EDPB: belgická DPA musí věcně projednat stížnost NOYB na cookie banner VRT

Belgická veřejnoprávní televizní a rozhlasová organizace VRT (Vlaamse Radio-en Televisieomroeporganisatie) se stala předmětem stížnosti, kterou podala rakouská nevládní organizace NOYB prostřednictvím rakouského dozorového úřadu. Stížnost se týká způsobu, jakým VRT zpracovává souhlas s cookies na svém webu. Protože VRT má sídlo v Belgii, přichází do hry jednoho správce v rámci přeshraničního zpracování – belgický dozorový úřad vystupuje jako vedoucí dozorový úřad (LSA).

Belgická DPA navrhla stížnost zamítnout ještě na procesní úrovni: argumentovala zneužitím práva podle čl. 77 a čl. 80 odst. 1 GDPR. Jinými slovy, tvrdila, že stěžovatel svá práva zneužil, a proto stížnost nemusí být projednána věcně. Rakušský dozorový úřad – jako tzv. concerned supervisory authority (CSA) – s tímto přístupem nesouhlasil a podal námitku: podle jeho názoru měla belgická DPA rozhodnout o obsahu stížnosti, nikoli ji odbýt procesní kličkou. Belgická DPA námitku odmítla respektovat a případ předala ke sporu EDPB podle čl. 65 odst. 1 písm. a) GDPR.

Závazné rozhodnutí EDPB z 28. května 2026, zveřejněné 14. července 2026, dalo za pravdu rakouskému úřadu. EDPB posoudil námitku jako „relevantní a odůvodněnou" ve smyslu čl. 4 odst. 24 GDPR a v souladu s vlastními pokyny k tomuto pojmu přistoupil k meritornímu přezkumu. Zjistil, že belgická DPA neprokázala ani objektivní, ani subjektivní složku zneužití práva, jak požaduje judikatura Soudního dvora EU. Stěžovatel tedy svá práva nezneužil.

EDPB proto belgické DPA nařídil stížnost neodmítat, ale posoudit ji věcně a předložit nový návrh rozhodnutí ostatním dozorovým úřadům v souladu s čl. 60 odst. 3 GDPR.

Případ je důležitý ze dvou důvodů. Zaprvé upřesňuje podmínky, za nichž mohou dozorové úřady odmítnout stížnost jako zneužití práva: laťka je nastavena vysoko a vedoucí DPA musí prokázat obě složky – objektivní (neobvyklý způsob výkonu práva) i subjektivní (záměr poškodit nebo obejít systém). Formální argument o početných stížnostech NOYB nestačí. Zadruhé případ ilustruje fungování mechanismu jednoho správce a přezkumného řízení u EDPB: i když LSA chce věc uzavřít procesně, CSA může podat námitku a donutit EDPB k rozhodnutí, které je pro LSA závazné. Tento mechanismus byl vytvořen přesně pro situace, kdy by jinak mohlo docházet k nekonzistentnímu vymáhání GDPR v různých členských státech.