Dne 3. září 2025 vynesl Tribunál Evropské unie významný rozsudek ve věci Philippe Latombe v. Evropská komise, kterým potvrdil platnost EU-U.S. Data Privacy Framework (dále jen „DPF“) – nového transatlantického mechanismu pro přenos osobních údajů mezi Evropskou unií a Spojenými státy americkými.[1]
Význam DPF
DPF představuje důležitý nástroj pro usnadnění předávání osobních údajů z Evropské unie do Spojených států amerických. Díky tomuto mechanismu mohou být údaje předávány organizacím, které jsou uvedeny v tzv. „Seznamu rámce ochrany soukromí“. Významnou výhodou DNF je skutečnost, že tyto přenosy osobních údajů není třeba doprovázet žádnými dalšími právními nástroji nebo opatřeními vyžadovanými článkem 46 GDPR.[2] DPF byl přijat s cílem obnovit právní základ pro předávání osobních údajů z EU do USA poté, co byly jeho předchůdci (mechanismy Safe Harbor a Privacy Shield) prohlášeny Soudním dvorem EU za neplatné. Oba předchozí mechanismy byly zrušeny především kvůli nedostatečné ochraně osobních údajů evropských občanů při jejich zpracování americkými orgány.
Žaloba Philippa Latombeho
Přestože nový rámec přináší některé nové institucionální prvky, tak obavy o skutečnou účinnost těchto opatření přetrvávají. Jedním z prvních, kdo nový mechanismus právně napadl, byl francouzský europoslanec Philippe Latombe. Ve své žalobě poukázal na to, že jeho osobní údaje jsou digitálními platformami shromažďovány a předávány do USA, kde jsou podle něj podrobovány hromadnému sběru ze strany amerických zpravodajských služeb. Tvrdil, že tyto činnosti nejsou dostatečně upraveny jasnými a přesnými pravidly a chybí nad nimi účinný soudní dohled. Latombe rovněž zpochybnil nezávislost a nestrannost Data Protection Review Court (dále jen „DPRC“), který podle něj nesplňuje standardy nezávislého soudního orgánu.
Rozhodnutí Tribunálu a jeho odůvodnění
Tribunál však všechny námitky Latombeho zamítl. Konstatoval, že způsob jmenování a odvolávání soudců DPRC poskytuje dostatečné záruky jejich nezávislosti a nestrannosti. DPF tak podle Tribunálu zajišťuje odpovídající úroveň ochrany osobních údajů při jejich přenosu do Spojených států.
Důsledky rozsudku pro praxi
Tento rozsudek má zásadní praktické dopady. Znamená totiž, že evropští správci a zpracovatelé údajů mohou nadále legálně předávat osobní údaje do Spojených států amerických za podmínky, že příjemce je certifikován v rámci DPF. Samotné potvrzení platnosti DPF však neznamená, že v budoucnu nemohou vznikat další obdobné právní spory, které budou zpochybňovat úroveň ochrany osobních údajů při jejich předávání do USA.
Datum uveřejnění: 6. 10. 2025
[1] ROVÁDĚCÍ ROZHODNUTÍ KOMISE (EU) 2023/1795 ze dne 10. července 2023 podle nařízení Evropského parlamentu a Rady (EU) 2016/679 o odpovídající úrovni ochrany osobních údajů poskytované rámcem EU–USA pro ochranu údajů (oznámeno pod číslem C(2023) 4745)
[2] Úřad pro ochranu osobních údajů. Sdělení EDPB k EU & USA Data Privacy Framework. Úřad pro ochranu osobních údajů. [online]. 1. března 2023. Dostupné z: https://uoou.gov.cz/novinky/vse/sdeleni-edpb-k-eu-usa-data-privacy-framework
