5 As 1/2011 — Nejvyšší správní soud

6 A 3/2014- 43 - text 8 pokračování 6A 3/2014 [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy JUDr. Ladislava Hejtmánka a soudkyň JUDr. Dany Černé a JUDr. Naděždy Treschlové ve věci žalobce: Obec Kravaře, se sídlem náměstí 166, 47103, Kravaře, zastoupený JUDr. Ondřejem Bultasem, advokátem se sídlem Praha 10, Ruská 40, proti žalovanému: Úřad na ochranu osobních údajů, se sídlem Praha 7, Pplk. Sochora 27, o žalobě proti rozhodnutí žalovaného ze dne 6. 11. 2013, č.j. UOOU-06635/13-20, t a k t o : I. Žaloba se zamítá. II. Žádný z účastníků nemá právo na náhradu nákladů řízení. O d ů v o d n ě n í : Žalobce se podanou žalobou ke zdejšímu soudu domáhal zrušení rozhodnutí žalovaného ze dne 6. 11. 2013, č.j. UOOU-06635/13-20 (dále také jen „napadené rozhodnutí“), kterým byl zamítnut jeho rozklad a potvrzeno rozhodnutí Úřadu pro ochranu osobních údajů č.j. UOOU-06635/13-14. ze dne 13. 9. 2013 (dále také jen „prvostupňové rozhodnutí“). Ve správním řízení bylo pravomocně rozhodnuto tak, že žalobce v souvislosti se zpracováním osobních údajů osob podezřelých ze spáchání přestupku, jako správce osobních údajů podle § 4 písm. j) zákona č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů (dále také jen „zákon o ochraně osobních údajů nebo zákon č. 101/2000 Sb.“), zveřejnil prostřednictvím svých webových stránek umístěných na internetové adrese www.new.kravarecl.cz dne 1. srpna 2013 oznámení přestupku obsahující osobní údaje xxxxxxxxxxxx, a to v rozsahu jméno, příjmení, obec, ve které má bydliště, a informace o údajném spáchání přestupku spolu s popisem skutku, a dále dne 2. srpna 2013 zveřejnil oznámení přestupku, které obsahovalo osobní údaje xxxxxxxxx, a to v rozsahu jméno, příjmení, obec, ve které má bydliště, a informace o údajném spáchání přestupku spolu s popisem skutku, čímž porušil povinnost stanovenou v § 5 odst. 1 písm. f) zákona o ochraně osobních údajů, tedy povinnost zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny a k jinému účelu jen v mezích ustanovení § 3 odst. 6 tohoto zákona, nebo pokud k tomu dal subjekt údajů předem souhlas. Tím spáchal správní delikt podle § 45 odst. 1 písm. c) zákona o ochraně osobních údajů, neboť zpracovával osobní údaje způsobem, který neodpovídá stanovenému účelu, za což se mu v souladu s § 45 odst. 3 zákona o ochraně osobních údajů byla uložena pokuta ve výši 30.000 Kč a dále podle § 79 odst. 5 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále také jen „správní řád“), povinnost nahradit náklady řízení ve výši 1.000 Kč. Žalobce v podané žalobě namítá, že žalovaný dospěl ve svém rozhodnutí k závěru, že údaje zveřejněné na předmětných webových stránkách – tedy jméno, příjmení a jméno obce - jsou osobními údaji podle ust. § 4 písm. a) zákona č. 101/2000 Sb., neboť se vztahují k jednoznačně určenému resp. určitelnému subjektu údajů. Z popisu předmětného skutku v rozhodnutí však plyne, že žalobce před zveřejněním předmětných údajů na svých webových stránkách, provedl anonymizaci osobních údajů ve smyslu ust. § 4 písm. c) zákona o ochraně osobních údajů, když znečitelnil elektronickým začerněním údaj o datu narození, místu narození, adresu trvalého bydliště a identifikační číslo dokladu (občanského průkazu). Žalobce podle svého názoru postupoval v souladu se zákonem, když osobní údaje těchto subjektů znečitelnil, čímž objektivně znemožnil možnost jejich přímé či nepřímé identifikace a zveřejnil tak pouze údaje anonymní ve smyslu cit. ust. § 4 písm. c) zákona o ochraně osobních údajů. Žalobce má za to, že podle jména, příjmení a názvu běžné obce (obec Kravaře má téměř 1000 obyvatel) nelze, bez dalších individuálních speciálních vlastností identifikující osoby (např. osoby blízké, svědkové události, sousedé), danou osobu kontaktovat (ztotožnit). Žalobce dále napadá závěr žalovaného, podle něhož „aby se jednalo o osobní údaj, postačuje, aby subjekt údajů mohl identifikovat i velmi malý počet osob, např. někteří obyvatelé obce, v níž subjekt údajů bydlí. Skutečnost, že se v případě účastníka řízení jedná o malou obec, možnost identifikace subjektů údajů zvyšuje“. Tato argumentace podle jeho názoru neodpovídá výše uvedené definici osobních údajů, ale je v rozporu s obecně uznávaným odborným výkladem ve Stanovisku č. 4/2007 PRACOVNÍ SKUPINY PRO OCHRANU ÚDAJŮ zřízené podle článku 29 směrnice 95/46/ES (dále také jen „Směrnice“), vyjadřující se k pojmu „osobní údaje“, přijaté dne 20.června 2007 (dále jen „Stanovisko“). Uvedená Směrnice EU vyžaduje, aby se informace týkaly fyzické osoby, která je „identifikovaná nebo identifikovatelná“. Stanovisko dochází k závěru, že „obecně lze fyzickou osobu považovat za „identifikovanou“, jestliže je ve skupině osob „odlišena“ ode všech ostatních příslušníků této skupiny. V souladu s tím je fyzická osoba „identifikovatelná“, jestliže je možné ji identifikovat, ačkoli dosud identifikována nebyla.“ Výše citovaný závěr žalovaného, že je „postačující, aby subjekt údajů mohl identifikovat i velmi malý počet osob“, je v rozporu nejen s citovanou judikaturou, ale také s tímto obecně uznávaným odborným výkladem ve Stanovisku, když tento „velmi malý počet osob“ daný subjekt může identifikovat právě a pouze proto, že jej znají, a tedy proto, že jej již někdy dříve identifikovali. Stanovisko dále uvádí, že identifikace se obvykle provádí pomocí určitých zvláštních informací, které můžeme nazývat „identifikátory“ a které mají zvláště výsadní a těsný vztah ke konkrétnímu jednotlivci. Běžné jméno a příjmení nepostačí k identifikaci – tj. jednoznačnému určení – osoby v celé populaci země. Bod 26. odůvodnění Směrnice uvádí, že „pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou pro identifikaci dané osoby“. Stanovisko tak podle tohoto bodu dochází k závěru, že: „pouhá hypotetická možnost jednoznačného určení nějaké osoby nepostačuje k tomu, aby tato osoba byla považována za „identifikovatelnou“. Jestliže s přihlédnutím ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou, taková možnost neexistuje nebo je zanedbatelná, daná osoba by se neměla považovat za „identifikovatelnou“ a informace o ní by se neměly považovat za „osobní údaje“. Žalobce v této souvislosti zdůrazňuje, že identifikovatelnost, neboli - v souladu s výkladem Nevyššího správního soudu – kontaktovatelnost, je v daném případě na základě jména, příjmení a obce zcela zanedbatelná a tyto údaje tak nejsou údaji osobními ve smyslu § 4 zákona ochraně osobních údajů. Žalovaný s podanou žalobou nesouhlasil a navrhoval ji zamítnout jako nedůvodnou, přičemž důvody, které ve vyjádření uváděl, jsou obsahově obdobné, jako důvody napadeného správního rozhodnutí. V odůvodnění prvostupňového správního rozhodnutí je mj. uvedeno, že údaje o fyzické osobě v rozsahu jméno, příjmení, obec, ve které se dotyčný zdržuje nebo bydlí, jsou ve spojení s popisem spáchaného přestupku, i s ohledem na velikost obce (836 obyvatel podle webových stránek http://new.kravarecl.cz/o-obci/), osobní údaje ve smyslu § 4 písm. a) zákona č. 101/2000 Sb., neboť se vztahují k jednoznačně určenému, resp. určitelnému subjektu údajů. V případě žalobce došlo ke shromáždění osobních údajů, dále k jejich předání městu Česká Lípa a následně také ke zveřejnění prostřednictvím webových stránek. Žalobce tím, že eviduje jednotlivé přestupky a následně je předává k projednání městu Česká Lípa, kterému na základě veřejnoprávní smlouvy poskytuje za projednání věci úplatu, zpracovává osobní údaje podezřelých ze spáchání přestupku a stává se tak jejich správcem ve smyslu § 4 písm. j) zákona č. 101/2000 Sb., a tedy odpovídá za dodržování povinností stanovených pro jejich zpracování zákonem č. 101/2000 Sb. Jelikož zákon č. 128/2000 Sb., o obcích (obecní zřízení), zákon 200/1990 Sb., o přestupcích, ani žádný jiný právní předpis neobsahuje podmínky zveřejňování osobních údajů podezřelých ze spáchání přestupků projednávaných obcí, je nutno dojít k závěru, že se na daný postup vztahuje obecná úprava nakládání s osobními údaji obsažená v zákoně č. 101/2000 Sb. Žalobce je jako správce osobních údajů podle § 5 odst. 1 písm. f) zákona č. 101/2000 Sb. povinen nakládat s osobními údaji pouze v souladu s účelem, pro který byly shromážděny; zpracovávat osobní údaje k jinému účelu lze, jen pokud k tomu dal subjekt údajů předem souhlas, případně pokud se na takové zpracování vztahuje některá z výjimek dle § 5 odst. 2 písm. a) až g) zákona č. 101/2000 Sb. Současně je také správce povinen dbát práva na ochranu soukromého a osobního života subjektů údajů. V případě žalobce byla účelem zpracování osobních údajů podezřelých ze spáchání přestupků evidence těchto přestupků a jejich předání k vyřízení městu Česká Lípa, přičemž zveřejněním osobních údajů prostřednictvím webových stránek byl tento účel zjevně překročen a osobní úda