1 Ads 139/2015 — Nejvyšší správní soud

9 A 153/2019- 48 - text 9 9A 153/2019 [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Ivanky Havlíkové a soudkyň JUDr. Naděždy Řehákové a Mgr. Ing. Silvie Svobodové ve věci žalobce: SMS finance, a.s., IČO: 25381512 se sídlem Hvězdova 1716/2b, 140 00 Praha 4 - Nusle, zastoupen Mgr. Richardem Kolibou, advokátem se sídlem nám. Svobody 527, 739 61 Třinec proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 727, 170 00 Praha 7 - Holešovice za účasti: P. D. bytem X o žalobě proti rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 24. 9. 2019, č. j. UOOU-09633/18-35, takto: I. Žaloba se zamítá. II. Žádný z účastníků nemá právo na náhradu nákladů v řízení. III. Osoba zúčastněná na řízení nemá právo na náhradu nákladů v řízení. Odůvodnění: I. Stručné vymezení věci 1. Žalobce se podanou žalobou domáhal přezkoumání v záhlaví uvedeného rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů (dále jen „žalovaný“), kterým byl zamítnut jeho rozklad proti rozhodnutí Úřadu pro ochranu osobních údajů (dále jen „Úřad“) ze dne 26. 6. 2019, č. j. UOOU-09633/18-30, jímž byla žalobci uložena povinnost provést ve stanovených lhůtách v rozhodnutí uvedená nápravná opatření k odstranění zjištěných nedostatků; a prvostupňové rozhodnutí potvrdil. 2. Z odůvodnění žalobou napadeného rozhodnutí vyplynulo, že na základě kontroly provedené u žalobce Úřadem a ukončené vydáním protokolu o kontrole ze dne 26. 6. 2018, č. j. UOOU-08429/17-33 (dále jen „protokol o kontrole“), následně potvrzeným i v rámci řízení o námitkách, vydal Úřad dne 22. 2. 2019 rozhodnutí č. j. UOOU-09633/18-20 (dále jen „původní prvostupňové rozhodnutí“). Původním prvostupňovým rozhodnutím bylo žalobci uloženo ve stanovené lhůtě provést specifikovaná nápravná opatření týkající se zpracování osobních údajů prováděných v rámci jeho podnikatelské činnosti. Žalovaný původní prvostupňové rozhodnutí k rozkladu žalobce rozhodnutím ze dne 10. 5. 2019, č. j. UOOU-09633/18-25 zrušil, neboť shledal uložená nápravná opatření jako chybně formulovaná, a věc vrátil Úřadu k novému projednání. Následně bylo vydáno prvostupňové rozhodnutí, jímž bylo žalobci uloženo provést nápravná opatření, uložená těmito výroky: I. zajistit provedení výmazu osobních údajů subjektu údajů P. D., X (dříve P. D., X), a to pro účely zpracování, k jejichž naplnění je třeba souhlas subjektu údajů, a to ve lhůtě 7 dnů od právní moci tohoto rozhodnutí, II. zajistit právní tituly pro zpracování osobních údajů všech subjektů údajů, vůči kterým je účastník řízení v postavení správce osobních údajů, tedy tam, kde sám určil účel a prostředky zpracování, v souladu s čl. 6 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). V případě, že takové zajištění nebude u některého subjektu údajů možné, potom provést výmaz osobních údajů takového subjektu údajů, a to ve lhůtě 3 měsíců od právní moci tohoto rozhodnutí, III. Uzavřít zpracovatelskou smlouvu ve smyslu čl. 28 odst. 3 nařízení (EU) 2016/679 s Ing. L. Š., nar. X, jakožto s vázaným zástupcem ve smyslu § 15 zákona č. 170/2018 Sb., o distribuci pojištění a zajištění, a dále se společností Securing s. r. o., tak, aby bylo zajištěno, že uvedení zpracovatelé, kteří pro účastníka řízení plní úkoly spojené se zpracováním osobních údajů, budou disponovat řádným právním titulem, a to ve lhůtě 30 dní od právní moci tohoto rozhodnutí, Výrokem IV. a V. byly žalobci uloženy povinnosti podat inspektorce Úřadu, která prvostupňové rozhodnutí vydala, zprávu o provedených nápravných opatřeních uvedených ve výrocích I. až III. a nahradit náklady řízení. 3. Proti prvostupňovému rozhodnutí podal žalobce rozklad, v němž zejména odmítal závěr Úřadu, že byl v postavení správce osobních údajů. O rozkladu rozhodl žalovaný žalobou napadeným rozhodnutím tak, jak je uvedeno výše. II. Obsah žaloby 4. Žalobce namítal, že je žalobou napadené rozhodnutí ve všech výrocích nesprávné a nezákonné. 5. V první žalobní námitce tvrdil, že ve fázi, kdy jeho vázaný zástupce oslovuje klienty s cílem vytvořit si klientskou síť a přispět tak vlastnímu podnikání, není žalobce správcem osobních údajů. Právě této fáze se týká žalobou napadené a prvostupňové rozhodnutí. Uvedl, že vázaní zástupci jsou samostatnými podnikateli ve smyslu zákona č. 170/2018 Sb., o distribuci pojištění a zajištění (dále jen „zákon o distribuci pojištění“), kteří nabízejí služby finančního poradenství a v rámci zprostředkovatelské činnosti také služby a zboží svých smluvních partnerů. V uvedené fázi, spočívající v budování vlastní zákaznické sítě, zpracovávají vázaní zástupci osobní údaje samostatně a neplní při tom úkoly žalobce. Nabízejí totiž své vlastní služby, nikoli služby žalobce či jiných jimi zastoupených subjektů. Žalobce se stává správcem osobních údajů až v další fázi, tedy ve chvíli, kdy začne vázaný zástupce nabízet přímo produkty z portfolia žalobce. Až v tomto momentu totiž žalobce stanovuje účel zpracování osobních údajů oslovených osob. V této fázi dochází ke zpracování osobních údajů na základě řádného právního důvodu, zpravidla z důvodu uzavírání smlouvy nebo oprávněného zájmu správce. V následné fázi, kdy vázaný zástupce již jedná s klientem o konkrétním produktu z portfolia žalobce, se žalobce nachází v postavení zpracovatele osobních údajů, v postavení správce osobních údajů je konkrétní smluvní partner žalobce, ve vztahu k němuž je s klientem uzavírána smlouva. V této fázi žalobce není povinen disponovat souhlasem se zpracováním osobních údajů. 6. Ve druhé žalobní námitce se vymezil proti výroku I. prvostupňového rozhodnutí, jímž mu byla uložena povinnost zajistit provedení výmazu osobních údajů osoby zúčastněné na řízení (dále jen „OZŘ“). Zdůraznil, že u OZŘ zpracovával pouze telefonní číslo, a to pro účely stanovené právními předpisy. Pokud byly/jsou osobní údaje OZŘ zpracovávány též Ing. L. Š. (pozn. soudu: vázaná zástupkyně, dále jen „Ing. Š.“), zpracovává je Ing. Š. pro vlastní účely v postavení správce. Upozornil, že nemá právní prostředky, jimiž by Ing. Š., jakožto samostatnou správkyni osobních údajů OZŘ, donutil k jejich výmazu, jak mu bylo výrokem I. prvostupňového rozhodnutí uloženo. Tato povinnost by měla proto být uložena přímo Ing. Š. 7. Třetí žalobní námitkou napadal výrok II. prvostupňového rozhodnutí, jenž mu uložil zajistit právní tituly pro zpracování osobních údajů všech subjektů údajů, vůči nimž je v postavení správce osobních údajů, příp. provést výmaz jejich osobních údajů. Namítal, že je výrok pro vysokou míru neurčitosti a obecnosti nezákonný, je formulován natolik obecně, že je nevykonatelný a jeho splnění ze strany žalobce nepřezkoumatelné. Nadto výrok nemá podklad v provedeném správním řízení, neodpovídá reálnému postavení žalobce při zpracování osobních údajů a není z něj zřejmé, jakým způsobem má žalobce v něm uložené povinnosti splnit a jak jejich splnění doložit. Obecnost výroku nebyla odstraněna ani poté, co byla původnímu prvostupňovému rozhodnutí vytknuta. Dodal, že nápravné opatření by mělo ukládat konkrétní povinnosti na základě zjištěného skutkového stavu případu, nikoli obecné povinnosti vyplývající přímo ze zákona, jak je tomu v tomto případě. Závěrem uvedl, že takto obecné vymezení povinností může v budoucnu vést k ukládání sankcí bez nutnosti prokazování konkrétního porušení povinnosti. 8. Čtvrtou žalobní námitkou brojil proti výroku III. prvostupňového rozhodnutí, jímž mu byla uložena povinnost uzavřít zpracovatelskou smlouvu s Ing. Š. a se společností Securing s.r.o. tak, aby bylo zajištěno, že budou disponovat řádným právním titulem pro zpracování osobních údajů. K tomu uvedl, že mezi ním a společností Securing s.r.o. nedochází k předávání žádných osobních údajů. Ing. Š. má dle jeho informací uzavřenu samostatnou smlouvu, na jejímž základě dochází k předávání osobních údajů mezi ní a společností Securing s.r.o. Povinnost uložená tímto výrokem by proto měla být uložena přímo Ing. Š. 9. V páté žalobní námitce navrhoval zrušení výroků IV. a V. prvostupňového rozhodnutí, neboť tyto navazovaly na nesprávné výroky I. až III. prvostupňového rozhodnutí. 10. Žalobce žádal, aby soud žalobou napadené, jakož i prvostupňové rozhodnutí zrušil a věc vrátil k dalšímu řízení. III. Vyjádření žalovaného 11. V písemném vyjádření k žalobě žalovaný uvedl, že v žalobě byly v zásadě zopakovány argumenty, které žalobce uplatnil v předchozím řízení a s nimiž se již vypořádal. Proto na tato vypořádání odkázal. 12. K první žalobní námitce uvedl, že správcem je dle čl. 4 bodu 7 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údaj