6 As 32/2023 — Nejvyšší správní soud

6 A 83/2023- 63 - text 17 6 A 83/2023 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy JUDr. Ladislava Hejtmánka a soudkyň JUDr. Naděždy Treschlové a JUDr. Hany Kadaňové ve věci žalobce: Ministerstvo vnitra, se sídlem Nad Štolou 963/3, Praha 7, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 727/27, Praha 7, v řízení o žalobě proti rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 12. 4. 2023, č.j. UOOU-02569/22-21, takto: I. Žaloba se zamítá. II. Žádný z účastníků nemá právo na náhradu nákladů řízení. Odůvodnění: [1] Žalobce se žalobou podanou u Městského soudu v Praze domáhal přezkoumání a zrušení rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 12. 4. 2023, č.j. UOOU-02569/22-21 (dále jen „napadené rozhodnutí“), jímž byl zamítnut rozklad žalobce proti rozhodnutí žalovaného ze dne 6. 1. 2023, č.j. UOOU-02569/22-13 (dále též „prvostupňové rozhodnutí“), a toto rozhodnutí bylo potvrzeno. Prvostupňovým rozhodnutím byl ve výroku I. žalobce shledán vinným, že Policie České republiky (dále jen „Policie“) jako spravující orgán podle ustanovení § 24 odst. 3 zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění pozdějších předpisů (dále jen „zákon č. 110/2019 Sb.“), v souvislosti s provozem aplikace Karanténa využívané při namátkových kontrolách v období od 1. 4. 2021 do 8. 3. 2022 shromáždila osobní údaje 2.110.084 osob, jimž byla v rámci opatření proti šíření onemocnění COVID-19 nařízena izolace, a to v rozsahu: jména a příjmení, datum narození, rodné číslo, označení, že je daná osoba v izolaci, datum počátku a konce izolace a adresa pro výkon izolace, tj. v rozporu s ustanovením § 79 odst. 3 zákona č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů (dále jen „zákon o Policii“) shromažďovala údaje o zdravotním stavu osob bez vztahu k šetření konkrétního trestného činu nebo přestupku, nebo poskytování ochrany osoby, a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. a) zákona č. 110/2019 Sb. Dále byl žalobce ve výroku II. shledán vinným, že Policie jako spravující orgán nezveřejnila v předmětném období účel zpracování osobních údajů, jimž byla v rámci opatření proti šíření onemocnění COVID-19 nařízena izolace, zpracovávaných prostřednictvím aplikace Karanténa, čímž porušila ustanovení § 27 písm. c) zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. d) téhož zákona. Ve výroku III. prvostupňového rozhodnutí byl žalobce shledán vinným, že Policie jako spravující orgán ve vztahu k připravovanému zpracování osobních údajů osob, jimž byla v rámci opatření proti šíření onemocnění COVID-19 nařízena izolace, které mělo být prováděno prostřednictvím aplikace Karanténa, nevypracovala nejpozději 31. 3. 2021 posouzení vlivu tohoto zpracování na ochranu osobních údajů, přestože bylo pravděpodobné, že připravované zpracování povede vzhledem k jeho povaze, rozsahu a účelu k vysokému riziku neoprávněnému zásahu do práv a svobod subjektů údajů, čímž porušila ustanovení § 37 zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. k) téhož zákona. Ve výroku IV. prvostupňového rozhodnutí byl žalobce shledán vinným, že Policie jako spravující orgán ve vztahu k připravovanému zpracování osobních údajů osob, jimž byla v rámci opatření proti šíření onemocnění COVID-19 nařízena izolace, které mělo být prováděno prostřednictvím aplikace Karanténa, v níž byly do 31. 3. 2021 evidovány pouze osoby s nařízenou karanténou, nepodala nejpozději dne 31. 3. 2021 žalovanému žádost o projednání tohoto opatření, čímž porušila ustanovení § 38 odst. 1 písm. b) zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. l) téhož zákona. Ve výroku V. pak byla žalobci podle ustanovení § 63 odst. 3 zákona č. 110/2019 Sb. uložena pokuta ve výši 975.000 Kč. [2] V úvodní části žaloby označené „Vymezení předmětu řízení“ žalobce namítal nepřezkoumatelnost, nesprávnost a nezákonnost napadeného rozhodnutí. Namítal, že Policie nejednala podle směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále jen „Směrnice LED“ – Law Enforcment Directive), jak tvrdil žalovaný. Hlavním účelem činnosti Policie bylo totiž pouze poskytnout součinnost resortu zdravotnictví, resp. krajským hygienickým stanicím, ve stejném rozsahu jejich oprávnění. Policie tak nepůsobila jako orgán činný v trestním řízení. I kdyby se o postup podle této směrnice jednalo, tak dle žalobce zde není dána dozorová působnost žalovaného. Rovněž pak namítal nesrozumitelný postup žalovaného a porušení zásad rovnosti, předvídatelnosti a férovosti, jakož i opomenutí řady námitek žalobce. [3] V další části žaloby označené „Chronologie věci“ žalobce uvedl, že v prvním příkazu ze dne 12. 7. 2021, č.j. UOOU-03112/21-3, žalovaný podřadil zpracování osobních údajů ze strany Policie úpravě GDPR. Zároveň však žalovaný požadoval zdržet se zpracování údajů o karanténě a uzavření spisů, ačkoliv i uzavírání spisů či likvidace osobních údajů je jejich zpracování. Namítal, že žalovaný přikázal zdržet se zpracování osobních údajů na straně Policie coby příjemce údajů, ale nezaměřil svou pozornost na resorty práce a zdravotnictví, které osobní údaje Policii předávaly, ač dle logiky žalovaného tyto tak vůbec činit neměly, ale pokračovaly v tom. Dále odkázal na věc projednávanou u Nejvyššího správního soudu (dále jen „NSS“) pod sp.zn. 6 As 32/2023, ve které stejně jako zde žalovaný zahájil sankční řízení příkazem, jímž deklaroval vinu a upustil od potrestání, ač neuložil žádnou povinnost, resp. nic nepřikázal, což žalobce považuje za vadný úkon. Dále žalobce podotkl, že řízení v této části nebylo dodnes explicitně ukončeno. Dále žalobce poukázal na druhý příkaz ze dne 13. 12. 2021, č.j. UOOU-05143/21-3, kterým bylo Policii přikázáno požádat o projednání dopadů zpracování, byť již bylo patrné, že brzy dojde k ukončení provozu aplikace Karanténa, jakož že i pandemie v dohledné době skončí. Tak se ostatně i stalo. Dále uvedl, že žalobce na sklonku roku 2021 na základě neformální dohody s žalovaným nepodal proti tomuto příkazu odpor, na druhé straně však označil za protimluv, že je někomu přikázáno o něco požádat, neboť žádost je projevem svobodné vůle. Žalobce namítal, že je otázkou, proč žalovaný žádal projednání dopadů zpracování, resp. kontinuálně usiloval o další precizaci zpracování, ač dané zpracování dle žalovaného vůbec nemělo být prováděno a mělo být pro nezákonnost ukončeno. Dále žalobce odkázal na třetí příkaz ze dne 29. 7. 2022, č.j. UOOU-02569/22-4, jímž bylo zahájeno řízení ukončené žalobou napadeným rozhodnutím. Zde pak žalovaný dovodil, že nebylo postupováno dle GDPR, ale dle LED. Toto řízení pak bylo zahájeno za situace, kdy již bylo definitivně zřejmé, že pandemie končí a provoz aplikace je ukončen. Závěrem tohoto bodu žalobce připomněl, že Policie jednala na pokyn Ústředního krizového štábu (srov. usnesení ze dne 16. 3. 2020), resp. tehdejšího vedení Ministerstva zdravotnictví. [4] Ve třetí části žaloby označené „Nezákonnost a nepřezkoumatelnost“ žalobce předně namítal, že postup žalovaného je nekonzistentní, jelikož na počátku řízení tvrdil, že žalobce postupuje podle GDPR a řízení skončil tím, že postupuje podle LED, ačkoliv se jednalo o stále stejnou otázku (tj. kontrola dodržování protiepidemických opatření). Znovu namítl, že veškeré činnosti Policie při zpracování osobních údajů v aplikaci Karanténa byly realizovány v rámci plnění povinnosti k součinnosti, tedy na žádost jiného orgánu veřejné moci. Aktivity Policie, ani krajských hygienických stanic pak dle žalobce nelze podřadit působnosti Směrnice LED. Namítal rovněž, že se nejednalo o závažné porušení zákona, neboť žalovaný shledal potřebu efektivně zasáhnout proti údajně nezákonnému postupu Policie až tehdy, kdy už bylo zřejmé, že dalšího pokračování ve zpracovávání osobních údajů nebude třeba. Zároveň žalobce poukázal na mimořádnost celé situace, objevující se cca jednou za 100 let, na níž se nelze dost dobře připravit. Dále podotkl, že snaha umožnit postup ve veřejném zájmu je pochopitelně rozumná, ovšem totéž jednání nemůže být zároveň v souladu i v nesouladu s veřejným zájmem; ostatně i poválečné tribunály v druhé polovině 40. let minulého století zohledňovaly výjimečnost situace. Uvedl, že Policie neměla možnost situaci v rozhodném časovém období reálně ovlivnit tak, aby ona sama, a tím méně jiné orgány veřejné správy, postupovaly diametrálně odlišně. Tím spíše, že postup a činnosti Policie byly reaktivní. Znovu pak namítal, že se zde žalovaný zaměřil (oproti své dřívější správní praxi) na příjemce osobních údajů, nikoliv na jejich původce. Žalovaný tak dle