8 As 55/2012 — Nejvyšší správní soud

10 A 125/2020- 138 - text 23 10 A 125/2020 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Ing. Viery Horčicové a soudců JUDr. Jaromíra Klepše a JUDr. Vladimíra Gabriela Navrátila v právní věci žalobce: Mgr. L. H. sídlem X. proti žalovanému: Ministerstvo zdravotnictví sídlem Palackého náměstí 375/4, 128 01 Praha 2 v řízení o žalobě proti rozhodnutí ministra zdravotnictví ze dne 15. 9. 2020, č. j. MZDR 38623/2020-3/PRO, takto: I. Rozhodnutí ministra zdravotnictví ze dne 15. 9. 2020, č. j. MZDR 38623/2020-3/PRO se zrušuje a věc se vrací žalovanému k dalšímu řízení. II. Žalovaný je povinen zaplatit žalobci do třiceti dnů od právní moci tohoto rozsudku náhradu nákladů řízení ve výši 3 000 Kč. Odůvodnění: I. Předmět sporu 1. Žalobce se podanou žalobou domáhal přezkoumání v záhlaví uvedeného rozhodnutí ministra zdravotnictví, jímž byl zamítnut rozklad žalobce proti rozhodnutí žalovaného ze dne 14. 8. 2020, č. j. MZDR 30354/2020-6/MIN/KAN (dále jen „prvostupňové rozhodnutí“) a prvostupňové rozhodnutí potvrzeno. 2. Prvostupňovým rozhodnutím žalovaný podle § 15 odst. 1 ve spojení s § 8a zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů (dále též „zákon o svobodném přístupu k informacím,“ „informační zákon“ nebo „InfZ“) částečně odmítl žalobcovu žádost o poskytnutí 1) smluv k nákupu testů používaných k ověření přítomnosti onemocnění SARS-CoV-2 u testované osoby, které uzavřel žalovaný, 2) certifikátu výrobku (testu) pořízeného žalovaným, prokazujícího možnost používání tohoto testu na území Evropské unie případně České republiky, a to k ověření přítomnosti onemocnění SARS-CoV-2 u testované osoby, v rozsahu označení a podpisu osob, které vystavily jednotlivé certifikáty. II. Napadené rozhodnutí 3. Ministr zdravotnictví v napadeném rozhodnutí zrekapituloval obsah žalobcovy žádosti, dosavadní průběh řízení, výrok prvostupňového rozhodnutí a shrnul rozkladové námitky žalobce. 4. Ministr zdravotnictví uvedl, že žalobce v rozkladu proti prvostupňovému rozhodnutí namítal, že na údaje, jejichž poskytnutí bylo žalobci odmítnuto, nespadá výluka uvedená v § 8a zákona o svobodném přístupu k informacím. Osoby, které certifikáty vystavovaly, jednaly v rámci svého zaměstnání, nejedná se tedy o projev osobní povahy. Byl tak naplněn důvod zpracovávat, a tedy i poskytovat osobní údaje uvedených osob, neboť zcela jistě v rámci předsmluvních jednání byl tento údaj ze strany dodavatele testů žalovaným požadován. Žalovaný proto byl povinen žalobci tyto údaje poskytnout, neboť je zpracovával v souladu s čl. 6 nařízení Evropského Parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“) a § 5 odst. 2 písm. b) a písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů. V případě, že zákonná definice zpracování osobních údajů nedopadá na vyloučené údaje, žalovaný zcela jistě uzavřel smlouvu s oprávněným subjektem údajů, aby je mohl zpracovávat pro účely, které jsou předmětem smlouvy, a certifikáty jsou zcela jistě součástí plnění. Podpis a jméno osoby nejsou osobním údajem, neboť nevedou k identifikaci jakékoliv osoby. Účel ochrany osobních údajů také nedopadá na úřední činnost osoby a vystavení certifikátu má prvky veřejnoprávního opatření. Žádnou z rozkladových námitek uplatněných žalobcem ministr zdravotnictví neshledal důvodnou. 5. Ministr zdravotnictví se v napadeném rozhodnutí ztotožnil se závěrem žalovaného, uvedeným v prvostupňovém rozhodnutí. V případě jména a příjmení osob vystavujících certifikáty a jejich podpisu se jedná o osobní údaje ve smyslu § 8a zákona o svobodném přístupu k informacím, neboť je lze podřadit pod definici osobních údajů dle čl. 4 odst. 1 GDPR. Kombinace jména, příjmení, podpisu a údajů o právnické osobě, za kterou tyto fyzické osoby jednaly, by totiž vedla k jejich identifikaci, proto se zcela jistě jedná o osobní údaj ve smyslu čl. 4 odst. 1 GDPR. Dále se ministr zdravotnictví vyjádřil k námitce žalobce, že se v případě těchto informací nejedná o projev osobní povahy. Pojem projev osobní povahy nelze ztotožňovat s pojmem osobní údaj. Osobním údajem dle definice uvedené v čl. 4 GDPR jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě, což je zajisté také údaj v podobě jména, příjmení a podpisu. Žalobce navíc požadoval poskytnutí osobních údajů fyzické osoby, která zastupovala právnickou osobu, jež vydala certifikát. Tuto situaci je potřeba odlišovat od situace, kdy konkrétní fyzická osoba jedná v rámci své podnikatelské činnosti. V takovém případě by zpravidla nebylo možné aplikovat ustanovení § 8a zákona o svobodném přístupu k informacím, jelikož by právo na informace převážilo zájem na ochraně osobních údajů. Nelze rovněž hovořit o tom, že v případě vystavení certifikátu jednala příslušná osoba v postavení úřední osoby. Ze všech těchto důvodů proto podle ministra zdravotnictví v daném případě převážil zájem na ochraně osobních údajů těchto osob nad žalobcovým právem na informace. Anonymizací osobních údajů bylo dosaženo cíle žalobce, jemuž byly poskytnuty požadované certifikáty. Má informaci o tom, která společnost certifikát vystavila. Ministr zdravotnictví rovněž neshledal poskytnutí žalobcem požadovaných údajů jako nezbytné s ohledem na plnění povinností vyplývajících z § 5 písm. a) zákona č. 110/2019 Sb., o zpracování osobních údajů (dále jen „zákon o zpracování osobních údajů“). 6. Ministr zdravotnictví se v napadeném rozhodnutí dále vyjádřil k žalobcově námitce, že v daném případě byl naplněn důvod zpracovávat, a tedy i poskytovat požadované osobní údaje osob. Podle čl. 6 GDPR lze osobní údaje zpracovávat, a tedy i poskytovat třetím osobám výlučně pouze ze zákonných důvodů a s ohledem na účel zpracování. Žalovaný nemá od příslušných subjektů souhlas s předáním jiné osobě a pro poskytnutí osobních údajů nejsou splněny ani další podmínky stanovené v čl. 6 odst. 1 GDPR. Žalobce se mýlí, dovozuje-li, že pokud povinný subjekt zpracovává určité osobní údaje, je povinen je automaticky i poskytovat. V takovémto případě by § 8a zákona o svobodném přístupu k informacím byl ve vztahu k osobním údajům obsoletní, jelikož by povinné subjekty musely vždy poskytnout veškeré údaje o určité osobě, pokud je zpracovávají. Jak vyplývá z čl. 5 odst. 1 GDPR, osobní údaje mohou být shromažďovány pouze pro určité a legitimní účely a nesmějí být zpracovány neslučitelným způsobem s těmito účely. Osobní údaje tedy mohou být zpracovávány pro různé účely, přičemž ke každému z nich je potřeba právní důvod tohoto zpracování. III. Žaloba 7. Žalobce v podané žalobě zrekapituloval výrok napadeného rozhodnutí a uplatnil následující námitky. 8. Ministr zdravotnictví v napadeném rozhodnutí uvedl, že žalobcem požadované informace nemohly být žalobci poskytnuty, neboť kombinace jména, příjmení, podpisu fyzické osoby a údajů o právnické osobě, za kterou tato fyzická osoba jednala, by vedla k identifikaci této fyzické osoby a jedná se tak o osobní údaj ve smyslu čl. 4 odst. 1 GDPR. Ministr zdravotnictví však při svých úvahách patrně přehlédl čl. 14 preambule GDPR, v němž je mimo jiné uvedeno: „Toto nařízení se nevztahuje na zpracování osobních údajů právnických osob, a zejména podniků vytvořených jako právnické osoby, včetně názvu, právní formy a kontaktních údajů právnické osoby.“ Osobním údajem právnické osoby je nepochybně i údaj o tom, kdo je oprávněn jednat za jejího generálního ředitele, tedy zástupce generálního ředitele (v tomto případě Vice General Manager). Tvrzení ministra zdravotnictví, že fyzickou osobu Vice General Manager lze identifikovat podle jeho jména, příjmení a podpisu, je sice logické, avšak ministrovi zdravotnictví unikl cíl ochrany osobních údajů podle GDPR. Tímto cílem je nezasahovat do soukromého a rodinného života fyzických osob bez oprávněného zájmu. Je si tedy třeba položit otázku, zda poskytnutí informace o tom, že konkrétní osoba je zástupcem generálního ředitele farmaceutické společnosti, může nějak zasáhnout do soukromého a rodinného života této osoby. Žalobce je přesvědčen, že zcela určitě nikoli, neboť sama o sobě tato informace nemá žádnou vypovídající hodnotu o soukromém a rodinném životu konkrétní osoby. 9. Tvrzení ministra zdravotnictví o tom, že podpis zástupce generálního ředitele (Vice General Manager) na certifikátu testu je projevem osobní povahy, je pak nutno zcela odmítnout, neboť tato osoba nejednala ze sebe, ale za společnost. Jednala tedy za právnickou osobu, která vystavila konkrétní certifikát k označenému testu výrobku. Certifikát testu je přitom označen značkou CE podle nařízení Evropského parlamentu a Rady (ES) č. 765/2008 ze dne 9. 7. 2008, kterým se stanoví požadavky na akreditaci a dozor nad trhem týkající se uvádění výrobků na trh a kterým se zrušuje nařízení (EHS) č. 339/93 (dále jen „na