4 As 376/2019 — Nejvyšší správní soud

4 As 376/2019- 31 - text 4 As 376/2019 - 35 pokračování [OBRÁZEK] ČESKÁ REPUBLIKA R O Z S U D E K J M É N E M R E P U B L I K Y Nejvyšší správní soud rozhodl v senátě složeném z předsedy Mgr. Aleše Roztočila a soudců JUDr. Jiřího Pally a Mgr. Petry Weissové v právní věci žalobce: Česká republika - Ministerstvo školství, mládeže a tělovýchovy, se sídlem Karmelitská 529/5, Praha 1, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 727/27, Praha 7, o žalobě proti rozhodnutí předsedkyně žalovaného ze dne 21. 6. 2016, č. j. SPR-2298/10-61, v řízení o kasační stížnosti žalobce proti rozsudku Městského soudu v Praze ze dne 19. 9. 2019, č. j. 10 A 150/2016 - 26, takto: I. Rozsudek Městského soudu v Praze ze dne 19. 9. 2019, č. j. 10 A 150/2016 - 26, se zrušuje. II. Rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 21. 6. 2016, č. j. SPR-2298/10-61, se zrušuje a věc se vrací žalovanému k dalšímu řízení. III. Žádný z účastníků nemá právo na náhradu nákladů řízení v řízení o žalobě ani v řízení o kasační stížnosti. Odůvodnění: I. Přehled dosavadního řízení [1] Předsedkyně žalovaného v záhlaví uvedeným rozhodnutím zamítla rozklad žalobce a potvrdila rozhodnutí žalovaného ze dne 27. 4. 2016, č. j. SPR-2298/10-56 (dále jen „prvostupňové rozhodnutí“), kterým byla žalobci uložena pokuta ve výši 200.000 Kč za správní delikt dle § 45 odst. 1 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů. Deliktu se žalobce měl dopustit tím, že v rozporu s § 9 zákona o ochraně osobních údajů jakožto správce osobních údajů žáků a studentů ve smyslu § 28 odst. 5 zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon), od roku 2006 nejméně do začátku roku 2010 v rámci činnosti jím zřízeného Ústavu pro informace ve vzdělávání zpracovával citlivé údaje vypovídající o druhu zdravotního postižení, druhu dalšího zdravotního postižení a příznaku souběžného postižení více vadami, a to v roce 2007 u přibližně 700 studentů středních škol a vyšších odborných škol, v roce 2008 přibližně 68.000 žáků základních škol a dalších studentů (studentů středních škol, vyšších odborných škol a konzervatoří) a v roce 2009 přibližně 38.000 žáků základních škol a dalších studentů (studentů středních škol, vyšších odborných škol a konzervatoří). [2] Předsedkyně žalovaného v odůvodnění svého rozhodnutí konstatovala, že žalobce zpracovával osobní a citlivé údaje ve smyslu § 4 písm. e) zákona o ochraně osobních údajů, přičemž ke zpracování citlivých údajů vypovídající o druhu zdravotního postižení, druhu dalšího zdravotního postižení a příznaku souběžného postižení více vadami žalobce nedoložil souhlas subjektů údajů a ani nenaplnil některý z dalších právních titulů dle § 9 písm. b) až i) zákona o ochraně osobních údajů. Žalobce podle žalovaného shromažďoval citlivé údaje v souboru bez přímého identifikátoru, ale ke každému subjektu (žáku) byl shromažďován obdobný rozsah údajů ve dvou souborech, přičemž jeden soubor obsahoval i rodné číslo a druhý soubor obsahoval tyto údaje bez rodného čísla, které bylo nahrazeno zvláštním kódem. Takový postup není anonymizací ve smyslu zákona o ochraně osobních údajů, neboť porovnáním těchto dvou souborů, které jsou oba pod kontrolou žalobce, lze dotčené osoby ztotožnit, a to bez vynaložení mimořádných prostředků či úsilí. [3] Žalobce podal proti rozhodnutí žalovaného žalobu, v níž namítl, že skutková podstata správního deliktu dle § 45 odst. 1 písm. e) zákona o ochraně osobních údajů předpokládá aktivní jednání účastníka (tj. zpracování citlivých údajů). Žalobce však citlivé údaje nezpracovával, a skutková podstata výše uvedeného ustanovení tak nebyla prokázána. Nadto nemá v držení takový soubor, který by umožňoval identifikovat konkrétní subjekty, není tedy splněna podmínka dle § 4 písm. a) zákona o ochraně osobních údajů, že subjekt údajů se považuje za určený nebo určitelný, jestliže ho lze přímo či nepřímo identifikovat. Výklad žalovaného je natolik extenzivní, že z odborného pohledu by v jeho důsledku nebylo možno zpracovávat v podstatě žádné údaje a znemožňoval by jakoukoli statisticko-analytickou činnost. Dále žalobce namítl, že žalovaný nevěnoval jeho argumentaci potřebnou pozornost a v napadeném rozhodnutí se s ní náležitě nevypořádal, čímž porušil své povinnosti plynoucí mu z § 50 a § 3 zákona č. 500/2004 Sb., správního řádu. Nesouhlasil ani s tím, že je ukládána pokuta správním úřadem správnímu úřadu, neboť ve své podstatě jde pouze o „přelévání“ či „přesouvání“ finančních prostředků v rámci majetku státu. [4] Městský soud v Praze označeným rozsudkem žalobu zamítl. Dospěl k závěru, že žalobce údaje zpracovával ve smyslu § 4 písm. e) zákona o ochraně osobních údajů. V posuzovaném případě nebyl naplněn předpoklad předávání čistě anonymních údajů, neboť „zakódování“ údajů v druhém souboru dat prostřednictvím jedinečného osobního kódu při vypuštění údaje o rodném číslu v tomto souboru dat nebylo způsobilé zabránit tomu, aby s ohledem na shodu v parametrech v obou předávaných souborech údajů kterákoli osoba bez větších nesnází identifikovala pomocí porovnání údajů uvedených pod překrývajícími se parametry subjekt údajů prostřednictvím rodného čísla, jež bylo předáváno v rámci prvního souboru dat. Žalovaný dle soudu došel ke správnému závěru, že se žalobce skutkem identifikovaným ve výroku prvostupňového rozhodnutí dopustil správního deliktu podle § 45 odst. 1 písm. e) zákona o ochraně osobních údajů, když v rozporu s § 9 téhož zákona bez souhlasu subjektů údajů zpracovával citlivé osobní údaje, aniž by byla dána jiná ustanovením § 9 aprobovaná výjimka z obecné povinnosti zpracovávat citlivé údaje toliko se souhlasem subjektu údajů. [5] Předsedkyně žalovaného zcela přezkoumatelným způsobem vysvětlila důvody, pro které neshledala námitky žalobce opodstatněnými. Soud nepřisvědčil ani námitce žalobce, že mu jako „non-subjektu“ nemůže být uložena pokuta za správní delikt. Dle ustálené judikatury správních soudů lze organizačním složkám státu v případě porušení povinnosti dle § 45 odst. 1 zákona o ochraně osobních údajů uložit pokutu za správní delikt. Uzavřel, že nařízení č. 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále též „obecné nařízení“), na postižitelnosti uvedeného jednání ničeho nemění, přitom za obdobné protiprávní jednání, za něž byl žalobce v předmětném případě postihnut, nestanoví nižší horní hranici pokuty, a proto nelze novou úpravu považovat pro žalobce za příznivější. II. Obsah kasační stížnosti a vyjádření žalobce [6] Žalobce (dále též „stěžovatel“) napadl výše uvedený rozsudek městského soudu kasační stížností. Namítl, že je rozsudek městského soudu nepřezkoumatelný, jelikož z něj není seznatelné, co přesně soud při svém posuzování nové právní úpravy ochrany osobních údajů zvažoval a jaký delikt by se na jednání stěžovatele podle nové právní úpravy měl vztahovat. Stěžovatel podotknul, že § 45 odst. 1 písm. e) zákona o ochraně osobních údajů byl zrušen, přičemž v nové právní úpravě, jež je představována zákonem č. 110/2019 Sb., o zpracování osobních údajů, a obecným nařízením, obdobné ustanovení chybí. Městský soud se měl zabývat tím, jestli by bylo zpracování stěžovatele, které bylo původně posouzeno jako nezákonné, ve světle čl. 9 obecného nařízení možné. Stěžovatel měl za to, že lze jeho jednání podřadit pod výjimku ze zákazu zpracování údajů dle čl. 9 odst. 2 písm. g) obecného nařízení, posouzení skutků stěžovatele podle nové právní úpravy by tak bylo pro stěžovatele příznivější. [7] Stěžovatel dále namítl, že městský soud nesprávně posoudil možnost uložení sankce stěžovateli, kdy pozdější právní úprava zavedená zákonem o zpracování osobních údajů a obecným nařízením, neumožňuje uložit sankci za správní trest orgánu veřejné moci (§ 62 odst. 5 zákona o zpracování osobních údajů ve spojení s čl. 83 odst. 7 obecného nařízení). Nová právní úprava je tedy pro stěžovatele příznivější. Zopakoval již v žalobě uvedenou námitku, že nesouhlasí s udělením pokuty správnímu úřadu ze strany správního úřadu, jelikož se jedná pouze o „přesouvání finančních prostředků“ v rámci majetku státu. Nadto by stěžovateli mohl svědčit liberační důvod dle § 46 odst. 1 zákona o ochraně osobních údajů. [8] Žalovaný se ve vyjádření ke kasační stížnosti ztotožnil s argumentací městského soudu a dále uvedl, že institut upuštění od potrestání dle § 62 odst. 5 zákona o zpracování osobních údajů, jež se na stěžovatele jako orgán veřejné moci vztahuje, lze jen obtížně považovat za podstatnou změnu trestní politiky státu, jak ji má čl. 40 odst. 6 věty druhé Listiny základních práv a svobod na mysli. Pokuta uložená státnímu orgánu totiž není sankcí v materiální slova smyslu, již jen proto, že státní orgán nepociťuje takovou pokutu jako vlastní majetkovou újmu. Výše uvedené ustanovení tak nelze chápat jako materiální změnu