6 As 34/2008 — Nejvyšší správní soud

9 A 103/2012- 68 - text 15 pokračování 9A 103/2012 [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Ivanky Havlíkové a soudců JUDr. Naděždy Řehákové a Mgr. Martina Kříže v právní věci žalobce: Státní ústav pro kontrolu léčiv, se sídlem Praha 10, Šrobárova 48, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Praha 7, Pplk. Sochora 27, o žalobě proti rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 11.4.2012, zn. SPR-6781/09-105/NON, t a k t o : I. Žaloba s e z a m í t á. II. Žádný z účastníků nemá právo na náhradu nákladů řízení. O d ů v o d n ě n í : Žalobce se podanou žalobou domáhal přezkoumání v záhlaví uvedeného rozhodnutí předsedy Úřadu pro ochranu osobních údajů (dále též „žalovaný“), kterým byl podle ust. § 152 odst. 5 písm. b) zákona č. 500/2004 Sb., správní řád (dále jen „správní řád“) zamítnut jeho rozklad proti rozhodnutí Úřadu pro ochranu osobních údajů (dále též „Úřad“) ze dne 6.2.2012, zn. 6781/09-98 (dále též „rozhodnutí správního orgánu I. stupně“), jímž mu byla jako správci osobních údajů uložena pokuta ve výši 2.000.000,- Kč za správní delikt podle § 45 odst. 1 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů (dále jen „zákon o ochraně osobních údajů“) spáchaný porušením povinnosti stanovené v § 5 odst. 2 zákona o ochraně osobních údajů, když v centrálním úložišti elektronických receptů v době od ledna do září 2009 zpracovával bez souhlasu osobní údaje osob, a to v řádu statisíců, kterým byl vydán léčivý přípravek na základě listinného receptu v lékárně připojené k centrálnímu úložišti elektronických receptů a osob, kterým byl vydán léčivý přípravek bez lékařského předpisu s omezením, v obou případech v rozsahu identifikační údaje pacienta (číslo pojištěnce nebo jméno, příjmení, datum narození a adresa bydliště), kód zdravotní pojišťovny, identifikace lékárny a údaje o vydaném léčivém přípravku, a za správní delikt podle § 45 odst. 1 písm. h) zákona o ochraně osobních údajů spáchaný porušením povinnosti stanovené v § 13 odst. 1, odst. 4 zákona o ochraně osobních údajů, když v souvislosti se zpracováním osobních údajů v centrálním úložišti elektronických receptů v době od ledna do září 2009 při shromažďování a zpracování osobních údajů byla vůči centrálnímu úložišti elektronických receptů při přenosu osobních údajů mezi lékárnou a centrálních úložiště elektronických receptů autorizována celá lékárna a nikoli jednotlivé fyzické osoby (lékárníci). Žalobce považoval žalobou napadené rozhodnutí a rozhodnutí správního orgánu I. stupně za nezákonná, neboť ke spáchání správních deliktů nedošlo, zjištěný skutkový stav byl tedy nesprávně právně kvalifikován; v případě, že by byla pokuta uložena po právu, její výše není řádně odůvodněna a je zcela nepřiměřená. Žalobce v první řadě upozornil na vadu výroku I. rozhodnutí správního orgánu I. stupně ve znění „Ústav zpracovával bez souhlasu osobní údaje osob…v obou případech v rozsahu… kód zdravotní pojišťovny, identifikace lékárny a údaje o vydaném léčivém přípravku“ s tím, že neobsahuje dostatečně jednoznačný, určitý, srozumitelný a přesný popis skutku v rozsahu, v němž správní orgán shledal protiprávní jednání žalobce (naplnění skutkové podstaty správního deliktu), ačkoli tento zákonný požadavek plyne z ust. § 68 odst. 2 správního řádu, a co do požadavků na jednoznačnost, srozumitelnost a určitost výrokové části byl rozveden v řade judikátů, z nichž žalobce odkázal na nález Ústavního soudu z 21.7.2004, sp.zn. 2 ÚS 583/2003, rozsudek Krajského soudu v Plzni ze dne 8.11.2001, sp. zn. 30 Ca 394/99 a rozsudek Nejvyššího správního soudu ze dne 7.4.2006, sp.zn. 6 As 23/2005. Úřad měl ve výroku I. vymezit pouze osobní údaje, jejichž zpracováním měla být naplněna skutková podstata správního deliktu, těmi však zcela zjevně nemohou být kód zdravotní pojišťovny a identifikace lékárny, a pouze obecně uvedené údaje o vydaném léčivém přípravku (ale případně pouze ty údaje o vydaném léčivém přípravku, které ve spojení s konkrétní osobou mohou být za osobní údaje považovány). V napadeném rozhodnutí se žalovaný k totožné námitce vznesené žalobcem v rozkladu vyjádřil pouze v tom smyslu, že se Úřad omezil na obecné konstatování přibližného množství zasažených subjektů údajů; žalobce však tuto část výroku I. nenapadl. Protože z výše uvedené dikce výroku I. plyne, že správní orgány za osobní údaje považují i kód zdravotní pojišťovny, identifikaci lékárny a údaje o vydaném léčivém přípravku, je v tomto rozsahu výrok I. nejasný, nejednoznační a nesrozumitelný. Žalobce proto rozhodnutí správního orgánu I. stupně, jakož i napadené rozhodnutí, shledal nepřezkoumatelným pro nesrozumitelnost výroku. Ve druhém žalobním bodu žalobce namítl nesprávnou právní kvalifikaci zjištěného skutkového stavu, neboť žalobce postupoval, jak mu ukládá zákon č. 378/2007 Sb., o léčivech (dále jen „zákon o léčivech“), neporušil tedy hmotněprávní ustanovení zákona o ochraně osobních údajů a správní orgány na jednání žalobce aplikovaly nesprávní právní normy. Již z námitek žalobce z 24.8.2009 proti kontrolnímu protokolu sp.zn. INSP2-0277/09-40 z 30.7.2009, na které žalobce plně odkázal, plyne, že žalobce nenaplnil skutkovou podstatu žádného z uvedených správních deliktů, neboť osobní údaje byly v centrálním úložišti zpracovávány na základě a v rozsahu zákonného zmocnění ze zvláštního zákona, stejně tak v intencích platné právní úpravy byl žalobcem stanoven účel sběru a zpracování osobních údajů, proto nebyl ke shromažďování a zpracování osobních údajů třeba souhlas subjektu osobních údajů. Ohledně správního deliktu dle § 45 odst. 1 písm. h) zákona o ochraně osobních údajů žalobce rovněž odkázal na jím podané námitky proti kontrolnímu protokolu, kde poukázal na to, že lékárny jsou vedle něj samostatnými správci osobních údajů a jsou tedy samostatně odpovědné za zajištění bezpečnosti zpracování osobních údajů. Je proto nutno odmítnout výrok o odpovědnosti žalobce za tento správní delikt. Žalobce dále rozvedl, že právní orgány obou stupňů nepřípustně vytrhly ust. § 82 odst. 3 písm. d) zákona o léčivech z kontextu a pominuly tak organické spojení toho ustanovení s dalšími ustanoveními tohoto zákona, konkrétně § 6 odst. 1, § 13 odst. 3, § 23 odst. 1, § 77 odst. 1 a zejména § 99 odst. 5, dle něhož jsou osobní údaje součástí hlášení podávaných provozovateli lékáren. Žalobce upozornil na rozpory v odůvodnění rozhodnutí správního orgánu I. stupně, v němž jsou na str. 9 interpretovány ustanovení § 5 odst. 2 písm. a) a § 9 písm. c) zákona o léčivech tak, že Úřad vyslovil požadavek na explicitní zákonné zmocnění ke zpracování osobních údajů jako předpoklad toho, aby zpracování osobních údajů žalobcem bez souhlasu jejich subjektů bylo právně konformní („Z obou ustanovení dle správního orgánu vyplývá oprávnění zpracovávat osobní, resp. citlivé údaje, bez souhlasu subjektu údajů jen tehdy, je-li takové zpracování výslovně v zákoně upraveno, anebo tehdy, vyplývá-li takové zpracování jako nezbytný prvek pro splnění jiné zákonné povinnosti správce. Správní orgán je toho názoru, že ze shora uvedených právních předpisů ani jeden případ nevyplývá.„), avšak dále na str. 9 a 10 připustil, že obsahem daných hlášení mohou být v odůvodněných případech i osobní údaje, a tedy že pokud by hlášení obsahovalo osobní údaj „s ohledem na okolnosti opodstatněné a nezbytné“, nešlo by o porušení zákona („Ani z § 99 odst. 5 zákona č. 378/2007 Sb. nelze dle správního orgánu dovodit oprávnění účastníka řízení zpracovávat osobní údaje. Druhá věta tohoto ustanovení pouze konstatuje obecně platnou skutečnost, že na zpracování osobních údajů se vztahuje zvláštní zákon, tj. zákon č. 101/2000 Sb. Formulace první věty uvádí, že po zpracování údajů (poskytnutými lékárnami a distributory) se zveřejňují tak, aby s přihlédnutím k okolnostem nebylo možné určit nebo zjistit, které osoby se tento údaj týká. Uvedené ustanovení upravuje zveřejňování údajů účastníkem řízení, které mu byly poskytnuty distributory podle § 77 odst. 1 písm. f) zákona č. 378/2007 Sb. a provozovateli oprávněnými k výdeji léčivých přípravků podle § 82 odst. 3 písm. d) zákona č. 378/2007 Sb. Výslovně je zde uvedeno, že tyto údaje se poskytují a zveřejňují tak, aby nebylo možné určit nebo zjistit, které osoby se tento údaj týká. Jak je uvedeno již výše, hlášení podávaná podle § 82 odst. 3 písm. d) [ale i § 77 odst. 1 písm. f)] musí být obecně anonymizovaná. V ojedinělých případech, kdy je to s ohledem na okolnosti opodstatněné a nezbytné, je sice možné, že hlášení obsahuje také osobní údaje např. pacienta či jiné osoby, v takovém případě pak ale platí, že účastník řízení musí před dalším zpřístupněním těchto informací osobní údaje odstranit.“). Tento názor na str. 14 napadeného rozhodnutí potvrdil i žalovaný. Dle žalobce lze na základě platné legislativy buď zpracování osobních údajů provádět (jak vyložil žalobce), nebo je takové provádění vyl