3 As 21/2005 — Nejvyšší správní soud

3 As 21/2005- 105 - text č. j. 3 As 21/2005 - 105 [OBRÁZEK] ČESKÁ REPUBLIKA R O Z S U D E K J M É N E M R E P U B L I K Y Nejvyšší správní soud rozhodl v senátě složeném z předsedy senátu JUDr. Jaroslava Vlašína a soudců JUDr. Milana Kamlacha a JUDr. Marie Součkové v právní věci žalobkyně K., a.s., zast. JUDr. Tomášem Prokopcem, advokátem se sídlem Praha 1, Štěpánská 20, proti žalovanému Úřadu pro ochranu osobních údajů, sídlem Praha 7, Pplk. Sochora 27, o kasační stížnosti žalobkyně proti rozsudku Městského soudu v Praze č. j. 10 Ca 118/2003 – 61 ze dne 14. 10. 2004, t a k t o : I. Kasační stížnost s e z a m í t á . II. Žalovanému s e n e p ř i z n á v á náhrada nákladů řízení o kasační stížnosti. O d ů v o d n ě n í : Včas podanou kasační stížností napadla žalobkyně (dále též „stěžovatelka“) v záhlaví uvedený rozsudek Městského soudu v Praze, kterým byla zamítnuta její žaloba proti rozhodnutí žalovaného č. j. 3047/767/02-SP/R1 ze dne 13. 11. 2002. Předseda Úřadu pro ochranu osobních údajů jím zamítl rozklad žalobkyně proti rozhodnutí Úřadu pro ochranu osobních údajů (dále jen „Úřad“) č. j. 86/02148/INSP/6 ze dne 19. 6. 2002 a napadené rozhodnutí potvrdil. Prvoinstančním rozhodnutím Úřadu byla žalobkyni uložena pokuta ve výši 3 000 000 Kč za porušení právní povinnosti uvedené v ust. § 13 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon“), jehož se měla dopustit tím, že minimálně ještě ke dni 23. 1. 2001 nepřijala všechna potřebná opatření, aby nemohlo dojít k neoprávněnému přístupu, neoprávněnému zpracování či jinému zneužití osobních údajů jejích klientů. V důsledku uvedeného porušení právní povinnosti došlo v časovém rozmezí od 20. 1. 2001 do 23. 1. 2001 k neoprávněnému přístupu a k odcizení záznamového média, obsahujícího významné množství osobních údajů klientů K., a.s., čímž osobní údaje klientů byly vystaveny nebezpečí jejich neoprávněného zpracování či jiného zneužití. Městský soud v Praze se ztotožnil se závěrem správních orgánů, že žalobce nedostál povinnosti uložené mu ustanovením § 13 zákona, a to jednáním v úplnosti a v konkrétu popsaným v odůvodnění obou rozhodnutí. Tato zjištění ostatně žalobce ani nijak nenapadl. Namítá-li, že žalovaný nebyl oprávněn k uložení pokuty s odkazem na ust. § 47 odst. 2 a 3 zákona, přisvědčil Městský soud v Praze názoru správních orgánů, že je zde v obsahové náplni zákonných pojmů zpracování a zabezpečení rozdíl, jakož i závěru, že vyvození sankce za porušení povinností stanovených zákonem bylo po dobu vymezenou v přechodných ustanoveních vyloučeno výslovně pouze v případech, kdy správce nebo zpracovatel neuvedl do souladu s novou právní úpravou vlastní zpracování osobních údajů, tj. nesplnil povinnosti stanovené novou úpravou pro toto zpracování oproti právní úpravě původní. Povinnost dle § 13 zákona byla zákonem stanovena od 1. 6. 2000 a její porušení bylo proto od tohoto data podle ust. § 46 odst. 1 zákona pod hrozbou sankce. Pravomoc Úřadu uložit za nesplnění povinností stanovených zákonem pokutu je dána výslovně a v daném případě není dotčena shora uvedenou výjimkou. Namítá-li přesto žalobce, že k porušení povinnosti nemohlo dojít, neboť zákon nestanoví, jaká konkrétní opatření měla být učiněna, doplnil Městský soud v Praze nad argumentaci uvedenou v odůvodnění žalobou napadeného rozhodnutí, že rámec pro řádné plnění této povinnosti musí vymezit sám zpracovatel či správce podle prostředků a způsobů zpracování a zajistit jej odpovídajícím způsobem finančně, technicky i organizačně. Dle názoru soudu existuje v oblasti bezpečnostních opatření k ochraně majetku obecně a při nakládání s osobními údaji, resp. jejich ochraně zvláště, určitý soubor bezpečnostních opatření považovaný za standard, aniž by musel být v zákoně výslovně vymezen. Jako nedůvodnou posoudil Městský soud v Praze rovněž námitku vytýkající napadenému rozhodnutí nedostatek posouzení výše sankce ve smyslu ust. § 46 odst. 5 zákona. S ohledem na výčet skutečností svědčících jak ve prospěch, tak v neprospěch žalobce neshledal soud sankci v dolní třetině zákonné sazby zjevně nepřiměřenou. Podle soudu také ze spisu nesporně vyplývá, že žalobce nebyl zkrácen v právu na řádný proces a na svou obhajobu tím, že jeho zástupci nebylo umožněno nahlédnout do spisu v den tvrzený v žalobě, tj. 2. 5. 2002. Řízení bylo zahájeno oznámením doručeným dne 17. 4. 2002, žádosti o prodloužení lhůty ze dne 26. 4. 2002 bylo vyhověno a současně byla stanovena lhůta k vyjádření do 17. 5. 2002. Z protokolu o jednání ze dne 5. 6. 2002 vyplývá, že práva nahlédnout do spisu bylo následně využito, že žalobce podal vyjádření k zahájenému řízení a mohl se do doby vydání rozhodnutí správního orgánu I. stupně vyjádřit ke všem podkladům a zjištěním Úřadu, jakož i že tak učinil. Důvodnou nakonec soud neshledal ani námitku podjatosti pracovníka správního úřadu. Důvody vyloučení pracovníka přesně vymezuje zákon č. 71/1967 Sb., o správním řízení (správní řád), ve znění pozdějších předpisů (dále jen „správní řád“). Poměr k věci, k účastníkům nebo zástupcům nebyl v daném případě zjištěn a není ani ve smyslu ust. § 9 správního řádu namítán. Předseda Úřadu pak ani vyloučen být nemůže, neboť jako vedoucí ústředního orgánu státní správy má obdobné postavení jako ministr a není tak dle judikatury Nejvyššího správního soudu pracovníkem správního orgánu. Samotná okolnost, že předseda Úřadu podal veřejnoprávnímu médiu obecnou informaci o zákonem předpokládaném postupu Úřadu v dané věci nakonec není v rozporu se zákonem. Vhodnost podávání této informace před tím, než uplyne dotčenému účastníkovi lhůta k vyjádření, je pak podle názoru soudu otázkou profesionálního postoje a přístupu. Podání obecné informace o tom, jaké řízení probíhá, podle jakého předpisu, že se provádí zjišťování, resp. že je Úřad, pakliže zjistí porušení zákona, povinen (nikoli pouze oprávněn) uložit sankci, předpokládá konečně i zákon č. 106/1999 Sb., o svobodném přístupu k informacím. Z uvedených důvodů Městský soud v Praze žalobu podle ust. § 78 odst. 7 zákona č. 150/2002 Sb., soudní řád správní, ve znění pozdějších předpisů (dále jen „s. ř. s.“) jako nedůvodnou zamítl. Podanou kasační stížností napadla stěžovatelka rozsudek Městského soudu v Praze z důvodu podle ust. § 103 odst. 1 písm. a) s. ř. s., tedy pro nezákonnost spočívající v nesprávném posouzení právní otázky soudem. Městský soud v Praze se podle jejího názoru nedostatečně vypořádal s otázkou dopadu ust. § 47 odst. 2 zákona na daný případ, a to přesto, že se jedná o jádro předmětného sporu. Stěžovatelka dále cituje ust. § 13, § 47 odst. 2, 3 a § 46 odst. 1 zákona. Z těchto podle ní jasně vyplývá, že neuvedl-li správce či zpracovatel osobních údajů, který prováděl zpracování osobních údajů před účinností zákona, toto do souladu se zákonem do 31. 12. 2001, nemohl být za takovéto jednání sankcionován, a to až do 31. 12. 2002. Podle stěžovatelky se jedná o klasický model zmírnění dopadů nové právní úpravy na správce a zpracovatele osobních údajů, kterým zákonodárce umožnil, aby mohlo být ve stanovené lhůtě učiněno zadost všem povinnostem novou právní úpravou uloženým. Za situace, kdy Úřad dospěl ke zjištění o údajném porušení § 13 zákona až v kontrolním protokole ze dne 31. 8. 2001, má stěžovatelka za to, že i v případě, pokud by k uvedenému porušení skutečně došlo, nebyl Úřad oprávněn pokutu uložit, neboť v té době již byla novela zákona č. 177/2001 Sb. více než tři měsíce účinná. Stěžovatelka nesouhlasí dále se závěrem soudu, podle kterého vyvození sankce za porušení povinností stanovených zákonem bylo po dobu vymezenou v přechodných ustanoveních výslovně vyloučeno pouze v těch případech, kdy správce (zpracovatel) neuvedl do souladu s novou úpravou vlastní zpracování osobních údajů, tj. nesplnil povinnosti novou úpravou pro toto zpracování stanovené oproti původní právní úpravě. Uvedený výklad považuje stěžovatelka za účelový, resp. odporující základním právním zásadám právního řádu České republiky, konkrétně zákazu retroaktivity zákona. Takový postup by umožnil ukládat sankce za nesplnění povinností stanovených zákonem č. 256/1992 Sb. poté, co byl tento zrušen zákonem č. 101/2000 Sb. Podle stěžovatelky však není přípustné, aby za porušení povinností stanovených již derogovanou právní úpravou byly ukládány sankce podle úpravy nové. Za nesprávný považuje stěžovatelka rovněž názor soudu, podle něhož existují určité standardy bezpečnostních opatření, které lze realizovat, aniž by musely být výslovně stanoveny zákonem. Uvedený závěr je podle stěžovatelky protiústavní, neboť státní orgány nemohou nutit stěžovatelku činit, co zákon neukládá, resp. jí za toto následně ukládat sankce. Soud také nepřihlédl ke skutečnosti, že stěžovatelka byla v dobré víře, že splnila povinnosti uložené jí ustanovením § 13 zákona tím, že zajistila střežení objektu agenturou A.S.S. a přijala další bezpečnostní opatření, což soudu také doložila. Namítá proto neúměrnost výše uložen