2 As 107/2017 — Nejvyšší správní soud

2 As 107/2017- 72 - text  2 As 107/2017 - 84 pokračování [OBRÁZEK] ČESKÁ REPUBLIKA R O Z S U D E K J M É N E M R E P U B L I K Y Nejvyšší správní soud rozhodl v senátě složeném z předsedkyně JUDr. Miluše Doškové a soudců Mgr. Evy Šonkové a JUDr. Karla Šimky v právní věci žalobce: SOLUS, zájmové sdružení právnických osob, se sídlem Antala Staška 510/38, Praha 4, zastoupený Mgr. Marií Janšovou, advokátkou se sídlem Václavská 316/12, Praha 2, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 27, Praha 7, za účasti osoby zúčastněné na řízení: Mgr. R. L., proti výrokům I. – VII. a IX. – XI. rozhodnutí předsedy žalovaného ze dne 12. 2. 2013, č. j. INSP24684/12-38, o kasační stížnosti žalobce proti výrokům II. a III. rozsudku Městského soudu v Praze ze dne 8. 3. 2017, č. j. 10 A 72/2013 - 86, takto: I. Kasační stížnost se zamítá. II. Žalobce ani osoba zúčastněná na řízení nemají právo na náhradu nákladů řízení o kasační stížnosti. III. Žalovanému se náhrada nákladů řízení o kasační stížnosti nepřiznává. Odůvodnění: I. Vymezení věci [1] Žalobce je sdružením právnických osob (nebankovních finančních institucí, bank, poskytovatelů služeb elektronických komunikací, dodavatelů energií a dalších), jehož hlavním předmětem činnosti je organizace a správa databází umožňujících posouzení platební schopnosti spotřebitelů. Na základě podnětu osoby zúčastněné na řízení a J. R. provedl žalovaný ve dnech 7. 6. až 24. 8. 2012 kontrolu u stěžovatele zaměřenou na dodržování povinností vyplývajících ze zákona č. 101/2000 Sb., o ochraně osobních údajů, v rozhodném znění (dále jen „zákon o ochraně osobních údajů“), při zpracovávání osobních údajů J. R. a osoby zúčastněné na řízení v tzv. negativním registru fyzických osob. [2] Výroky I. - VII. v záhlaví označeného rozhodnutí předsedy žalovaného (dále jen „napadené rozhodnutí“) nebylo vyhověno žalobcovým námitkám proti kontrolním zjištěním uvedeným v kontrolním protokolu žalovaného ze dne 30. 10. 2012, zn. INSP2-4684/12-33 (dále jen „kontrolní protokol“). V kontrolním protokolu byla žalobci uložena též čtyři opatření k nápravě. Výrokem VIII. napadeného rozhodnutí bylo zrušeno opatření k nápravě č. 1, jímž bylo žalobci uloženo, aby zlikvidoval osobní údaje J. R. evidované v negativním registru, neboť vzhledem k tomu, že v době vydání kontrolního protokolu již žalobci uplynula lhůta, ve které byl ze zákona povinen osobní údaje J. R. zlikvidovat, bylo nadbytečné mu danou povinnost ukládat. Výroky IX. a XI. byly zamítnuty námitky proti opatření k nápravě č. 2 a č. 4, jimiž bylo žalobci uloženo informovat J. R. a osobu zúčastněnou na řízení o likvidaci jejich osobních údajů. Výrokem X. napadeného rozhodnutí bylo změněno opatření k nápravě č. 3 tak, že bylo žalobci uloženo, aby zlikvidoval osobní údaje osoby zúčastněné na řízení v negativním registru, které byly vloženy společností Home Credit, a. s. [3] Žalobu podanou proti výrokům I. – VII. a IX. – XI. napadeného rozhodnutí Městský soud v Praze v záhlaví uvedeným rozsudkem (dále jen „městský soud“ a „napadený rozsudek“) v části týkající se zrušení výroků I. až VII. napadeného rozhodnutí odmítl a v části týkající se zrušení výroků IX. – XI. napadeného rozhodnutí zamítl. Městský soud předně uvedl, že rozhodnutí o námitkách proti kontrolním zjištěním není rozhodnutím ve smyslu § 65 zákona č. 150/2002 Sb., soudní řád správní, ve znění pozdějších předpisů (dále jen „s. ř. s.“), neboť jím není přímo zasahováno do právní sféry kontrolovaného subjektu. Žaloba proti nim je proto dle § 68 písm. e) s. ř. s. nepřípustná. Naopak výroky IX. - XI. napadeného rozhodnutí byla žalobci uložena povinnost v rámci opatření k nápravě, a je tedy nesporné, že žaloba proti nim přípustná je. [4] Ve věci samé se městský soud nejprve zabýval odvolatelností souhlasu subjektu osobních údajů uděleného na dobu určitou. Pokud dochází ke zpracování osobních údajů na základě souhlasu, jedná se s ohledem na taxativní výčet v § 5 odst. 2 písm. a) až g) zákona o ochraně osobních údajů o situace, kdy správce osobní údaje nutně zpracovávat nepotřebuje a smí tak činit jen proto, že se subjekt údajů prostřednictvím souhlasu vzdal svého práva, aby jeho osobní údaje zpracovávány nebyly. Nejedná se ani o situaci, kdy správce údaje potřebuje v souvislosti se smluvním vztahem mezi subjektem údajů a správcem [§ 5 odst. 2 písm. b) zákona o ochraně osobních údajů], ani o zpracovávání osobních údajů nezbytné pro dodržení zákonné povinnosti správce [§ 5 odst. 2 písm. a) téhož zákona]. Zákon o ochraně osobních údajů ani směrnice o ochraně osobních údajů neobsahují žádnou speciální úpravu souhlasu na dobu určitou. Rozdíl mezi souhlasem uděleným na dobu neurčitou a na dobu určitou spočívá především v tom, že ze souhlasu uděleného na dobu neurčitou se subjekt údajů může vyvázat pouze tím, že souhlas aktivně odvolá, zatímco po uplynutí doby souhlasu uděleného na dobu určitou oprávnění správce zanikají bez další aktivity subjektu. Z toho však nevyplývá, že by byl souhlas udělený na dobu určitou neodvolatelný. Souhlas představuje jednostranný úkon subjektu údajů vůči správci, nikoliv kontrakt mezi správcem a subjektem údajů. Smyslem souhlasu je, že jej subjekt může vzít zpět, neboť právě jen on má mít kontrolu nad tím, kdo smí jeho osobní údaje zpracovávat nad rámec zákonem stanovených případů [k obdobným závěrům dospěla i pracovní skupina zřízená podle čl. 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „směrnice 95/46/ES“) ve svém stanovisku ze dne 13. 7. 2011 o definici souhlasu, WP187, str. 32 - 33]. S tím souvisí i povinnost správce podle § 5 odst. 4 zákona o ochraně osobních údajů prokázat udělení souhlasu po celou dobu zpracování. K odkazu žalobce na historický výklad § 5 odst. 4 zákona o ochraně osobních údajů městský soud uvedl, že z vypuštění formulace, že subjekt může svůj souhlas se zpracováním odvolat, nedohodne-li se se správcem jinak, nelze dovodit, že od účinnosti novely jsou všechny souhlasy neodvolatelné, nýbrž pouze to, že zákon již nyní výslovně nepočítá s možností dohody mezi správcem a subjektem, že souhlas nelze odvolat. Analogie mezi souhlasem subjektu osobních údajů s jejich zpracováním a souhlasem vlastníka sousední nemovitosti s provedením ohlašované stavby ve stavebním řízení je podle městského soudu nepřípadná. Souhlas vlastníka sousední nemovitosti je podkladem pro povolovací akt vydaný stavebním úřadem. Tento institut kromě použitého pojmu „souhlas“ nevykazuje žádné podobnosti s jednáním subjektu osobních údajů. [5] Městský soud dále přistoupil k posouzení alternativní argumentace žalobce spočívající v tvrzení, že byl oprávněn zpracovávat osobní údaje bez souhlasu subjektů údajů za účelem ochrany oprávněných zájmů svých členů ve smyslu § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. Městský soud předně konstatoval, že citované ustanovení implementuje čl. 7 písm. f) směrnice 95/46/ES, a musí proto být vykládáno eurokonformně. Výklad čl. 7 písm. f) směrnice byl dle městského soudu dostatečně vyložen judikaturou Soudního dvora, jedná se tak o tzv. acte éclairé ve smyslu rozsudku Soudního dvora ve věci CILFIT. Nepovažoval proto za nutné ve věci položit předběžnou otázku Soudnímu dvoru. [6] Pojem „oprávněný zájem“ nemůže být členským státem omezen jen na specifický typ práv či zájmů, může se jednat např. o zájem na správném fungování internetových stránek (rozsudek Soudního dvora ve věci Breyer). Aplikace § 5 odst. 2 písm. e) zákona o ochraně osobních údajů se neomezuje na ochranu ústavně garantovaných práv, nýbrž na ochranu legitimních zájmů v širším slova smyslu. Městský soud proto přisvědčil žalobci, že má oprávněný zájem na tom, aby jeho členové byli schopni efektivně ověřovat bonitu spotřebitelů, kteří žádají o spotřebitelský úvěr. Tento oprávněný zájem je však třeba poměřovat testem proporcionality vůči zásahu do práva na soukromí subjektů shromažďovaných údajů, přičemž posuzované opatření neobstojí ve druhém kroku testu, tj. posouzení potřebnosti. Ačkoli se jedná o opatření vhodné k ověření úvěruschopnosti spotřebitelů (první krok testu) a zajisté i efektivní, nejedná se o nástroj jediný. Členové žalobce mohou a mají informace o schopnosti splácet úvěr žádat především od spotřebitelů. Informace jsou rovněž často dostupné veřejně, např. v insolvenčním rejstříku. Může pochopitelně nastat situace, kdy u konkrétního spotřebitele nebude možné zjistit důvěryhodné údaje svědčící o jeho bonitě, v takovém případě však členům žalobce nezbude než úvěr neposkytnout. [7] Pro úplnost městský soud doplnil, že i kdyby akceptoval, že vedení databází dlužníků v prodlení bez jejich souhlasu je nezbytné pro naplnění oprávněných zájmů žalobce, musel by dospět k závěru, že takový zásah do práva subjektů osobních údajů na ochranu soukromí nemůže obstát v testu přiměřenosti (třetí krok testu proporcionality). Na straně subjektů osobních úda