10 As 211/2024 — Nejvyšší správní soud

10 A 12/2023- 266 - text 27 sp. zn. 10 A 12/2023 [OBRÁZEK]ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Městský soud v Praze rozhodl v senátě složeném z předsedy JUDr. Jaromíra Klepše a soudců JUDr. Ing. Viery Horčicové a JUDr. Vladimíra Gabriela Navrátila v právní věci žalobce: Mgr. A. N. bytem X zastoupeného JUDr. Vladislavem Vnenkem, Ph.D., advokátem sídlem Pařížská 1075/5, 110 00 Praha 1 proti žalovanému: Státní ústav pro kontrolu léčiv, sídlem Šrobárova 48, 100 41 Praha 10 zastoupeného JUDr. Michalem Havlíkem, advokátem se sídlem Hálkova 2, 120 00 Praha 2 za účasti: PhMr. Lucie a Aleš Nedopilovi s.r.o., IČO: 27112951 sídlem Horolezecká 16/924, 102 00 Praha 10 - Hostivař zastoupené JUDr. Josefem Srbou, advokátem sídlem Mezibranská 1579/4, 110 00 Praha 1 v řízení o žalobě na ochranu před nezákonným zásahem, pokynem nebo donucením správního orgánu, který spočíval v tom, že žalovaný žalobci zneplatnil přístupové údaje do elektronického systému eRecept a znemožnil žalobci od 16. 12. 2022 do 22. 12. 2022 přístup do elektronického systému eRecept takto: I. Zásah žalovaného spočívající v tom, že žalovaný žalobci zneplatnil přístupové údaje do elektronického systému eRecept a znemožnil žalobci od 16. 12. 2022 do 19. 12. 2022 přístup do elektronického systému eRecept byl n e z á k o n n ý. II. Ve zbytku trvání zásahu od 20. 12. 2022 do 22. 12. 2022 se žaloba zamítá. III. Žalovaný j e p o v i n e n nahradit žalobci náklady řízení ve výši 7049 Kč k rukám jeho advokáta JUDr. Vladislava Vnenka, Ph.D., ve lhůtě jednoho měsíce od právní moci tohoto rozsudku. IV. Osoba zúčastněná na řízení n e má právo na náhradu nákladů řízení. Odůvodnění I. Předmět věci 1. Dne 15. 12. 2022 byla v Lékárně X, kterou provozuje osoba zúčastněná na řízení, prováděna kontrola podle zákona č. 255/2012 Sb., o kontrole (kontrolní řád), tato kontrola byla u žalovaného vedena pod sp. zn. sukls275570/2022. Dne 16. 12. 2022 žalovaný zneplatnil přístupové údaje žalobce jakožto zaměstnance osoby zúčastněné na řízení do informačního systému eRecept. K obnovení přístupových údajů žalobce došlo dne 22. 12. 2022 v odpoledních hodinách. Žalobce považuje zneplatnění údajů za zásah do svých práv. Žalobce se domáhá vyslovení nezákonnosti tohoto zásahu žalovaného, tvrzený nezákonný zásah trval od 16. 12. 2022 do 22. 12. 2022, nyní již netrvá. II. Žaloba a další vyjádření 2. Podle žalobce došlo tímto zásahem k zásahu do práva na výkon povolání a získání prostředků prací dle čl. 26 odst. 1 a 3 Listiny základních práv a svobod. Jako lékárník nemohl plnit pracovní povinnosti ke svému zaměstnavateli, neboť nemohl vydávat léky prostřednictvím systému eRecept. Nezákonný zásah spočívá v postupu v rozporu s ustanovením § 81a zákona č. 378/2007 Sb., o léčivech (dále jen „zákon o léčivech“), který garantuje nepřetržitý přístup do elektronického systému eRecept. Došlo ke zneplatnění přístupových údajů do informačního systému eRecept, což zákon neumožňuje. 3. Žalovaný postupoval podle vyhlášky Ministerstva zdravotnictví č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb. Ta však podle žalobce nemůže být použita, neboť odporuje kompetenční normě podle čl. 79 odst. 3 Ústavy České republiky (ústavní zákon č. 1/1993 Sb.), současně samotnému zákonu o léčivech a výhradě zákona. 4. Žalobce v první řadě poukazuje na formulaci § 81a odst. 1 zákona o léčivech a je názoru, že ministerstvo bylo oprávněno vyhláškou pouze upravit postup a podmínky pro získání přístupových údajů do elektronického systému eRecept, nikoliv však, že bude prováděcí předpis upravovat podmínky a postup odebírání či blokování přístupových údajů, či snad stanoví pravomoc správního orgánu něco takového činit. Taková vyhláška je podle žalobce v rozporu s čl. 79 odst. 3 Ústavy. 5. Podle žalobce dále vyhláška neupravuje některý z postupů, zejména, že budou údaje opětovně zpřístupněny pouze, pokud bude podpisem vysloven souhlas s postupem správního orgánu. K tomu žalobce odkázal na emaily ze dne 16. 12. 2022 a ze dne 19. 12. 2022. 6. Vyhláška odporuje podle žalobce i zákonu o léčivech, konkrétně § 81 odst. 3 zákona, který zaručuje farmaceutovi nepřetržitý přístup do systému eRecept. 7. Dále je žalobce toho názoru, že postup správního orgánu se svojí povahou, účinky, důsledky a svým obsahem jeví jako tzv. nápravný prostředek správního dozoru; obdobně jako v případech dle § 8 zákona č. 64/1986 Sb., České národní rady o České obchodní inspekci a § 50 odst. 1 a odst. 2 zák. č. 90/2016 Sb., o posuzování shody stanovených výrobků při jejich dodávání na trh nebo § 31 zákona č. 112/2016 Sb., o evidenci tržeb či § 86 odst. l písm. a) zákona ČNR č. 591/1992 Sb., o cenných papírech. K tomu je však nutné, aby byla správnímu orgánu svěřena zvláštní pravomoc ze strany zákonodárce, neboť zde se uplatňuje výhrada zákona s ohledem na čl. 4 odst. 2 Listiny. Výhrada zákona k tomu byla nezbytná, neboť důsledkem postupu správního orgánu v případě žalobce bylo zasaženo do jeho základních práv garantovaných mu ústavním pořádkem. Zásadně není možné, aby zákonem byla na sekundární normotvorbu přenesena pravomoc stanovit meze základních práv. 8. Žalovaný ve vyjádření k žalobě poukázal na to, že systém eRecept je jedním ze základních informačních systémů České republiky, jehož fungování a integrita je nezbytná k bezpečnosti České republiky (viz usnesení vlády č. 1020). S ohledem na množství osobních údajů je nezbytné zajišťovat jeho integritu a důvěrnost a zabezpečení osobních údajů. Shrnul, že byl povinen se řídit příslušnými ustanoveními tehdy účinného zákona č. 181/2014 Sb., o kybernetické bezpečnosti (dále jen „zákon o kybernetické bezpečnosti“) a jeho prováděcích předpisů. Poukázal na to, že přístup do eReceptu dle § 81a zákona o léčivech je omezený, přístupové údaje jsou nepřenosné a mohou být využívány pouze fyzickou osobou, které byly vydány. Proto v případě kompromitace vznikne riziko pro osobní údaje a žalovaný jako zpracovatel osobních údajů je povinen přijmout bezpečnostní opatření. Jedním z těchto opatření je pak dle ustanovení § 12 odst. 2 vyhlášky č. 82/2018 Sb. přidělování a odebírání přístupových údajů. Toto opatření neznamená, že lékař či farmaceut, jehož přístupové údaje jsou tímto opatřením zneplatněny, ztrácí přístup do informačního systému eRecept. Tento přístup je mu nadále zachován s tím, že si musí pouze zažádat o obnovu přístupových údajů, kdy jsou mu poskytnuty nové přístupové údaje. Žalovaný žalobci nijak nebránil v přístupu do informačního systému eRecept a ani obnovení jeho přístupu ničím nepodmiňoval. Žalobce si mohl ihned po zneplatnění jeho dosavadních přístupových údajů požádat o jejich obnovu prostřednictvím webových stránek www.sukl.cz, přičemž návod a odkazy na příslušné elektronické formuláře jsou dostupné na webových stránkách www.epreskripce.cz. Žalovaný tyto informace zveřejňuje v souladu s ustanovení § 81 odst. 2 zákona o léčivech. Pokud žalobce tvrdí, že mu byl odpírán přístup do informačního systému eRecept, podle žalovaného měl doložit, kdy žádal o obnovu svých přístupových údajů do informačního systému eRecept a kdy mu toto obnovení nebylo žalovaným umožněno. Žalovaný je tak přesvědčen, že žalobce neunesl důkazní břemeno ke svému tvrzení, že mu žalovaný bránil v přístupu do informačního systému eRecept. 9. Žalovaný poukázal na průběh kontroly, odkud vyplývá, že přístupové údaje žalobce do informačního systému eRecept byly užívány třetími osobami, a to navíc takovými, které nejsou oprávněny do tohoto systému přistupovat. 10. Předmětná záležitost byla řešena jako kybernetický bezpečnostní incident, to muselo být žalobci zřejmé z toho, že s ním za žalovaného komunikoval pan Ing. P. P., manažer kybernetické bezpečnosti, a taktéž z obsahu této komunikace. Žalovaný v tomto případě nevystupoval vůči žalobci jako vrchnostenský orgán, nýbrž jako správce informačního systému komunikující s jeho uživatelem v rámci řešení kybernetického bezpečnostního incidentu. Je povinností žalovaného zajistit poučení uživatelů informačního systému eRecept o jejich povinnostech ve smyslu ustanovení § 9 odst. 1 písm. a) bod 1. vyhlášky č. 82/2018 Sb. Zároveň je žalovaný v souladu s ustanovením § 12 odst. 2 písm. k) vyhlášky č. 82/2018 povinen prosazovat, aby uživatelé informačního systému eRecept při používání privátních autentizačních informací dodržovali stanovené postupy. 11. Žalovaný taktéž uvedl, že jeho jednání bylo vyvoláno protiprávním jednáním žalobce, jednalo se o jediné fakticky účinné bezpečnostní opatření, nejednalo o sankční opatření, jednalo se o opatření k zajištění bezpečnosti informací. Bylo to vhodné opatření, žalobce si mohl přístup obnovit okamžitě po zneplatnění dosavadních údajů, o tomto postupu jsou informace na webu žalovaného. Žalovaný nepodmiňoval přístup souhlasem s poučením, žalovaný pouze poučil žalobce o jeho povinnostech souvisejících s nakládáním s přístupovými údaji do informačního systému eRecept tak, aby se neopakoval uvedený kybernetický bezpečnostní incident. Jeh