Nařízení (EU) 2022/2065 (akt o digitálních službách) · Kapitola III · Povinnosti náležité péče pro transparentní a bezpečné online prostředí
Čl. 37 · Nezávislý audit
Použije se od 17. 2. 2024
Znění
1. Poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů se nejméně jednou ročně na vlastní náklady podrobí nezávislým auditům za účelem posouzení dodržování:
a) povinností stanovených v kapitole III;
b) veškerých závazků přijatých na základě kodexů chování uvedených v článcích 45 a 46 a krizových protokolů uvedených v článku 48.
2. Poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů spolupracují s organizacemi provádějícími audity podle tohoto článku a poskytují jim pomoc nezbytnou k tomu, aby mohly tyto audity provádět účinně, efektivně a včas, mimo jiné tak, že jim umožní přístup ke všem relevantním údajům a prostorám a zodpovídají písemné i ústní otázky. Nesmějí bránit provádění auditu ani je nepřiměřeně ovlivňovat nebo oslabovat.
Informacím získaným v souvislosti s audity od poskytovatelů velmi velkých online platforem a velmi velkých internetových vyhledávačů a třetích stran tyto audity zajistí odpovídající úroveň důvěrnosti a profesního tajemství, a to i po ukončení auditů. Splnění tohoto požadavku však nesmí nepříznivě ovlivnit provádění auditů ani jiných ustanovení tohoto nařízení, zejména ustanovení o transparentnosti, dohledu a vymáhání. Je-li to nezbytné pro účely podávání zpráv o transparentnosti podle čl. 42 odst. 4, přiloží se ke zprávě o auditu a zprávě o provádění auditu podle odstavců 4 a 6 tohoto článku verze, které neobsahují žádné informace, jež by mohly být důvodně považovány za důvěrné.
3. Audity podle odstavce 1 provádějí organizace, které:
a) jsou nezávislé na dotčeném poskytovateli velmi velkých online platforem nebo velmi velkých internetových vyhledávačů a na jakékoli právnické osobě, která je s ním propojená, a nejsou s nimi ve střetu zájmů; zejména:
i) v období dvanácti měsíců před zahájením auditu neposkytly dotčenému poskytovateli velmi velké online platformy nebo velmi velkého internetového vyhledávače ani jakékoli právnické osobě, která je s ním propojená, žádné neauditorské služby týkající se auditovaných záležitostí a zavázaly se, že takové služby neposkytnou ani během dvanácti měsíců následujících po dokončení auditu;
ii) neposkytují již dotčenému poskytovateli velmi velké online platformy nebo velmi velkého internetového vyhledávače ani jakékoli právnické osobě, která je s ním propojená, auditorské služby podle tohoto článku po dobu delší než deset po sobě následujících let;
iii) neprovádějí audit za poplatky, které jsou závislé na výsledku auditu;
b) mají prokázané odborné znalosti v oblasti řízení rizik, technickou způsobilost a kapacity;
c) mají prokázanou objektivitu a profesní etiku, jež vychází zejména z dodržování profesních kodexů nebo vhodných norem.
4. Poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů zajistí, aby organizace, které audity provádějí, vyhotovily pro každý audit zprávu o auditu. Uvedená zpráva musí být odůvodněna a vyhotovena písemně a musí obsahovat alespoň:
a) název, adresu a kontaktní místo poskytovatele velmi velké online platformy nebo velmi velkého internetového vyhledávače, kterého se audit týká, a kontrolované období;
b) název a adresu organizace nebo organizací provádějících audit;
c) prohlášení o zájmech;
d) popis konkrétních kontrolovaných prvků a použité metodiky;
e) popis a shrnutí hlavních zjištění vyplývajících z auditu;
f) seznam třetích stran, které byly v rámci auditu konzultovány;
g) výrok auditora ohledně toho, zda poskytovatel velmi velké online platformy nebo velmi velkého internetového vyhledávače, kterého se audit týká, plnil povinnosti a závazky uvedené v odstavci 1, a to kladný, kladný s připomínkami, nebo záporný;
h) není-li výrok auditora kladný, operativní doporučení týkající se konkrétních opatření k dosažení souladu a doporučený časový rámec k dosažení souladu.
5. Pokud nebyla organizace provádějící audit schopna provést audit určitých konkrétních prvků nebo vydat na základě svých šetření výrok auditora, zahrne zpráva o auditu vysvětlení okolností a důvodů, proč zmíněné prvky nemohly být předmětem auditu.
6. Poskytovatelé velmi velkých online platforem nebo velmi velkých internetových vyhledávačů, kteří obdrží zprávu o auditu, jež není kladná, náležitě zohlední jim určená operativní doporučení za účelem přijetí potřebných opatření k jejich provedení. Do jednoho měsíce od obdržení těchto doporučení přijmou zprávu o provedení doporučení auditu, v níž tato opatření uvedou. Pokud operativní doporučení neprovedou, zdůvodní ve zprávě o provedení doporučení auditu, proč tak neučinili, a uvedou veškerá alternativní opatření, která přijali k nápravě zjištěných případů nesouladu.
7. Komisi je svěřena pravomoc přijímat akty v přenesené pravomoci v souladu s článkem 87, kterými doplní toto nařízení stanovením pravidel nezbytných pro provádění auditů podle tohoto článku, zejména pokud jde o nezbytná pravidla týkající se procesních kroků, metodik auditů a šablon pro podávání zpráv o auditech prováděných podle tohoto článku. Tyto akty v přenesené pravomoci zohledňují dobrovolné auditorské standardy uvedené v čl. 44 odst. 1 písm. e).
Znění: nařízení (EU) 2022/2065 tak, jak vyšlo v Úředním věstníku 27. 10. 2022 (Úř. věst. L 277, s. 1). Nařízení nebylo novelizováno a opravy se týkají jiných jazykových znění než češtiny.
Použitelnost
- Odst. 7 se použije už od 16. 11. 2022 (čl. 93 odst. 2 druhý pododstavec).
- Na poskytovatele velmi velkých online platforem a vyhledávačů, u nichž čtyři měsíce od oznámení určení uplynuly před 17. 2. 2024, se nařízení použilo dřív (čl. 92).
Komentář · podbarvené věty jsou názor kurátora
Nezávislý audit plnění povinností nejméně jednou ročně se zprávou a výrokem auditora. Pravidla provádění auditů stanoví nařízení v přenesené pravomoci (EU) 2024/436.
Související ustanovení: čl. 34 až 36 (posouzení a zmírňování rizik, reakce na krize); čl. 41 odst. 3 písm. c) (útvar zajišťování souladu); čl. 42 odst. 4 písm. c) a d) a odst. 5 (předání a zveřejnění zpráv); čl. 44 odst. 1 písm. e) (normy pro audity); čl. 45, 46 a 48 (kodexy chování a krizové protokoly); čl. 75 odst. 2 (audit akčního plánu); čl. 87 (výkon přenesené pravomoci)
Dokumenty k provádění: nařízení Komise v přenesené pravomoci (EU) 2024/436 ze dne 20. 10. 2023, kterým se doplňuje nařízení (EU) 2022/2065 stanovením pravidel provádění auditů pro velmi velké online platformy a velmi velké internetové vyhledávače
Obsah výkladu
I.Předmět, četnost a míra jistoty (odst. 1)1 II.Spolupráce poskytovatele a důvěrnost (odst. 2)4 III.Požadavky na auditora (odst. 3)7 IV.Zpráva o auditu a výrok (odst. 4 a 5)10 V.Zpráva o provedení doporučení (odst. 6)14 VI.Akt v přenesené pravomoci a vymáhání (odst. 7)16I. Předmět, četnost a míra jistoty (odst. 1)
1 Poskytovatelé velmi velkých online platforem a vyhledávačů se nejméně jednou ročně na vlastní náklady podrobí nezávislému auditu. Audit posuzuje dodržování všech povinností kapitoly III, tedy oddílů 1 až 5, a závazků přijatých na základě kodexů chování podle čl. 45 a 46 a krizových protokolů podle čl. 48 (odst. 1).
2 Audit se vztahuje na období, které navazuje na období předchozího auditu (čl. 3 odst. 2 nařízení Komise v přenesené pravomoci (EU) 2024/436). První auditované období začíná čtyři měsíce po oznámení rozhodnutí o určení a zpráva o auditu musí být dokončena nejpozději do jednoho roku od jeho začátku (čl. 3 odst. 3 téhož nařízení). Auditor posuzuje dodržování s přiměřenou mírou jistoty, kterou akt v přenesené pravomoci vymezuje jako „vysoká, nikoli však absolutní míra jistoty“ (čl. 2 bod 13 a čl. 3 odst. 1 téhož nařízení).
3 Audit má zajistit ověření nezávislými odborníky (bod 92 odůvodnění). Auditor může vedle informací od poskytovatele využít i jiné zdroje objektivních informací, včetně studií prověřených výzkumných pracovníků (tamtéž).
II. Spolupráce poskytovatele a důvěrnost (odst. 2)
4 Poskytovatel s auditorem spolupracuje a poskytuje mu pomoc nezbytnou k účinnému a včasnému provedení auditu, mimo jiné mu umožní přístup ke všem relevantním údajům a prostorám a odpovídá na písemné i ústní otázky. Audit nesmí mařit ani nepřiměřeně ovlivňovat nebo oslabovat (odst. 2 první pododstavec). Před prvními auditorskými postupy předá auditorovi popis vnitřních kontrol ke každé auditované povinnosti, případnou vlastní analýzu rizik a informace o rozhodovacích strukturách, informačních systémech a algoritmických systémech (čl. 5 odst. 1 nařízení v přenesené pravomoci (EU) 2024/436). Přístup zahrnuje i osobní údaje, testovací prostředí, zaměstnance a subdodavatele (čl. 5 odst. 2 téhož nařízení).
5 Poskytovatel a auditor uzavřou písemnou dohodu, která obsahuje úplný seznam auditovaných povinností a závazků, odpovědnosti auditora, kontaktní místa, časový rámec a postup řešení sporů. Dohoda se přikládá ke zprávě o auditu (čl. 7 nařízení v přenesené pravomoci (EU) 2024/436).
6 Auditor zachovává důvěrnost a profesní tajemství i po skončení auditu, tento požadavek ale „nesmí nepříznivě ovlivnit provádění auditů ani jiných ustanovení tohoto nařízení, zejména ustanovení o transparentnosti, dohledu a vymáhání“ (odst. 2 druhý pododstavec). Je-li to nezbytné pro účely podávání zpráv o transparentnosti podle čl. 42 odst. 4, přikládají se ke zprávám verze bez informací, které lze důvodně považovat za důvěrné (tamtéž). Záruka důvěrnosti nemá sloužit k obcházení auditních povinností (bod 92 odůvodnění).
III. Požadavky na auditora (odst. 3)
7 Auditor musí být nezávislý na poskytovateli a na právnických osobách s ním propojených a nesmí být ve střetu zájmů (odst. 3 písm. a)). Zejména nesmí v posledních dvanácti měsících před auditem poskytnout neauditorské služby týkající se auditovaných záležitostí a musí se zavázat, že je neposkytne ani dvanáct měsíců po dokončení auditu (bod i)). Nesmí pro téhož poskytovatele provádět audit podle tohoto článku déle než deset po sobě následujících let (bod ii)) a jeho odměna nesmí záviset na výsledku auditu (bod iii)).
8 Auditor musí mít prokázané odborné znalosti v oblasti řízení rizik, technickou způsobilost a kapacity (písm. b)) a prokázanou objektivitu a profesní etiku, vycházející zejména z dodržování profesních kodexů nebo vhodných norem (písm. c)). Bod 92 odůvodnění zdůrazňuje technickou způsobilost ke kontrole algoritmů.
9 Splnění požadavků ověřuje před výběrem auditovaný poskytovatel. Je-li auditor tvořen více právnickými osobami nebo využívá subdodavatele, musí nezávislost a etiku splňovat každá z nich a odbornost všechny společně (čl. 4 nařízení v přenesené pravomoci (EU) 2024/436). Provádí-li audit tatáž organizace jako v předchozím roce, zpráva vysvětlí, jak zajistila objektivitu (čl. 16 odst. 3 téhož nařízení).
IV. Zpráva o auditu a výrok (odst. 4 a 5)
10 Poskytovatel zajistí, aby auditor ke každému auditu vyhotovil odůvodněnou písemnou zprávu (odst. 4). Ta obsahuje alespoň údaje o poskytovateli a kontrolovaném období (písm. a)), o auditorovi (písm. b)), prohlášení o zájmech (písm. c)), popis kontrolovaných prvků a metodiky (písm. d)), shrnutí hlavních zjištění (písm. e)), seznam konzultovaných třetích stran (písm. f)), výrok auditora (písm. g)) a u výroku, který není kladný, operativní doporučení s časovým rámcem (písm. h)).
11 Výrok je kladný, kladný s připomínkami, nebo záporný (odst. 4 písm. g)). Akt v přenesené pravomoci vyžaduje závěr ke každé auditované povinnosti a celkový výrok stanoví mechanicky: kladný jen při kladných závěrech u všech povinností, záporný při alespoň jednom záporném závěru (čl. 8 odst. 1 a 6 nařízení v přenesené pravomoci (EU) 2024/436). Zprávu vypracuje auditor bez zásahu poskytovatele podle šablony v příloze I (čl. 6 odst. 1 téhož nařízení).
12 Auditor nejdřív provede analýzu auditorských rizik, tedy přirozených, kontrolních a zjišťovacích (čl. 9 nařízení v přenesené pravomoci (EU) 2024/436). Auditorské postupy zahrnují testy a analytické postupy včetně algoritmických systémů (čl. 10 odst. 5 téhož nařízení). U povinností zveřejňovat informace posoudí, zda zveřejněné informace nejsou zatíženy významnou chybou nebo opomenutím (čl. 10 odst. 6 téhož nařízení). Vzorek volí bez zásahu poskytovatele tak, aby byl reprezentativní, a v příslušných případech zohlední i nezletilé a zranitelné skupiny (čl. 12 téhož nařízení). Pro audit čl. 34, 35 a 36 stanoví zvláštní metodiky čl. 13 až 15 téhož nařízení.
13 Nemohl-li auditor některé prvky auditovat nebo vydat výrok, zpráva vysvětlí okolnosti a důvody (odst. 5, čl. 8 odst. 8 nařízení v přenesené pravomoci (EU) 2024/436).
V. Zpráva o provedení doporučení (odst. 6)
14 Obdrží-li poskytovatel zprávu, která není kladná, náležitě zohlední operativní doporučení a do jednoho měsíce přijme zprávu o provedení doporučení auditu. Neprovede-li některé z operativních doporučení, zdůvodní to a uvede alternativní opatření k nápravě nesouladu (odst. 6). Zpráva se vypracuje podle šablony v příloze II aktu v přenesené pravomoci (čl. 6 odst. 2 nařízení v přenesené pravomoci (EU) 2024/436).
15 Obě zprávy poskytovatel předává orgánům a zveřejňuje podle čl. 42 odst. 4 písm. c) a d) (výklad u čl. 42, bod 8). Dodržení čl. 37 v předchozím roce posuzuje následující audit (čl. 16 odst. 1 nařízení v přenesené pravomoci (EU) 2024/436).
VI. Akt v přenesené pravomoci a vymáhání (odst. 7)
16 Na základě odst. 7 přijala Komise nařízení v přenesené pravomoci (EU) 2024/436, které je v platnosti od 22. 2. 2024. Stanoví procesní kroky, metodiky a šablony zpráv a má zohledňovat dobrovolné auditorské normy podle čl. 44 odst. 1 písm. e) (odst. 7).
17 U kodexů chování auditor posuzuje zejména měření klíčových ukazatelů výkonnosti dohodnutých v kodexu a přesnost vykázaných údajů (čl. 17 odst. 2 nařízení v přenesené pravomoci (EU) 2024/436). Dodržování revidovaného kodexu proti nezákonným nenávistným projevům a kodexu proti dezinformacím je součástí ročního auditu (tiskové zprávy IP/25/300 ze dne 20. 1. 2025 a IP/25/505 ze dne 13. 2. 2025).
18 Na dodržování článku dohlíží výlučně Komise (čl. 56 odst. 2). Zprávy o auditu jsou pro ni i podkladem k vyšetřování, například řízení vůči platformám s pornografickým obsahem Komise zahájila mimo jiné na základě zpráv o posouzení rizik a o auditu z června a prosince 2024 (tisková zpráva IP/25/1339 ze dne 27. 5. 2025). Akční plán podle čl. 75 musí obsahovat závazek nezávislého auditu jeho provádění (čl. 75 odst. 2).
Příklady
Případy jsou konstruované, žádný z nich soud nerozhodl.
1. Poradce jako auditor. Auditorská společnost v posledním roce radila velmi velké platformě s nastavením moderování obsahu. Audit této platformy provádět nesmí, protože v posledních dvanácti měsících poskytla neauditorskou službu týkající se auditovaných záležitostí (odst. 3 písm. a) bod i)).
2. Odepřený přístup. Poskytovatel auditorovi neumožní otestovat doporučovací systém v testovacím prostředí. Auditor ve zprávě vysvětlí, proč tento prvek auditovat nemohl (odst. 5). Poskytovatel porušil povinnost spolupracovat (odst. 2).
3. Záporný závěr. Audit dospěje k zápornému závěru u mechanismu oznamování podle čl. 16. Celkový výrok je záporný. Poskytovatel do měsíce přijme zprávu o provedení doporučení a uvede, jak a do kdy mechanismus upraví (odst. 6).
Co z toho plyne v praxi
Poskytovatel. Auditora vybírejte s předstihem a nezávislost ověřte za celou skupinu včetně poradenských zakázek za posledních dvanáct měsíců. Ke každé povinnosti kapitoly III mějte zdokumentované vnitřní kontroly a ukazatele, auditor z nich vychází. Obdržíte-li zprávu o auditu, která není kladná, přijměte do jednoho měsíce zprávu o provedení doporučení auditu (odst. 6). Doporučení provádějte v časovém rámci, který auditor doporučil (odst. 4 písm. h)), a neprovedete-li některé z nich, zdůvodněte to a uveďte alternativní opatření.
Auditor. Postupujte podle aktu v přenesené pravomoci: analýza auditorských rizik, testy včetně algoritmických systémů, reprezentativní vzorek volený bez zásahu poskytovatele a závěr ke každé povinnosti. Dbejte na pravidlo deseti let a dvanáctiměsíční lhůty u neauditorských služeb.
Z judikatury
Samostatně soudy Unie čl. 37 dosud nevykládaly. Tribunál povinnost podrobit se na vlastní náklady nezávislému auditu zahrnul do přezkumu povinností podle čl. 34 až 43 a dospěl k závěru, že čl. 33 odst. 1, který je velmi velkým online platformám ukládá, neporušuje svobodu podnikání (rozsudek Tribunálu ze dne 19. 11. 2025, Amazon EU v. Komise, T-367/23, EU:T:2025:1038, body 52 až 54 a 121).
Otevřené otázky
Tady výklad končí a začíná to, na co článek sám neodpovídá.
1. Význam výroku auditora. Domnívám se, že výrok auditora Komisi neváže a sám o sobě porušení nařízení neprokazuje, protože o nesouladu rozhoduje Komise (čl. 73). Kladný výrok proto poskytovatele neochrání, pokud Komise dojde k jinému závěru, záporný výrok je ale pro ni důležitým podkladem.
2. Audit povinností, nad kterými dohlíží členský stát. Audit pokrývá celou kapitolu III, tedy i povinnosti mimo oddíl 5, u nichž může působit i koordinátor v zemi usazení (čl. 56 odst. 4). Podle mého názoru zprávy o auditu může koordinátor využít jako podklad, protože je od poskytovatele dostává (čl. 42 odst. 4).