6 As 227/2022 — Nejvyšší správní soud

6 As 227/2022- 43 - text  6 As 227/2022 - 45 pokračování [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Nejvyšší správní soud rozhodl v senátě složeném z předsedkyně senátu Veroniky Juřičkové a soudců Tomáše Langáška a Filipa Dienstbiera v právní věci žalobce: Y. K., zastoupený JUDr. Milanem Štembergem, advokátem, sídlem Cyrila Boudy 1444, Kladno, proti žalovanému: Nejvyšší státní zastupitelství, sídlem Jezuitská 585/4, Brno, týkající se žaloby proti rozhodnutí žalovaného ze dne 29. 7. 2021, č. j. 11 SPR 4/202118, o kasační stížnosti žalobce proti rozsudku Krajského soudu v Brně ze dne 7. 9. 2022, č. j. 31 A 118/202161, takto: I. Kasační stížnost žalobce se zamítá. II. Žalobce nemá právo na náhradu nákladů řízení o kasační stížnosti. III. Žalovanému se nepřiznává náhrada nákladů řízení o kasační stížnosti. Odůvodnění: I. Vymezení případu [1] Žádostí ze dne 27. 4. 2021 se žalobce obrátil na žalovaného jako na spravující orgán osobních údajů obsažených v centrální evidenci stíhaných osob (dále jen „CESO“), aby mu sdělil informaci o všech osobních údajích žalobce, k jejichž zpracování došlo či dochází u Policie České republiky ve vymezeném období, a jejich předání žalobci. K výzvě žalovaného žalobce podáním ze dne 30. 6. 2021 upřesnil, že požaduje informace o zpracování svých osobních údajů souvisejících s jeho návštěvou v České republice ve vymezeném období, kdy měl být orgány činnými v trestním řízení na území sledován a následně sledován (resp. pronásledován) rovněž přeshraničně. [2] Žalovaný rozhodnutím označeným v záhlaví tohoto rozsudku (vyjádřením k žádosti) sdělil žalobci, že není spravujícím orgánem osobních údajů evidovaných v CESO; spravujícími orgány jsou jednotlivé složky soustavy státního zastupitelství. Žalovaný uvedl, že je toliko správcem CESO jako neveřejného informačního systému (§ 12i odst. 4 zákona o státním zastupitelství). Agendu zpracování a ochrany osobních údajů žalovaný vykonává v rámci státní správy státního zastupitelství (§ 13a zákona č. 283/1993 Sb., o státním zastupitelství), nejedná se o výkon působnosti státního zastupitelství (§ 4 téhož zákona). Žalovaný nemá v rámci výkonu státní správy přístup k údajům obsaženým v CESO, tento přístup je jednotlivým státním zastupitelstvím (včetně žalovaného) umožněn jedině pro potřeby výkonu jejich působnosti. Z těchto důvodů tak v daném případě nebylo možné, aby žalobce uplatňoval ve vztahu k údajům obsaženým v CESO právo na přístup u žalovaného ve smyslu § 28 zákona č. 110/2019 Sb., o zpracování osobních údajů. [3] Žalobce napadl postup žalovaného žalobou u Krajského soudu v Brně, kterou směřoval jednak proti rozhodnutí žalovaného ve smyslu § 65 odst. 1 zákona č. 150/2002 Sb., soudní řád správní (dále jen s. ř. s.“); a zároveň se domáhal ochrany proti nečinnosti žalovaného ve smyslu § 79 odst. 1 s. ř. s., kterou spatřoval v nevyřízení jeho žádosti o informaci o zpracovávaných osobních údajích (ve znění jejího upřesnění). Rovněž v žalobě vztahoval žalobce požadavek na informace o zpracovávání jeho osobních údajů v souvislosti s úkony Policie České republiky. [4] Krajský soud žalobu v části na ochranu proti nečinnosti žalovaného vyloučil k samostatnému projednání a rozhodnutí; v části směřující proti rozhodnutí žalovaného žalobu rozsudkem označeným v záhlaví zamítl. Dospěl k závěru, že s ohledem na neveřejnost CESO a zákonem taxativně vymezený okruh subjektů oprávněných do CESO nahlížet neměl žalovaný povinnost předat žalobci informace o zpracovávaných osobních údajích. Krajský soud vycházel z obsahu žalobcovy žádosti, v níž se žalobce domáhal po žalovaném informací o osobních údajích zpracovávaných Policií České republiky, nikoli žalovaným. II. Kasační stížnost a vyjádření žalovaného [5] Žalobce (dále jen „stěžovatel“) podal proti rozsudku krajského soudu kasační stížnost, v níž namítal, že na základě informací od orgánů jiných států má povědomost o tom, že Policie České republiky zpracovává jeho osobní údaje vztahující se k vymezenému období, v němž orgány činné v trestním řízení vůči žalobci vyvíjely blíže neupřesněnou činnost. [6] Stěžovatel setrval na své argumentaci a rozporoval názor krajského soudu, že z důvodu neveřejnosti CESO na žalovaného nedopadá povinnost, aby jako spravující orgán vyřídil žádost stěžovatele v souladu s § 28 zákona o zpracování osobních údajů, tedy sdělil, zda jsou jeho osobní údaje zpracovávány a za jakým účelem. Stěžovatel upozornil, že se nedomáhá provedení „lustrace“ v CESO, nýbrž vydání informace o zpracovávání jeho osobních údajů. Krajský soud dle stěžovatelova názoru popřel smysl ochrany osobních údajů (práva na informaci o jejich zpracování), když ji vyloučil s odkazem na neveřejnost databáze CESO. Žalovaný v daném případě dle stěžovatele informaci o zpracovávaných údajích nejenže neposkytl (§ 28 odst. 1 zákona o zpracování osobních údajů), ale ani jejich neposkytnutí neodůvodnil ohrožením specifikovaných veřejných zájmů (§ 28 odst. 2 téhož zákona). [7] Žalovaný ve vyjádření ke kasační stížnosti poukázal na skutečnost, že stěžovatel vychází z mylného předpokladu, že žalovaný má povinnosti spravujícího orgánu osobních údajů ve vztahu k údajům obsaženým v CESO. Spravujícími orgány jsou však konkrétní státní zastupitelství ve vztahu k jimi zpracovávaným osobním údajům, které do CESO vkládají. Stěžovatel se dle žalovaného dopouští záměny pojmů správce CESO a spravující orgán. Argumentaci, dle kterého stěžovatel nepožaduje lustraci v CESO, nýbrž vydání informace o zpracování svých osobních údajů, žalovaný označil za zmatečnou. Nutnou podmínkou k tomu, zda jsou určité osobní údaje předmětem zpracování v určité databázi, evidenci, či informačním systému, je dle žalovaného zjištění, že se takové údaje v systému vůbec nacházejí. Musí tedy dojít k lustraci osoby, bez jejího provedení je požadavek nerealizovatelný. Závěrem žalovaný upozornil na skutečnost, že CESO obsahuje údaje zpracovávané soudy, státními zastupitelstvími (popř. Úřadem evropského veřejného žalobce). Stěžovatel však opakovaně požadoval a požaduje po žalovaném poskytnutí osobních údajů zpracovávaných Policií České republiky. III. Posouzení Nejvyšším správním soudem [8] Nejvyšší správní soud kasační stížnost posoudil a dospěl k závěru, že není důvodná. [9] V úvodu se Nejvyšší správní soud nejprve byl nucen zabývat otázkou určení relevantní právní úpravy, která má být na věc aplikována, neboť stěžovatel se v komunikaci s žalovaným i v následném soudním řízení dovolává aplikace několika právních předpisů na úrovni vnitrostátního i evropského práva. [10] V posuzované věci se jedná o problematiku zpracování osobních údajů, které lze s ohledem na stěžovatelem tvrzené skutečnosti podřadit pod zpracování za účelem prevence, vyšetřování, odhalování či stíhání trestných činů, včetně ochrany před hrozbami pro veřejnou bezpečnost. Z tohoto důvodu se tedy na uvedené zpracování osobních údajů nevztahuje nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů, dále jen „nařízení GDPR“ – z angl. General Data Protection Regulation), jak vyplývá z jeho čl. 2 odst. 2 písm. d). Argumentace stěžovatele nařízením GDPR proto není pro projednávaný případ relevantní. [11] Právní úprava zpracování osobních údajů státními orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů vychází ze směrnice Evropského parlamentu a Rady (EU) 2016/680 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále jen „směrnice LED“ – z angl. Law Enforcement Directive). [12] Ve vnitrostátním právu byla směrnice LED (obdobně jako nařízení GDPR) promítnuta do zákona č. 110/2019 Sb., o ochraně osobních údajů, konkrétně úpravou obsaženou v jeho hlavě III. Ačkoli si zákon z legislativně technických důvodů pro vlastní potřeby vypůjčuje (prostřednictvím odkazu) i některé definice z nařízení GDPR (§ 24 odst. 2 zákona o ochraně osobních údajů), je v ostatním právní úprava obsažená v hlavě III zcela samostatná. S výjimkou některých definic se tedy nařízení GDPR na materii upravenou v hlavě III zákona o ochraně osobních údajů nepoužije. [13] Zákon o ochraně osobních údajů zakládá právo fyzické osoby (jako subjektu, jehož osobní údaje mohou být v souvislosti s prevencí, vyšetřováním, odhalováním či stíháním trestných činů zpracovávány) požádat o sdělení, zda spravující orgán zpracovává její osobní údaje a pokud ano, o jejich předání a sdělení dalších doprovodných informací, jako jsou např. účel zpracování, právní titul ke zpracování, zdroj údajů (§ 28). Dále existuje právo fyzické osoby požádat o opravu nebo doplnění jejích osobních údajů, či o jejich výmaz (§ 29). Uvedené žádosti vyřizuje spravující orgán postupem dle