Soudní dvůr Evropské unie v rozsudku C-205/25 (Lindenberg v Bayerisches Landesamt für
Datenschutzaufsicht) ze dne 05.11.2026 rozhodl, že úřady pro ochranu osobních údajů jsou
správci osobních údajů v situaci, kdy vyřizují stížnost subjektu osobních údajů. Případ se týká
bavorského novináře Joachima Lindenberga, který podal stížnost u bavorského úřadu na ochranu
osobních údajů vůči třetí osobě. Úřad tuto stížnost vyřídil, ovšem když novinář požádal úřad o
přístup ke svým osobním údajům v souladu s článkem 15 GDPR, žádost byla odmítnuta
s odkazem na bavorský zákon o ochraně osobních údajů, který zakazuje jakýkoliv přístup ke
spisům a záznamům dozorových úřadů a nahlížení do nich.
Spor se nakonec dostal až před SDEU, kterému byly položeny dvě předběžné otázky: 1) Zda je
dozorový úřad v rámci stížnosti dle čl. 77 GDPR zároveň správcem osobních údajů stěžovatele,
2) Pokud ano, zda bavorský zákon o ochraně osobních údajů odporuje právu EU.
K první otázce SDEU rozhodl, že dozorové úřady se považují za správce osobních údajů
stěžovatelů v rámci řízení o stížnosti proti třetím osobám. Soud je toho názoru, že z pravomocí,
které jsou úřadu přiznány unijním právem, vyplývá, že dozorový úřad, jemuž byla podána stížnost,
je sám povinen zpracovávat osobní údaje stěžovatele jakožto subjektu údajů. V tomto rámci jsou
totiž takové údaje tímto úřadem zaznamenány, prohlíženy, ukládány a používány. Není možné,
aby bylo striktně rozlišováno mezi postavením úřadu jako dozorového orgánu na jedné straně a
správcem na straně druhé. Úřad může za určitých okolností současně splňovat podmínky
požadované k tomu, aby mohl být považován za dozorový orgán i správce zároveň. V souladu
s tímto je poté úřad povinen poskytnout stěžovatelům právo na přístup k osobním údajům. Článek
15 GDPR má za cíl zajistit transparentnost, bez níž by se subjekt údajů nemohl ujistit, že jeho
osobní údaje jsou správné a zpracovávány zákonným způsobem.
K druhé otázce, tedy zda je ustanovení bavorského zákona o ochraně osobních údajů v rozporu
s právem EU soud uvedl, že právo na ochranu osobních údajů je jistě důležité, ale není právem
absolutním. Není tedy možné, aby subjektu osobních údajů bylo odepřeno poskytnutí všech
informací, jak stanoví bavorský zákon. Omezení článku 15 GDPR je sice možné, ale pouze pokud
takové omezení respektuje podstatu základních práv a svobod a představuje nezbytné a přiměřené
opatření k zajištění ochrany práv a svobod druhých. V případě rozporu mezi výkonem práva na
přístup k osobním údajům na straně jedné a právy nebo svobodami jiných osob na straně druhé je
třeba dotčená práva a svobody vyvážit. Bavorský zákon je tedy dle soudu v rozporu s právem EU.