ECLI:CZ:NSS:2013:7.AS.150.2012:35
sp. zn. 7 As 150/2012 - 35
ROZSUDEK
Nejvyšší správní soud rozhodl v senátě složeném z předsedy JUDr. Jaroslava Hubáčka
a soudců JUDr. Elišky Cihlářové a JUDr. Karla Šimky v právní věci žalobce: Česká republika –
Generální finanční ředitelství, se sídlem Lazarská 15/7, Praha 1, proti žalovanému: Úřad
pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, Praha 7, v řízení o kasační stížnosti
žalobce proti rozsudku Městského soudu v Praze ze dne 8. 8. 2012, č. j. 10 A 46/2010 – 62,
takto:
I. Kasační stížnost se zamítá .
II. Žádný z účastníků nemá právo na náhradu nákladů řízení.
Odůvodnění:
Včas podanou kasační stížností se žalobce Česká republika – Generální finanční
ředitelství domáhá u Nejvyššího správního soudu vydání rozsudku, kterým by byl zrušen
rozsudek Městského soudu v Praze (dále také „městský soud“) ze dne 8. 8. 2012,
č. j. 10 A 46/2010 – 62, a věc vrácena tomuto soudu k dalšímu řízení.
Tímto rozsudkem byla zamítnuta žaloba původně podaná Českou republikou –
Ministerstvem financí proti rozhodnutí předsedy žalovaného ze dne 21. 12. 2009,
zn. SPR-4263/09-20, o zamítnutí jeho rozkladu proti rozhodnutí žalovaného ze dne 30. 9. 2009,
zn. SPR-4263/09-13, o uložení pokuty ve výši 350.000 Kč za správní delikt dle ust. §45 odst. 1
písm. h) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů,
ve znění účinném do 31. 12. 2009 (dále jen „ZOOÚ“).
Působnost Ministerstva financí jakožto správce, resp. zpracovatele osobních údajů
v rámci automatizovaného daňového informačního systému „ADIS“ v průběhu řízení o žalobě
(v důsledku účinnosti zákona č. 199/2010 Sb.) přešla na Generální finanční ředitelství. Jako
se žalobcem proto bylo v řízení před městským soudem posléze jednáno s Českou republikou –
Generálním finančním ředitelstvím.
I. Napadený rozsudek
Městský soud v napadeném rozsudku odkázal na čl. 1 a 17 a bod 46 preambule směrnice
Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti
se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „směrnice
95/46/ES“). Účelem zákona o ochraně osobních údajů, shodným s cíli směrnice 95/46/ES, je
ochrana jednotlivců v souvislosti se zpracováním jejich osobních údajů. Za tímto účelem jsou
správci ukládány povinnosti při zabezpečení zpracování těchto údajů. Zabezpečeno má být
jakékoli nakládání s osobními údaji zahrnované pod pojem zpracování (“processing“). Cílem právní
úpravy v této oblasti je ochrana osob ve vztahu ke zpracování osobních údajů, resp. naplnění
jejich práva na ochranu před neoprávněným zasahováním do jejich soukromí v souvislosti
se zpracováváním osobních údajů, nikoli ochrana údajů sama o sobě. Rovněž povinnost
zabezpečení se netýká údajů samotných, nýbrž celé škály úkonů zahrnovaných pod zákonný
pojem zpracování. Zabezpečení osobních údajů ve smyslu ust. §13 ZOOÚ není činností
zahrnovanou pod pojem zpracování osobních údajů dle §4 písm. e) ZOOÚ.
Ust. §3 odst. 6 ZOOÚ stanoví výjimku pro zpracování osobních údajů, kterou je nutno
vykládat restriktivně. Tato výjimka nepředstavuje vynětí orgánů daňové správy z působnosti
ZOOÚ. Znamená, že správce (či zpracovatele) osobních údajů výjimečně nezavazují pouze
ust. §5 odst. 1 a §11 a §12 ZOOÚ pro zpracování osobních údajů nezbytných pro plnění
povinností správce, a to v případě, kdy jedná v zájmu zajištění např. významného finančního
interesu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny,
fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření.
I v případech, kdy žalobce zpracovává osobní údaje nezbytné pro plnění povinností stanovených
touto výjimkou dle §3 odst. 6 ZOOÚ, a kdy není vázán jen ust. §5 odst. 1 a §11 a §12 ZOOÚ ,
je vázán ust. §13 ZOOÚ. Vztažení výjimky pro zpracování osobních údajů na správu daní
ve smyslu „běžné“ činnosti (jakékoli „daňové“ opatření) by bylo proti smyslu „správy daní“, jak
je tento institut vymezen v ust. §1 odst. 2 zákona č. 280/2009 Sb., daňový řád, ve znění
pozdějších předpisů (dále jen „daňový řád“). Čl. 13 směrnice 95/46/ES nezavazuje přijmout
legislativní opatření s cílem omezit ve vyjmenovaných oblastech rozsah práv a povinností
uvedených v jejím čl. 17 (Bezpečnost zpracování). Ani z důvodové zprávy k zákonu
č. 439/2004 Sb. není možno dovodit, že výjimka daná ust. §3 odst. 6 ZOOÚ znamená vyloučení
aplikace celého zákona (včetně ust. §13).
Městský soud neshledal opodstatněnou námitku, že daňový řád jako procesní právní
předpis pro správu daní a zákon č. 531/1990 Sb., o územních finančních orgánech, představují
speciální právní předpis s autonomní úpravou ochrany osobních údajů. Tyto zákony neobsahují
autonomní celistvou právní úpravu pro zpracování osobních údajů v oblasti daňové správy
s cílem ochrany jednotlivce, a nemohou tak vyloučit aplikaci obecné úpravy, kterou představuje
ZOOÚ. Zakotvení toliko povinnosti mlčenlivosti a sankce za její nedodržení nemohou
garantovat samy o sobě vyšší ochranu zpracovávaným osobním údajům, nahrazující či dokonce
přesahující rámec vymezený pravidly pro zpracování osobních údajů ZOOÚ. Povinnost
mlčenlivosti je upravena jak v obecném předpise pro správní řízení (zákon č. 500/2004 Sb.,
správní řád), tak i v řadě dalších předpisů upravujících konkrétní oblasti veřejné, resp. státní
správy.
Z podkladů, jichž se žalobce dovolává nelze jen proto, že je v nich užit pojem „opatření“,
dovozovat, že na žalobce nedopadají povinnosti ust. §13 ZOOÚ, resp. že výjimka zakotvená
v §3 odst. 6 písm. f) či g) ZOOÚ pod pojmem „daňová opatření“ rozumí správu daní jako
takovou. Žalobce pomíjí, že musí jít o „opatření“ zajišťující významný finanční zájem České
republiky či Evropské unie.
Původně obecná úprava §13 ZOOÚ doznala změny, a kromě ustanovení odst. 3 byla
výslovně v odst. 4 stanovena pro případ automatizovaného zpracování osobních údajů vedle
opatření podle odst. 1 obecně vymezených konkrétně také povinnost mj. pořizovat elektronické
záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje
zaznamenány nebo jinak zpracovány. V případě automatizovaného zpracování osobních údajů již
není ponecháno úvaze správce, jako u volby opatření podle odst. 1, jaké konkrétní technické či
organizační opatření provede, aby zajistil vyloučení rizik dle odst. 3. Je zde přímo založena
povinnost správce, aby systém pro automatizované zpracování osobních údajů zaznamenával,
kdy, kým a z jakého důvodu byly osobní údaje do něj vloženy a jinak zpracovány. Volba tohoto
prostředku tak není již ponechána na úvaze konkrétního správce o vyhodnocení rizik, ale jde
o prostředek, který v případě automatizovaného zpracování osobních údajů představuje určitý
standard, požadovaný zákonem od všech adresátů právní normy, zpracovávají-li osobní údaje
automatizovaně. Z čl. 17 směrnice 95/46/ES vyplývá, že členským státům bylo ponecháno
vymezení povinností, jimiž správce zaváže, s přihlédnutím ke stavu techniky a nákladům
na provedení tak, aby opatření zajistila přiměřenou úroveň bezpečnosti odpovídající rizikům.
Pro automatizované zpracování osobních údajů představuje uvedený požadavek s ohledem
na stav techniky a náklady standard. Městský soud neshledal, že by při zpracování osobních údajů
v rámci správy daní daňové orgány měly či mohly být takto stanovené povinnosti zproštěny.
Důvodnou není ani námitka, že jsou dány předpoklady pro zánik odpovědnosti za správní
delikt dle §46 odst. 1 ZOOÚ. Požadavek vynaložení veškerého úsilí k zabránění porušení právní
povinnosti předpokládá aktivní konání osoby v případech, kdy dodržení právní povinnosti z jeho
strany je ohroženo okolnostmi na jeho vůli či jednání nezávislými. Porušení právní povinnosti tak
bezprostředně hrozí či již nastává a adresát povinnosti učiní veškeré konkrétní dostupné a možné
kroky k tomu, aby hrozbu odvrátil, a své povinnosti dostál. Žalobce se nedovolává žádných svých
konkrétních kroků či úsilí, které vynaložil v zájmu splnění uvedené zákonné konkrétní
povinnosti. Odvolává se toliko na právní úpravu mlčenlivosti v daňovém řádu a tvrdí,
že automatizovaný systém ADIS jako takový představuje míru úsilí, kterou lze po něm
požadovat. Kontrolou provedenou u žalobce však bylo zjištěno, že jím provozovaný systém
ADIS není nastaven tak, aby pořizoval auditní záznamy, jak je v ust. §13 odst. 4 písm. c) ZOOÚ
požadováno. Žádné kroky, které žalobce učinil k tomu, aby tento systém plnil i uvedený zákonný
požadavek, ze spisu neplynou a žalobce se jich také nedovolává.
Městský soud z uvedených důvodů žalobu jako nedůvodnou zamítl.
II. Kasační stížnost
Proti tomuto rozsudku městského soudu podal žalobce jako stěžovatel (dále jen
„stěžovatel“) v zákonné lhůtě kasační stížnost, kterou výslovně opřel o ustanovení §103 odst. 1
písm. a) s. ř. s.
Stěžovatel v kasační stížnosti namítl, že ust. §13 ZOOÚ je implementováno do českého
právního řádu na základě směrnice 95/46/ES. Je třeba odlišovat povinnost členského státu
provést směrnici a uložení povinnosti členskému státu, resp. jeho organizační jednotce provést
určitá opatření proti neoprávněnému nebo nahodilému přístupu k osobním údajům v rámci
automatizovaných informačních systémů. Pokud je povaha ust. §13 odst. 1 a 4 písm. c) ZOOÚ
preventivní, je třeba při ukládání povinností vyjít ze znění ZOOÚ a směrnice 95/46/ES (čl. 17
odst. 1 transponovaný do ust. §13 odst. 1 ZOOÚ). Při volbě postupů a opatření ve vnitrostátním
právním předpisu k zajištění účelu a smyslu směrnice se na základě principu proporcionality musí
poměřovat na jedné straně stav techniky, náklady na provedení příslušných opatření i přiměřená
úroveň bezpečnosti odpovídající rizikům zpracování a povaze údajů, na druhé straně i samotné
preventivní funkce opatření. Tato interpretace odráží obecný princip, že primárním prostředkem
ochrany před nezákonným zásahem je především jeho prevence, ovšem s přihlédnutím k povaze
každého konkrétního případu. Před novelizací zákonem č. 170/2007 Sb. byly povinnosti správce
nebo zpracovatele upraveny relativně neurčitě, kdy bylo na nich, aby sami zhodnotili rizika
při zpracování osobních údajů. Důvodem byla ta skutečnost, že podmínky zpracování osobních
údajů se u každého správce nebo zpracovatele natolik liší, že jakákoli paušalizace by nebyla
efektivní. Technická a organizační opatření volil správce nebo zpracovatel dle úvahy limitované
účelem tohoto ustanovení a čl. 17 směrnice 95/46/ES. Stanovení limitů povinností dle čl. 17 této
směrnice je nutné vykládat i s přihlédnutím k jejímu bodu 46 preambule. Z uvedeného limitu
vyplývá, že se musí podrobit testu proporcionality odpovídající bezpečnostní opatření zabraňující
neoprávněnému zpracování osobních údajů a náklady na jejich provedení, míra rizika
ze zpracování údajů, povaha údajů a procesy, které se k nim váží. Rizikovost procesů je snížena
technickými opatřeními, kdy je dána úzká souvislost mezi konkrétním daňovým subjektem
a konkrétní úřední osobou spravující jeho daň. Je třeba mít dále na zřeteli specifika systému
ADIS i samotné správy daní. Opatření dle §13 odst. 4 písm. c) ZOOÚ by mohlo vést
ke zpomalení systému, aniž by současně přineslo odpovídající snížení míry bezpečnostního rizika,
přičemž vytvoření nového systému by s sebou neslo značné náklady. Pokud český zákonodárce
nepromítl limit aplikace čl. 17 směrnice 95/46/ES, jedná se o porušení povinnosti transponovat
směrnici jednotně ve všech členských státech. První věta čl. 17 se jeví spíše obecná. Členský stát
může přijmout podrobnější úpravu, ale nemůže netransponovat obecně vyjádřené limity ve větě
druhé, jež se vztahují jak k poměřování povinnosti vycházející explicitně z čl. 17 směrnice, tak
i jeho konkretizování (návod) ve vnitrostátním právním předpise. Tímto je totiž explicitním
jazykovým výkladem české právní normy v rozporu se směrnicí 95/46/ES rozšířena povinnost
pro všechny správce a zpracovatele, nezávisle na jejich veřejnoprávní nebo soukromoprávní
povaze.
Přímý účinek směrnice 95/46/ES vede k jejímu použití namísto chybějícího ustanovení,
které by zakládalo limity povinnosti správce nebo zpracovatele dle §13 odst. 1 ZOOÚ.
Podmínky jasnosti, přesnosti i úplnosti a bezpodmínečnosti evropské normy jsou splněny. Jsou
splněny i specifické podmínky pro přímý účinek směrnice: marné uplynutí lhůty k řádné
implementaci, nedochází k přímému uložení povinnosti, zlepšení právního postavení aktivně
legitimovaných přímých či nepřímých beneficiantů směrnice (z hlediska věty druhé čl. 17
směrnice 95/46/ES je beneficiantem správce nebo zpracovatel). Při interpretaci ust. §13 ZOOÚ
je tudíž třeba aplikovat přímý účinek čl. 17 věty druhé směrnice 95/46/ES. Správní orgán
dohledu i soudní orgán je povinen aplikovat i směrnicí stanovené limity.
Přijetím zákona č. 170/2007 Sb. byly do ust. §13 ZOOÚ zařazeny odst. 3 a 4, které měly
doplnit a upřesnit jeho odst. 1 s tím, že povinnost správce a zpracovatele zůstala i dle důvodové
zprávy stejná. Ust. §13 odst. 4 ZOOÚ jen návodně upřesňuje obecnou povinnost správce nebo
zpracovatele, což potvrzuje i odborná literatura. Opatření mohou být technická, organizační,
právní a jiná. Organizačně-právním opatření, jež má preventivně působit na úřední osoby a tím
jim zabraňovat v neoprávněném zpracování osobních údajů, je v prvé řadě povinnost
mlčenlivosti stanovená v ust. §52 odst. 1 daňového řádu. Porušením této povinnosti, která má
stejný charakter i účel jako povinnost dle §13 odst. 1 ZOOÚ a kterou i doplňuje a rozvíjí,
se úřední osoba vystavuje přestupkovému řízení s možnou pokutou až 500.000 Kč. Takovou
úpravu lze chápat jako velmi přísnou, tedy z hlediska prevence velmi účinnou. Nadto je každý
zaměstnanec o této povinnosti a možných následcích poučen. Stěžovatel dále konkretizoval
technická opatření, jež zabraňují v přístupu jakékoli úřední osoby ke všem údajům v systému
ADIS, přiblížil přihlašování do systému, přidělování přístupového práva a určování jeho rozsahu
a uzavřel, že je ve stávajícím stavu systému ADIS ve spojení s organizačními i technickými
opatřeními daňové správy možné s relativně vysokou mírou pravděpodobnosti zjistit,
která úřední osoba mohla neoprávněně zpracovávat osobní údaje.
V ust. §3 odst. 6 ZOOÚ je mezi oblastmi, na které se povinnosti správce uvedené v §5
odst. 1 a §11 a §12 nevztahují, uvedena i oblast správy daní. Uvedené povinnosti správce
osobních údajů se neaplikují v případě významného finančního zájmu České republiky nebo
Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu
a platebního styku, jakož i rozpočtová a daňová opatření. Z důvodové zprávy vyplývá,
že původní znění neodpovídalo znění směrnice 95/46/ES. Demonstrativním výčtem právních
předpisů, uvedeným v poznámce pod čarou, jsou do jisté míry stanoveny okruhy činností,
jež mají výjimku z uvedených povinností. Pro správu daní je zde uveden zákon č. 212/1992 Sb.,
o soustavě daní, ve znění zákona č. 302/1993 Sb., přičemž tento byl s účinností k 1. lednu 2004
zrušen. I tak je ale jednoznačně dána výjimka pro správu daní a její jednotlivá daňová řízení
(daňová opatření). Pojem „daňová opatření“ je třeba vyložit s ohledem na jeho běžné použití
v českých právních předpisech. Jde o každé individuální rozhodnutí v daňové oblasti. To vyplývá
z ust. §1 odst. 2 zákona č. 337/1992 Sb. Stejně tento pojem vyložil i Evropský soud pro lidská
práva ve věci Hozen proti Nizozemsku. Vzhledem k ust. §5 odst. 1 ZOOÚ, který uvozuje
systematicky Hlavu II ZOOÚ pojednávající o právech a povinnostech při zpracování osobních
údajů, je dána výjimka i v oblasti zaznamenávání logů, protože vysvětlení povinnosti dle §13
odst. 1 ZOOÚ je třeba chápat jako součást obecné povinnosti správce dle §5 odst. 1 ZOOÚ,
zejm. pod písm. b).
Nastíněná interpretace §13 odst. 4 písm. c) ZOOÚ odpovídá i konstrukci správního
trestání žalovaným. Ust. §44 odst. 2 písm. h) a §45 odst. 1 písm. h) ZOOÚ umožňují trestat
osobu, pokud nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních
údajů dle §13 ZOOÚ. Nedodržení podmínek uvedených v §13 odst. 2, 3, 4 ZOOÚ nejsou
samostatné skutkové podstaty. Tyto podmínky pouze rozvíjí, doplňují či poskytují návod
k dodržení povinnosti v ust. §13 odst. 1 ZOOÚ. Výrok rozhodnutí žalovaného je nepřesný,
neboť je zde uvedeno porušení povinnosti dle §13 odst. 1 ZOOÚ v souběhu s porušením
povinnosti dle §13 odst. 4 písm. c) ZOOÚ. Správnímu orgánu je dána pravomoc sankcionovat
nesplnění povinností stanovených zákonem pouze k celému ustanovení §13. Nemůže se proto
hledět na nesplnění povinnosti pořizovat logy tak, že toto vždy vede ke vzniku správní
odpovědnosti. Žalovaný nepřípustně rozšířil skutkovou podstatu dle §45 odst. 1 písm. h) ZOOÚ
i na jednotlivé jím tvrzené pochybení stěžovatele.
Stěžovatel vyložil důvody, pro které lze dojít k závěru, že vynaložil veškeré úsilí,
které bylo možno požadovat, aby porušení právní povinnosti zabránil (např. přísná úprava
mlčenlivosti, omezený přístup úředních osob do systému ADIS). Liberace z odpovědnosti
za správní delikt velmi úzce souvisí i s limity stanovenými v čl. 17 směrnice 95/46/ES. Vzhledem
k tomu, že se městský soud touto skutečností nezabýval, je v této části napadený rozsudek nejen
nezákonný, ale i nepřezkoumatelný.
S ohledem na výše uvedené stěžovatel navrhl, aby Nejvyšší správní soud napadený
rozsudek zrušil, a věc vrátil městskému soudu k dalšímu řízení.
III. Vyjádření žalovaného
Žalovaný ve svém vyjádření ke kasační stížnosti uvedl, že ZOOÚ byl do českého
právního řádu implementován také na základě směrnice 95/46/ES, nicméně povinnost zajistit
vysokou úroveň ochrany osobních údajů České republice ukládá již Úmluva ETS č. 108,
o ochraně osob se zřetelem na automatizované zpracování osobních údajů, přijatá
dne 28. ledna 1981 ve Štrasburku. Vzhledem k bodu 2 preambule a čl. 1 směrnice 95/46/ES je
tato směrnice prostředkem ochrany základních práv a svobod fyzických osob, zejména jejich
soukromí v souvislosti se zpracováním osobních údajů, a beneficientem práv ze směrnice jsou
tedy fyzické osoby (subjekty údajů). Podle bodu 10 preambule implementace směrnice nesmí vést
k oslabení této ochrany. Podle čl. 5 je úkolem příslušného státu upřesnit podmínky, za kterých je
zpracování osobních údajů přípustné, a stanovit též povinnosti týkající se bezpečnosti zpracování
osobních údajů, jak je vymezuje čl. 17. Druhá věta čl. 17 směrnice 95/46/ES stanoví, jakého
cílového stavu má být prostřednictvím příslušných opatření dosaženo, a to s ohledem na zde
vyjmenované aspekty. Nejedná se o stanovení limitů v rámci bezpečnostních opatření, případně
o úlevy pro beneficienta směrnice, za kterého se bezdůvodně považuje sám stěžovatel. V souladu
s uvedenými ustanoveními směrnice zákonodárce zakotvil obecnou povinnost přijímat opatření
k zabezpečení osobních údajů (§13 odst. 1 ZOOÚ) a dále určil, jaká rizika musí být předmětnými
opatřeními zohledněna (§13 odst. 3 ZOOÚ). V ust. §13 odst. 4 ZOOÚ výslovně nařídil, jaká
opatření musí být provedena. Povinnost uložená v §13 odst. 4 písm. c) ZOOÚ zvyšuje standard
bezpečnosti zpracování osobních údajů. Plněním této povinnosti je umožňováno přímo
identifikovat osoby mající přístup k osobním údajům a tedy identifikovat i původce případného
narušení bezpečnosti zpracování osobních údajů. Značná část narušitelů bezpečnosti zpracování
osobních údajů pochází z řad zaměstnanců správce, případně zpracovatele osobních údajů.
Zakotvení tohoto ustanovení svědčí o vysokém stupni implementace směrnice. Ze samotné dikce
návětí §13 odst. 4 ZOOÚ („povinen také“) je evidentní, že má kogentní povahu a není
ustanovením, které jen návodně upřesňuje obecnou povinnost správce nebo zpracovatele
s přihlédnutím k rozumným a pro konkrétní případ efektivním opatřením. Závaznost povinností
podle tohoto ustanovení potvrzuje i odborná literatura.
Z ust. §3 odst. 6 ZOOÚ je především zřejmé, že výjimky nezahrnují správu daní jako
takovou, ale pouze určité její části. Významnějším je, že předmětné výjimky zahrnují pouze určitá
výslovně uvedená ustanovení ZOOÚ, a nikoliv povinnosti podle §13. Povinnosti stanovené
v ust. §5 odst. 1 a §13 ZOOÚ se týkají problematiky zpracování osobních údajů a patří mezi
klíčové, což je logickým důvodem pro jejich zařazení do Hlavy II. Nicméně jsou obsahově
rozdílné a plnění povinnosti podle §13 ZOOÚ nelze chápat jako neoddělitelnou součást
povinností zakotvených v §5 odst. 1 ZOOÚ. Čl. 13 směrnice 95/46/ES vůbec nepřipouští
výjimku z povinnosti zajistit bezpečnost zpracování podle čl. 17.
Relevantní daňové předpisy nezakotvují žádnou povinnost při zabezpečení osobních
údajů korespondující s povinnostmi podle §13 ZOOÚ. Za takovou povinnost nelze považovat
povinnost mlčenlivosti ani přidělování přístupových práv úředním osobám (to koresponduje
pouze s povinností dle §13 odst. 4 písm. a) ZOOÚ). Účelem povinnosti dle ust. §13 odst. 4
písm. c) ZOOÚ je přímo identifikovat osobu, která mohla neoprávněně zpracovávat osobní údaj,
a ověřit její jednání.
Námitka, že žalovaný nemohl na základě ust. §45 odst. 1 písm. h) ZOOÚ sankcionovat
stěžovatele za porušení ust. §13 odst. 4 písm. c) ZOOÚ, je novou skutečností. Tuto skutečnost
stěžovatel neuplatnil v žalobě, a proto je tento bod nepřípustný. Je však také nedůvodný,
neboť skutková podstata správního deliktu zahrnuje nepřijetí opatření k zajištění bezpečnosti
zpracování, což stěžovatel naplnil. Odkaz na ust. §13 odst. 1 ZOOÚ nemá normativní charakter,
významné je slovní vyjádření skutkové podstaty.
Žalovaný dále plně odkázal na odůvodnění správních rozhodnutí, své vyjádření k žalobě
a napadený rozsudek. Zároveň navrhl, aby byl v případě pochybností požádán Soudní dvůr
o rozhodnutí o předběžné otázce ohledně výkladu směrnice. Závěrem navrhl, aby Nejvyšší
správní soud kasační stížnost jako nedůvodnou zamítl.
IV. Posouzení Nejvyšším správním soudem
Nejvyšší správní soud přezkoumal kasační stížností napadený rozsudek městského soudu
v souladu s ustanovením §109 odst. 3 a 4 s. ř. s., vázán rozsahem a důvody, které uplatnil
stěžovatel v podané kasační stížnosti, a dospěl k závěru, že kasační stížnost není opodstatněná.
Nejvyšší správní soud předesílá, že se nemohl zabývat novými důvody, které stěžovatel
neuplatnil v řízení před městským soudem. Takovým novým důvodem je tvrzení stěžovatele,
že žalovaný nepřípustně rozšířil skutkovou podstatu dle §45 odst. 1 písm. h) ZOOÚ
i na jednotlivé jím tvrzené pochybení stěžovatele [dle §13 odst. 4 písm. c) ZOOÚ], ačkoliv mohl
pouze shledat porušení §13 ZOOÚ jako celku. Stěžovateli, respektive jeho procesnímu
předchůdci, přitom objektivně nic nebránilo v tom, aby tento důvod uplatnil již před městským
soudem. Na základě zásady vigilantibus iura scripta sunt lze proto po stěžovateli spravedlivě žádat,
aby nesl nepříznivé následky spojené s neuplatněním uvedeného stížního důvodu již v řízení
o žalobě (k tomu srov. rozsudek Nejvyššího správního soudu ze dne 25. 9. 2008,
č. j. 8 Afs 48/2006 - 155, publikován pod č. 1743/2009 Sb. NSS, či rozsudek Nejvyššího
správního soudu ze dne 22. 9. 2004, č. j. 1 Azs 34/2004 - 49, č. 419/2004 Sb. NSS, všechna zde
citovaná rozhodnutí Nejvyššího správního soudu jsou dostupná na www.nssoud.cz).
V řízení o kasační stížnosti také nemohlo být podle ust. §109 odst. 5 s. ř. s. přihlíženo
ke skutečnostem, které stěžovatel uplatnil poté, kdy bylo vydáno napadené rozhodnutí. To platí
pro velkou část faktických informací vztahujících se k systému ADIS, o které stěžovatel obohatil
kasační stížnost oproti původní žalobě. Nejvyšší správní soud proto nemohl ve svých úvahách
zohlednit tvrzení stěžovatele o počtu evidovaných daňových subjektů, o počtu uživatelů systému
ADIS, o fungování tohoto systému, o jeho zpomalení v případě zaznamenávání tzv. logů,
o technických opatřeních zabraňujících v přístupu do systému, o rozsahu přístupových práv
či o fungování evidence písemností. I v tomto případě je nutno konstatovat, že měly-li být tyto
skutečnosti zohledněny při posuzování zákonnosti žalobou napadeného rozhodnutí, stěžovateli
nic nebránilo v tom, aby je uplatnil v řízení o žalobě. Jen stěží by mohl Nejvyšší správní soud
vytknout městskému soudu nedostatečné zohlednění určitých skutečností, pokud mu vůbec
nebyly stěžovatelem prezentovány.
Před věcným přezkumem napadeného rozsudku se musel Nejvyšší správní soud zabývat
námitkou jeho nepřezkoumatelnosti, kterou stěžovatel uplatnil v závěru kasační stížnosti. Městský
soud se podle něj nezabýval jeho liberací z odpovědnosti za správní delikt, potažmo souvislostí
liberace z odpovědnosti s limity stanovenými v čl. 17 směrnice 95/46/ES.
Podle ustálené judikatury platí, že má-li být soudní rozhodnutí přezkoumatelné, musí
z něj být patrné, jaký skutkový stav vzal správní soud za rozhodný, jak uvážil o pro věc zásadních
a podstatných skutečnostech, resp. jakým způsobem postupoval při posuzování rozhodných
skutečností, proč považuje právní závěry účastníků řízení za nesprávné a z jakých důvodů
považuje pro věc zásadní argumentaci účastníků řízení za lichou (viz nálezy Ústavního soudu
ze dne 20. 6. 1996, sp. zn. III. ÚS 84/94, ze dne 26. 6. 1997, sp. zn. III. ÚS 94/97,
a ze dne 11. 4. 2007, sp. zn. I. ÚS 741/06, všechny dostupné na http://nalus.usoud.cz,
nebo rozsudky Nejvyššího správního soudu ze dne 4. 12. 2003, č. j. 2 Azs 47/2003 - 130,
č. 244/2004 Sb. NSS, ze dne 29. 7. 2004, č. j. 4 As 5/2003 – 52, ze dne 1. 6. 2005,
č. j. 2 Azs 391/2004 – 62, a ze dne 21. 8. 2008, č. j. 7 As 28/2008 – 75).
V posuzovaném případě se městský soud s námitkou liberace řádně a velmi podrobně
vypořádal. Uvedl, že nejsou dány předpoklady pro zánik odpovědnosti dle ust. §46 odst. 1
ZOOÚ, neboť se stěžovatel nedovolával žádných svých konkrétních kroků či úsilí,
které vynaložil v zájmu splnění zákonné povinnosti. Uzavřel, že systém ADIS není nastaven tak,
aby pořizoval záznamy dle ust. §13 odst. 4 písm. c) ZOOÚ, a žádné kroky, které by stěžovatel
učinil k plnění tohoto zákonného požadavku, ze spisu neplynou.
Městský soud se tedy námitkou liberace řádně zabýval, na tvrzení stěžovatele konkrétně
reagoval a rozvedl své úvahy o tom, jak podle něj má být ust. §46 odst. 1 ZOOÚ interpretováno.
Konečný závěr o tom, že se uvedené ustanovení v posuzované věci neuplatní, pak má plnou
oporu v jeho úvahách. Nejvyšší správní soud proto neshledal námitku nepřezkoumatelnosti
rozsudku městského soudu důvodnou.
Námitka nepřezkoumatelnosti by nemohla být opodstatněná ani v případě, že by byla
myšlena tak, že se městský soud nevypořádal se souvislostí liberace z odpovědnosti s limity
stanovenými v čl. 17 směrnice 95/46/ES (ze slov „se městský soud touto skutečností nezabýval“
není zcela zřejmé, co má stěžovatel „touto skutečností“ na mysli). Stěžovatel v řízení o žalobě
na žádnou takovou souvislost neodkazoval a nakonec ani v kasační stížnosti neuvádí, v čem by
tato souvislost měla spočívat a jak konkrétně by se měla projevit na posouzení projednávané věci.
Pokud se takovou nikým nevyslovenou a blíže nekonkretizovanou souvislostí městský soud
nezabýval, rozhodně to nemůže mít za následek nepřezkoumatelnost jeho rozsudku.
Nedůvodnou shledal Nejvyšší správní soud také námitku vynětí oblasti správy daní
z povinnosti stanovené v ust. §13 ZOOÚ.
Podle ust. §3 odst. 6 ZOOÚ se pro zpracování osobních údajů nezbytných pro plnění
povinností správce stanovených zvláštními zákony pro zajištění taxativně vyjmenovaných zájmů
nepoužijí „ustanovení §5 odst. 1 a §11 a 12“. V taxativním výčtu zájmů je pod písmenem f) uveden
také významný finanční zájem České republiky nebo Evropské unie, kterým je zejména stabilita
finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová
a daňová opatření.
Jak je nicméně zřejmé z citované pasáže, ust. §3 odst. 6 ZOOÚ vyjímá správce plnící
povinnosti stanovené pro zajištění vyjmenovaných zájmů explicitně pouze z působnosti ust. §5
odst. 1 a §11 a §12 ZOOÚ. Takoví správci tedy nejsou vázání pouze povinnostmi stanovenými
v těchto ustanoveních. Nelze přitom přisvědčit tvrzení stěžovatele, že povinnosti dle ust. §13
ZOOÚ jsou součástí povinnosti dle ust. §5 odst. 1 ZOOÚ, zejména pod písm. b).
Podle ust. §5 odst. 1 ZOOÚ je správce povinen a) stanovit účel, k němuž mají být osobní
údaje zpracovány, b) stanovit prostředky a způsob zpracování osobních údajů, c) zpracovat
pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní
údaje aktualizuje. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený
účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje
a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepřesné osobní údaje lze
zpracovat pouze v mezích uvedených v §3 odst. 6. 11) Nepřesné osobní údaje se musí označit.
Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen
bez zbytečného odkladu předat všem příjemcům, d) shromažďovat osobní údaje odpovídající
pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu, e) uchovávat
osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby
mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké
a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu
před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní
údaje anonymizovat, jakmile je to možné, f) zpracovávat osobní údaje pouze v souladu s účelem,
k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích
ustanovení §3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas, g) shromažďovat
osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo
jiné činnosti, h) nesdružovat osobní údaje, které byly získány k rozdílným účelům.
Podle ust. §13 odst. 1 ZOOÚ jsou správce a zpracovatel povinni přijmout taková
opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům,
k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému
zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení
zpracování osobních údajů.
Podle ust. §13 odst. 2 ZOOÚ je správce nebo zpracovatel povinen zpracovat
a dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních
údajů v souladu se zákonem a jinými právními předpisy. Odst. 3 pak stanoví správci nebo
zpracovateli povinnost v rámci opatření podle odst. 1 posuzovat rizika týkající se vyjmenovaných
oblastí.
Podle ust. §13 odst. 4 ZOOÚ je správce nebo zpracovatel povinen v oblasti
automatizovaného zpracování osobních údajů v rámci opatření podle odstavce 1 také a) zajistit,
aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby,
b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování
osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob,
a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby, c) pořizovat
elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje
zaznamenány nebo jinak zpracovány, a d) zabránit neoprávněnému přístupu k datovým nosičům.
Povinnosti stanovené v ust. §5 odst. 1 ZOOÚ na jedné straně a ust. §13 ZOOÚ
na straně druhé jsou svou povahou zcela odlišné. Zatímco ust. §5 odst. 1 ZOOÚ stanoví
povinnosti při zpracování osobních údajů, ust §13 ZOOÚ povinnosti při zabezpečení osobních
údajů. Posledně uvedené ustanovení tedy směřuje k zamezení neoprávněného přístupu
ke zpracovávaným a zpracovaným osobním údajům (popř. jejich neoprávněné změně, zničení,
ztrátě, přenosům, zpracování či jinému zneužití). Při zabezpečení osobních údajů se nejedná
o zpracování ve smyslu ust. §4 písm. e) ZOOÚ. Ust. §13 ZOOÚ tedy nelze chápat pouze jako
upřesnění ust. §5 odst. 1 ZOOÚ. Toto ustanovení přitom neobsahuje žádné srovnatelné
povinnosti a plnění povinností v něm zakotvených ani jinak nezaručuje bezpečnost osobních
údajů. V žádném případě pak nelze takové povinnosti podřadit pod ust. §5 odst. 1 písm. b)
ZOOÚ. Tím, že správce stanoví prostředky a způsob zpracování osobních údajů [tedy splní
povinnosti dle ust. §5 odst. 1 písm. b) ZOOÚ], nijak neplní povinnost přijmout opatření
k zabezpečení osobních údajů.
Provedený taxativní výčet ustanovení, která se podle ust. §3 odst. 6 ZOOÚ na správce
ve vyjmenovaných oblastech nepoužijí, je nutno považovat za zcela jednoznačně projevenou vůli
zákonodárce nevyjímat tyto správce z povinnosti dle ust. §13 ZOOÚ. Navíc se výjimky
dle ust. §3 odst. 6 ZOOÚ výslovně uplatní pouze pro zpracování osobních údajů,
pod které nelze zahrnout zabezpečení osobních údajů (viz výše). Takto projevená vůle
zákonodárce přitom plně koresponduje s čl. 13 odst. 1 směrnice 95/46/ES, podle něhož mohou
členské státy přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených
v čl. 6 odst. 1, čl. 10, čl. 11 odst. 1 a čl. 12 a 13, pokud je to nezbytné pro zajištění vyjmenovaných
zájmů. A contrario tak členské státy nemohou učinit v případě povinnosti dle čl. 17. Nemožnost
rozšíření takové výjimky lze dovodit i z cíle směrnice, jak je vyjádřen například v jejím desátém
bodu odůvodnění nebo čl. 1 odst. 1. Podle nich členské státy zajišťují ochranu základních práv
a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů.
Sblížení vnitrostátních právních předpisů použitelných v dané oblasti nesmí vést k oslabení
ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v Evropské
unii [v tomto smyslu viz také rozsudky Soudního dvora (Evropské unie) ve věcech C-101/01
Lindqvist, Sb.rozh. 2003, s. I 12971, bod 95; C-524/06 Huber, Sb. rozh. 2008, s. I 9705, bod 50;
C-73/07 Tietosuojavaltuutettu, Sb.roh. 2008, s. I-9831, bod 52; a C-468/10 a C-469/10 ASNEF,
dosud nepublikováno ve Sb.rozh., bod 28; všechna zde citovaná rozhodnutí Soudního dvora
Evropské unie jsou dostupná z http://curia.europa.eu]. Také eurokonformní výklad ZOOÚ,
tj. výklad přibližující se co nejvíce obsahu a účelu směrnice, potvrzuje nutnost restriktivního
posuzování výjimek dle ust. §3 odst. 6 ZOOÚ. Pokud by český zákonodárce vyňal správce
v oblastech, které jsou v tomto ustanovení vyjmenovány, i z povinnosti stanovené v ust. §13
ZOOÚ, překročil by své oprávnění k přijetí výjimky dle čl. 13 odst. 1 směrnice 95/46/ES.
O tom, že tento článek připouští výjimky pouze z vyjmenovaných ustanovení směrnice, přitom
zjevně nemá pochybnosti ani Soudní dvůr (srov. jeho rozsudek ve věci C-73/07
Tietosuojavaltuutettu, Sb. roh. 2008, s. I-9831, bod 47).
Jelikož tedy správa systému ADIS není vyňata z působnosti ust. §13 ZOOÚ, je zcela
nadbytečné zabývat se otázkou, v jakém rozsahu spadá správa daní pod výjimku dle ust. §3
odst. 6 ZOOÚ a jaký je přesný obsah pojmu „daňová opatření“ dle tohoto ustanovení.
V předmětné věci totiž byla stěžovateli uložena pokuta za porušení ust. §13 ZOOÚ, nikoliv
ust. §5, §11 či §12 ZOOÚ.
Další námitky stěžovatele se týkají výkladu samotných ust. §13 ZOOÚ a čl. 17 směrnice
95/46/ES. Především podle něj mají zpracovatel či správce povinnost podle ust. §13 odst. 4
písm. c) ZOOÚ pouze tehdy, je-li to proporcionální s ohledem na stav techniky, náklady
na provedení opatření, přiměřenou úroveň bezpečnosti, rizika vyplývající ze zpracování údajů
a povahu chráněných údajů. Ačkoliv totiž tato hlediska nebyla podle něj do ZOOÚ řádně
transponována, je potřeba je zohlednit.
Podle čl. 17 odst. 1 alinea prvá směrnice 95/46/ES členské státy stanoví, že správce musí
přijmout vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému
nebo nedovolenému zničení, náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu,
zejména pokud zpracování zahrnuje předávání údajů v síti, jakož i proti jakékoli jiné podobě
nedovoleného zpracování.
Podle čl. 17 odst. 1 alinea druhá směrnice 95/46/ES tato opatření mají zajistit, s ohledem
na stav techniky a na náklady na jejich provedení, přiměřenou úroveň bezpečnosti odpovídající
rizikům vyplývajícím ze zpracování údajů a z povahy údajů, které mají být chráněny.
Jak již Soudní dvůr několikrát potvrdil, samotná směrnice 95/46/ES obsahuje pravidla
vyznačující se jistou pružností a v mnoha případech ponechává na členských státech, aby upravily
podrobnosti nebo si vybraly z daných možností. Je proto potřeba vždy posoudit, zda byla
vnitrostátní opatření přijata a v konkrétním případě také aplikována v rámci směrnicí nastaveného
prostoru pro uvážení (srov. např. rozsudky Soudního dvora ve věcech C-101/01 Lindqvist,
Sb. rozh. 2003, s. I 12971, body 83 až 85; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno
ve Sb. rozh., body 35 - 36).
Je nutno také vzít v úvahu, že čl. 17 odst. 1 alinea druhá směrnice 95/46/ES je nejen
z povahy tohoto pramene práva (viz čl. 288 alinea třetí Smlouvy o fungování Evropské unie)
ale i ze své dikce adresována samotným členským státům. Jedná se o hlediska, která musejí
členské státy zohlednit při stanovení vhodných technických a organizačních opatření na ochranu
osobních údajů, tj. jakýsi konkretizovaný požadavek proporcionality vnitrostátní legislativy. Jde
tedy o pokyn, jakým způsobem má být směrnice v této části transponována, nikoliv o pravidlo,
které by měl český zákonodárce vtělit také do vnitrostátního předpisu. V žádném případě proto
z tohoto ustanovení nevyplývá povinnost členských států ponechat na zpracovatelích a správcích,
jaká opatření na ochranu osobních údajů přijmou, pokud při tom řádně zohlední všechna
hlediska uvedená v tomto ustanovení. Na druhou stranu směrnice nevylučuje přijetí takové
úpravy, pokud je zároveň zaručeno dodržení přiměřené úrovně bezpečnosti osobních údajů.
Směrnice tedy požaduje určitý minimální standard bezpečnosti osobních údajů,
přičemž ponechává na členských státech, jakými konkrétními opatřeními tento standard zajistí
a zda případně přistoupí k vytvoření vyššího standardu bezpečnosti osobních údajů. V tomto jsou
však členské státy limitovány právě například požadavkem proporcionality dle čl. 17 odst. 1 alinea
druhá směrnice 95/46/ES.
Je proto potřeba posoudit, zda byla výše uvedená hlediska respektována při legislativním
zakotvení povinností dle ust. §13 ZOOÚ, jakož i při jeho aplikaci v daném konkrétním případě.
Samotným přijetím odpovídající právní úpravy se totiž požadavek řádné implementace směrnice
nevyčerpává (srov. rozsudek Soudního dvora ve věci C-62/00 Marks & Spencer, Sb.rozh. 2002,
s. I-6325, body 27-28). Před tím je však nutno poukázat rozdílný režim ust. §13 odst. 1
a ust. §13 odst. 4 ZOOÚ.
Český zákonodárce v ust. §13 ZOOÚ zvolil kombinaci obecně stanovené povinnosti
přijmout opatření na ochranu osobních údajů (odst. 1) a dále, pouze pro oblast
automatizovaného zpracování osobních údajů, povinnosti přijmout konkrétní opatření (odst. 4).
V prvém případě je volba konkrétních opatření ponechána na správci a zpracovateli, ovšem tak,
aby byl naplněn požadavek odst. 1 – tj. aby nemohlo dojít k neoprávněnému nebo nahodilému
přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich
jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. V případě
konkrétních opatření dle odst. 4 již tomu tak není, ta je nutno přijmout bezvýjimečně.
Odstavec 4 lze skutečně chápat jako upřesnění ust. §13 odst. 1 ZOOÚ, ovšem nikoliv
ve smyslu demonstrativního výčtu opatření ponechaných na volbě správce nebo zpracovatele.
Určitý vztah mezi dvěma ustanoveními nutně neznamená, že musejí také sdílet totožný režim.
Zatímco obecně zákon požaduje dosažení určitého cíle bez ohledu na konkrétní zvolená opatření
(odst. 1), ve speciálních situacích (automatizované zpracování osobních údajů) již trvá „také“
na provedení konkrétních opatření (odst. 4). Obě pravidla jsou proto relativně samostatná.
Z hlediska samotného odstavce 4 není rozhodné, zda a do jaké míry dochází zároveň k naplnění
cíle dle odstavce 1. Jelikož je však nutno opatření dle odstavce 4 přijmout „také“, jejich přijetím
není povinnost dle odstavce 1 dotčena. Totéž platí pro opačnou vazbu mezi oběma odstavci.
Splněním povinnosti dle odstavce 1 nejsou nijak dotčeny povinnosti podle odstavce 4, neboť ty
je nutno splnit „také“. Jakkoliv tedy odstavec 4 obsahuje opatření, která jsou svou povahou
zároveň opatřeními v režimu odstavce 1 (nikoliv však nutně postačujícími), jejich přijetí zjevně
není oproti obecnému pravidlu v odstavci 1 ponecháno na vůli správce nebo zpracovatele.
Opačný výklad nelze dovodit ani z novelizace ust. §13 ZOOÚ provedené zákonem
č. 170/2007 Sb., respektive z důvodové zprávy k této novelizaci (Sněmovní tisk Poslanecké
sněmovny Parlamentu České republiky v V. volebním období č. 187/0, dostupný
na www.psp.cz). Na jednu stranu sice důvodová zpráva hovoří o konkretizaci opatření
požadovaných již na základě odstavce 1, na druhou stranu zdůrazňuje, že nové odstavce 3
a 4 představují „vyjádření konkrétních povinností správců a zpracovatelů“ a „ stanoví přesný obsah opatření
v rámci plnění povinnosti správců (a zpracovatelů) pro zabezpečení osobních údajů.“ Důvodová zpráva tedy
jen potvrzuje skutečnost, že povinnost dle ust. §13 odst. 4 písm. c) ZOOÚ je nutno plnit
bez ohledu na to, jaká další opatření podle odstavce 1 jsou správcem či zpracovatelem přijata.
Stanovením konkrétní povinnosti s přesným obsahem zjevně nebylo zamýšleno ponechat na vůli
správce či zpracovatele, zda danou povinnost bude plnit či nikoliv.
Ust. §13 odst. 1 a 4 ZOOÚ tedy obsahují dvě relativně samostatné povinnosti, jimiž je
proveden čl. 17 odst. 1 směrnice 95/46/ES. V posuzované věci je přitom sporný soulad zákona
se směrnicí pouze co do povinnosti dle ust. §13 odst. 4 písm. c) ZOOÚ. Konkrétně je potřeba
posoudit, zda byla tato povinnost zakotvena v souladu s požadavkem proporcionality
konkretizovaným v čl. 17 odst. 1 alinea druhá směrnice 95/46/ES.
Při posuzování přiměřenosti povinnosti zaznamenávat tzv. logy (tj. pořizovat záznamy
o tom kdo, kdy a z jakého důvodu osobní údaje zaznamenal či jinak zpracoval) je nutno vzít
v úvahu její výslovné omezení na případy automatizovaného zpracování osobních údajů. Obecně
ze zpracování osobních údajů tímto způsobem, tedy za použití výpočetní techniky, plynou vyšší
rizika úniku osobních údajů, jejich neoprávněné změny, zničení, ztráty, zpracování či jiného
zneužití. Je tomu proto, že výpočetní technika umožňuje rychlé a detailní zpracování velkého
množství dat (zejména jejich strukturované uspořádání a analýzu podle zadaných kombinací
kritérií), jakož i jejich snadné a bez zvláštních opatření následně jen obtížně zjistitelné kopírování,
včetně kopírování nepovoleného. Ve své podstatě jsou to právě informační systémy provozované
pomocí výpočetní techniky, jež svojí podstatou jsou typický potenciální objekt zneužití osobních
údajů v masovém měřítku, a to způsobem, co do komerčních i jiných možností využití takto
získaných dat vysoce společensky nebezpečným. Toto vyšší riziko pak odůvodňuje zakotvení
specifické povinnosti, jejíž plnění s sebou navíc nenese nikterak nepřiměřené náklady. Je-li
automatizované zpracování osobních údajů využíváno, nemůže činit za současného stavu
techniky problém implementovat do používaného systému na zpracování osobních údajů další
vedlejší funkci – zaznamenávání určitých operací tak, aby byla zpětně dohledatelná jejich povaha
a rozsah. Takovéto opatření má vysoký preventivní účinek proti zneužití údajů z informačního
systému, neboť každý, kdo s ním oprávněně pracuje, si musí být vědom, že je možno zpětně
ověřit, kdo, kdy a jakým způsobem s informačním systémem pracoval, a zda se tak dělo
oprávněně. Zároveň si lze stěží představit jiné adekvátní opatření, které by se srovnatelnou
účinností zajišťovalo bezpečnost osobních údajů. V případě splnění povinnosti dle ust. §13
odst. 4 ZOOÚ si totiž každá osoba, která neoprávněně nakládá s údaji obsaženými systému,
jenž je automatizovaně zpracovává, musí být vědoma toho, že její jednání může být pomocí
takového záznamu zpětně dohledáno a odhaleno. Požadavek na zaznamenávání logů proto
Nejvyšší správní soud považuje ve všech případech automatizovaného zpracování osobních
údajů za plně legitimní, žádoucí a s ohledem na jeho omezení pouze na případy
automatizovaného zpracování také přiměřený. Povinnost dle ust. §13 odst. 4 ZOOÚ tedy
odpovídá požadavkům čl. 17 odst. 1 směrnice 95/46/ES.
Splnění uvedené povinnosti se nelze vyhnout poukazem na dodržení podmínek ust. §13
odst. 1 ZOOÚ, potažmo tvrzením, že bezpečnost osobních údajů je dostatečná. Stěžovatel
se proto bez dalšího nemohl zprostit odpovědnosti za nesplnění povinnosti dle ust. §13 odst. 4
ZOOÚ tím, že přijal jiná organizační a technická opatření. To platí, i kdyby tato opatření
umožňovala „s relativně vysokou mírou pravděpodobnosti zjistit tu stejnou skutečnost“ jako opatření
dle ust. §13 odst. 4 ZOOÚ. Cílem tohoto opatření je totiž zjistit, kdo a kdy učinil jakou operaci
s osobními údaji, víceméně s určitostí, nikoliv pouze s relativně vysokou mírou
pravděpodobnosti. Jak již bylo uvedeno, tento cíl je legitimní a prostředky k němu vedoucí
[opatření dle ust. §13 odst. 4 písm. c) ZOOÚ] proporcionální. V žádném případě tohoto cíle
nelze dosáhnout hrozbou sankce za porušení speciálně (v ust. §52 odst. 1 daňového řádu)
upravené povinnosti mlčenlivosti úředních osob. Taková povinnost je stanovena i v ust. §15
ZOOÚ a nelze tvrdit, že by pouhá možnost uložení vyšší sankce v případě porušení povinnosti
mlčenlivosti podle daňového řádu měla vést k vyloučení aplikace ust. §13 odst. 4 ZOOÚ toliko
v oblasti daňové správy. Nejvyšší správní soud proto dospěl k závěru, že ani aplikací zákonné
úpravy žalovaným v daném konkrétním případě nedošlo k rozporu se zněním a účelem směrnice
95/46/ES.
Jelikož tedy byl čl. 17 odst. 1 směrnice 95/46/ES řádně implementován, nelze přisvědčit
ani námitce jeho přímého účinku. Otázka přímého účinku směrnice totiž vyvstává vždy
až v okamžiku chybějící či špatně provedené implementace (srov. rozsudky Soudního dvora
ve věcech 8/81 Becker, Sb. rozh. 1982, s. 53, bod 20; 103/88 Costanzo, Sb. rozh. 1989, s. 1839,
bod 29; C-319/97 Kortas, Sb. rozh. 1999, s. I-3143, bod 21). Není proto vůbec na místě zkoumat
další podmínky nastoupení přímého účinku směrnice, které stěžovatel považuje za naplněné.
Výše provedený výklad čl. 13 odst. 1 i čl. 17 odst. 1 směrnice 95/46/ES Nejvyšší správní
soud i s ohledem na dosavadní judikaturu Soudního dvora považuje za natolik jasný, že neshledal
důvod položit Soudnímu dvoru za tímto účelem předběžnou otázku (srov. rozsudek Soudního
dvora ve věci 283/81 CILFIT, Sb. rozh. 1982, s. 3415, body 10 – 20).
S ohledem na výše uvedené dospěl Nejvyšší správní soud k závěru, že kasační stížnost je
nedůvodná, a proto ji zamítl (§110 odst. 1 věta druhá s. ř. s.).
Ve věci rozhodl v souladu s §109 odst. 2 s. ř. s., podle něhož rozhoduje Nejvyšší správní
soud o kasační stížnosti zpravidla bez jednání, když neshledal důvody pro jeho nařízení.
Výrok o náhradě nákladů řízení se opírá o ust. §60 odst. 1, věta první s. ř. s. ve spojení
s ust. §120 s. ř. s. Stěžovatel ve věci úspěch neměl, a nemá proto právo na náhradu nákladů
řízení. Úspěšnému žalovanému pak podle obsahu spisu žádné náklady v řízení o kasační stížnosti
před soudem nevznikly. Nejvyšší správní soud proto rozhodl tak, že žádný z účastníků nemá
právo na náhradu nákladů řízení o kasační stížnosti.
Poučení: Proti tomuto rozsudku nejsou opravné prostředky přípustné.
V Brně dne 30. ledna 2013
JUDr. Jaroslav Hubáček
předseda senátu