Čl. 15 · Povinnost provést audit

Související ustanovení: čl. 2 bod 31 (profilování); čl. 5 odst. 2 (kombinování osobních údajů); čl. 30 odst. 3 písm. d) (pokuty); čl. 36 odst. 3 (použití informací i pro účely nařízení (EU) 2016/679); čl. 36 odst. 4 (služební tajemství); čl. 46 odst. 1 písm. g) a h) (prováděcí akty o metodice auditu a podáních)

Související předpisy EU: nařízení (EU) 2016/679, čl. 4 bod 4 (profilování)

Dokumenty k provádění: šablona pro popis technik profilování spotřebitelů a jeho nezávislý audit zveřejněná Komisí dne 12. 12. 2023; prováděcí akt podle odst. 2 Komise k 10. 10. 2026 nepřijala

I. Auditem ověřený popis (odst. 1 a 2)

1 Do šesti měsíců od označení předloží strážce přístupu Komisi nezávislým auditem ověřený popis všech technik profilování spotřebitelů, které používá pro své hlavní služby platforem uvedené v rozhodnutí o označení nebo napříč nimi. Komise popis předá Evropskému sboru pro ochranu osobních údajů (odst. 1). Profilováním se rozumí profilování ve smyslu čl. 4 bodu 4 nařízení (EU) 2016/679 (čl. 2 bod 31).

2 Bod 72 odůvodnění vysvětluje účel povinnosti. Transparentnost má působit proti tomu, aby se hluboké profilování spotřebitelů stalo standardem odvětví, a umožnit jiným poskytovatelům odlišit se lepší ochranou soukromí. Popis má zahrnovat alespoň základ profilování včetně toho, zda vychází z osobních údajů a dat odvozených z činnosti uživatelů, použité zpracování, účel, dobu trvání, dopad na služby strážce přístupu a opatření, kterými se uživatelé o profilování dozvědí a mohou udělit, odepřít nebo odvolat souhlas.

3 Metodiku a postup auditu může Komise stanovit prováděcím aktem podle čl. 46 odst. 1 písm. g) (odst. 2). Takový akt k 10. 10. 2026 přijat nebyl. Komise dne 12. 12. 2023 zveřejnila šablonu pro popis technik profilování a jeho nezávislý audit (výroční zpráva Komise o nařízení za rok 2025, COM(2026) 247 final, pozn. 53). Podle šablony auditor posoudí s přiměřenou mírou jistoty, zda je popis úplný a přesný, a svůj závěr vyjádří jako kladný, kladný s připomínkami nebo záporný podle toho, zda popis vychází z dostatečných a vhodných důkazů (šablona, oddíl 5.1). Každý auditor připojí prohlášení o zájmech, ve kterém uvede zejména jakýkoli vztah ke strážci přístupu včetně obchodních a smluvních (oddíl 3.1 písm. c)).

II. Zveřejnění stručných informací (odst. 3)

4 Strážce přístupu uveřejní stručné informace o auditem ověřeném popisu, může přitom zohlednit potřebu zachovat obchodní tajemství, a popis i stručné informace nejméně jednou ročně aktualizuje (odst. 3).

5 Předseda Tribunálu k tomu uvedl, že odst. 1 zveřejnění auditovaného popisu nevyžaduje a informace se předávají jen Komisi a jejím prostřednictvím Evropskému sboru pro ochranu osobních údajů. Přehled podle odst. 3 je nutně méně podrobný než auditovaný popis a strážce přístupu může informace shrnout, pokud naplní cíle zveřejnění, a vypustit z něj i jiné důvěrné informace než obchodní tajemství. Tento závěr opřel o šablonu Komise (oddíl 6.1), protože odst. 3 sám chrání jen obchodní tajemství (bod 28). Nedůvěrný přehled sestavuje a zveřejňuje strážce přístupu (usnesení předsedy Tribunálu ze dne 9. 2. 2024, Bytedance v. Komise, T-1077/23 R, nezveřejněné, EU:T:2024:94, body 23, 26, 28 a 30). Návrh na odklad vykonatelnosti rozhodnutí o označení v rozsahu povinností podle čl. 5, 6 a 15 zamítl pro nedostatek naléhavosti (body 35 a 58).

III. Praxe

6 Šest strážců přístupu označených 5. 9. 2023 mělo popis předložit a stručné informace zveřejnit do 7. 3. 2024. Alphabet, Amazon, Apple, Meta a Microsoft tak učinili včas, ByteDance s předem ohlášeným zpožděním 9. 4. 2024. Booking, označený 13. 5. 2024, předložil popis a zveřejnil stručné informace 13. 11. 2024, tedy ve své lhůtě. Komise všechny popisy předala Evropskému sboru pro ochranu osobních údajů (výroční zpráva Komise o nařízení za rok 2024, COM(2025) 166 final, bod 63). V roce 2025 proběhl druhý cyklus a všech sedm strážců přístupu předložilo aktualizované zprávy v termínu (výroční zpráva Komise o nařízení za rok 2025, COM(2026) 247 final, bod 58). Komise přezkoumává výsledky třetího cyklu (tamtéž, bod 59).

Příklady

Případy jsou konstruované, žádný z nich soud nerozhodl.

1. Profilování napříč službami. Strážce přístupu kombinuje údaje ze sociální sítě a z obchodu s aplikacemi pro cílení reklamy. Auditovaný popis musí tyto techniky zahrnout, protože jde o profilování napříč hlavními službami platforem uvedenými v rozhodnutí o označení (odst. 1). Popis má uvést i opatření, kterými uživatel může souhlas odepřít, což souvisí s povinností podle čl. 5 odst. 2 (bod 72 odůvodnění).

Co z toho plyne v praxi

Strážce přístupu. Popis a jeho audit sestavujte podle šablony Komise a popis i stručné informace aktualizujte nejméně jednou ročně. Nepředloží-li strážce přístupu popis úmyslně nebo z nedbalosti, nebo předloží-li popis nesprávný, neúplný či zavádějící, hrozí mu pokuta nepřesahující 1 % celkového celosvětového obratu za předchozí účetní období (čl. 30 odst. 3 písm. d)).

Spotřebitelská organizace nebo konkurent. Stručné informace jsou veřejné. Auditovaný popis sám veřejný není, Komise ho předává Evropskému sboru pro ochranu osobních údajů.

Z judikatury

Předseda Tribunálu, T-1077/23 R, Bytedance v. Komise, usnesení ze dne 9. 2. 2024: odst. 1 zveřejnění auditovaného popisu nevyžaduje, přehled podle odst. 3 může být shrnutím, ze kterého lze s oporou v šabloně Komise vypustit i jiné důvěrné informace než obchodní tajemství, a sestavuje ho strážce přístupu (body 23, 26, 28 a 30).

Otevřené otázky

Tady výklad končí a začíná to, na co článek sám neodpovídá.

1. Nezávislost auditora. Čl. 15 žádá jen „nezávislým auditem ověřený popis“ a šablona Komise k tomu přidává prohlášení o zájmech a odkaz na mezinárodně uznávané standardy nezávislosti, které auditor dodržuje (oddíly 3.1 písm. c) a 4.1 písm. a)). Nařízení (EU) 2022/2065 o digitálních službách je u auditu velmi velkých online platforem konkrétnější. Audit tam provádí organizace, která dvanáct měsíců před auditem a po něm neposkytuje auditovanému poskytovateli neauditorské služby týkající se auditovaných záležitostí, neprovádí u něj audit déle než deset po sobě následujících let a neprovádí audit za poplatky závislé na jeho výsledku (čl. 37 odst. 3 písm. a) nařízení (EU) 2022/2065). Domnívám se, že tato kritéria lze u čl. 15 použít jako vodítko, protože auditor, který by je nesplnil, těžko poskytne nezávislé ověření, na němž stojí účel podle bodu 72 odůvodnění.