7 As 150/2012 - 35 - Ochrana osobních údajů: automatizované zpracování osobních údajů

30. 01. 2013, Nejvyšší správní soud

Možnosti
Typ řízení: Správní, Správní (kasační)

Právní věta

I. Správa automatického daňového informačního systému ADIS není vyňata z působnosti § 13 zákona č. 101/2000 Sb., o ochraně osobních údajů.
II. Přijetí opatření v oblasti automatizovaného zpracování osobních údajů podle § 13 odst. 4 zákona č. 101/2000 Sb., o ochraně osobních údajů, není ponecháno na vůli správce či zpracovatele osobních údajů.
III. Splnění povinnosti zaznamenávat tzv. logy (tj. pořizovat záznamy o tom kdo, kdy a z jakého důvodu osobní údaje zaznamenal či jinak zpracoval) podle § 13 odst. 4 písm. c) zákona č. 101/2000 Sb., o ochraně osobních údajů, se nelze vyhnout poukazem na dodržení podmínek § 13 odst. 1 tohoto zákona.
IV. Cílem opatření podle § 13 odst. 4 písm. c) zákona č. 101/2000 Sb., o ochraně osobních údajů, je víceméně s určitostí zjistit, kdo a kdy učinil jakou operaci s osobními údaji. Nepostačuje tedy přijetí opatření, která umožňují zjistit tytéž skutečnosti pouze s relativně vysokou mírou pravděpodobnosti.
(Podle rozsudku Nejvyššího správního soudu ze dne 30.01.2013, čj. 7 As 150/2012 - 35)

Text judikátu

ČESKÁ REPUBLIKA

ROZSUDEK JMÉNEM REPUBLIKY

Nejvyšší správní soud rozhodl v senátě složeném z předsedy JUDr. Jaroslava Hubáčka a soudců JUDr. Elišky Cihlářové a JUDr. Karla Šimky v právní věci žalobce: Česká republika – Generální finanční ředitelství, se sídlem Lazarská 15/7, Praha 1, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, Praha 7, v řízení o kasační stížnosti žalobce proti rozsudku Městského soudu v Praze ze dne 8. 8. 2012, č. j. 10 A 46/2010 – 62,

takto :

I. Kasační stížnost se zamítá .

II. Žádný z účastníků nemá právo na náhradu nákladů řízení.


Odůvodnění :

Včas podanou kasační stížností se žalobce Česká republika – Generální finanční ředitelství domáhá u Nejvyššího správního soudu vydání rozsudku, kterým by byl zrušen rozsudek Městského soudu v Praze (dále také „městský soud“) ze dne 8. 8. 2012, č. j. 10 A 46/2010 – 62, a věc vrácena tomuto soudu k dalšímu řízení.

Tímto rozsudkem byla zamítnuta žaloba původně podaná Českou republikou – Ministerstvem financí proti rozhodnutí předsedy žalovaného ze dne 21. 12. 2009, zn. SPR-4263/09-20, o zamítnutí jeho rozkladu proti rozhodnutí žalovaného ze dne 30. 9. 2009, zn. SPR-4263/09-13, o uložení pokuty ve výši 350.000 Kč za správní delikt dle ust. § 45 odst. 1 písm. h) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění účinném do 31. 12. 2009 (dále jen „ZOOÚ“).

Působnost Ministerstva financí jakožto správce, resp. zpracovatele osobních údajů v rámci automatizovaného daňového informačního systému „ADIS“ v průběhu řízení o žalobě (v důsledku účinnosti zákona č. 199/2010 Sb.) přešla na Generální finanční ředitelství. Jako se žalobcem proto bylo v řízení před městským soudem posléze jednáno s Českou republikou – Generálním finančním ředitelstvím.


I. Napadený rozsudek

Městský soud v napadeném rozsudku odkázal na čl. 1 a 17 a bod 46 preambule směrnice Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „směrnice 95/46/ES“). Účelem zákona o ochraně osobních údajů, shodným s cíli směrnice 95/46/ES, je ochrana jednotlivců v souvislosti se zpracováním jejich osobních údajů. Za tímto účelem jsou správci ukládány povinnosti při zabezpečení zpracovánítěchto údajů. Zabezpečeno má být jakékoli nakládání s osobními údaji zahrnované pod pojem zpracování (“processing“). Cílem právní úpravy v této oblasti je ochrana osob ve vztahu ke zpracování osobních údajů, resp. naplnění jejich práva na ochranu před neoprávněným zasahováním do jejich soukromí v souvislosti se zpracováváním osobních údajů, nikoli ochrana údajů sama o sobě. Rovněž povinnost zabezpečení se netýká údajů samotných, nýbrž celé škály úkonů zahrnovaných pod zákonný pojem zpracování. Zabezpečení osobních údajů ve smyslu ust. § 13 ZOOÚ není činností zahrnovanou pod pojem zpracování osobních údajů dle § 4 písm. e) ZOOÚ.

Ust. § 3 odst. 6 ZOOÚ stanoví výjimku pro zpracování osobních údajů, kterou je nutno vykládat restriktivně. Tato výjimka nepředstavuje vynětí orgánů daňové správy z působnosti ZOOÚ. Znamená, že správce (či zpracovatele) osobních údajů výjimečně nezavazují pouze ust. § 5 odst. 1 a § 11 a § 12 ZOOÚ pro zpracování osobních údajů nezbytných pro plnění povinností správce, a to v případě, kdy jedná v zájmu zajištění např. významného finančního interesu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření. I v případech, kdy žalobce zpracovává osobní údaje nezbytné pro plnění povinností stanovených touto výjimkou dle § 3 odst. 6 ZOOÚ, a kdy není vázán jen ust. § 5 odst. 1 a § 11 a § 12 ZOOÚ, je vázán ust. § 13 ZOOÚ. Vztažení výjimky pro zpracování osobních údajů na správu daní ve smyslu „běžné“ činnosti (jakékoli „daňové“ opatření) by bylo proti smyslu „správy daní“, jak je tento institut vymezen v ust. § 1 odst. 2 zákona č. 280/2009 Sb., daňový řád, ve znění pozdějších předpisů (dále jen „daňový řád“). Čl. 13 směrnice 95/46/ES nezavazuje přijmout legislativní opatření s cílem omezit ve vyjmenovaných oblastech rozsah práv a povinností uvedených v jejím čl. 17 (Bezpečnost zpracování). Ani z důvodové zprávy k zákonu č. 439/2004 Sb. není možno dovodit, že výjimka daná ust. § 3 odst. 6 ZOOÚ znamená vyloučení aplikace celého zákona (včetně ust. § 13).

Městský soud neshledal opodstatněnou námitku, že daňový řád jako procesní právní předpis pro správu daní a zákon č. 531/1990 Sb., o územních finančních orgánech, představují speciální právní předpis s autonomní úpravou ochrany osobních údajů. Tyto zákony neobsahují autonomní celistvou právní úpravu pro zpracování osobních údajů v oblasti daňové správy s cílem ochrany jednotlivce, a nemohou tak vyloučit aplikaci obecné úpravy, kterou představuje ZOOÚ. Zakotvení toliko povinnosti mlčenlivosti a sankce za její nedodržení nemohou garantovat samy o sobě vyšší ochranu zpracovávaným osobním údajům, nahrazující či dokonce přesahující rámec vymezený pravidly pro zpracování osobních údajů ZOOÚ. Povinnost mlčenlivosti je upravena jak v obecném předpise pro správní řízení (zákon č. 500/2004 Sb., správní řád), tak i v řadě dalších předpisů upravujících konkrétní oblasti veřejné, resp. státní správy.

Z podkladů, jichž se žalobce dovolává nelze jen proto, že je v nich užit pojem „opatření“, dovozovat, že na žalobce nedopadají povinnosti ust. § 13 ZOOÚ, resp. že výjimka zakotvená v § 3 odst. 6 písm. f) či g) ZOOÚ pod pojmem „daňová opatření“ rozumí správu daní jako takovou. Žalobce pomíjí, že musí jít o „opatření“ zajišťující významný finanční zájem České republiky či Evropské unie.

Původně obecná úprava § 13 ZOOÚ doznala změny, a kromě ustanovení odst. 3 byla výslovně v odst. 4 stanovena pro případ automatizovaného zpracování osobních údajů vedle opatření podle odst. 1 obecně vymezených konkrétně také povinnost mj. pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány. V případě automatizovaného zpracování osobních údajů již není ponecháno úvaze správce, jako u volby opatření podle odst. 1, jaké konkrétní technické či organizační opatření provede, aby zajistil vyloučení rizik dle odst. 3. Je zde přímo založena povinnost správce, aby systém pro automatizované zpracování osobních údajů zaznamenával, kdy, kým a z jakého důvodu byly osobní údaje do něj vloženy a jinak zpracovány. Volba tohoto prostředku tak není již ponechána na úvaze konkrétního správce o vyhodnocení rizik, ale jde o prostředek, který v případě automatizovaného zpracování osobních údajů představuje určitý standard, požadovaný zákonem od všech adresátů právní normy, zpracovávají-li osobní údaje automatizovaně. Z čl. 17 směrnice 95/46/ES vyplývá, že členským státům bylo ponecháno vymezení povinností, jimiž správce zaváže, s přihlédnutím ke stavu techniky a nákladům na provedení tak, aby opatření zajistila přiměřenou úroveň bezpečnosti odpovídající rizikům. Pro automatizované zpracování osobních údajů představuje uvedený požadavek s ohledem na stav techniky a náklady standard. Městský soud neshledal, že by při zpracování osobních údajů v rámci správy daní daňové orgány měly či mohly být takto stanovené povinnosti zproštěny.

Důvodnou není ani námitka, že jsou dány předpoklady pro zánik odpovědnosti za správní delikt dle § 46 odst. 1 ZOOÚ. Požadavek vynaložení veškerého úsilí k zabránění porušení právní povinnosti předpokládá aktivní konání osoby v případech, kdy dodržení právní povinnosti z jeho strany je ohroženo okolnostmi na jeho vůli či jednání nezávislými. Porušení právní povinnosti tak bezprostředně hrozí či již nastává a adresát povinnosti učiní veškeré konkrétní dostupné a možné kroky k tomu, aby hrozbu odvrátil, a své povinnosti dostál. Žalobce se nedovolává žádných svých konkrétních kroků či úsilí, které vynaložil v zájmu splnění uvedené zákonné konkrétní povinnosti. Odvolává se toliko na právní úpravu mlčenlivosti v daňovém řádu a tvrdí, že automatizovaný systém ADIS jako takový představuje míru úsilí, kterou lze po něm požadovat. Kontrolou provedenou u žalobce však bylo zjištěno, že jím provozovaný systém ADIS není nastaven tak, aby pořizoval auditní záznamy, jak je v ust. § 13 odst. 4 písm. c) ZOOÚ požadováno. Žádné kroky, které žalobce učinil k tomu, aby tento systém plnil i uvedený zákonný požadavek, ze spisu neplynou a žalobce se jich také nedovolává.

Městský soud z uvedených důvodů žalobu jako nedůvodnou zamítl.

II. Kasační stížnost

Proti tomuto rozsudku městského soudu podal žalobce jako stěžovatel (dále jen „stěžovatel“) v zákonné lhůtě kasační stížnost, kterou výslovně opřel o ustanovení § 103 odst. 1 písm. a) s. ř. s.

Stěžovatel v kasační stížnosti namítl, že ust. § 13 ZOOÚ je implementováno do českého právního řádu na základě směrnice 95/46/ES. Je třeba odlišovat povinnost členského státu provést směrnici a uložení povinnosti členskému státu, resp. jeho organizační jednotce provést určitá opatření proti neoprávněnému nebo nahodilému přístupu k osobním údajům v rámci automatizovaných informačních systémů. Pokud je povaha ust. § 13 odst. 1 a 4 písm. c) ZOOÚ preventivní, je třeba při ukládání povinností vyjít ze znění ZOOÚ a směrnice 95/46/ES (čl. 17 odst. 1 transponovaný do ust. § 13 odst. 1 ZOOÚ). Při volbě postupů a opatření ve vnitrostátním právním předpisu k zajištění účelu a smyslu směrnice se na základě principu proporcionality musí poměřovat na jedné straně stav techniky, náklady na provedení příslušných opatření i přiměřená úroveň bezpečnosti odpovídající rizikům zpracování a povaze údajů, na druhé straně i samotné preventivní funkce opatření. Tato interpretace odráží obecný princip, že primárním prostředkem ochrany před nezákonným zásahem je především jeho prevence, ovšem s přihlédnutím k povaze každého konkrétního případu. Před novelizací zákonem č. 170/2007 Sb. byly povinnosti správce nebo zpracovatele upraveny relativně neurčitě, kdy bylo na nich, aby sami zhodnotili rizika při zpracování osobních údajů. Důvodem byla ta skutečnost, že podmínky zpracování osobních údajů se u každého správce nebo zpracovatele natolik liší, že jakákoli paušalizace by nebyla efektivní. Technická a organizační opatření volil správce nebo zpracovatel dle úvahy limitované účelem tohoto ustanovení a čl. 17 směrnice 95/46/ES. Stanovení limitů povinností dle čl. 17 této směrnice je nutné vykládat i s přihlédnutím k jejímu bodu 46 preambule. Z uvedeného limitu vyplývá, že se musí podrobit testu proporcionality odpovídající bezpečnostní opatření zabraňující neoprávněnému zpracování osobních údajů a náklady na jejich provedení, míra rizika ze zpracování údajů, povaha údajů a procesy, které se k nim váží. Rizikovost procesů je snížena technickými opatřeními, kdy je dána úzká souvislost mezi konkrétním daňovým subjektem a konkrétní úřední osobou spravující jeho daň. Je třeba mít dále na zřeteli specifika systému ADIS i samotné správy daní. Opatření dle § 13 odst. 4 písm. c) ZOOÚ by mohlo vést ke zpomalení systému, aniž by současně přineslo odpovídající snížení míry bezpečnostního rizika, přičemž vytvoření nového systému by s sebou neslo značné náklady. Pokud český zákonodárce nepromítl limit aplikace čl. 17 směrnice 95/46/ES, jedná se o porušení povinnosti transponovat směrnici jednotně ve všech členských státech. První věta čl. 17 se jeví spíše obecná. Členský stát může přijmout podrobnější úpravu, ale nemůže netransponovat obecně vyjádřené limity ve větě druhé, jež se vztahují jak k poměřování povinnosti vycházející explicitně z čl. 17 směrnice, tak i jeho konkretizování (návod) ve vnitrostátním právním předpise. Tímto je totiž explicitním jazykovým výkladem české právní normy v rozporu se směrnicí 95/46/ES rozšířena povinnost pro všechny správce a zpracovatele, nezávisle na jejich veřejnoprávní nebo soukromoprávní povaze.

Přímý účinek směrnice 95/46/ES vede k jejímu použití namísto chybějícího ustanovení, které by zakládalo limity povinnosti správce nebo zpracovatele dle § 13 odst. 1 ZOOÚ. Podmínky jasnosti, přesnosti i úplnosti a bezpodmínečnosti evropské normy jsou splněny. Jsou splněny i specifické podmínky pro přímý účinek směrnice: marné uplynutí lhůty k řádné implementaci, nedochází k přímému uložení povinnosti, zlepšení právního postavení aktivně legitimovaných přímých či nepřímých beneficiantů směrnice (z hlediska věty druhé čl. 17 směrnice 95/46/ES je beneficiantem správce nebo zpracovatel). Při interpretaci ust. § 13 ZOOÚ je tudíž třeba aplikovat přímý účinek čl. 17 věty druhé směrnice 95/46/ES. Správní orgán dohledu i soudní orgán je povinen aplikovat i směrnicí stanovené limity.

Přijetím zákona č. 170/2007 Sb. byly do ust. § 13 ZOOÚ zařazeny odst. 3 a 4, které měly doplnit a upřesnit jeho odst. 1 s tím, že povinnost správce a zpracovatele zůstala i dle důvodové zprávy stejná. Ust. § 13 odst. 4 ZOOÚ jen návodně upřesňuje obecnou povinnost správce nebo zpracovatele, což potvrzuje i odborná literatura. Opatření mohou být technická, organizační, právní a jiná. Organizačně-právním opatření, jež má preventivně působit na úřední osoby a tím jim zabraňovat v neoprávněném zpracování osobních údajů, je v prvé řadě povinnost mlčenlivosti stanovená v ust. § 52 odst. 1 daňového řádu. Porušením této povinnosti, která má stejný charakter i účel jako povinnost dle § 13 odst. 1 ZOOÚ a kterou i doplňuje a rozvíjí, se úřední osoba vystavuje přestupkovému řízení s možnou pokutou až 500.000 Kč. Takovou úpravu lze chápat jako velmi přísnou, tedy z hlediska prevence velmi účinnou. Nadto je každý zaměstnanec o této povinnosti a možných následcích poučen. Stěžovatel dále konkretizoval technická opatření, jež zabraňují v přístupu jakékoli úřední osoby ke všem údajům v systému ADIS, přiblížil přihlašování do systému, přidělování přístupového práva a určování jeho rozsahu a uzavřel, že je ve stávajícím stavu systému ADIS ve spojení s organizačními i technickými opatřeními daňové správy možné s relativně vysokou mírou pravděpodobnosti zjistit, která úřední osoba mohla neoprávněně zpracovávat osobní údaje.

V ust. § 3 odst. 6 ZOOÚ je mezi oblastmi, na které se povinnosti správce uvedené v § 5 odst. 1 a § 11 a § 12 nevztahují, uvedena i oblast správy daní. Uvedené povinnosti správce osobních údajů se neaplikují v případě významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření. Z důvodové zprávy vyplývá, že původní znění neodpovídalo znění směrnice 95/46/ES. Demonstrativním výčtem právních předpisů, uvedeným v poznámce pod čarou, jsou do jisté míry stanoveny okruhy činností, jež mají výjimku z uvedených povinností. Pro správu daní je zde uveden zákon č. 212/1992 Sb., o soustavě daní, ve znění zákona č. 302/1993 Sb., přičemž tento byl s účinností k 1. lednu 2004 zrušen. I tak je ale jednoznačně dána výjimka pro správu daní a její jednotlivá daňová řízení (daňová opatření). Pojem „daňová opatření“ je třeba vyložit s ohledem na jeho běžné použití v českých právních předpisech. Jde o každé individuální rozhodnutí v daňové oblasti. To vyplývá z ust. § 1 odst. 2 zákona č. 337/1992 Sb. Stejně tento pojem vyložil i Evropský soud pro lidská práva ve věci Hozen proti Nizozemsku. Vzhledem k ust. § 5 odst. 1 ZOOÚ, který uvozuje systematicky Hlavu II ZOOÚ pojednávající o právech a povinnostech při zpracování osobních údajů, je dána výjimka i v oblasti zaznamenávání logů, protože vysvětlení povinnosti dle § 13 odst. 1 ZOOÚ je třeba chápat jako součást obecné povinnosti správce dle § 5 odst. 1 ZOOÚ, zejm. pod písm. b).

Nastíněná interpretace § 13 odst. 4 písm. c) ZOOÚ odpovídá i konstrukci správního trestání žalovaným. Ust. § 44 odst. 2 písm. h) a § 45 odst. 1 písm. h) ZOOÚ umožňují trestat osobu, pokud nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů dle § 13 ZOOÚ. Nedodržení podmínek uvedených v § 13 odst. 2, 3, 4 ZOOÚ nejsou samostatné skutkové podstaty. Tyto podmínky pouze rozvíjí, doplňují či poskytují návod k dodržení povinnosti v ust. § 13 odst. 1 ZOOÚ. Výrok rozhodnutí žalovaného je nepřesný, neboť je zde uvedeno porušení povinnosti dle § 13 odst. 1 ZOOÚ v souběhu s porušením povinnosti dle § 13 odst. 4 písm. c) ZOOÚ. Správnímu orgánu je dána pravomoc sankcionovat nesplnění povinností stanovených zákonem pouze k celému ustanovení § 13. Nemůže se proto hledět na nesplnění povinnosti pořizovat logy tak, že toto vždy vede ke vzniku správní odpovědnosti. Žalovaný nepřípustně rozšířil skutkovou podstatu dle § 45 odst. 1 písm. h) ZOOÚ i na jednotlivé jím tvrzené pochybení stěžovatele.

Stěžovatel vyložil důvody, pro které lze dojít k závěru, že vynaložil veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránil (např. přísná úprava mlčenlivosti, omezený přístup úředních osob do systému ADIS). Liberace z odpovědnosti za správní delikt velmi úzce souvisí i s limity stanovenými v čl. 17 směrnice 95/46/ES. Vzhledem k tomu, že se městský soud touto skutečností nezabýval, je v této části napadený rozsudek nejen nezákonný, ale i nepřezkoumatelný.

S ohledem na výše uvedené stěžovatel navrhl, aby Nejvyšší správní soud napadený rozsudek zrušil, a věc vrátil městskému soudu k dalšímu řízení.

III. Vyjádření žalovaného

Žalovaný ve svém vyjádření ke kasační stížnosti uvedl, že ZOOÚ byl do českého právního řádu implementován také na základě směrnice 95/46/ES, nicméně povinnost zajistit vysokou úroveň ochrany osobních údajů České republice ukládá již Úmluva ETS č. 108, o ochraně osob se zřetelem na automatizované zpracování osobních údajů, přijatá dne 28. ledna 1981 ve Štrasburku. Vzhledem k bodu 2 preambule a čl. 1 směrnice 95/46/ES je tato směrnice prostředkem ochrany základních práv a svobod fyzických osob, zejména jejich soukromí v souvislosti se zpracováním osobních údajů, a beneficientem práv ze směrnice jsou tedy fyzické osoby (subjekty údajů). Podle bodu 10 preambule implementace směrnice nesmí vést k oslabení této ochrany. Podle čl. 5 je úkolem příslušného státu upřesnit podmínky, za kterých je zpracování osobních údajů přípustné, a stanovit též povinnosti týkající se bezpečnosti zpracování osobních údajů, jak je vymezuje čl. 17. Druhá věta čl. 17 směrnice 95/46/ES stanoví, jakého cílového stavu má být prostřednictvím příslušných opatření dosaženo, a to s ohledem na zde vyjmenované aspekty. Nejedná se o stanovení limitů v rámci bezpečnostních opatření, případně o úlevy pro beneficienta směrnice, za kterého se bezdůvodně považuje sám stěžovatel. V souladu s uvedenými ustanoveními směrnice zákonodárce zakotvil obecnou povinnost přijímat opatření k zabezpečení osobních údajů (§ 13 odst. 1 ZOOÚ) a dále určil, jaká rizika musí být předmětnými opatřeními zohledněna (§ 13 odst. 3 ZOOÚ). V ust. § 13 odst. 4 ZOOÚ výslovně nařídil, jaká opatření musí být provedena. Povinnost uložená v § 13 odst. 4 písm. c) ZOOÚ zvyšuje standard bezpečnosti zpracování osobních údajů. Plněním této povinnosti je umožňováno přímo identifikovat osoby mající přístup k osobním údajům a tedy identifikovat i původce případného narušení bezpečnosti zpracování osobních údajů. Značná část narušitelů bezpečnosti zpracování osobních údajů pochází z řad zaměstnanců správce, případně zpracovatele osobních údajů. Zakotvení tohoto ustanovení svědčí o vysokém stupni implementace směrnice. Ze samotné dikce návětí § 13 odst. 4 ZOOÚ („povinen také“) je evidentní, že má kogentní povahu a není ustanovením, které jen návodně upřesňuje obecnou povinnost správce nebo zpracovatele s přihlédnutím k rozumným a pro konkrétní případ efektivním opatřením. Závaznost povinností podle tohoto ustanovení potvrzuje i odborná literatura.

Z ust. § 3 odst. 6 ZOOÚ je především zřejmé, že výjimky nezahrnují správu daní jako takovou, ale pouze určité její části. Významnějším je, že předmětné výjimky zahrnují pouze určitá výslovně uvedená ustanovení ZOOÚ, a nikoliv povinnosti podle § 13. Povinnosti stanovené v ust. § 5 odst. 1 a § 13 ZOOÚ se týkají problematiky zpracování osobních údajů a patří mezi klíčové, což je logickým důvodem pro jejich zařazení do Hlavy II. Nicméně jsou obsahově rozdílné a plnění povinnosti podle § 13 ZOOÚ nelze chápat jako neoddělitelnou součást povinností zakotvených v § 5 odst. 1 ZOOÚ. Čl. 13 směrnice 95/46/ES vůbec nepřipouští výjimku z povinnosti zajistit bezpečnost zpracování podle čl. 17.

Relevantní daňové předpisy nezakotvují žádnou povinnost při zabezpečení osobních údajů korespondující s povinnostmi podle § 13 ZOOÚ. Za takovou povinnost nelze považovat povinnost mlčenlivosti ani přidělování přístupových práv úředním osobám (to koresponduje pouze s povinností dle § 13 odst. 4 písm. a) ZOOÚ). Účelem povinnosti dle ust. § 13 odst. 4 písm. c) ZOOÚ je přímo identifikovat osobu, která mohla neoprávněně zpracovávat osobní údaj, a ověřit její jednání.

Námitka, že žalovaný nemohl na základě ust. § 45 odst. 1 písm. h) ZOOÚ sankcionovat stěžovatele za porušení ust. § 13 odst. 4 písm. c) ZOOÚ, je novou skutečností. Tuto skutečnost stěžovatel neuplatnil v žalobě, a proto je tento bod nepřípustný. Je však také nedůvodný, neboť skutková podstata správního deliktu zahrnuje nepřijetí opatření k zajištění bezpečnosti zpracování, což stěžovatel naplnil. Odkaz na ust. § 13 odst. 1 ZOOÚ nemá normativní charakter, významné je slovní vyjádření skutkové podstaty. Žalovaný dále plně odkázal na odůvodnění správních rozhodnutí, své vyjádření k žalobě a napadený rozsudek. Zároveň navrhl, aby byl v případě pochybností požádán Soudní dvůr o rozhodnutí o předběžné otázce ohledně výkladu směrnice. Závěrem navrhl, aby Nejvyšší správní soud kasační stížnost jako nedůvodnou zamítl.

IV. Posouzení Nejvyšším správním soudem

Nejvyšší správní soud přezkoumal kasační stížností napadený rozsudek městského soudu v souladu s ustanovením § 109 odst. 3 a 4 s. ř. s., vázán rozsahem a důvody, které uplatnil stěžovatel v podané kasační stížnosti, a dospěl k závěru, že kasační stížnost není opodstatněná.

Nejvyšší správní soud předesílá, že se nemohl zabývat novými důvody, které stěžovatel neuplatnil v řízení před městským soudem. Takovým novým důvodem je tvrzení stěžovatele, že žalovaný nepřípustně rozšířil skutkovou podstatu dle § 45 odst. 1 písm. h) ZOOÚ i na jednotlivé jím tvrzené pochybení stěžovatele [dle § 13 odst. 4 písm. c) ZOOÚ], ačkoliv mohl pouze shledat porušení § 13 ZOOÚ jako celku. Stěžovateli, respektive jeho procesnímu předchůdci, přitom objektivně nic nebránilo v tom, aby tento důvod uplatnil již před městským soudem. Na základě zásady vigilantibus iura scripta sunt lze proto po stěžovateli spravedlivě žádat, aby nesl nepříznivé následky spojené s neuplatněním uvedeného stížního důvodu již v řízení o žalobě (k tomu srov. rozsudek Nejvyššího správního soudu ze dne 25. 9. 2008, č. j. 8 Afs 48/2006 - 155, publikován pod č. 1743/2009 Sb. NSS, či rozsudek Nejvyššího správního soudu ze dne 22. 9. 2004, č. j. 1 Azs 34/2004 - 49, č. 419/2004 Sb. NSS, všechna zde citovaná rozhodnutí Nejvyššího správního soudu jsou dostupná na www.nssoud.cz).

V řízení o kasační stížnosti také nemohlo být podle ust. § 109 odst. 5 s. ř. s. přihlíženo ke skutečnostem, které stěžovatel uplatnil poté, kdy bylo vydáno napadené rozhodnutí. To platí pro velkou část faktických informací vztahujících se k systému ADIS, o které stěžovatel obohatil kasační stížnost oproti původní žalobě. Nejvyšší správní soud proto nemohl ve svých úvahách zohlednit tvrzení stěžovatele o počtu evidovaných daňových subjektů, o počtu uživatelů systému ADIS, o fungování tohoto systému, o jeho zpomalení v případě zaznamenávání tzv. logů, o technických opatřeních zabraňujících v přístupu do systému, o rozsahu přístupových práv či o fungování evidence písemností. I v tomto případě je nutno konstatovat, že měly-li být tyto skutečnosti zohledněny při posuzování zákonnosti žalobou napadeného rozhodnutí, stěžovateli nic nebránilo v tom, aby je uplatnil v řízení o žalobě. Jen stěží by mohl Nejvyšší správní soud vytknout městskému soudu nedostatečné zohlednění určitých skutečností, pokud mu vůbec nebyly stěžovatelem prezentovány.

Před věcným přezkumem napadeného rozsudku se musel Nejvyšší správní soud zabývat námitkou jeho nepřezkoumatelnosti, kterou stěžovatel uplatnil v závěru kasační stížnosti. Městský soud se podle něj nezabýval jeho liberací z odpovědnosti za správní delikt, potažmo souvislostí liberace z odpovědnosti s limity stanovenými v čl. 17 směrnice 95/46/ES.

Podle ustálené judikatury platí, že má-li být soudní rozhodnutí přezkoumatelné, musí z něj být patrné, jaký skutkový stav vzal správní soud za rozhodný, jak uvážil o pro věc zásadních a podstatných skutečnostech, resp. jakým způsobem postupoval při posuzování rozhodných skutečností, proč považuje právní závěry účastníků řízení za nesprávné a z jakých důvodů považuje pro věc zásadní argumentaci účastníků řízení za lichou (viz nálezy Ústavního soudu ze dne 20. 6. 1996, sp. zn. III. ÚS 84/94, ze dne 26. 6. 1997, sp. zn. III. ÚS 94/97, a ze dne 11. 4. 2007, sp. zn. I. ÚS 741/06, všechny dostupné na http://nalus.usoud.cz, nebo rozsudky Nejvyššího správního soudu ze dne 4. 12. 2003, č. j. 2 Azs 47/2003 - 130, č. 244/2004 Sb. NSS, ze dne 29. 7. 2004, č. j. 4 As 5/2003 – 52, ze dne 1. 6. 2005, č. j. 2 Azs 391/2004 – 62, a ze dne 21. 8. 2008, č. j. 7 As 28/2008 – 75). V posuzovaném případě se městský soud s námitkou liberace řádně a velmi podrobně vypořádal. Uvedl, že nejsou dány předpoklady pro zánik odpovědnosti dle ust. § 46 odst. 1 ZOOÚ, neboť se stěžovatel nedovolával žádných svých konkrétních kroků či úsilí, které vynaložil v zájmu splnění zákonné povinnosti. Uzavřel, že systém ADIS není nastaven tak, aby pořizoval záznamy dle ust. § 13 odst. 4 písm. c) ZOOÚ, a žádné kroky, které by stěžovatel učinil k plnění tohoto zákonného požadavku, ze spisu neplynou.

Městský soud se tedy námitkou liberace řádně zabýval, na tvrzení stěžovatele konkrétně reagoval a rozvedl své úvahy o tom, jak podle něj má být ust. § 46 odst. 1 ZOOÚ interpretováno. Konečný závěr o tom, že se uvedené ustanovení v posuzované věci neuplatní, pak má plnou oporu v jeho úvahách. Nejvyšší správní soud proto neshledal námitku nepřezkoumatelnosti rozsudku městského soudu důvodnou.

Námitka nepřezkoumatelnosti by nemohla být opodstatněná ani v případě, že by byla myšlena tak, že se městský soud nevypořádal se souvislostí liberace z odpovědnosti s limity stanovenými v čl. 17 směrnice 95/46/ES (ze slov „se městský soud touto skutečností nezabýval“ není zcela zřejmé, co má stěžovatel „touto skutečností“ na mysli). Stěžovatel v řízení o žalobě na žádnou takovou souvislost neodkazoval a nakonec ani v kasační stížnosti neuvádí, v čem by tato souvislost měla spočívat a jak konkrétně by se měla projevit na posouzení projednávané věci. Pokud se takovou nikým nevyslovenou a blíže nekonkretizovanou souvislostí městský soud nezabýval, rozhodně to nemůže mít za následek nepřezkoumatelnost jeho rozsudku.

Nedůvodnou shledal Nejvyšší správní soud také námitku vynětí oblasti správy daní z povinnosti stanovené v ust. § 13 ZOOÚ.

Podle ust. § 3 odst. 6 ZOOÚ se pro zpracování osobních údajů nezbytných pro plnění povinností správce stanovených zvláštními zákony pro zajištění taxativně vyjmenovaných zájmů nepoužijí „ustanovení § 5 odst. 1 a § 11 a 12“. V taxativním výčtu zájmů je pod písmenem f) uveden také významný finanční zájem České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření.

Jak je nicméně zřejmé z citované pasáže, ust. § 3 odst. 6 ZOOÚ vyjímá správce plnící povinnosti stanovené pro zajištění vyjmenovaných zájmů explicitně pouze z působnosti ust. § 5 odst. 1 a § 11 a § 12 ZOOÚ. Takoví správci tedy nejsou vázání pouze povinnostmi stanovenými v těchto ustanoveních. Nelze přitom přisvědčit tvrzení stěžovatele, že povinnosti dle ust. § 13 ZOOÚ jsou součástí povinnosti dle ust. § 5 odst. 1 ZOOÚ, zejména pod písm. b).

Podle ust. § 5 odst. 1 ZOOÚ je správce povinen a) stanovit účel, k němuž mají být osobní údaje zpracovány, b) stanovit prostředky a způsob zpracování osobních údajů, c) zpracovat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6. 11) Nepřesné osobní údaje se musí označit. Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům, d) shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu, e) uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné, f) zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas, g) shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti, h) nesdružovat osobní údaje, které byly získány k rozdílným účelům.

Podle ust. § 13 odst. 1 ZOOÚ jsou správce a zpracovatel povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

Podle ust. § 13 odst. 2 ZOOÚ je správce nebo zpracovatel povinen zpracovat a dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy. Odst. 3 pak stanoví správci nebo zpracovateli povinnost v rámci opatření podle odst. 1 posuzovat rizika týkající se vyjmenovaných oblastí.

Podle ust. § 13 odst. 4 ZOOÚ je správce nebo zpracovatel povinen v oblasti automatizovaného zpracování osobních údajů v rámci opatření podle odstavce 1 také a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby, b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby, c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a d) zabránit neoprávněnému přístupu k datovým nosičům.

Povinnosti stanovené v ust. § 5 odst. 1 ZOOÚ na jedné straně a ust. § 13 ZOOÚ na straně druhé jsou svou povahou zcela odlišné. Zatímco ust. § 5 odst. 1 ZOOÚ stanoví povinnosti při zpracování osobních údajů, ust § 13 ZOOÚ povinnosti při zabezpečení osobních údajů. Posledně uvedené ustanovení tedy směřuje k zamezení neoprávněného přístupu ke zpracovávaným a zpracovaným osobním údajům (popř. jejich neoprávněné změně, zničení, ztrátě, přenosům, zpracování či jinému zneužití). Při zabezpečení osobních údajů se nejedná o zpracování ve smyslu ust. § 4 písm. e) ZOOÚ. Ust. § 13 ZOOÚ tedy nelze chápat pouze jako upřesnění ust. § 5 odst. 1 ZOOÚ. Toto ustanovení přitom neobsahuje žádné srovnatelné povinnosti a plnění povinností v něm zakotvených ani jinak nezaručuje bezpečnost osobních údajů. V žádném případě pak nelze takové povinnosti podřadit pod ust. § 5 odst. 1 písm. b) ZOOÚ. Tím, že správce stanoví prostředky a způsob zpracování osobních údajů [tedy splní povinnosti dle ust. § 5 odst. 1 písm. b) ZOOÚ], nijak neplní povinnost přijmout opatření k zabezpečení osobních údajů.

Provedený taxativní výčet ustanovení, která se podle ust. § 3 odst. 6 ZOOÚ na správce ve vyjmenovaných oblastech nepoužijí, je nutno považovat za zcela jednoznačně projevenou vůli zákonodárce nevyjímat tyto správce z povinnosti dle ust. § 13 ZOOÚ. Navíc se výjimky dle ust. § 3 odst. 6 ZOOÚ výslovně uplatní pouze pro zpracování osobních údajů, pod které nelze zahrnout zabezpečení osobních údajů (viz výše). Takto projevená vůle zákonodárce přitom plně koresponduje s čl. 13 odst. 1 směrnice 95/46/ES, podle něhož mohou členské státy přijmout legislativní opatření s cílem omezit rozsah povinností a práv uvedených v čl. 6 odst. 1, čl. 10, čl. 11 odst. 1 a čl. 12 a 13, pokud je to nezbytné pro zajištění vyjmenovaných zájmů. A contrario tak členské státy nemohou učinit v případě povinnosti dle čl. 17. Nemožnost rozšíření takové výjimky lze dovodit i z cíle směrnice, jak je vyjádřen například v jejím desátém bodu odůvodnění nebo čl. 1 odst. 1. Podle nich členské státy zajišťují ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajů. Sblížení vnitrostátních právních předpisů použitelných v dané oblasti nesmí vést k oslabení ochrany, kterou zajišťují, ale musí mít naopak za cíl zajištění vysoké úrovně ochrany v Evropské unii [v tomto smyslu viz také rozsudky Soudního dvora (Evropské unie) ve věcech C-101/01 Lindqvist, Sb.rozh. 2003, s. I 12971, bod 95; C-524/06 Huber, Sb. rozh. 2008, s. I 9705, bod 50; C-73/07 Tietosuojavaltuutet u, Sb.roh. 2008, s. I-9831, bod 52; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb.rozh., bod 28; všechna zde citovaná rozhodnutí Soudního dvora Evropské unie jsou dostupná z http://curia.europa.eu]. Také eurokonformní výklad ZOOÚ, tj. výklad přibližující se co nejvíce obsahu a účelu směrnice, potvrzuje nutnost restriktivního posuzování výjimek dle ust. § 3 odst. 6 ZOOÚ. Pokud by český zákonodárce vyňal správce v oblastech, které jsou v tomto ustanovení vyjmenovány, i z povinnosti stanovené v ust. § 13 ZOOÚ, překročil by své oprávnění k přijetí výjimky dle čl. 13 odst. 1 směrnice 95/46/ES. O tom, že tento článek připouští výjimky pouze z vyjmenovaných ustanovení směrnice, přitom zjevně nemá pochybnosti ani Soudní dvůr (srov. jeho rozsudek ve věci C-73/07 Tietosuojavaltuutet u, Sb. roh. 2008, s. I-9831, bod 47).

Jelikož tedy správa systému ADIS není vyňata z působnosti ust. § 13 ZOOÚ, je zcela nadbytečné zabývat se otázkou, v jakém rozsahu spadá správa daní pod výjimku dle ust. § 3 odst. 6 ZOOÚ a jaký je přesný obsah pojmu „daňová opatření“ dle tohoto ustanovení. V předmětné věci totiž byla stěžovateli uložena pokuta za porušení ust. § 13 ZOOÚ, nikoliv ust. § 5, § 11 či § 12 ZOOÚ.

Další námitky stěžovatele se týkají výkladu samotných ust. § 13 ZOOÚ a čl. 17 směrnice 95/46/ES. Především podle něj mají zpracovatel či správce povinnost podle ust. § 13 odst. 4 písm. c) ZOOÚ pouze tehdy, je-li to proporcionální s ohledem na stav techniky, náklady na provedení opatření, přiměřenou úroveň bezpečnosti, rizika vyplývající ze zpracování údajů a povahu chráněných údajů. Ačkoliv totiž tato hlediska nebyla podle něj do ZOOÚ řádně transponována, je potřeba je zohlednit.

Podle čl. 17 odst. 1 alinea prvá směrnice 95/46/ES členské státy stanoví, že správce musí přijmout vhodná technická a organizační opatření na ochranu osobních údajů proti náhodnému nebo nedovolenému zničení, náhodné ztrátě, úpravám, neoprávněnému sdělování nebo přístupu, zejména pokud zpracování zahrnuje předávání údajů v síti, jakož i proti jakékoli jiné podobě nedovoleného zpracování.

Podle čl. 17 odst. 1 alinea druhá směrnice 95/46/ES tato opatření mají zajistit, s ohledem na stav techniky a na náklady na jejich provedení, přiměřenou úroveň bezpečnosti odpovídající rizikům vyplývajícím ze zpracování údajů a z povahy údajů, které mají být chráněny.

Jak již Soudní dvůr několikrát potvrdil, samotná směrnice 95/46/ES obsahuje pravidla vyznačující se jistou pružností a v mnoha případech ponechává na členských státech, aby upravily podrobnosti nebo si vybraly z daných možností. Je proto potřeba vždy posoudit, zda byla vnitrostátní opatření přijata a v konkrétním případě také aplikována v rámci směrnicí nastaveného prostoru pro uvážení (srov. např. rozsudky Soudního dvora ve věcech C-101/01 Lindqvist, Sb. rozh. 2003, s. I 12971, body 83 až 85; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb. rozh., body 35 - 36).

Je nutno také vzít v úvahu, že čl. 17 odst. 1 alinea druhá směrnice 95/46/ES je nejen z povahy tohoto pramene práva (viz čl. 288 alinea třetí Smlouvy o fungování Evropské unie) ale i ze své dikce adresována samotným členským státům. Jedná se o hlediska, která musejí členské státy zohlednit při stanovení vhodných technických a organizačních opatření na ochranu osobních údajů, tj. jakýsi konkretizovaný požadavek proporcionality vnitrostátní legislativy. Jde tedy o pokyn, jakým způsobem má být směrnice v této části transponována, nikoliv o pravidlo, které by měl český zákonodárce vtělit také do vnitrostátního předpisu. V žádném případě proto z tohoto ustanovení nevyplývá povinnost členských států ponechat na zpracovatelích a správcích, jaká opatření na ochranu osobních údajů přijmou, pokud při tom řádně zohlední všechna hlediska uvedená v tomto ustanovení. Na druhou stranu směrnice nevylučuje přijetí takové úpravy, pokud je zároveň zaručeno dodržení přiměřené úrovně bezpečnosti osobních údajů. Směrnice tedy požaduje určitý minimální standard bezpečnosti osobních údajů, přičemž ponechává na členských státech, jakými konkrétními opatřeními tento standard zajistí a zda případně přistoupí k vytvoření vyššího standardu bezpečnosti osobních údajů. V tomto jsou však členské státy limitovány právě například požadavkem proporcionality dle čl. 17 odst. 1 alinea druhá směrnice 95/46/ES.

Je proto potřeba posoudit, zda byla výše uvedená hlediska respektována při legislativním zakotvení povinností dle ust. § 13 ZOOÚ, jakož i při jeho aplikaci v daném konkrétním případě. Samotným přijetím odpovídající právní úpravy se totiž požadavek řádné implementace směrnice nevyčerpává (srov. rozsudek Soudního dvora ve věci C-62/00 Marks & Spencer, Sb.rozh. 2002, s. I-6325, body 27-28). Před tím je však nutno poukázat rozdílný režim ust. § 13 odst. 1 a ust. § 13 odst. 4 ZOOÚ. Český zákonodárce v ust. § 13 ZOOÚ zvolil kombinaci obecně stanovené povinnosti přijmout opatření na ochranu osobních údajů (odst. 1) a dále, pouze pro oblast automatizovaného zpracování osobních údajů, povinnosti přijmout konkrétní opatření (odst. 4). V prvém případě je volba konkrétních opatření ponechána na správci a zpracovateli, ovšem tak, aby byl naplněn požadavek odst. 1 – tj. aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. V případě konkrétních opatření dle odst. 4 již tomu tak není, ta je nutno přijmout bezvýjimečně.

Odstavec 4 lze skutečně chápat jako upřesnění ust. § 13 odst. 1 ZOOÚ, ovšem nikoliv ve smyslu demonstrativního výčtu opatření ponechaných na volbě správce nebo zpracovatele. Určitý vztah mezi dvěma ustanoveními nutně neznamená, že musejí také sdílet totožný režim. Zatímco obecně zákon požaduje dosažení určitého cíle bez ohledu na konkrétní zvolená opatření (odst. 1), ve speciálních situacích (automatizované zpracování osobních údajů) již trvá „také“ na provedení konkrétních opatření (odst. 4). Obě pravidla jsou proto relativně samostatná. Z hlediska samotného odstavce 4 není rozhodné, zda a do jaké míry dochází zároveň k naplnění cíle dle odstavce 1. Jelikož je však nutno opatření dle odstavce 4 přijmout „také“, jejich přijetím není povinnost dle odstavce 1 dotčena. Totéž platí pro opačnou vazbu mezi oběma odstavci. Splněním povinnosti dle odstavce 1 nejsou nijak dotčeny povinnosti podle odstavce 4, neboť ty je nutno splnit „také“. Jakkoliv tedy odstavec 4 obsahuje opatření, která jsou svou povahou zároveň opatřeními v režimu odstavce 1 (nikoliv však nutně postačujícími), jejich přijetí zjevně není oproti obecnému pravidlu v odstavci 1 ponecháno na vůli správce nebo zpracovatele.

Opačný výklad nelze dovodit ani z novelizace ust. § 13 ZOOÚ provedené zákonem č. 170/2007 Sb., respektive z důvodové zprávy k této novelizaci (Sněmovní tisk Poslanecké sněmovny Parlamentu České republiky v V. volebním období č. 187/0, dostupný na www.psp.cz). Na jednu stranu sice důvodová zpráva hovoří o konkretizaci opatření požadovaných již na základě odstavce 1, na druhou stranu zdůrazňuje, že nové odstavce 3 a 4 představují „vyjádření konkrétních povinností správců a zpracovatelů“ a „stanoví přesný obsah opatření v rámci plnění povinnosti správců (a zpracovatelů) pro zabezpečení osobních údajů.“ Důvodová zpráva tedy jen potvrzuje skutečnost, že povinnost dle ust. § 13 odst. 4 písm. c) ZOOÚ je nutno plnit bez ohledu na to, jaká další opatření podle odstavce 1 jsou správcem či zpracovatelem přijata. Stanovením konkrétní povinnosti s přesným obsahem zjevně nebylo zamýšleno ponechat na vůli správce či zpracovatele, zda danou povinnost bude plnit či nikoliv.

Ust. § 13 odst. 1 a 4 ZOOÚ tedy obsahují dvě relativně samostatné povinnosti, jimiž je proveden čl. 17 odst. 1 směrnice 95/46/ES. V posuzované věci je přitom sporný soulad zákona se směrnicí pouze co do povinnosti dle ust. § 13 odst. 4 písm. c) ZOOÚ. Konkrétně je potřeba posoudit, zda byla tato povinnost zakotvena v souladu s požadavkem proporcionality konkretizovaným v čl. 17 odst. 1 alinea druhá směrnice 95/46/ES.

Při posuzování přiměřenosti povinnosti zaznamenávat tzv. logy (tj. pořizovat záznamy o tom kdo, kdy a z jakého důvodu osobní údaje zaznamenal či jinak zpracoval) je nutno vzít v úvahu její výslovné omezení na případy automatizovaného zpracování osobních údajů. Obecně ze zpracování osobních údajů tímto způsobem, tedy za použití výpočetní techniky, plynou vyšší rizika úniku osobních údajů, jejich neoprávněné změny, zničení, ztráty, zpracování či jiného zneužití. Je tomu proto, že výpočetní technika umožňuje rychlé a detailní zpracování velkého množství dat (zejména jejich strukturované uspořádání a analýzu podle zadaných kombinací kritérií), jakož i jejich snadné a bez zvláštních opatření následně jen obtížně zjistitelné kopírování, včetně kopírování nepovoleného. Ve své podstatě jsou to právě informační systémy provozované pomocí výpočetní techniky, jež svojí podstatou jsou typický potenciální objekt zneužití osobních údajů v masovém měřítku, a to způsobem, co do komerčních i jiných možností využití takto získaných dat vysoce společensky nebezpečným. Toto vyšší riziko pak odůvodňuje zakotvení specifické povinnosti, jejíž plnění s sebou navíc nenese nikterak nepřiměřené náklady. Je-li automatizované zpracování osobních údajů využíváno, nemůže činit za současného stavu techniky problém implementovat do používaného systému na zpracování osobních údajů další vedlejší funkci – zaznamenávání určitých operací tak, aby byla zpětně dohledatelná jejich povaha a rozsah. Takovéto opatření má vysoký preventivní účinek proti zneužití údajů z informačního systému, neboť každý, kdo s ním oprávněně pracuje, si musí být vědom, že je možno zpětně ověřit, kdo, kdy a jakým způsobem s informačním systémem pracoval, a zda se tak dělo oprávněně. Zároveň si lze stěží představit jiné adekvátní opatření, které by se srovnatelnou účinností zajišťovalo bezpečnost osobních údajů. V případě splnění povinnosti dle ust. § 13 odst. 4 ZOOÚ si totiž každá osoba, která neoprávněně nakládá s údaji obsaženými systému, jenž je automatizovaně zpracovává, musí být vědoma toho, že její jednání může být pomocí takového záznamu zpětně dohledáno a odhaleno. Požadavek na zaznamenávání logů proto Nejvyšší správní soud považuje ve všech případech automatizovaného zpracování osobních údajů za plně legitimní, žádoucí a s ohledem na jeho omezení pouze na případy automatizovaného zpracování také přiměřený. Povinnost dle ust. § 13 odst. 4 ZOOÚ tedy odpovídá požadavkům čl. 17 odst. 1 směrnice 95/46/ES.

Splnění uvedené povinnosti se nelze vyhnout poukazem na dodržení podmínek ust. § 13 odst. 1 ZOOÚ, potažmo tvrzením, že bezpečnost osobních údajů je dostatečná. Stěžovatel se proto bez dalšího nemohl zprostit odpovědnosti za nesplnění povinnosti dle ust. § 13 odst. 4 ZOOÚ tím, že přijal jiná organizační a technická opatření. To platí, i kdyby tato opatření umožňovala „s relativně vysokou mírou pravděpodobnosti zjistit tu stejnou skutečnost“ jako opatření dle ust. § 13 odst. 4 ZOOÚ. Cílem tohoto opatření je totiž zjistit, kdo a kdy učinil jakou operaci s osobními údaji, víceméně s určitostí, nikoliv pouze s relativně vysokou mírou pravděpodobnosti. Jak již bylo uvedeno, tento cíl je legitimní a prostředky k němu vedoucí [opatření dle ust. § 13 odst. 4 písm. c) ZOOÚ] proporcionální. V žádném případě tohoto cíle nelze dosáhnout hrozbou sankce za porušení speciálně (v ust. § 52 odst. 1 daňového řádu) upravené povinnosti mlčenlivosti úředních osob. Taková povinnost je stanovena i v ust. § 15 ZOOÚ a nelze tvrdit, že by pouhá možnost uložení vyšší sankce v případě porušení povinnosti mlčenlivosti podle daňového řádu měla vést k vyloučení aplikace ust. § 13 odst. 4 ZOOÚ toliko v oblasti daňové správy. Nejvyšší správní soud proto dospěl k závěru, že ani aplikací zákonné úpravy žalovaným v daném konkrétním případě nedošlo k rozporu se zněním a účelem směrnice 95/46/ES.

Jelikož tedy byl čl. 17 odst. 1 směrnice 95/46/ES řádně implementován, nelze přisvědčit ani námitce jeho přímého účinku. Otázka přímého účinku směrnice totiž vyvstává vždy až v okamžiku chybějící či špatně provedené implementace (srov. rozsudky Soudního dvora ve věcech 8/81 Becker, Sb. rozh. 1982, s. 53, bod 20; 103/88 Costanzo, Sb. rozh. 1989, s. 1839, bod 29; C-319/97 Kortas, Sb. rozh. 1999, s. I-3143, bod 21). Není proto vůbec na místě zkoumat další podmínky nastoupení přímého účinku směrnice, které stěžovatel považuje za naplněné.

Výše provedený výklad čl. 13 odst. 1 i čl. 17 odst. 1 směrnice 95/46/ES Nejvyšší správní soud i s ohledem na dosavadní judikaturu Soudního dvora považuje za natolik jasný, že neshledal důvod položit Soudnímu dvoru za tímto účelem předběžnou otázku (srov. rozsudek Soudního dvora ve věci 283/81 CILFIT, Sb. rozh. 1982, s. 3415, body 10 – 20).

S ohledem na výše uvedené dospěl Nejvyšší správní soud k závěru, že kasační stížnost je nedůvodná, a proto ji zamítl (§ 110 odst. 1 věta druhá s. ř. s.).

Ve věci rozhodl v souladu s § 109 odst. 2 s. ř. s., podle něhož rozhoduje Nejvyšší správní soud o kasační stížnosti zpravidla bez jednání, když neshledal důvody pro jeho nařízení.

Výrok o náhradě nákladů řízení se opírá o ust. § 60 odst. 1, věta první s. ř. s. ve spojení s ust. § 120 s. ř. s. Stěžovatel ve věci úspěch neměl, a nemá proto právo na náhradu nákladů řízení. Úspěšnému žalovanému pak podle obsahu spisu žádné náklady v řízení o kasační stížnosti před soudem nevznikly. Nejvyšší správní soud proto rozhodl tak, že žádný z účastníků nemá právo na náhradu nákladů řízení o kasační stížnosti.

Poučení : Proti tomuto rozsudku nejsou opravné prostředky přípustné.

V Brně dne 30. ledna 2013

JUDr. Jaroslav Hubáček předseda senátu



Zdroj: Rozsudek Nejvyššího správního soudu ze dne 30. 1. 2013, sp. zn. 7 As 150/2012 - 35, dostupné na www.nssoud.cz. Jedná se o neautentické znění, které bylo soudem poskytnuto bezplatně.

Tato webová stránka používá cookies ke zlepšení prohlížení webu a poskytování dalších funkcí. Povolit cookies