 22. 3. 2023, nehledě na odstavec 2, pokud fyzická nebo právnická osoba získá od svého zákazníka podrobnosti jeho elektronického kontaktu pro elektronickou poštu v souvislosti s prodejem výrobku nebo služby podle požadavků ochrany osobních údajů upravených zvláštním právním předpisem, může tato fyzická či právnická osoba využít tyto podrobnosti elektronického kontaktu pro potřeby šíření obchodních sdělení týkajících se jejích vlastních obdobných výrobků nebo služeb za předpokladu, že zákazník má jasnou a zřetelnou možnost jednoduchým způsobem, zdarma nebo na účet této fyzické nebo právnické osoby odmítnout souhlas s takovýmto využitím svého elektronického kontaktu i při zasílání každé jednotlivé zprávy, pokud původně toto využití neodmítl.
[22] Směrnice 2002/58/ES i zákon o některých službách informační společnosti odkazují na právní úpravu shromažďování a ochrany osobních údajů. Tuto oblast nejprve upravovala směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Následně byla nahrazena přímo použitelným nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, dále jen „nařízení GDPR“). Nahrazení směrnice 95/46/ES tímto nařízením bylo výslovně zakotveno v čl. 94 odst. 2 nařízení GDPR, v němž se uvádí, že odkazy na zrušenou směrnici se považují za odkazy na toto nařízení.
[23] Dle čl. 2 písm. h) směrnice 95/46/ES se souhlasem rozuměl jakýkoli svobodný, výslovný a vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování.
[24] Dle recitálu 171 nařízení GDPR směrnice 95/46/ES by tudíž měla být tímto nařízením zrušena. Zpracování, které již ke dni použitelnosti tohoto nařízení probíhá, by mělo být uvedeno v soulad s tímto nařízením ve lhůtě dvou let ode dne vstupu tohoto nařízení v platnost. Je li toto zpracování založeno na souhlasu podle směrnice 95/46/ES, není nutné, aby subjekt údajů znovu udělil svůj souhlas, pokud je způsob udělení daného souhlasu v souladu s podmínkami tohoto nařízení, s cílem umožnit správci pokračovat v tomto zpracování i po dni použitelnosti tohoto nařízení.
[25] Souhlasem se dle čl. 4 odst. 11 nařízení GDPR rozumí jakýkoli svobodný, konkrétní, informovaný a jednoznačný projev vůle, kterým subjekt údajů dává prohlášením či jiným zjevným potvrzením své svolení ke zpracování svých osobních údajů.
[26] Dle čl. 7 odst. 1 nařízení GDPR pokud je zpracování založeno na souhlasu, musí být správce schopen doložit, že subjekt údajů udělil souhlas se zpracováním svých osobních údajů.
[27] Podle čl. 7 odst. 4 nařízení GDPR při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je mimo jiné plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné.
[28] K problematice souhlasu se již opakovaně vyjádřil Soudní dvůr Evropské unie (dále jen „Soudní dvůr“). Dle judikatury Soudního dvora adresátům obchodních sdělení musí být poskytnuta ochranná opatření proti zásahům do jejich soukromí způsobeným nevyžádanými sděleními pro účely přímého marketingu, zejména prostřednictvím automatických volacích zařízení a elektronické pošty, včetně SMS zpráv. Tyto způsoby komunikace lze použít pro účely přímého marketingu pouze u osob, které k tomu daly předchozí souhlas. Takový souhlas musí být vyjádřen prostřednictvím svobodného, konkrétního a informovaného projevu vůle dotyčné osoby (rozsudek Soudního dvora ze dne 25. 11. 2021 ve věci StWL Städtische Werke Lauf a.d. Pegnitz GmbH vs. eprimo GmbH, C 102/20, body 34, 36 a 57).
[29] V rozsudku ze dne 1. 10. 2019 ve věci Bundesverband der Verbraucherzentralen und Verbraucherverbände Verbraucherzentrale Bundesverband e.V. vs. Planet49 GmbH, C 673/17 (body 52, 54, 55 a 57) se Soudní dvůr zabýval tím, zda je souhlas právoplatně udělen, pokud jsou ukládání informací nebo přístup k již uloženým informacím povoleny předem zaškrtnutým políčkem, jehož zaškrtnutí musí uživatel k odmítnutí svého souhlasu zrušit. Soudní dvůr uvedl, že požadavek na projev vůle jasně poukazuje na aktivní, nikoli na pasivní jednání. Souhlas udělený předem zaškrtnutým políčkem nepředstavuje aktivní jednání ze strany uživatele internetových stránek. Souhlas musí být nezpochybnitelný, což splňuje pouze aktivní jednání osoby za účelem projevení jejího souhlasu. V případě předem zaškrtnutého políčka nelze vyloučit, že uživatel před pokračováním v činnosti na internetových stránkách, které navštívil, nečetl informace u předem zaškrtnutého políčka, nebo dokonce, že si tohoto políčka vůbec nevšiml.
[30] Souhlas tedy musí být výslovný, a to v tom smyslu, že se musí konkrétně týkat zpracování dotčených údajů a nelze jej vyvodit z vůle projevené za jiným účelem (již odkazovaný rozsudek Soudního dvora ve věci C 673/17, bod 58, nebo rozsudek Soudního dvora ze dne 11. 11. 2020 ve věci Orange România SA, C 61/19, bod 38). Souhlas musí být také vědomý a informovaný. To předpokládá, že subjektu údajů jsou poskytnuty informace o všech okolnostech, jež souvisejí se zpracováním údajů, a to ve srozumitelné a snadno přístupné formě za použití jasného a jednoduchého jazyka, přičemž tato osoba musí zejména znát typ údajů, které mají být zpracovány, totožnost zpracovatele informací, dobu trvání a metody tohoto zpracování, jakož i účely, které se tímto zpracováním sledují. Tyto informace musejí dotčené osobě umožnit jednoduše rozpoznat důsledky souhlasu, který případně udělí, a zajistit, aby byl takový souhlas udělen s plnou znalostí věci (již odkazované rozsudky Soudního dvora ve věcech C 673/17, bod 74, a C 61/19, bod 40).
[31] Souhlas s poskytnutím údajů musí být rovněž svobodný. Souhlas nelze považovat za svobodný, nemá li subjekt údajů skutečnou nebo svobodnou volbu nebo nemůže li souhlas odmítnout nebo odvolat, aniž by byl poškozen. Souhlas není svobodný, není li možné vyjádřit samostatný souhlas s jednotlivými operacemi zpracování osobních údajů, i když je to v daném případě vhodné. Při posuzování toho, zda je souhlas svobodný, musí být důsledně zohledněna skutečnost, zda je plnění smlouvy, včetně poskytnutí služby, podmíněno souhlasem se zpracováním osobních údajů, které není pro plnění dané smlouvy nutné (rozsudek Soudního dvora ze dne 4. 7. 2023 ve věci Meta Platforms Inc., dříve Facebook Inc., C 252/21, body 143 až 145).
[32] Uvedené judikaturní závěry je třeba vztáhnout i na nyní posuzovaný případ a na problematiku zasílání obchodních sdělení. Aby mohl obchodník v souladu s právní úpravou zasílat obchodní sdělení, je povinen splnit několik podmínek. Vždy musí získat svobodný, konkrétní, informovaný a jednoznačný souhlas se zpracováním osobních údajů. Jen takový souhlas lze považovat za platně udělený. Bez platně uděleného souhlasu by osobní údaje zákazníků nemohl zpracovat a uchovat, tedy by ani nemohl kontaktní údaje později využít k zasílání obchodních sdělení.
[33] Další podmínky se již týkají přímo zasílání obchodních sdělení. Podle § 7 odst. 2 zákona o některých službách informační společnosti musí obchodník (odesílatel) získat od zákazníka (adresáta) souhlas přímo se zasíláním obchodních sdělení. Tento souhlas musí splňovat totožné náležitosti vyžadované u souhlasu se zpracováním osobních údajů, aby jej bylo možné považovat za platný. Ve druhém případě musí být splněna řada podmínek dle § 7 odst. 3 zákona o některých službách informační společnosti. Obchodník stále musí disponovat platným souhlasem se zpracováním osobních údajů, který získá od zákazníků v souvislosti s prodejem výrobku nebo služby. Obchodní sdělení může zasílat pouze pro potřeby šíření obchodních sdělení týkajících se vlastních výrobků nebo služeb, které jsou obdobné výrobkům nebo službám, které již zákazník od obchodníka obdržel. Zákazník musí mít také jasnou a zřetelnou možnost jednoduchým způsobem, zdarma nebo na účet obchodníka odmítnout souhlas s takovým využitím svého elektronického kontaktu, a to při zaslání každé jednotlivé zprávy, pokud původně toto využití neodmítl.
[34] V souladu s výše uvedenými východisky městský soud posoudil stěžovatelčin případ a dospěl k závěru, že souhlasy v letech 2015 a 2016 zákazníci neudělili svobodně, a proto se nejednalo o platné souhlasy. S tímto závěrem se Nejvyšší správní soud ztotožňuje. Jak plyne z předešlého shrnutí, zasílání obchodních sdělení je možné pouze při poskytnutí souhlasu se zpracováním osobních údajů a dále za podmínek dle § 7 odst. 2 nebo odst. 3 zákona o některých službách informační společnosti. V obou případech musí adresát obchodních sdělení projevit jasně, konkrétně, informovaně a svobodně svůj souhlas, přičemž souhlasy získané stěžovatelkou od zákazníků v roce 2015 a 2016 zákonem stanovené podmínky nesplňovaly.
[35] Stěžovatelka souhlas se zpracováním osobních údajů a zasíláním obchodních sdělení zahrnula do podmínek rezervace jejích služeb. Systém byl konkrétně nastaven tak, že již samotnou rezervací služby zákazník automaticky (bez dalšího) souhlasil jak se zasíláním obchodních sdělení, tak se zpracováním osobních údajů. Městský soud proto správně dovodil, že souhlasy tímto způsobem udělené nemohly být hodnoceny jako svobodné. Zákazníci mohli službu buď rezervovat a tím automaticky souhlasit, anebo službu nemohli vůbec využít. Poskytnutí služby bylo podmíněno souhlasem bez možnosti volby zákazníka, což dle judikatury Soudního dvora v takovém případě vylučuje, aby byl souhlas považován za svobodný. Jelikož souhlas byl zahrnut do rezervace služby a zákazníci jej samostatně (o vlastní svobodné vůli) neprojevovali, nemohlo se jednat ani o souhlas výslovný. Městský soud rovněž správně upozornil, že lze pochybovat rovněž o tom, že se jednalo o souhlasy vědomé a informované, neboť ve smyslu judikatury Soudního dvora stěžovatelka neměla postaveno najisto, že všichni její zákazníci, kteří rezervaci učinili, se skutečně seznámili s jejími obchodními podmínkami a tím i podmínkami udělení souhlasu.
[36] Nejvyšší správní soud proto ve shodě s městským soudem a žalovaným uvádí, že stěžovatelka od svých zákazníků nezískala svobodný, výslovný a vědomý projev vůle, kterým by jí zákazníci poskytli svolení ke zpracování osobních údajů a k zasílání obchodních sdělení. Jelikož tyto souhlasy nebyly platně uděleny dle dřívější směrnice 95/46/ES, tím spíše nemohly dostát požadavkům dle přísnější úpravy obsažené v nařízení GDPR (rozsudek Soudního dvora ve věci C 673/17, bod 61). Stěžovatelka tak v roce 2015 a 2016 neměla platné souhlasy adresátů se zasíláním obchodních sdělení a se zpracováním osobních údajů. Z tohoto důvodu ani při zasílání obchodních sdělení, která šířila v roce 2022 a 2023, nedisponovala souhlasy adresátů dle § 7 odst. 2 zákona o některých službách informační společnosti. Současně nesplňovala ani podmínky pro zasílání obchodních sdělení dle § 7 odst. 3 zákona o některých službách informační společnosti.
[37] Na tomto závěru nic nemění ani to, že stěžovatelka v návaznosti na kontrolu žalovaného upravila registrační formulář na svých webových stránkách. Změna registračního formuláře nebyla spojena s tím, že by stěžovatelka kontaktovala své zákazníky a nedostatky dříve udělených souhlasů napravila či uvedla do souladu s nařízením GDPR. Změna registračního formuláře mohla mít vliv do budoucna, na budoucí souhlasy. Stěžovatelka také nebyla opakovaně postižena za totožné jednání. Tuto obecnou námitku stěžovatelka nesprávně spojovala s tím, že byla potrestána za způsob opatření neplatných souhlasů. Tak tomu ovšem není. V daném případě spočívalo vytýkané pochybení v tom, že na základě neplatných souhlasů stěžovatelka šířila a zasílala adresátům obchodní sdělení. Nejednalo se o opakovaný postih za totéž jednání, nýbrž za různá jednání (zasílání obchodních sdělení různým adresátům v odlišném čase). III.2 Obsah obchodních sdělení
[38] Nejvyšší správní soud se dále zabýval obsahem kontrolovaných obchodních sdělení, která stěžovatelka zasílala.
[39] Podle § 7 odst. 1 zákona o některých službách informační společnosti obchodní sdělení lze šířit elektronickými prostředky jen za podmínek stanovených tímto zákonem.
[40] Podle již citovaného odst. 2 téhož ustanovení zákona o některých službách informační společnosti (…) může tato fyzická či právnická osoba využít tyto podrobnosti elektronického kontaktu pro potřeby šíření obchodních sdělení týkajících se jejích vlastních obdobných výrobků nebo služeb za předpokladu, že zákazník má jasnou a zřetelnou možnost jednoduchým způsobem, zdarma nebo na účet této fyzické nebo právnické osoby odmítnout souhlas s takovýmto využitím svého elektronického kontaktu i při zasílání každé jednotlivé zprávy, pokud původně toto využití neodmítl (pozn.: podtržení zde i dále v textu doplnil soud).
[41] Podle § 7 odst. 4 zákona o některých službách informační společnosti zaslání elektronické pošty za účelem šíření obchodního sdělení je zakázáno, pokud a) tato není zřetelně a jasně označena jako obchodní sdělení, b) skrývá nebo utajuje totožnost odesílatele, jehož jménem se komunikace uskutečňuje, nebo c) je zaslána bez platné adresy, na kterou by mohl adresát přímo a účinně zaslat informaci o tom, že si nepřeje, aby mu byly obchodní informace odesílatelem nadále zasílány.
[42] Podle čl. 7 odst. 3 nařízení GDPR platí, že subjekt údajů má právo svůj souhlas kdykoli odvolat. Odvoláním souhlasu není dotčena zákonnost zpracování vycházejícího ze souhlasu, který byl dán před jeho odvoláním. Před udělením souhlasu o tom bude subjekt údajů informován. Odvolat souhlas musí být stejně snadné jako jej poskytnout.
[43] Nejvyšší správní soud k této problematice již dříve v rozsudku ze dne 16. 6. 2020, č. j. 1 As 136/2019 38, vyslovil, že základním ideovým východiskem zákona o některých službách informační společnosti je posílení ochrany soukromí uživatele služby informační společnosti, kterým může být každá fyzická nebo právnická osoba. Je přitom zřejmá snaha zákonodárce docílit, aby uživatel nemusel vydávat žádné náklady na jemu doručená obchodní sdělení posílaná elektronickou poštou, která si nevyžádal a která jej ve svém důsledku obtěžují. Základním smyslem přijetí zákona o některých službách informační společnosti tedy byla ochrana adresáta před zasíláním nevyžádaných obchodních sdělení (včetně náležité identifikace těchto sdělení a jejich původce), zamezení vzniku nákladů souvisejících s nevyžádaným obchodním sdělením a zároveň přenos povinností na jejich šiřitele. Tyto závěry tvoří interpretační východiska při výkladu zákona o některých službách informační společnosti.
[44] V rozsudku ze dne 2. 12. 2024, č. j. 6 As 213/2024 25, Nejvyšší správní soud tyto závěry aplikoval přímo na stěžovatelčin případ, v němž rozporovala, že SMS zprávy nedostatečně označila jako obchodní sdělení. Nejvyšší správní soud k označení obchodních sdělení uvedl, že při výkladu požadavku na označení sdělení či zprávy jako obchodního sdělení je nutné zohlednit, že má podporovat ochranu adresáta a umožnit mu efektivně se vyhnout obchodním sdělením, o která nemá zájem. Adresátu musí být na první pohled a bez nutnosti studovat celý obsah zprávy zřejmé, že se jedná o obchodní sdělení. Odesílatel obchodního sdělení má povinnost zřetelného a jasného označování obchodních sdělení a jejich jasnou rozpoznatelnost. Právní úprava zjevně směřuje k tomu, aby bylo ze zprávy na první pohled zřejmé, že je obchodním sdělením, což má adresátu umožnit odlišení takového sdělení od ostatních zpráv, případně ušetření nákladů (časových či jiných) na zjišťování konkrétního obsahu obchodního sdělení.
[45] Tyto závěry se plně vztahují i na nyní posuzovaný případ. Jak plyne ze smyslu a účelu právní úpravy, obchodní sdělení musejí být jasně označena, aby je adresát nezaměnil s jiným druhem zpráv a aby je rychle jako obchodní sdělení rozpoznal a vyhodnotil. Shodně je třeba přistupovat i k podmínkám jasného označení odesílatele obchodního sdělení a k vymezení postupu, jak odběr obchodních sdělení zrušit, které taktéž musejí být z obchodního sdělení jednoznačně patrné.
[46] Městský soud v napadeném rozsudku správně potvrdil závěr žalovaného, že některá ze sdělení jasné označení stěžovatelky jako odesílatele neobsahovala. Zároveň žádné z prověřovaných sdělení neobsahovalo údaj o tom, jak odběr zrušit. S těmito závěry se Nejvyšší správní soud ztotožňuje. Ve dvou případech stěžovatelka neuvedla jasné označení, pouze odkaz na webové stránky, které však nesly název nepodobný stěžovatelčině obchodní firmě. Nejvyšší správní soud nezpochybňuje, že někteří zákazníci mohou stěžovatelčino podnikání znát spíše pod názvem jejích webových stránek než pod její obchodní firmou. Povinnost jasného označení odesílatele obchodních sdělení je však třeba vykládat výhradně ve vztahu k obsahu obchodního sdělení, tedy zda je v něm odesílatel skutečně jasně označen, nikoli ve vztahu k tomu, co zákazník může vědět či co se může domnívat. Tento požadavek některé prověřované SMS zprávy nesplňovaly. Je třeba, aby označení odesílatele vyplývalo přímo z obchodního sdělení tak, aby si je adresát nemusel nikde dohledávat. Odkaz na webové stránky v tomto případě nepostačoval, neboť z něj obchodní firma stěžovatelky nevyplývala. V případě neznalosti podnikání stěžovatelky byl adresát nucen identitu odesílatele dohledávat na odkazované webové stránce, což na něj přenáší aktivitu, kterou naopak měla vyvinout stěžovatelka jako odesílatel obchodního sdělení v podobě svého jasného označení. Stěžovatelka si přitom povinnosti označit odesílatele obchodních sdělení musela být vědoma, neboť ostatní SMS zprávy označení její obchodní firmy obsahovaly.
[47] Nejvyšší správní soud se ztotožňuje s městským soudem i v hodnocení, že v obchodních sděleních chybělo uvedení toho, jak docílit zrušení jejich odběru. Žádný postup či vysvětlení, jak zasílání SMS zpráv zrušit, obchodní sdělení neobsahovala. Dle § 7 odst. 4 písm. c) zákona o některých službách informační společnosti přitom každé obchodní sdělení musí obsahovat platnou adresu, která povede k přímému a účinnému ukončení odběru. Pokud by stěžovatelka zasílala obchodní sdělení dle § 7 odst. 3 zákona o některých službách informační společnosti, byly by podmínky pro odesílatele ještě přísnější. Stěžovatelkou šířená obchodní sdělení však v tomto směru neobsahovala vůbec žádné informace. Byl v nich uveden pouze odkaz na webové stránky stěžovatelky, nejednalo se ale o odkaz vedoucí k přímému a účinnému zrušení odběru. Stěžovatelka sama ve vyjádření uvedla, že adresáti si měli informace k ukončení odběru vyhledat na webových stránkách či zaslat žádost o ukončení odběru jako odpověď na doručenou SMS zprávu s obchodním sdělením. Ve shodě s městským soudem však Nejvyšší správní soud uvádí, že stěžovatelka měla konkrétní informace o možnostech zrušení včlenit přímo do obchodních sdělení. I zde platí, že stěžovatelka nemohla tuto povinnost přenášet na adresáty, kteří byli povinni informace o ukončení odběru sami dohledávat.
[48] Důvodnými Nejvyšší správní soud neshledal ani ostatní kasační námitky. Účelem provedené kontroly bylo zjištění a ověření, zda stěžovatelka při zasílání obchodních sdělení postupovala v souladu se zákonem. Postup žalovaného nemohl být pro stěžovatelku překvapující, neboť jí ještě před samotnou kontrolou opakovaně vytýkal nedostatky při zasílání obchodních sdělení. Na tyto výtky stěžovatelka nereagovala, což žalovaného vedlo právě k zahájení kontroly. Na odpovědnost stěžovatelky za spáchané přestupky nemělo vliv ani to, jaká obchodní sdělení zasílali jiní obchodníci. Pochybení jiných obchodníků nevylučuje ani nezmenšuje odpovědnost stěžovatelky, která je za přestupky, které spáchala, odpovědná. V nynějším řízení bylo hodnoceno výhradně jednání (přestupky) samotné stěžovatelky. III.3 Výše uložené pokuty
[49] Stěžovatelka rozporovala i uložený správní trest (pokutu) a jeho výši. Totožnou argumentací stěžovatelky se Nejvyšší správní soud zabýval již v její předchozí věci, přičemž od závěrů vyslovených v rozsudku č. j. 6 As 213/2024 25 neshledal důvod se odchýlit. Stěžovatelka ohledně výše pokuty argumentovala její nepřiměřeností a likvidačním charakterem, tyto námitky však zůstaly pouze v obecné rovině. Stěžovatelka v kasační stížnosti sice odkázala na žalobní argumentaci, nicméně ani v řízení před městským soudem neuvedla žádná konkrétní tvrzení a údaje (natož doložené konkrétními podklady), z nichž byl vyplývalo, že jí její ekonomická situace neumožňuje úhradu pokuty uložené ve výši 40 000 Kč. Městský soud tak správně aproboval, že žalovaný při posouzení dopadů pokuty na stěžovatelku vycházel z listin dostupných ve sbírce vedené při obchodním rejstříku, a dospěl k závěru, že výše uložené pokuty není nepřiměřená ani likvidační.
[50] Stran druhu správního trestu a výše uložené pokuty Nejvyšší správní soud ve shodě s městským soudem neshledal, že by správní orgány překročily meze správního uvážení či že by je zneužily. S obsahově obdobnými námitkami se přesvědčivě vypořádal již předseda žalovaného v rozhodnutí o rozkladu. Žalovaný mohl stěžovatelce za spáchané přestupky uložit pokutu až do výše 10 000 000 Kč. Pokuta tedy byla uložena na samé spodní hranici zákonné sazby (její výše dosahuje pouhých čtyř desetin procenta zákonné sazby). IV. Závěr a náklady řízení
[51] Nejvyšší správní soud neshledal kasační stížnost důvodnou, a proto ji podle § 110 odst. 1 věty poslední s. ř. s. zamítl.
[52] O nákladech řízení o kasační stížnosti Nejvyšší správní soud rozhodl podle § 60 odst. 1 a 7 s. ř. s. ve spojení s § 120 s. ř. s. Vzhledem k tomu, že žalobkyně (stěžovatelka) neměla ve věci úspěch a žalovanému žádné náklady řízení nad rámec jeho obvyklé úřední činnosti nevznikly, Nejvyšší správní soud rozhodl tak, že žalobkyně nemá právo na náhradu nákladů řízení o kasační stížnosti a žalovanému se náhrada nákladů řízení o kasační stížnosti nepřiznává.
Poučení: Proti tomuto rozsudku nejsou opravné prostředky přípustné. V Brně dne 2. září 2025
Mgr. Ing. Veronika Juřičková předsedkyně senátu