ECLI:CZ:NSS:2022:1.AO.1.2022:65
sp. zn. 1 Ao 1/2022 - 65
ROZSUDEK
Nejvyšší správní soud rozhodl v senátu složeném z předsedkyně JUDr. Lenky Kaniové a soudců
JUDr. Josefa Baxy a JUDr. Ivo Pospíšila v právní věci navrhovatelů: a) nezl. B. D., a b) nezl.
M. D., Mgr. P. D. a M. D., právně zastoupeni JUDr. Vladanou Vališovou, LL.M., advokátkou
se sídlem Balbínova 1093/27, Praha 2, proti odpůrci: Ministerstvo zdravotnictví, se sídlem
Palackého náměstí 375/4, Praha 2, o návrhu na zrušení článku IV bodu 1 a článku VII bodu 2
mimořádného opatření ze dne 26. 1. 2022, č. j. MZDR 1515/2022-2/MIN/KAN,
takto:
I. Návrh se v části týkající se čl. IV bodu 1 mimořádného opatření ze dne 26. 1. 2022,
č. j. MZDR 1515/2022-2/MIN/KAN, od m ít á .
II. Návrh se v části týkající se čl. VII bodu 2 mimořádného opatření ze dne 26. 1. 2022,
č. j. MZDR 1515/2022-2/MIN/KAN, zamí t á .
III. Navrhovatelé nemají práv o na náhradu nákladů řízení.
IV. Odpůrci se právo na náhradu nákladů řízení n ep ři zn áv á .
Odůvodnění:
I. Vymezení věci
[1] Nejvyšší správní soud obdržel dne 8. 2. 2022 návrh navrhovatelů na zrušení či vyslovení
nezákonnosti v záhlaví označených částí mimořádného opatření odpůrce ze dne 26. 1. 2022,
č. j. MZDR 1515/2022-2/MIN/KAN (dále jen „opatření“), vydaného na základě §69 odst. 1
písm. i), §69 odst. 2 a §94a odst. 4 zákona č. 258/2000 Sb., o ochraně veřejného zdraví,
a podle §2 odst. 2 písm. m) zákona č. 94/2021 Sb., o mimořádných opatřeních při epidemii
onemocnění COVID-19 a o změně některých souvisejících zákonů (dále jen „pandemický
zákon“).
[2] Článek IV bod 1 opatření stanoví: „Škola bez zbytečného odkladu po získání výsledků
preventivních antigenních testů zašle, není-li dále stanoveno jinak, příslušné krajské hygienické stanici
nebo Hygienické stanici hlavního města Prahy (dále jen „krajská hygienická stanice“) prostřednictvím aplikace
Covid Forms Application (dále jen „CFA“) elektronický soubor ve formátu xlsx nebo csv obsahující seznam dětí,
žáků nebo studentů, kteří byli ve škole testováni a měli pozitivní výsledek preventivního antigenního testu,
a to s uvedením údajů o jejich jméně a příjmení, kontaktním telefonním čísle, rodném čísle, datu narození, kódu
zdravotní pojišťovny, kontaktní e-mailové adrese, obci bydliště a PSČ a státním občanství a datu provedení tohoto
testu, a dále identifikační údaje školy.“
[3] Článek VII bod 2 opatření stanoví: „Škola bezodkladně informuje telefonicky nebo e-mailem
příslušnou krajskou hygienickou stanici o skutečnosti zjištěné podle bodu 1. Škola dále zašle příslušné krajské
hygienické stanici prostřednictvím CFA elektronický soubor ve formátu xlsx nebo csv obsahující seznam dětí,
žáků nebo studentů, a zaměstnanců školy, kteří byli školou ve spolupráci s krajskou hygienickou stanicí
vyhodnoceni jako epidemiologicky významný kontakt dítěte, žáka nebo studenta nebo pedagogického pracovníka
uvedených v bodu 1, a to s uvedením údajů o jejich jméně a příjmení, kontaktním telefonním čísle, rodném čísle,
datu narození, kódu zdravotní pojišťovny, kontaktní e-mailové adrese, obci bydliště a PSČ a státním občanství,
datu kontaktu s dítětem, žákem nebo studentem nebo pedagogickým pracovníkem uvedeným v bodu 1
a identifikační údaje školy. Krajská hygienická stanice provede epidemiologické šetření, včetně vyhodnocení rizik
a přijme adekvátní protiepidemická opatření k zabránění šíření nákazy. V případě, že krajská hygienická
stanice rozhodne o provedení preventivního screeningového testování dětí, žáků nebo studentů a zaměstnanců školy
na vyšetření přítomnosti viru SARS-CoV-2 v ohnisku nákazy, které bylo vymezeno krajskou hygienickou stanicí
na základě epidemiologického šetření, je škola jí povinna bezodkladně zaslat postupem podle věty druhé údaje
těchto dětí, žáků nebo studentů a zaměstnanců, a to v rozsahu údajů o jejich jméně a příjmení, kontaktním
telefonním čísle, rodném čísle, datu narození, kódu zdravotní pojišťovny, kontaktní e-mailové adrese, obci bydliště
a PSČ a státním občanství.“
II. Podstatný obsah návrhu
[4] Navrhovatelka a) je studentkou druhého ročníku gymnázia, navrhovatel b) žákem
osmého ročníku základní školy. Označené části napadeného opatření se jich proto bezprostředně
dotýkají. Navrhovatelka a) obdržela dne 4. 2. 2022 od krajské hygienické stanice SMS zprávu,
že byla dne 2. 2. 2022 v rizikovém kontaktu a má zůstat do 7. 2. 2022 v karanténě. Informaci
o rizikovém kontaktu čerpala hygienická stanice od školy (postupem podle dotčených ustanovení
napadeného opatření) a navrhovatelku nikdy nekontaktovala pro potvrzení, zda k takovému
kontaktu skutečně došlo či nikoliv. Navrhovatelka v rozhodné době nevykazovala klinické
příznaky onemocnění a na přítomnost viru SARS-CoV-2 byla s negativním výsledkem testovaná
(PCR testem) i přímo v den, kdy obdržela SMS zprávu, že má nastoupit do karantény.
Ani napadené opatření, ani Metodický pokyn hlavní hygieničky ze dne 27. 1. 2022 se zjišťováním
takových skutečností nezabývá, pročež dochází k nadbytečnému omezování zdravých osob
na osobní svobodě a v právu na vzdělání. Navrhovatel b) se s obdobnou situací potýkal v druhé
polovině ledna roku 2022 – k zásahu do jeho práv došlo na základě předchozího opatření
(v zásadě totožného znění) ze dne 23. 12. 2021, č. j. MZDR 14600/2021-26/MIN/KAN,
ve znění mimořádného opatření ze dne 14. 1. 2022 č. j. MZDR 1515/2022-1/MIN/KAN.
Je tedy zřejmé, že obdobným způsobem do jeho práv zasahuje i nyní napadené opatření, a oběma
navrhovatelům proto svědčí v probíhajícím řízení aktivní legitimace.
[5] Postup zakotvený v čl. IV bodu 1 a čl. VII bodu 2 opatření představuje zásah do práva
na respektování soukromého života v podobě práva na informační sebeurčení. Opatření
je v rozporu s čl. 10 odst. 3 Listiny základních práv a svobod a především s čl. 9 nařízení
Evropského parlamentu a Rady (EU) 2016/679 ze dne 26. dubna 2016, o ochraně fyzických osob
v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení
směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), dále jen „nařízení GDPR“.
Navrhovatelé nezpochybňují, že na monitorování epidemií a jejich šíření se může vztahovat
výjimka ze zákazu zpracování osobních údajů, je však nezbytné přijmout adekvátní bezpečnostní
opatření a zásady důvěrnosti, které zajistí, že osobní údaje nebudou poskytnuty neoprávněným
stranám. Současně je třeba respektovat zásadu proporcionality a minimalizace údajů. Napadené
opatření ani pandemický zákon či zákon o ochraně veřejného zdraví neobsahují žádná zvláštní
pravidla pro zajištění ochrany zpracovávaných osobních údajů ve smyslu §78 nařízení GDPR
(např. technická a organizační opatření k zajištění zásady minimalizace údajů a pseudonymizace).
[6] Již z textu sporných částí napadeného opatření je patrné, že není zachována zásada
minimalizace údajů (současné zpracování údaje o datu narození a rodného čísla, většinu údajů
má nadto k dispozici zdravotní pojišťovna). Opatření neobsahuje k otázce zpracování údajů
žádné podrobnosti (nestanoví dobu, po niž je škola povinna údaje uchovávat, nezakotvuje žádné
postupy za účelem zajištění bezpečnosti osobních údajů apod.). Navrhovatelé jsou proto
přesvědčeni, že označené části opatření jsou v rozporu s čl. 9 nařízení GDPR. To tím spíše,
že se dotýkají práv dětí, tj. subjektů, které zaslouží zvýšenou míru ochrany zpracovávaných údajů.
III. Vyjádření odpůrce
[7] Odpůrce ve vyjádření k návrhu předně připomněl principy přezkumu mimořádného
opatření. Dále zdůraznil, že situace ohledně epidemie onemocnění COVID-19 je bezprecedentní
a je třeba ji posuzovat komplexně. Poznatky o epidemii se dynamicky vyvíjí a neexistuje příliš
mnoho podkladů, z nichž by mohl vycházet. Odpůrce tedy vydává mimořádná opatření
za situace, kdy neexistuje dostatek informací o epidemii, avšak při vědomí, že s ohledem
na hrozící nebezpečí nelze vyčkávat, až bude prokázáno, zda je přijímané opatření vhodnější
než jiné. Odpůrce klade důraz na ochranu života a zdraví, současně se však snaží minimalizovat
zásahy do chodu společnosti. Při přijímání opatření má na zřeteli princip proporcionality, nemůže
nicméně odhlédnout ani od toho, že omezení vyplývající z opatření jsou pouze dočasná, na rozdíl
od případných následků spojených s masovým šířením onemocnění COVID-19.
[8] K tvrzení navrhovatelů, že dotčené části opatření představují zásah do jejich práva
na sebeurčení, odpůrce odkázal na §62a a §79 odst. 1 zákona o ochraně veřejného zdraví,
podle něhož jsou příslušné orgány ochrany veřejného zdraví oprávněny provádět
epidemiologické šetření a v této souvislosti zpracovávat blíže stanovené osobní údaje. Tomu
odpovídá povinnost dotčených subjektů poskytovat součinnost a sdělovat požadované
informace. Spatřují-li navrhovatelé nezákonnost opatření v tom, že se orgány ochrany veřejného
zdraví údaje dozvídají prostřednictvím školy, připustil odpůrce, že by bylo teoreticky možné
obracet se v této souvislosti přímo na dotčené žáky (jejich zákonné zástupce), kteří by hlásili
své rizikové kontakty. To by však bylo možné pouze za předpokladu, že by tito žáci disponovali
osobními údaji svých rizikových kontaktů, což je značně nepravděpodobné. Potřebnými údaji
naopak běžně disponuje škola, proto představuje postup stanovený v napadeném opatření
nejvhodnější a nejefektivnější způsob získávání osobních údajů. Škola nejedná svévolně,
ale naopak činí maximum pro to, aby ochránila zdraví svých žáků. Právo na informační
sebeurčení končí tam, kde by neposkytnutí osobních údajů nepříznivě zasáhlo do právní sféry
jiných osob. Poskytování dotčených údajů je prospěšné i pro negativně testovanou osobu, která
může při vědomí o rizikovém kontaktu s nakaženou osobou přijmout další opatření k ochraně
sebe i svých blízkých.
[9] Odpůrce tedy nepovažuje návrh za důvodný a navrhl, aby jej Nejvyšší správní soud
zamítl.
IV. Replika navrhovatelů
[10] Na vyjádření odpůrce reagovali navrhovatelé rozsáhlou replikou ze dne 6. 3. 2022,
v níž předně zdůraznili, že i v rámci procesu přijímání opatření obecné povahy je povinností
správních orgánů postupovat v souladu se základními zásadami vyjádřenými v části první
správního řádu, mezi něž se řadí i zásada legality či zásada proporcionality. Odpůrce tedy musel
zohlednit úpravu obsaženou v nařízení GDPR, která má v případě kolize s vnitrostátním právem
aplikační přednost.
[11] Dále se ohradili vůči tvrzení odpůrce, že epidemie onemocnění COVID-19 představuje
novou situaci. S ohledem na dobu jejího trvání disponují státní orgány dostatečným množstvím
potřebných informací a měly by být schopné adekvátně reagovat. Odpůrce by neměl nedostatky
ve vlastní činnosti přenášet v podobě plošných omezujících opatření na občany. Současně
se navrhovatelé nedomnívají, že by se v porovnání s jinými infekčními onemocněními jednalo
o zvlášť závažnou nemoc. To platí tím spíše ohledně varianty omikron, která nepůsobí výrazné
obtíže. Jejímu šíření nadto nemohlo napadené opatření (s ohledem na vysokou nakažlivost)
zabránit. Opatření postrádá racionální základ, neboť navrhovatele prostřednictvím opakovaně
nařizované karantény omezovalo v účasti na vzdělávání, jakož i v dalších běžných činnostech.
To navzdory skutečnosti, že v rozhodné době podstoupili PCR testy s negativním výsledkem,
disponovali testem na protilátky a nevykazovali žádné příznaky onemocnění. Situace
je o to závažnější, že oni sami ve škole pozitivně testovaní nebyli a o jejich rizikovém kontaktu
s pozitivně testovanými osobami neexistují žádné důkazy.
[12] Závěrem se navrhovatelé ohradili vůči možnosti přenosu pravomocí v oblasti zpracování
osobních údajů o zdravotním stavu na soukromé subjekty (školy), aniž by byl takový krok
doprovázen přijetím odpovídajících opatření za účelem ochrany těchto údajů.
V. Posouzení věci Nejvyšším správním soudem
[13] Nejvyšší správní soud úvodem poznamenává, že navrhovatelé podali dne 14. 2. 2022
žádost o osvobození od soudních poplatků. Následně však dne 22. 2. 2022 poplatek uhradili,
proto se jejich žádost stala bezpředmětnou a soud o ní již nerozhodoval.
V.a) Podmínky řízení a aktivní legitimace
[14] Soud napadenou část mimořádného opatření odpůrce přezkoumal podle §13
pandemického zákona ve spojení s §101a a násl. s. ř. s. Vycházel z uplatněných návrhových bodů
(§101b odst. 2 s. ř. s.) a ze skutkového a právního stavu věci, který tu byl v době vydání
mimořádného opatření (§101b odst. 3 s. ř. s.). O návrhu soud rozhodl bez nařízení jednání,
neboť navrhovatelé i odpůrce s tímto postupem souhlasili a ani soud nepovažoval konání ústního
jednání (např. za účelem dokazování) za potřebné.
[15] Napadené opatření bylo v průběhu řízení zrušeno (mimořádným opatřením ze dne
9. 2. 2022, č. j. MZDR 5016/2022-1/MIN/KAN, s účinností od 18. 2. 2022), což však nebrání
jeho přezkumu a případnému vyslovení nezákonnosti navrhovateli označených částí opatření
(§13 odst. 4 pandemického zákona).
[16] Soud se nejprve zabýval otázkou, zda jsou navrhovatelé aktivně procesně legitimovaní
k podání návrhu na zrušení dotčeného mimořádného opatření. Podle §101a odst. 1 věty první
s. ř. s. platí, že „návrh na zrušení opatření obecné povahy nebo jeho částí je oprávněn podat ten, kdo tvrdí, že byl
na svých právech opatřením obecné povahy, vydaným správním orgánem, zkrácen.“
[17] Aktivní procesní legitimace představuje podmínku řízení, kterou musí obecně navrhovatel
splňovat, aby byl oprávněn podat k soudu návrh na zrušení opatření obecné povahy. K jejímu
splnění je zapotřebí, aby návrh obsahoval myslitelná a logicky konsekventní tvrzení
o tom, že právní sféra navrhovatele (tj. jemu náležející subjektivní práva) byla napadeným
opatřením obecné povahy dotčena. To, zda je dotčení práv vůbec myslitelné, závisí na povaze,
předmětu, obsahu a způsobu regulace prováděné konkrétním opatřením obecné povahy (bod 34
usnesení rozšířeného senátu ze dne 21. 7. 2009, č. j. 1 Ao 1/2009 - 120, č. 1910/2009 Sb. NSS).
Není-li tato podmínka splněna, soud návrh usnesením odmítne podle §46 odst. 1 písm. a) s. ř. s.
Otázku aktivní procesní legitimace navrhovatele jako podmínku řízení přitom nelze směšovat
s otázkou aktivní věcné legitimace navrhovatele, tedy s otázkou důvodnosti návrhu. Tou se soud
zabývá až v rámci věcného přezkumu, nikoli při posuzování podmínek řízení (bod 42 usnesení
rozšířeného senátu ze dne 17. 9. 2013, č. j. 1 Aos 2/2013 - 116, č. 2943/2014 Sb. NSS).
[18] V nyní projednávané věci navrhovatelé napadají ty části opatření, které se týkají předávání
osobních údajů žáků (studentů) v případě, že 1) byli ve škole testováni na přítomnost viru
SARS-CoV-2 s pozitivním výsledkem (čl. IV bod 1 opatření), či 2) byli v rizikovém kontaktu
s jinou osobou, u níž byl výsledek testování pozitivní. V takovém případě stanoví opatření
povinnost školy předat blíže specifikované údaje o žácích příslušné krajské hygienické stanici.
[19] Podle čl. I opatření platí, že škola umožní žákovi osobní přítomnost na vzdělávání pouze
tehdy, pokud
„a) podstoupil v termínech stanovených podle čl. II vyšetření prostřednictvím neinvazivního preventivního
antigenního testu na přítomnost antigenu viru SARS-CoV-2, které si provedl sám nebo které mu byly provedeny
jinou osobou a které mu poskytla škola (…), nebo
b) doloží, že i) absolvoval nejdéle před 72 hodinami RT-PCR vyšetření na přítomnost viru SARS-CoV-2
s negativním výsledkem, nebo ii) absolvoval nejdéle před 24 hodinami rychlý antigenní test (RAT) na přítomnost
antigenu viru SARS-CoV-2 provedený poskytovatelem zdravotních služeb s negativním výsledkem, nebo iii)
prodělal laboratorně potvrzené onemocnění covid-19, uplynula u něj doba nařízené izolace a od pozitivního
RT-PCR testu na přítomnost viru SARS-CoV-2, na jehož základě byla nařízena izolace, neuplynulo více
než 30 dnů, nebo
c) po celou dobu poskytování vzdělávání nebo školských služeb v budově školy nebo školském zařízení
nebo ve venkovním prostředí, není-li možné dodržet rozestupy alespoň 1,5 m od ostatních dětí, žáků
nebo studentů, používá ochranný prostředek dýchacích cest, kterým je respirátor nebo obdobný prostředek (vždy
bez výdechového ventilu) naplňující minimálně všechny technické podmínky a požadavky (pro výrobek), včetně
filtrační účinnosti alespoň 94 % dle příslušných norem; děti a žáci do 15 let věku a žáci základní školy
při vzdělávání nebo poskytování školských služeb v základní škole, školní družině nebo školním klubu, žáci
nižšího stupně šestiletého a osmiletého gymnázia při vzdělávání na gymnáziu jsou oprávněni používat jako
ochranný prostředek zdravotnickou obličejovou masku nebo obdobný prostředek naplňující minimálně všechny
technické podmínky a požadavky (pro výrobek) normy ČSN EN 14683+AC, které brání šíření kapének.“
[20] Z článku I opatření je patrné, že nutnost podrobit se preventivnímu testování ve škole
podle čl. II téhož opatření nepředstavuje podmínku pro účast na výuce. Opatření totiž pamatuje
i na jiné alternativy (PCR či antigenní testování mimo školu, používání ochranného prostředku
dýchacích cest apod.), které klade v této souvislosti na roveň testování na přítomnost viru
SARS-CoV-2 ve škole. Současně je patrné, že předávání osobních údajů žáků (včetně údaje
o pozitivním výsledku testu) postupem podle čl. IV bodu 1 opatření se vztahuje toliko na osoby,
které podstoupily antigenní testování přímo ve škole. To vyplývá již ze samotného textu
dotčeného bodu opatření, podle něhož „[š]kola bez zbytečného odkladu po získání výsledků preventivních
antigenních testů zašle, není-li dále stanoveno jinak, příslušné krajské hygienické stanici (…) elektronický soubor
ve formátu xlsx nebo csv obsahující seznam dětí, žáků nebo studentů, kteří byli ve škole testováni a měli pozitivní
výsledek preventivního antigenního testu[.]
[21] Předávání osobních údajů podle citovaného článku opatření se tedy týká výhradně těch
žáků (studentů), kteří podstoupili preventivní antigenní test podle čl. II tohoto opatření. Naproti
tomu se nebude dotýkat těch žáků (studentů), kteří využívají některé z jiných variant uvedených
v čl. I písm. b) a c) opatření.
[22] V nyní projednávané věci neobsahuje návrh žádná tvrzení, z nichž by vyplývalo,
že navrhovatelé ve škole podstupovali preventivní antigenní testování podle čl. II opatření.
Ostatně ani jejich argumentace se žádným způsobem nevztahuje k situaci, kdy by škola předala
(nebo byť jen potenciálně mohla předat) krajské hygienické stanici osobní údaje postupem
podle čl. IV bodu 1 opatření, tj. že by v minulosti nastala nebo mohla nastat situace, že by byli
navrhovatelé ve škole podrobeni testování na přítomnost viru SARS-CoV-2 s pozitivním
výsledkem, v důsledku čehož by došlo k „aktivaci“ čl. IV bodu 1 opatření. V zásadě veškerá
argumentace obsažená v návrhu se vztahuje k situaci upravené v čl. VII bodu 2 opatření,
kdy je škola povinna hlásit osobní údaje žáků (studentů), kteří byli v rizikovém kontaktu
s pozitivně testovanou osobou (sami však pozitivně testovaní nebyli). Ve vztahu k čl. IV bodu 1
opatření (jehož zrušení se rovněž domáhají) navrhovatelé pouze povšechně namítali rozpor s čl. 9
GDPR, aniž by však předestřeli jakoukoliv podrobnější argumentaci ve vztahu k otázce, z jakého
důvodu a jakým způsobem se jich uvedená část opatření týká. V návrhu přitom na několika
místech uvádí, že v rozhodném období opakovaně podstoupili laboratorní PCR testování
(což dokládají i výsledky těchto testů, které tvoří přílohu návrhu), nikoliv antigenní testování
přímo ve škole.
[23] Za daných okolností tedy Nejvyšší správní soud činí dílčí závěr, že navrhovatelé neuvedli
žádná tvrzení, která by svědčila o jejich aktivní procesní legitimaci k podání návrhu na zrušení
čl. IV bodu 1 opatření. V rámci své rozhodovací činnosti tento soud setrvale odmítá natolik
extenzivní pojetí aktivní legitimace k podání návrhu na zrušení opatření obecné povahy, které
by z něj v zásadě činilo actionis popularis (viz např. již citované usnesení rozšířeného senátu
č. j. 1 Ao 1/2009 - 120, z rozhodnutí ve věcech přezkumu mimořádných opatření odpůrce např.
rozsudky ze dne 21. 5. 2021, č. j. 6 Ao 22/2021 - 44, č. 4272/2021 Sb. NSS, či ze dne 19. 8. 2021,
č. j. 1 Ao 11/2021-198). Takové pojetí by bylo v příkrém rozporu s konstrukcí řízení
podle §101a a násl. s. ř. s. Aktivní procesní legitimaci proto nelze v nyní projednávané věci
dovodit pouze ze skutečnosti, že navrhovatelé jsou žáky (studenty) základní či střední školy, aniž
by podstupovali preventivní testování ve škole podle čl. II opatření, které je nutným
předpokladem pro postup podle jimi napadeného čl. IV bodu 1 téhož opatření.
[24] Jedná-li se o druhý navrhovateli označený bod opatření (čl. VII bod 2), ohledně něj nemá
Nejvyšší správní soud o aktivní legitimaci navrhovatelů pochybnost. Předpokladem postupu
podle citovaného článku je skutečnost, že žák (student) byl v rizikovém kontaktu s pozitivně
testovanou osobou. Nezáleží tedy na tom, zda sami navrhovatelé podstupují antigenní testování
ve škole, či využívají jiné z alternativ zakotvených v čl. I opatření. Ostatně i z obsahu návrhu
(a jeho příloh) je patrné, že minimálně u navrhovatelky a) již škola podle čl. VII bodu 2
postupovala, neboť ji vyhodnotila jako osobu, která byla v rizikovém kontaktu s osobou
pozitivně testovanou na přítomnost viru SARS-CoV-2, pročež předala její osobní údaje krajské
hygienické stanici. Do obdobné situace se pak mohl potenciálně dostat i navrhovatel b).
V.b) Věcné posouzení uplatněných námitek
[25] Nejvyšší správní soud tedy přikročil k věcnému posouzení argumentace navrhovatelů
ve vztahu k čl. VII bodu 2 napadeného opatření. Dospěl však k závěru, že je nedůvodná.
[26] Navrhovatelé spatřují v citovaném článku opatření nepřípustný zásah do jejich práva
na informační sebeurčení (čl. 10 odst. 3 Listiny základních práv a svobod). Namítají, že předávání
údajů o zdravotním stavu je podle čl. 9 nařízení GDPR zakázáno. Jakkoliv připouští existenci
výjimky pro shromažďování a zpracování těchto údajů pro účely sledování vývoje epidemie
a zabránění (či zpomalení) jejího dalšího šíření, domnívají se, že v daném případě podmínky
pro uplatnění této výjimky splněny nejsou. To především z toho důvodu, že odpůrce nestanovil
v opatření žádná pravidla pro nakládání s uvedenými údaji a nepřijal opatření k zajištění jejich
bezpečnosti.
[27] Podle čl. 9 odstavce 1 nařízení GDPR se zakazuje „zpracování osobních údajů, které vypovídají
o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství
v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby
a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.“ Odstavec 2 téhož
ustanovení pak stanoví výjimky, za nichž se zde uvedený obecný zákaz nepoužije. Mezi takové
situace patří i případy, kdy „i) zpracování je nezbytné z důvodů veřejného zájmu v oblasti veřejného zdraví,
jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality
a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva Unie
nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů,
zejména služebního tajemství.“
[28] Problematikou zpracování osobních údajů v rámci mimořádných opatření odpůrce
vydávaných v souvislosti s epidemií onemocnění COVID-19 se již Nejvyšší správní soud zabýval
v několika svých rozhodnutích (např. rozsudky ze dne 14. 4. 2021, č. j. 8 Ao 1/2021 - 133,
a ze dne 6. 5. 2021, č. j. 5 Ao 1/2021 - 65). V prvně citovaném rozhodnutí tento soud zdůraznil,
že pokud mimořádné opatření ukládá zpracovávat osobní údaje, musí odpůrce v souladu s čl. 5
nařízení GDPR vymezit pro takový postup zcela určitý a legitimní účel. To platí tím spíše
u zvláštní kategorie osobních údajů, mezi něž se řadí rovněž údaje o zdravotním stavu.
V rozsudku č. j. 5 Ao 1/2021 - 65 pak soud zpracování osobních údajů o zdravotním stavu
aproboval, přičemž připomněl, že se tak děje z důvodu veřejného zájmu v oblasti veřejného
zdraví, na což pamatuje i čl. 9 odst. 2 písm. i) nařízení GDPR.
[29] V právě souzené věci navrhovatelé nezpochybnili samotnou existenci legitimního účelu
pro shromažďování a zpracování osobních údajů. Svou argumentaci však vystavěli na tvrzení,
že škola předává krajské hygienické stanici údaje o zdravotním stavu, které spadají do zvláštní
kategorie osobních údajů (také označované jako citlivé údaje). Již k této prvotní premise
má však Nejvyšší správní soud zásadní výhrady.
[30] Podle čl. VII bodu 2 opatření škola předá hygienické stanici seznam osob, které byly
vyhodnoceny jako „epidemiologicky významný kontakt dítěte, žáka nebo studenta nebo pedagogického
pracovníka uvedených v bodu 1, a to s uvedením údajů o jejich jméně a příjmení, kontaktním telefonním čísle,
rodném čísle, datu narození, kódu zdravotní pojišťovny, kontaktní e-mailové adrese, obci bydliště a PSČ
a státním občanství, datu kontaktu s dítětem, žákem nebo studentem nebo pedagogickým pracovníkem uvedeným
v bodu 1 a identifikační údaje školy.“ Vyjmenované údaje (jméno, příjmení, datum narození,
e-mailová adresa, obec bydliště apod.) nicméně nespadají mezi zvláštní kategorii osobních údajů
upravenou v čl. 9 nařízení GDPR. Jedná se o „běžné“ osobní údaje, jimiž škola standardně
disponuje a k jejichž poskytnutí krajské hygienické stanici dochází za účelem ochrany veřejného
zdraví. Dotčený bod opatření, na rozdíl od čl. IV bodu 1 (k jehož napadení však navrhovatelům
nesvědčí aktivní legitimace, respektive její splnění neprokázali – viz zejména body [22] - [25]
tohoto rozsudku), neupravuje poskytování údajů o tom, že byla dotčená osoba pozitivně
testovaná na přítomnost viru SARS-CoV-2. Jediným údajem, který by potenciálně bylo možné
označit za údaj o zdravotním stavu, je informace o tom, že dotčená osoba byla v kontaktu
s pozitivně testovanou osobou. Ani tato skutečnost nicméně v konečném důsledku o zdravotním
stavu dotčené osoby příliš nevypovídá, neboť z ní pouze vyplývá existence zvýšeného rizika,
že by se u dané osoby mohlo onemocnění COVID-19 projevit. Argumentace navrhovatelů
ohledně shromažďování a poskytování zvláštní kategorie osobních údajů je tedy nepřiléhavá.
[31] Ohrazují-li se navrhovatelé vůči skutečnosti, že k předávání osobních údajů dochází
ze strany školy, nikoliv samotnými žáky (jejich zákonnými zástupci), Nejvyšší správní soud
souhlasí s odpůrcem, že postup zakotvený v čl. VII bodu 2 opatření je legitimní a s ohledem
na sledovaný účel zcela smysluplný. Je to totiž právě škola, která již zpravidla všemi údaji
shromažďovanými krajskou hygienickou stanicí disponuje, a to na rozdíl od samotných žáků,
jimž obvykle většina z požadovaných údajů o třetích osobách známa nebude. Napadené opatření
umožňuje získat všechny údaje efektivně - od jednoho subjektu a v co nejkratším čase, ve snadno
zpracovatelném formátu (elektronický soubor ve formátu xlsx nebo csv), nadto prostřednictvím
specifických komunikačních kanálů (aplikace Covid Forms Application). Odpůrcem zvolené
řešení proto považuje soud za racionální a přiměřené sledovanému účelu. Pokud by se krajská
hygienická stanice obracela na samotné žáky (studenty), došlo by k zásadní časové prodlevě
a současně (jak již bylo uvedeno výše) by se zřejmě některé údaje nepodařilo získat vůbec.
Tím by se značně oslabila schopnost krajské hygienické stanice v reálném čase reagovat a izolovat
osoby, které se dostaly do kontaktu s nakaženou osobou. Za závadu soud nepovažuje
ani skutečnost, že některými z informací disponují zdravotní pojišťovny. I pokud by se na ně
chtěla krajská hygienická stanice obrátit, musela by nejprve získat alespoň základní identifikační
údaje dotčených osob (zřejmě opět od školy), čímž by došlo k nadbytečnému prodlužování
postupu shromažďování údajů, a to v situaci, kdy faktor času sehrává klíčovou roli.
[32] Nedůvodnou soud shledal rovněž námitku, že odpůrce nezakotvil adekvátní opatření
za účelem ochrany citlivých údajů o zdravotním stavu (zvláštní kategorie osobních údajů). V této
souvislosti opakuje, že napadená část opatření se netýká (minimálně v převažujícím rozsahu)
předávání údajů o zdravotním stavu, ale toliko „běžných“ údajů, jako je jméno, příjmení, datum
narození a další. Jedná se o údaje, které škola zpracovává zcela standardně a na něž se vztahují
běžné postupy a pravidla pro nakládání s osobními údaji, které je škola povinna dodržovat
i za jiných okolností. Pokud se jedná o postup krajské hygienické stanice, problematiku sběru
a zpracování osobních údajů upravuje §79 zákona o ochraně veřejného zdraví (k tomu viz také
rozsudek ze dne 6. 5. 2021, č. j. 5 Ao 1/2021 - 65). Nejvyšší správní soud nezpochybňuje,
že zpracovatel osobních údajů musí postupovat v souladu s nařízením GDPR a jeho povinností
je krom jiného přijmout odpovídající opatření (interní postupy) k zajištění bezpečnosti
zpracovávaných údajů. To však neznamená, jak se mylně domnívají navrhovatelé, že by musel
odpůrce podrobné podmínky zpracování osobních údajů zakotvit v každém jednotlivém
jím vydávaném opatření.
[33] Ke konkrétním výhradám navrhovatelů k rozsahu předávaných údajů soud doplňuje,
že odpůrce v odůvodnění opatření uvedl (byť pouze ve stručnosti), proč potřebuje mít krajská
hygienická stanice k dispozici právě údaje vyjmenované v čl. VII bodu 2 opatření: „Rozsah
stanovených údajů poskytovaných školou je nezbytný k vystavení elektronické žádanky. Povinnost uvádět
jak rodné číslo, tak datum narození, vyplývá z v praxi ověřené potřeby při vystavování žádanek u osob
neztotožnitelných s centrálními registry (cizinci apod.), toto je také důvod pro uvádění státního občanství. Obec
pobytu a PSČ je zase podstatné pro to, aby byl případný pozitivní záchyt přiřazen správně k místně příslušné
KHS k dalšímu řešení.“ S uvedenou argumentací navrhovatelé nikterak nepolemizují a pouze tvrdí,
že nebyla dodržena zásada minimalizace údajů, pokud škola současně předává údaj o datu
narození a rodném číslu. Jakkoliv soud nezpochybňuje, že u většiny osob by zřejmě postačovalo
sdělení pouze jednoho z těchto údajů, nepovažuje za nikterak excesivní postup odpůrce, který
(veden dřívějšími zkušenostmi) vyžaduje poskytování obou těchto údajů. Z obsahu dotčeného
článku opatření je nadto v určitých ohledech snaha o minimalizaci údajů patrná (např. neobsahuje
povinnost sdělit kompletní adresu bydliště dotčené osoby, ale toliko obec pobytu a její PSČ).
Jedná-li se pak o navrhovateli zmiňovanou pseudonymizaci, soudu není zřejmé, jakým způsobem
by byla v posuzované věci zmiňovaná metoda vůbec využitelná, neboť podstatou postupu
podle čl. VII bodu 2 opatření je právě snaha o ztotožnění konkrétních osob, které se dostaly
do rizikového kontaktu.
[34] Irelevantní je pak tvrzení, že navrhovatelé byli na osobní svobodě a právu na vzdělání
omezováni nadbytečně, neboť v rozhodné době podstoupili PCR test s negativním výsledkem,
popř. nevykazovali žádné příznaky onemocnění, či disponovali testem na protilátky. Předně nelze
přehlédnout, že karanténa osob, které byly v rizikovém kontaktu, představuje především
preventivní opatření. Již z podstaty věci se tedy bude vztahovat i na osoby, u nichž
se v konečném důsledku onemocnění nemusí projevit. Nadto samotná skutečnost, že dotčená
osoba v okamžiku nařízení karantény nevykazuje příznaky onemocnění, potažmo absolvuje test
na přítomnost viru SARS-CoV-2 s negativním výsledkem, ještě nutně neznamená, že se u ní toto
onemocnění neprojeví později v průběhu nařízené karantény. Především však nelze přehlédnout,
že navrhovatelé nebrojí proti opatření, jehož předmětem by bylo vymezení okruhu osob, které
lze pro účely uvalení karantény považovat za významný kontakt pozitivně testované osoby.
Těmito otázkami, podobně jako např. zákonností samotného testování či jiných povinností
stanovených v napadeném opatření, se Nejvyšší správní soud nezabýval, neboť je vázaný
předmětem přezkumu, jak jej vymezili navrhovatelé. Ti ve svém návrhu zpochybnili toliko části
opatření týkající se poskytování osobních údajů. Pro posouzení zákonnosti napadené úpravy jsou
tedy v tomto odstavci uvedené argumenty (jakož i další úvahy, které navrhovatelé významněji
rozvinuli v replice) nepřiléhavé a míjející se s podstatou věci.
VI. Závěr a náklady řízení
[35] Nejvyšší správní soud tedy návrh v části směřující proti čl. IV bodu 1 opatření
pro nedostatek aktivní legitimace odmítl (výrok I). Ve zbytku (v rozsahu vztahujícím se k čl. VII
bodu 2 opatření) návrh neshledal důvodným, a proto jej podle §101d odst. 2 věty druhé s. ř. s.
zamítl (výrok II).
[36] O náhradě nákladů řízení soud rozhodl podle úspěchu ve věci v souladu s §60 odst. 1
větou první s. ř. s. ve spojení s §120 s. ř. s. Navrhovatelé neměli v řízení úspěch, proto nemají
právo na náhradu nákladů řízení. Odpůrci, který by jinak měl právo na náhradu nákladů řízení,
žádné náklady nad rámec jeho úřední činnosti nevznikly. Nejvyšší správní soud mu proto
náhradu nákladů řízení nepřiznal (výroky III a IV).
Poučení: Proti tomuto rozsudku ne jsou opravné prostředky přípustné.
V Brně dne 14. března 2022
JUDr. Lenka Kaniová
předsedkyně senátu