6 As 32/2023 — Nejvyšší správní soud

6 As 32/2023- 40 - text  6 As 32/2023 - 45 pokračování [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Nejvyšší správní soud rozhodl v senátu složeném z předsedy Filipa Dienstbiera a soudců Tomáše Langáška a Tomáše Blažka v právní věci žalobkyně: Česká republika – Ministerstvo vnitra, sídlem Nad Štolou 963/3, Praha 7, proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, Praha 7, proti rozhodnutí předsedkyně žalovaného ze dne 5. 12. 2019, č. j. UOOU09383/1817, o kasační stížnosti žalobkyně proti rozsudku Městského soudu v Praze ze dne 4. 1. 2023, č. j. 8 A 16/202040, takto: I. Kasační stížnost se zamítá. II. Žalobkyně nemá právo na náhradu nákladů řízení o kasační stížnosti. III. Žalovanému se nepřiznává náhrada nákladů řízení o kasační stížnosti. Odůvodnění: I. Vymezení věci a řízení před městským soudem [1] Rozhodnutím ze dne 7. 8. 2019 Úřad pro ochranu osobních údajů rozhodl, že žalobkyně je vinna přestupkem 1) podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, tedy že porušila některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), a to tím, že ke dni 4. 7. 2018 uchovávala v souvislosti se zasláním „Žádosti o založení státního zaměstnance – cizince bez možnosti ztotožnění podle registru obyvatel – do rejstříku státních zaměstnanců a přidělení evidenčního čísla“ ve 144 případech osobní údaje uvedené v kopiích osobních dokladů, minimálně v rozsahu fotografie a případně podpis držitele dokladu, a to v rozporu s účelem, k němuž byly shromážděny, tedy za účelem ověření totožnosti subjektu údajů, čímž porušila povinnost stanovenou v čl. 5 odst. 1 písm. b) nařízení (EU) 2016/679, bez relevantního právního titulu, čímž porušila povinnost stanovenou v čl. 6 odst. 1 nařízení (EU) 2016/679, a 2) podle § 62 odst. 1 písm. a) zákona č. 101/2000 Sb., o ochraně osobních údajů, tedy porušila některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení (EU) 2016/679 nebo hlavy II, a to tím, že v době nejméně od 1. 7. 2015 do 7. 8. 2018 v ISoSS nevedla záznamy o přístupech oprávněných zaměstnanců služebních úřadů do tohoto systému, tedy záznamy, které umožní určit, kdo k údajům konkrétního subjektu údajů přistoupil a za jakým účelem, čímž porušila povinnost stanovenou v čl. 32 odst. 1 nařízení (EU) 2016/679. Úřad podle § 62 odst. 5 zákona o zpracování osobních údajů upustil od uložení správního trestu. [2] Rozhodnutím ze dne 11. 9. 2019 byla opravena zřejmá nesprávnost v druhé části výroku rozhodnutí spočívající v záměně zákona č. 110/2019 Sb., o zpracování osobních údajů, za zákon č. 101/2000 Sb., o ochraně osobních údajů. [3] Rozklad žalobkyně předsedkyně Úřadu rozhodnutím ze dne 5. 12. 2019 zamítla a rozhodnutí správního orgánu I. stupně potvrdila. [4] Rozhodnutí o rozkladu napadla žalobkyně žalobou, kterou Městský soud v Praze zamítl. [5] Námitku, že řízení bylo zahájeno příkazem, který byl v rozporu se zákonem, neboť jím nebyla uložena povinnost, neobsahoval poučení o procesních právech a nedostatečně vymezil věc, městský soud neshledal důvodnou. Příkaz může být prvním úkonem v řízení, takže vydáním příkazu ze dne 26. 6. 2019 bylo řízení zahájeno. Příkaz obsahuje dostatečně určité popisy jednání žalobkyně žalovaným kvalifikované jako přestupky. Příkazem byla žalobkyně zpravena jednak o tom, že se s ní vede řízení o přestupku, jednak o tom, jakých jednání se řízení týká. Příkaz obsahoval poučení o odporu, právě takové poučení bylo v tomto stádiu na místě. Z logiky věci je vyloučeno, aby příkaz obsahoval poučení o procesních právech. [6] Dále městský soud shrnul, že žalobkyně odpor podala, načež byla sdělením Úřadu ze dne 3. 7. 2019 vyrozuměna o tom, že příkaz byl zrušen, v řízení se pokračuje, že byly shromážděny dostatečné podklady pro vydání rozhodnutí, a byla poučena o svých procesních právech. [7] K námitkám týkajícím se příkazu městský soud zdůraznil, že příkaz byl v důsledku odporu zrušen, nemá tedy hmotněprávní účinky, v okamžiku podání žaloby tedy příkaz neexistoval, a žalobní námitky proti příkazu proto nelze vypořádat. Jediný účinek příkazu, který byl zachován, byl efekt zahájení řízení. Účinek zahájení řízení by byl vyloučen pouze v případě, že by příkaz trpěl vadami, které by jej činily nicotným. Takové vady však městský soud neshledal. Ze zákona dle městského soudu nevyplývá, že by nebylo možné příkazem rozhodnout o upuštění od uložení správního trestu. [8] Městský soud neshledal důvodné ani námitky proti formulaci výroku příkazu „obviněný porušil některou ze zásad a nesplnil některé povinnosti dle hlavy II zákona, a proto se odsuzuje…“, a námitku, že až z odůvodnění prvostupňového rozhodnutí se žalobkyně dozvěděla podrobnější, stále však „sběrnou“ kvalifikaci. Znovu zdůraznil, že příkaz nebyl předmětem přezkumu, neboť byl podáním odporu zrušen. Výrok rozhodnutí správního orgánu I. stupně obsahuje popis jednání, v němž je spatřován přestupek, a právní kvalifikace. Formulace „porušení některých ze základních zásad“ je citací normy definující přestupek. Jediným pochybením je v 2. části výroku nesprávný odkaz na zákon č. 101/2000 Sb., je však nesporné, že oba přestupky jsou definovány zákonem o zpracování osobních údajů. Tato vada tak neměla vliv na zákonnost rozhodnutí, šlo jen o vadu v psaní. [9] Důvodnou neshledal městský soud ani námitku porušení zásady legitimního očekávání spatřované žalobkyní v tom, že Úřad nejdříve uzavřel kontrolu s tím, že netřeba dalších opatření, poté zahájil řízení o uložení nápravných opatření, které následně autoremedurou zastavil, posléze informoval veřejnou tiskovou zprávou, že neuložil opatření k nápravě a od uložení pokuty upustil, načež zahájil řízení o přestupku. Městský soud uvedl, že rozhodnutí o uložení nápravných opatření nesouvisí s odpovědností žalobkyně za přestupky. Zveřejnění tiskové zprávy nepředstavuje nic na způsob překážky zahájeného řízení či překážky věci pravomocně rozhodnuté. [10] Důvodné neshledal městský soud ani námitky týkající se hmotněprávní kvalifikace jednání žalobkyně. [11] Pokud jde o uchovávání kopií dokladů za účelem ověření totožnosti, městský soud se ztotožnil s argumentací správních orgánů. Žalobkyně by mohla uchovávat údaje cizinců žádajících o přijetí do státní služby jen tehdy, pokud by k tomu byla zmocněna konkrétní právní normou. Taková norma však neexistuje. Nejde ani o zpracování nezbytné pro účely oprávněných zájmů správce či třetí strany, které by nezasahovalo významně do základních práv a svobod subjektů údajů, neboť tento právní titul se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů. Mohlo by se jednat o zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen, nicméně v tomto případě nebyla splněna podmínka nezbytnosti takového zpracování. Souhlas získaný způsobem, jenž zvolila žalobkyně, není svobodným a jednoznačným svolením subjektu údajů se zpracováním osobních údajů. [12] K námitce, že v průběhu správního řízení žalobkyně nemohla uplatnit všechny argumenty, jimiž by mohla podpořit svůj názor, že k vytýkanému zacházení s osobními údaji měla zákonný důvod, neboť nemohla předvídat všechny případné námitky Úřadu, městský soud zdůraznil, že již z protokolu o kontrole ze dne 7. 8. 2018 a nejpozději z příkazu ze dne 26. 6. 2019 bylo žalobkyni zřejmé, co je jí kladeno za vinu, a mohla tedy koncipovat svou protiargumentaci. [13] Se závěry správních orgánů se městský soud ztotožnil, rovněž pokud jde o přestupek, spočívající v tom, že žalobkyně v konkrétní době v ISoSS nevedla záznamy o přístupech oprávněných zaměstnanců služebních úřadů do tohoto systému, tedy záznamy, které umožní určit, kdo k údajům konkrétního subjektu údajů přistoupil a za jakým účelem. Městský soud shrnul, že bylo zjištěno, že žalobkyně v rámci provozu informačního systému ISoSS má instalovanou aplikaci, jejímž prostřednictvím jsou ukládány záznamy o přístupech do systému (logování), avšak použité prostředky pro logování (nástroje pro prohlížení/analýzu logování) neumožňují získat informace o tom, kdo k údajům konkrétního subjektu údajů přistoupil a za jakým účelem. Žalobkyně sama připustila, že logování je jen částečné, neboť v některých případech neprobíhalo. II. Kasační stížnost a vyjádření žalovaného [14] Proti rozsudku městského soudu podala žalobkyně (stěžovatelka) kasační stížnost dle § 102 a násl. zákona č. 150/2002 Sb., soudní řád správní (dále jen „s. ř. s.“). [15] Stěžovatelka zopakovala námitku nesprávného zahájení řízení příkazem. Úprava příkazu jasně hovoří o uložení povinnosti, upuštění od trestu pod uložení povinnosti podřadit nelze. [16] Správní orgány i soud opomíjí, že povinnost, která byla stěžovatelce vytýkána, byla v mezidobí zrušena a zákon o zp