ECLI:CZ:NSS:2018:9.AS.198.2018:37
sp. zn. 9 As 198/2018 - 37
ROZSUDEK
Nejvyšší správní soud rozhodl v senátě složeném z předsedkyně JUDr. Barbary Pořízkové
a soudců Mgr. Lenky Krupičkové a JUDr. Radana Malíka v právní věci žalobce: Ing. M. J., , zast.
Mgr. Václavem Voříškem, advokátem se sídlem Ledčická 649/15, Praha 8, proti žalovanému:
Krajský úřad Libereckého kraje, se sídlem U Jezu 642/2a, Liberec 2, ve věci ochrany
před nezákonným zásahem žalovaného, v řízení o kasační stížnosti žalovaného proti rozsudku
Krajského soudu v Ústí nad Labem - pobočky v Liberci ze dne 16. 5. 2018, č. j. 59 A 6/2018 - 49,
takto:
I. Kasační stížnost se zamítá .
II. Žalovaný je po v i ne n zaplatit žalobci na náhradě nákladů řízení částku 3 400 Kč
k rukám zástupce žalobce Mgr. Václava Voříška, advokáta se sídlem Ledčická 649/15,
Praha 8, do 30 dnů ode dne právní moci tohoto rozsudku.
Odůvodnění:
I. Vymezení věci
[1] Žalobce se žalobou podanou dne 12. 1. 2018 ke Krajskému soudu v Ústí
nad Labem - pobočce v Liberci (dále jen „krajský soud“) domáhal určení, že se vůči němu
žalovaný dopustil nezákonného zásahu. Zásah spatřoval v tom, že žalovaný zveřejnil
na svých webových stránkách dokument „Žádosti podané a vyřízené v režimu zák. č. 106/1999 Sb.“,
který obsahuje mimo jiné jeho osobní údaje (jméno, příjmení, datum narození, adresu trvalého
pobytu a jeho bydliště). Napadeným rozsudkem prohlásil krajský soud zásah žalovaného vůči
žalobci spočívající ve zveřejnění jeho osobních údajů na webových stránkách žalovaného
za nezákonný.
[2] Krajský soud nejprve konstatoval, že zásah do osobnostních práv žalobce spadá
pod ochranu správních soudů, jelikož zpracovatelem osobních údajů byl v tomto případě orgán
veřejné moci a do práv žalobce bylo zasaženo ve vztahu vyplývajícím z veřejnoprávních předpisů.
V této souvislosti odkázal na judikaturu správních soudů, která tento závěr potvrzuje. Dále
potvrdil, že žalobci svědčí aktivní legitimace k podání žaloby ve smyslu §82 zákona č. 150/2002 Sb., soudního řádu správního, ve znění pozdějších předpisů (dále jen „s. ř. s.“), neboť tvrdí,
že byl zkrácen na právech zveřejněním svých osobních údajů na doméně používané žalovaným
pro jeho oficiální webové stránky. Pokud jde o pasivní legitimaci, nepřisvědčil námitce
žalovaného, že při zveřejnění osobních údajů žalobce nevystupoval jako správní orgán, když
postupoval dle zákona č. 129/2000 Sb., o krajích, ve znění pozdějších předpisů. Zveřejnění
sporného dokumentu je přičitatelné žalovanému, který jedná jako správní orgán nezávisle na tom,
zda jde o výkon samostatné či přenesené působnosti. Zásadní je, že žalovaný získal osobní údaje
žalobce v souvislosti s výkonem veřejné moci. Žaloba byla rovněž včasná a přípustná. Žalobce
se o zásahu dle svého vyjádření dozvěděl dne 6. 12. 2017, což nebylo zpochybněno, a právní řád
nenabízí žádný formalizovaný prostředek ochrany, který by bylo nutné před podáním žaloby
vyčerpat. Za takový prostředek nelze považovat podnět Úřadu pro ochranu osobních údajů.
[3] Z hlediska posouzení důvodnosti žaloby krajský soud uvedl, že okolnosti zveřejnění
osobních údajů (žalovaný uvedl, že se jednalo o podklad pro jednání krajského zastupitelstva)
jsou nerozhodné. Důležité je, že žalovaný dokument s osobními údaji zveřejnil, což nepopřel.
Nelze přisvědčit ani námitce, že osobní údaje žalobce byly již dříve zveřejněny v živnostenském
rejstříku a nejsou z tohoto důvodu chráněné. O chráněné údaje se nejedná pouze tehdy,
pokud je s nimi nakládáno v rámci působnosti, pro kterou byly poskytnuty (výkon
živnostenského oprávnění). Žalobcovy údaje však byly zveřejněny v souvislosti s podáním
žádostí o informace dle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění
pozdějších předpisů (dále jen „zákon o svobodném přístupu k informacím“). Nejedná
se tak o oprávněně zveřejněné osobní údaje dle §5 odst. 2 písm. d) zákona č. 101/2000 Sb.,
o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen
„zákon o ochraně osobních údajů“). Správce je povinen zpracovávat osobní údaje pouze
v souladu s účelem, k němuž byly shromážděny [§5 odst. 1 písm. f) zákona o ochraně osobních
údajů]. Zpracovat je k jinému účelu lze pouze za podmínek §3 odst. 6 stejného zákona,
který na případ nedopadá, nebo se souhlasem žalobce, který nebyl dán. Proto byly žalobcovy
osobní údaje zveřejněny bez právního podkladu. Zásah do ústavou zaručeného práva
nelze odůvodnit ani účelem ochrany základních práv jiných osob, anebo ochranou veřejného
zájmu; zásah byl tudíž nezákonný.
II. Obsah kasační stížnosti
[4] Proti tomuto rozsudku podal žalovaný (dále jen „stěžovatel“) v zákonné lhůtě kasační
stížnost z důvodů uvedených v §103 odst. 1 písm. a) a d) s. ř. s.
[5] Stěžovatel nejprve shrnuje skutkový stav. Před jednáním zastupitelstva byl na webových
stránkách kraje zveřejněn program jednání, který obsahoval odkaz na výroční zprávu za rok 2016
podávanou podle zákona o svobodném přístupu k informacím, a seznam podaných žádostí
za rok 2016, včetně způsobu jejich vyřízení a údajů o žadatelích. Zastupitelstvo obsah písemných
informací vzalo na vědomí. Zveřejňované usnesení zastupitelstva obsahovalo pouze název
písemné informace. Při samotném jednání zastupitelstva tedy nedošlo k žádnému zveřejnění
osobních údajů.
[6] Dle stěžovatele byly v daném případě zveřejněny tzv. oprávněně zveřejněné osobní údaje
ve smyslu §5 odst. 2 písm. d) zákona o ochraně osobních údajů. Tyto údaje o žalobci jsou
ve stejném rozsahu zveřejněny v živnostenském rejstříku. Zveřejnění údajů souviselo
s podnikáním žalobce, neboť všechny jeho žádosti o informace se týkaly přestupkových řízení
projednávaných stěžovatelem, v nichž vystupoval jako profesionální poradce či obecný
zmocněnec a cílily na informace z přestupkových spisů či obecně na postupy stěžovatele
v případě spáchání dopravního přestupku. Jelikož se žádosti týkaly podnikání žalobce
v poradenství ohledně dopravních přestupků, nebylo zveřejnění údajů nezákonným zásahem.
Zveřejnění oprávněně zveřejněných osobních údajů žalobce ve spojení s informací o předmětu
žádosti o informace a způsobem jejího vyřízení není ani způsobilé zasáhnout do jeho
soukromého a osobního života ve smyslu §81 zákona č. 89/2012 Sb., občanského zákoníku,
ve znění pozdějších předpisů. Zásah nebyl namířen přímo vůči žalobci, neboť jeho prvotním
cílem bylo informovat zastupitele o počtu a charakteru podaných žádostí. Navíc nemohl žalobce
zasáhnout přímo, protože dokument byl umístěn pod několika záložkami a třetí osoby
by k nalezení jeho osobních údajů musely vyvinout určitou cílenou aktivitu nebo by musely znát
alespoň jeho jméno o příjmení.
[7] Rozsudek krajského soudu považuje stěžovatel rovněž za nepřezkoumatelný,
protože neobsahuje vypořádání zásahu z pohledu §82 s. ř. s. Navrhuje, aby Nejvyšší správní
soud rozsudek pro nezákonnost zrušil a věc vrátil krajskému soudu k dalšímu řízení.
[8] Žalobce ve vyjádření ke kasační stížnosti rozporuje, že by osobní údaje mohly být
zveřejňovány na základě výjimky upravené v §5 odst. 2 písm. d) zákona o ochraně osobních
údajů. Oprávněně zveřejněné osobní údaje nelze zveřejnit bez legitimního cíle a v rozporu
s účelem, k němuž byly shromážděny. Dochází-li při postupu orgánů veřejné moci k zásahu
do práv nebo oprávněných zájmů soukromé osoby, musí být takový zásah proporcionální.
Aktivní zveřejňování informací ze strany veřejné moci je realizací povinnosti dle čl. 17 odst. 5
Listiny základních práv a svobod. Právo na informace musí dle judikatury sloužit veřejnému
zájmu. Nelze však shledat veřejný zájem na tom, aby docházelo ke zveřejňování osobních údajů
žadatelů o informace. Toto jednání je naopak zásahem do soukromí a může odradit žadatele od
využívání práva na poskytnutí informací. K informování zastupitelů o této věci mohlo dojít i bez
zveřejnění osobních údajů žalobce, které představovalo jakýsi vedlejší a nežádoucí účinek. Žádný
právní předpis stěžovateli neukládal, aby dané osobní údaje zveřejnil. Orgán veřejné moci přitom
může činit jen to, co mu ukládá zákon.
[9] Dále žalobce poukazuje na skutečnost, že osobním údajem v jeho případě mohou
být i vlastní údaje o podaných žádostech (čeho se týkaly, jak byly vyřízeny, atp.). Rozsah těchto
informací pak přesahuje informace dříve zveřejněné v živnostenském rejstříku. I při aplikaci §5
odst. 2 písm. d) zákona o ochraně osobních údajů musí zpracování osobních údajů odpovídat
účelu, k němuž byly shromážděny. Stěžovatel nicméně pouze „nepřejímá“ údaje živnostenského
rejstříku, ale údaje v něm obsažené sdružuje s dalšími informacemi o žalobci (o jeho žádostech).
Zveřejněné osobní údaje navíc s podnikáním žalobce nijak nesouvisí, neboť žalobce nemůže
soustavně poskytovat právní služby za úplatu. I kdyby žalobce v této oblasti podnikal,
není stěžovatel oprávněn zveřejňovat informace o tom, když podnikatel nebo živnostník podá
žádost o informace, byť by se týkala předmětu jeho výdělečné činnosti. Nejedná se o osoby
veřejného zájmu nebo příjemce veřejných prostředků, u nichž může být právo na informace
upřednostněno před právem na soukromí.
[10] Zveřejnění osobních údajů na internetu je podle judikatury krajských soudů závažným
zásahem do soukromí a je irelevantní, jaký byl konkrétně důvod, pro který stěžovatel údaje
zveřejnil a skutečnost, že přístup k údajům nebyl jednoduchý. Podstatné je, že údaje byly
dostupné libovolné osobě s internetovým připojením. Dodává, že dokument měl povolenou
indexaci, takže se objeví ve výsledcích vyhledavače Google. Je proto vysoce pravděpodobné,
že již nikdy nedojde k odstranění zveřejněných údajů, protože byly uloženy automatizovanými
internetovými roboty a možná i fyzickými osobami. Kdykoli v budoucnu tak může dojít k jejich
zneužití.
[11] V závěru vyjádření ke kasační stížnosti žalobce požaduje anonymizaci veškerých osobních
údajů na webové stránce Nejvyššího správního soudu.
III. Právní hodnocení Nejvyššího správního soudu
[12] Nejvyšší správní soud nejprve posoudil formální náležitosti kasační stížnosti a shledal,
že kasační stížnost byla podána včas, jde o rozhodnutí, proti němuž je kasační stížnost přípustná,
a za stěžovatele jedná pověřená osoba ve smyslu §105 odst. 2 s. ř. s. Poté přezkoumal napadený
rozsudek krajského soudu v rozsahu kasační stížnosti a v rámci uplatněných důvodů, ověřil,
zda napadené rozhodnutí netrpí vadami, k nimž by musel přihlédnout z úřední povinnosti
(§109 odst. 3 a 4 s. ř. s.).
[13] Stěžovatel namítá důvody podle §103 odst. 1 písm. a) a d) s. ř. s.
[14] Soud se předně zabýval námitkou nepřezkoumatelnosti ve smyslu §103 odst. 1 písm. d)
s. ř. s. Nepřezkoumatelnost napadeného rozsudku spatřuje stěžovatel v nedostatečnosti důvodů
rozsudku, nicméně tuto skutečnost nikterak blíže nespecifikuje, pouze v závěru kasační stížnosti
uvádí, že krajský soud „nevypořádal zásah z pohledu §82 s. ř. s. a jeho rozhodnutí je v tomto ohledu
nepřezkoumatelné“. Námitku nelze považovat za důvodnou, jelikož krajský soud se věcí
řádně zabýval. Nejprve se vyjádřil k podmínce aktivní a pasivní žalobní legitimace ve smyslu
§82 a §83 s. ř. s. (body 13. a 14. rozsudku). Dále se zabýval dalšími podmínkami řízení,
tj. včasností podané žaloby a její přípustností ve smyslu §85 s. ř. s. (vyčerpání prostředků
ochrany, bod 15.). Posoudil důvodnost žaloby s ohledem na uplatněné žalobní námitky a obsah
vyjádření stěžovatele (body 16. až 19.). Rozsudek krajského soudu splňuje kritéria
přezkoumatelnosti definovaná konstantní judikaturou Ústavního soudu a Nejvyššího správního
soudu (viz nálezy Ústavního soudu ze dne 20. 6. 1995, sp. zn. III. ÚS 84/94, ze dne 26. 6. 1997,
sp. zn. III. ÚS 94/97 a ze dne 11. 4. 2007, sp. zn. I. ÚS 741/06, a rozsudky Nejvyššího správního
soudu ze dne 4. 12. 2003, č. j. 2 Azs 47/2003 - 130, ze dne 29. 7. 2004, č. j. 4 As 5/2003 - 52,
ze dne 1. 6. 2005, č. j. 2 Azs 391/2004 - 62, a ze dne 21. 8. 2008, č. j. 7 As 28/2008 - 76), neboť
je z jeho odůvodnění zřejmé, jakými úvahami byl při posouzení věci v rozsahu žalobních bodů
krajský soud veden a k jakému závěru na jejich základě dospěl. O tom ostatně svědčí i skutečnost,
že stěžovatel s právními závěry krajského soudu v kasační stížnosti věcně polemizuje.
[15] Poté přistoupil k posouzení kasační stížnosti z důvodu tvrzené nezákonnosti a shledal,
že ani v tomto bodě není kasační stížnost důvodná.
[16] Předmětem posouzení je otázka, zda zveřejnění osobních údajů žalobce na internetových
stránkách stěžovatele bylo nezákonným zásahem dle §82 s. ř. s.
[17] Mezi stranami není sporu o tom, že na webových stránkách krajského úřadu (stěžovatele)
byl pod několika záložkami zveřejněn dokument obsahující seznam došlých žádostí o poskytnutí
informací dle zákona o svobodném přístupu k informacím spolu s osobními údaji o žadatelích
a informací o způsobu vyřízení jednotlivých žádostí. Tento seznam obsahoval mimo jiné jméno,
příjmení, datum narození, adresu trvalého pobytu a bydliště žalobce a dále informaci o tom,
kdy podal žádost o poskytnutí informací, čeho se týkala a jak byla vyřízena. Dokument měl
sloužit k tomu, aby se zastupitelé kraje seznámili s počtem a charakterem žádostí o poskytnutí
informací, které stěžovatel vyřizoval jako povinný subjekt dle zákona o svobodném přístupu
k informacím. Dokument byl na webových stránkách veřejně dostupný.
[18] Stěžovatel rozporuje naplnění podmínek zásahové žaloby dle §82 s. ř. s. Namítá, že jím
provedený zásah nebyl nezákonný, že nemohlo dojít ke zkrácení žalobce na jeho právech
a že zásah nebyl ani namířen přímo proti žalobci.
[19] Právo na ochranu osobních údajů je zakotveno v čl. 10 odst. 3 Listiny základních práv
a svobod, podle něhož [k]aždý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním
nebo jiným zneužíváním údajů o své osobě. Nejvyšší správní soud vyjádřil obecná východiska týkající
se ochrany osobních údajů např. v rozsudku ze dne 12. 2. 2009, č. j. 9 As 34/2008 - 68,
kde konstatoval, že „zpracování osobních údajů vychází ze zásady, podle níž právo disponovat s osobními
údaji náleží fyzické osobě, k níž se tyto informace vztahují (subjektu údajů), a nikoli tomu, kdo je jejich
držitelem. Je proto logické, že základním právním titulem pro zpracování osobních údajů je z principu věci souhlas
subjektu údajů. Požadavek souhlasu však není zákonem stanoven jako absolutní. Zpracování osobních údajů
však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého nebo osobního života.“
[20] Dle §4 písm. a) zákona o ochraně osobních údajů se osobním údajem rozumí jakákoliv
informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený
nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu
nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní
nebo sociální identitu. Osobní údaj ve smyslu citované definice tedy představuje taková skutečnost
či informace, na jejímž základě (příp. v kombinaci s dalšími prvky) lze přímo či nepřímo zjistit
identitu konkrétní osoby. Novelou provedenou zákonem č. 439/2004 Sb. byl z výše citovaného
§4 písm. a) vypuštěn dovětek: „O osobní údaj se nejedná, pokud je třeba ke zjištění identity subjektu údajů
nepřiměřené množství času, úsilí či materiálních prostředků.“ Z důvodové zprávy k citovanému zákonu
plyne, že zákonodárce při této změně vycházel ze zkušeností a poznatků souvisejících s nástupem
a rozvojem informačních technologií, kdy dosažení a zjištění identity subjektu údajů v dnešní
době již nevyžaduje nijak výjimečné úsilí ani materiální prostředky. Zjištění identity subjektu
je v současné době snazší a lze jí docílit nejen s menším množstvím vynaloženého úsilí,
ale i s menším množstvím vstupních informací. Nejvyšší správní soud ve výše citovaném
rozsudku devátého senátu již například uznal, že osobním údajem může být i číslo mobilního
telefonu, přičemž vyšel z toho, že „[p]lná identita fyzické osoby v současných podmínkách technologicky
vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno
dostupná, ve své podstatě neznamená nic jiného, než možnost tuto osobu určitým způsobem kontaktovat,
aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu 'osobní údaj' nemůže omezit
striktně jen na znalost např. rodného čísla, adresy či pracoviště subjektu údajů“. V citovaném rozsudku soud
zaujal rozšiřující výklad pojmu osobní údaj a jako test stanovil možnost určitou osobu nějakým
způsobem kontaktovat.
[21] V posuzovaném případě bylo zveřejněno jméno, příjmení, datum narození, adresa
trvalého pobytu a bydliště žalobce. V souladu s výše uvedeným se jedná o údaje, na základě
kterých je možné danou osobu jednoznačně určit. Jak vyplývá z judikatury zdejšího soudu,
v současné době k identifikaci osoby (a možnosti jejího dohledání) stačí méně informací,
než tomu bylo před masivním nástupem komunikačních technologií. V tomto případě však byly
zveřejněny údaje, na jejichž podkladě mohl být žalobce nezaměnitelným způsobem identifikován,
resp. kontaktován zcela nesporně. Soud uzavírá, že posuzovaný dokument obsahoval osobní
údaje ve smyslu §4 písm. a) zákona o ochraně osobních údajů. Zásah v podobě zveřejnění
osobních údajů tedy byl bez ohledu na účel zveřejnění zaměřen proti žalobci.
[22] Stěžovatel uvedl, že dokument obsahující osobní údaje připravil v rámci plnění svých
povinností uložených mu zákonem o svobodném přístupu k informacím. Tento zákon rozlišuje
dva základní způsoby poskytování informací, a to na žádost individuálního žadatele (tzv. pasivní
poskytování) a zveřejněním, tedy zpřístupněním informace předem neurčenému okruhu zájemců
(tzv. aktivní poskytování). Dle §5 odst. 7 zákona o svobodném přístupu k informacím může
povinný subjekt vedle povinně zveřejňovaných informací dobrovolně zveřejnit i další informace,
avšak při respektování výjimek uvedených v tomto zákoně. Jednu z těchto výjimek upravuje §8a,
který povinnému subjektu ukládá, aby osobní údaje poskytl pouze v souladu s právními předpisy
upravujícími jejich ochranu. To znamená, že rozhodne-li se povinný subjekt zveřejnit aktivně
kromě zákonem povinně zveřejňovaných informací i další informace (např. o počtu a charakteru
žádostí, které v režimu zákona o svobodném přístupu k informacím vyřizoval), je povinen
respektovat veškerá omezení týkající se nakládání s osobními údaji. Zákon o svobodném přístupu
k informacím tedy stěžovateli neumožňuje, aby s osobními údaji, které získal v rámci plnění
povinností povinného subjektu dle zákona o svobodném přístupu k informacím, jakkoliv volně
nakládal. Odkazuje jej výslovně na to, aby dodržoval podmínky vyplývající ze zákona o ochraně
osobních údajů. Ostatně i sám stěžovatel v kasační stížnosti konstatoval, že zákon o svobodném
přístupu k informacím „neupravuje zveřejnění osobních údajů o žadatelích, a v tomto případě tak nejde
o zpracování osobních údajů v souladu s tímto účelem (…).“ Je proto nutné posoudit, zda stěžovatel
při nakládání s osobními údaji získanými v souvislosti s plněním povinností povinného subjektu
dle zákona o svobodném přístupu k informacím postupoval v souladu se zákonem o ochraně
osobních údajů.
[23] Zpracováním údajů se rozumí mimo jiné i jejich zveřejňování [§4 písm. e) zákona
o ochraně osobních údajů]. Zveřejněným osobním údajem se dle §4 písm. l) zákona o ochraně
osobních údajů rozumí osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným
sdělením nebo jako součást veřejného seznamu. Uvádět taxativní výčet možných způsobů zveřejnění
nebylo dle důvodové zprávy k zákonu o ochraně osobních údajů potřebné a ani nutné,
čímž zákonodárce ponechal prostor k rozšíření možnými technologickými změnami,
ke kterým může v budoucnu dojít. Přesto rozvádí, že: „Nejčastěji bude osobní údaj zveřejňován tiskem,
televizí, Internetem a jinými masovými médii a dále jakožto součást veřejně přístupných seznamů /obchodní
rejstřík, letecký rejstřík/. Může se stát veřejným i jako součást různých seznamů vydávaných pro komerční účely,
ale také jeho sdělením na veřejné schůzi.“
[24] Umístění osobních údajů na web neomezeně přístupný třetím osobám, který stěžovatel
provozoval a podléhal jeho kontrole, tj. byl schopen ovlivnit jeho obsah a udržování těchto údajů
přístupnými, lze jednoznačně podřadit pod pojem zpracování osobních údajů ve smyslu §4
písm. e) zákona o ochraně osobních údajů. Jinými slovy, tímto technickým postupem za využití
počítače a počítačové sítě dojde ke zpracování informace, které vyústí v její zpřístupnění blíže
neurčenému okruhu osob na webové stránce, čímž se naplní všechny znaky zpracování osobních
údajů (blíže viz rozsudek Nejvyššího správního soudu ze dne 17. 7. 2018, č. j. 3 As 3/2017 - 38).
Umístěním dokumentu „Žádosti podané a vyřízené v režimu zák. č. 106/1999 Sb.“, který obsahoval
osobní údaje žalobce, na webových stránkách stěžovatele, proto došlo k jejich zveřejnění
ve smyslu §4 písm. e) zákona o ochraně osobních údajů. V daných souvislostech
je bezpředmětné, prostřednictvím kolika odkazů bylo možné dokument nalézt. Podstatný
je konečný důsledek, tedy že ke zveřejnění došlo, následkem čehož kterákoli třetí osoba mohla
dané údaje získat, a proto byl posuzovaný zásah zaměřen přímo proti žalobci.
[25] Z výše uvedeného vyplývá, že stěžovatel byl při zpracování a zveřejnění osobních údajů,
které získal v řízeních o žádostech o poskytnutí informací jejich správcem ve smyslu §4 písm. j)
zákona o ochraně osobních údajů. Vztahovaly se tak na něj povinnosti vyplývající ze zákona
o ochraně osobních údajů. Tento zákon spočívá na tzv. zásadě omezení účelem,
která je vyjádřena v §5 odst. 1 písm. a), d), f), g) a h). Osobní údaje musejí být shromažďovány
pro stanovené účely, výslovně vyjádřené a legitimní a nesmějí být dále zpracovávány způsobem
neslučitelným s těmito účely. Současně osobní údaje nesmějí být zpracovávány pro (sekundární)
účely neslučitelné s primárním účelem, přičemž slučitelnost je třeba vnímat úzce coby „přímou
souvislost“ s původním účelem.
[26] Ve smyslu výše uvedené zásady je třeba nejprve určit, zda stěžovatel splnil povinnosti
z ní vyplývající, a to shromažďovat osobní údaje a zpracovávat je v souladu se stanoveným
účelem. Žalobce při podání žádostí o poskytnutí informací postupoval dle §14 zákona
o svobodném přístupu k informacím. Dle odstavce 2 tohoto ustanovení musí být z žádosti
zřejmé, [k]terému povinnému subjektu je určena, a že se žadatel domáhá poskytnutí informace ve smyslu
tohoto zákona. Fyzická osoba uvede v žádosti jméno, příjmení, datum narození, adresu místa trvalého pobytu
nebo, není-li přihlášena k trvalému pobytu, adresu bydliště a adresu pro doručování, liší-li se od adresy místa
trvalého pobytu nebo bydliště. Žadatel je povinen osobní údaje do žádosti uvést proto, aby tato mohla
být ve smyslu zákona vyřízena. Anonymizované žádosti o poskytnutí informace správní orgány
nevyřizují. Osobní údaje však byly stěžovateli poskytnuty výhradně pro potřeby identifikace
žadatele a vedení řízení o podané žádosti, přičemž tento účel byl plně zkonzumován již vyřízením
žádosti. Jakékoliv další zpracování (zveřejňování) takto získaných osobních údajů zákon
nepředpokládá, a k dosažení popsaného účelu to není jakkoliv nezbytné. Následné zveřejnění
osobních údajů za účelem informování zastupitelstva kraje o počtu a vyřízení žádostí tedy
nepochybně překračovalo stanovený účel, pro který mohl stěžovatel dané osobní údaje
zpracovávat, čímž došlo k porušení práv žalobce.
[27] Mimo rámec účelu, pro nějž byly shromážděny, by bylo možné osobní údaje dle druhé
části §5 odst. 1 písm. f) zákona o ochraně osobních údajů dále zpracovat v mezích §3 odst. 6
tohoto zákona, nebo pokud k tomu dal subjekt údajů předem souhlas. Ani jedna z těchto situací
v projednávaném případě nenastala, neboť §3 odst. 6 se týká správců, jimž jsou stanoveny
speciální povinnosti s ohledem na předmět jejich činnosti (plnění úkolů veřejného pořádku
a bezpečnosti státu), a k udělení souhlasu ze strany žalobce nedošlo. Obdobný přístup zastává
i správní praxe, např. rozhodnutí Úřadu na ochranu osobních údajů ve věcech SPR-5205/11
a SPR-0097/09, podle něhož údaje žadatelů o informace podle zákona o svobodném přístupu
k informacím nesmějí být následně na webových stránkách povinné osoby (tj. správce údajů)
zveřejněny bez souhlasu subjektu údajů.
[28] Další právní tituly pro zpracování osobních údajů bez udělení souhlasu upravuje
§5 odst. 2 zákona o ochraně osobních údajů. Dle stěžovatele dopadá na daný případ výjimka
upravená pod písm. d) citovaného ustanovení. Stěžovatel proto nemohl porušit zákon
ani v případě, kdy jako správce neměl oprávnění ke zveřejnění získaných osobních údajů
z výkonu veřejné správy.
[29] Zákon o ochraně osobních údajů v §5 odst. 2 písm. d) říká, že [s]právce může zpracovávat
osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat, jedná-li se o oprávněně
zveřejněné osobní údaje v souladu se zvláštním právním předpisem. Tím však není dotčeno právo na ochranu
soukromého a osobního života subjektu údajů. Stěžovatel se dovolává této výjimky s ohledem
na skutečnost, že údaje žalobce jsou zveřejněny v živnostenském rejstříku a nepodléhají tak již dle
jeho názoru žádné anonymizaci. Zákon předvídá (resp. přímo vyžaduje), aby řada osobních údajů
podnikajících fyzických osob byla uvedena v různých veřejných rejstřících, ve kterých jsou
obecně přístupné. Takto zveřejněné údaje se stávají oprávněně zveřejněnými údaji ve smyslu
zákona, při jejichž dalším zveřejnění již není vyžadován souhlas subjektů údajů. Ochrana
osobních údajů ale ani zde není prolomena úplně, další zpracování veřejně dostupných údajů
nesmí představovat zásah do soukromého či osobního života subjektu údajů (např. uvedení
bydliště osoby, jež se liší od sídla uvedeného v živnostenském rejstříku, již takovým zásahem je).
Legitimní je zejména jejich využití v rámci účelu, pro který byly shromážděny, například vytvoření
statistického přehledu o podnikatelích v rámci regionu na základě informací z živnostenského
rejstříku, použití konkrétních údajů o podnikatelích v tisku či jiných periodikách, atp. Situace, kdy
stěžovatel zpracoval osobní údaje získané na základě jemu adresovaných žádostí o poskytnutí
informací, však představuje zcela odlišný skutkový stav, na který nelze aplikovat §5 odst. 2
písm. d) zákona o ochraně osobních údajů. Nejedná se zde o zpracování oprávněně zveřejněných
údajů z živnostenského rejstříku, které stěžovatel využil/zpracoval pro potřeby vlastních statistik,
ale o jím získané osobní údaje žadatele, které zpracoval a uvedl ve zveřejněném seznamu došlých
žádostí. Shoda údajů, které získal stěžovatel z došlých žádostí, a údajů, které obsahuje
živnostenský rejstřík, tak není v daném případě relevantní ve smyslu ochrany osobních údajů,
resp. jejího prolomení. Aplikace §5 odst. 2 písm. d) zákona je založena na situaci, kdy subjekt
(správce či zpracovatel) oprávněně zveřejněné údaje dále zpracovává. V daném případě taková
situace nenastala, naopak stěžovatel údaje uvedené ve veřejném rejstříku nezpracovával (tedy ani
nezveřejňoval), pouze se argumentačně zaštiťuje tím, že zveřejnil takové údaje, které stejně již
ve veřejném rejstříku běžně dostupné jsou. Lze shrnout, že pouhá skutečnost, že osobní údaje
jsou veřejně dostupné (ať již „fakticky“, ze zákona, nebo na podkladě vůle jejich subjektu),
je nezbavuje právní ochrany a neovlivňuje jejich status ve smyslu §4 písm. a) zákona o ochraně
osobních údajů. Pokud dojde k neoprávněnému zveřejnění, okolnost, že údaje se rovněž nachází
v otevřeném zdroji, sama o sobě jejich zpracování v rozporu se zákonem nelegalizuje.
[30] Stěžovatel dále namítá, že dokument neobsahoval chráněné osobní údaje žalobce,
protože zveřejněné osobní údaje (jméno, příjmení, atd.) spadají pod oprávněně zveřejněné údaje,
a další zveřejněné údaje (týkající se obsahu a vyřízení žádosti) nejsou údaji osobními ve smyslu
zákona. Tato námitka není s ohledem na výše uvedené důvodná, neboť sporný dokument
neobsahoval oprávněně zveřejněné údaje. Není pak podstatné, zda všechny zveřejněné údaje
by jednotlivě splnily kritéria údajů chráněných či nikoli. Bylo prokázáno, že došlo
k neoprávněnému zveřejnění osobních údajů žalobce, čímž bylo zasaženo do jeho právní sféry
ve smyslu porušení práva na soukromí. Není třeba hodnotit intenzitu či rozsah zásahu,
neboť toto není určující z hlediska konstatování nezákonnosti, nadto v situaci, kdy se jedná
o zásah do práva na soukromí, nikoli o proti sobě stojící ústavní práva, jejichž proporcionalitu
by bylo třeba posuzovat. Z pohledu §82 s. ř. s. zásah stěžovatele naplnil všechny podmínky
definované výše.
IV. Závěr a náklady řízení
[31] S ohledem na výše uvedené Nejvyšší správní soud neshledal námitky stěžovatele
důvodnými, proto kasační stížnost zamítl (§110 odst. 1 s. ř. s.). Stěžovatel pochybil,
když zveřejnil dokument obsahující seznam žádostí o poskytnutí informací dle zákona
o svobodném přístupu k informacím na svých webových stránkách, aniž by anonymizoval osobní
údaje žadatelů.
[32] Soud rozhodl o náhradě nákladů řízení o kasační stížnosti podle §60 odst. 1, věty první,
s. ř. s. za použití §120 s. ř. s., podle kterého nestanoví-li tento zákon jinak, má účastník, který měl
ve věci plný úspěch, právo na náhradu nákladů řízení před soudem, které důvodně vynaložil,
proti účastníkovi, který ve věci úspěch neměl.
[33] Stěžovatel nebyl v řízení o kasační stížnosti úspěšný, proto nemá právo na náhradu
nákladů řízení. Náklady žalobce tvoří odměna advokáta ve výši 3 100 Kč za jeden úkon právní
služby v podobě sepsání vyjádření ke kasační stížnosti [§7 a §9 odst. 4 písm. d) vyhlášky
č. 177/1996 Sb., s přihlédnutím k ustanovení §11 odst. 1 písm. d) téže vyhlášky (písemné podání
nebo návrh ve věci samé), a jeden režijní paušál ve výši 300 Kč za jeden úkon právní služby
dle §13 odst. 3 téže vyhlášky]. Celkem tedy náklady řízení o kasační stížnosti činí 3 400 Kč.
Stěžovatel je povinen zaplatit žalobci náhradu nákladů řízení v této výši k rukám jeho právního
zástupce, Mgr. Václava Voříška, a to do 30 dnů od právní moci tohoto rozsudku.
Poučení: Proti tomuto rozsudku nejsou opravné prostředky přípustné.
V Brně dne 21. srpna 2018
JUDr. Barbara Pořízková
předsedkyně senátu