10 As 102/2023 — Nejvyšší správní soud

10 As 102/2023- 90 - text  10 As 102/2023 - 95 pokračování [OBRÁZEK] R O Z S U D E K J M É N E M R E P U B L I K Y Nejvyšší správní soud rozhodl v senátu složeném z předsedy Michala Bobka, soudce Ondřeje Mrákoty a soudkyně Michaely Bejčkové ve věci žalobce: Mgr. L. H., proti žalovanému: Ministerstvo zdravotnictví, se sídlem Palackého náměstí 375/4, Praha, proti rozhodnutí ministra zdravotnictví ze dne 15. 9. 2020, č. j. MZDR 38623/20203/PRO, v řízení o kasační stížnosti žalovaného proti rozsudku Městského soudu v Praze ze dne 19. 4. 2023, čj. 10 A 125/202087, takto: I. V řízení o kasační stížnosti se pokračuje. II. Rozsudek Městského soudu v Praze ze dne 19. 4. 2023, čj. 10 A 125/202087, se ruší a věc se vrací tomuto soudu k dalšímu řízení. Odůvodnění: I. Vymezení věci a dosavadní řízení [1] Žalobce se u Ministerstva zdravotnictví coby povinného subjektu domáhal poskytnutí následujících informací podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím: (i) smluv k nákupu testů používaných k ověření přítomnosti onemocnění SARSCoV2 u testované osoby, které uzavřel povinný subjekt, a dále (ii) certifikátu výrobku (testu) pořízeného povinným subjektem, prokazujícího možnost používání tohoto testu na území Evropské unie, případně České republiky, a to k ověření přítomnosti onemocnění SARSCoV2 u testované osoby. [2] Žalovaný svým rozhodnutím, následně obsahově potvrzeným k rozkladu žalobce ministrem zdravotnictví, požadované certifikáty výrobků poskytl. Začernil na nich nicméně jméno a kontaktní údaje (fyzické) osoby, která jménem dané právnické osoby certifikát podepsala. Důvodem pro neposkytnutí předmětných údajů (konkrétně jména, příjmení, podpisu, funkčního zařazení v rámci dané právnické osoby, stejně jako v případě několika certifikátů rovněž kontaktní emailové adresy, čísla telefonu, někdy i webové stránky společnosti, která certifikát vydala) byla ochrana osobních údajů fyzických osob, které byly na daných certifikátech uvedeny jako jednající jménem daných právnických osob. [3] Městský soud v Praze (dále jen „městský soud“) rozhodnutí ministra zdravotnictví o rozkladu zrušil. Vyšel přitom z předpokladu, že jméno a příjmení fyzické osoby, její podpis, stejně jako další ze začerněných údajů, jsou „osobními údaji“ ve smyslu čl. 4 odst. 1) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. L 119/1 ze dne 4. 5. 2016 – dále jen „GDPR“). Kombinace údaje o jménu, příjmení a údaje o pracovním zařazení v rámci daného subjektu (právnické osoby), která certifikáty vydala, jsou zcela jistě způsobilé určitou fyzickou osobu identifikovat ve smyslu tohoto ustanovení. [4] Pro řízení o této kasační stížnosti byl nicméně rozhodující nesouhlas městského soudu se závěrem ministra, že pro poskytnutí vyžádaných informací není naplněn žádný z možných scénářů zákonného zpracování osobních údajů dotčených fyzických osob podle čl. 6 odst. 1 GDPR. Tento závěr považoval městský soud přinejmenším za předčasný, neboť správní orgány se nepokusily získat souhlas dotčených subjektů údajů ohledně poskytnutí předmětných osobních údajů žalobci. [5] Městský soud v tomto ohledu odkázal na judikaturu Nejvyššího správního soudu k poskytování informací podle zákona o svobodném přístupu k informacím, jmenovitě rozsudky ze dne 22. 10. 2014, č.j. 8 As 55/201262; ze dne 17. 12. 2014, č.j. 1 As 189/201450; ze dne 30. 6. 2015, č.j. 7 As 49/201557; ze dne 8. 4. 2020, č.j. 10 As 227/201841. Z této linie judikatury, původně rozvinuté v kontextu poskytování informací o platech zaměstnanců ve veřejné sféře (rozsudkem rozšířeného senátu v citovaném č. j. 8 As 55/201262), ale následně rozšířené i na jiné typy informací o činnosti veřejné správy, plyne povinnost správních orgánů informovat bez zbytečného prodlení osoby, o jejichž osobní údaje se jedná, že povinný subjekt hodlá poskytnout informace, které se jich mohou dotknout, a právo potenciálně dotčených osob se k tomu vyjádřit. Je pak na povinném subjektu, aby vyjádření takových osob reflektoval a vyvodil z něho důsledky pro svůj další postup. [6] Skutečnost, že žalovaný tímto způsobem nepostupoval, tak podle městského soudu mimo jiné znamená, že nemohl ani obdržet souhlas dotčených subjektů dle čl. 6 odst. 1 písm. a) GDPR k poskytnutí jejich osobních údajů. Městský soud proto dospěl k závěru, že se správní orgány při rozhodování o odepření poskytnutí těchto údajů žalobci dopustily procesního pochybení, které mohlo mít vliv na zákonnost jejich rozhodnutí. Před vydáním rozhodnutí o částečném odmítnutí žádosti vůbec nejednaly s kteroukoliv z osob, jejichž osobní údaje odmítly žalobci poskytnout, a nepřiznaly jim postavení účastníků řízení podle § 27 odst. 2 správního řádu. Protože správní orgány nezjišťovaly, zda tyto osoby případně s poskytnutím svých osobních údajů žalobci souhlasí, a přesto odmítly žalobci jejich osobní údaje poskytnout, založily svůj závěr o tom, že pro jejich poskytnutí není dán žádný z důvodů zpracování stanovených v čl. 6 odst. 1 GDPR na nedostatečně zjištěném skutkovém stavu. II. Kasační stížnost žalovaného a vyjádření žalobce [7] Rozsudek městského soudu napadá před Nejvyšším správním soudem (dále jen „NSS“) žalovaný („stěžovatel“) kasační stížností z důvodů podle § 103 odst. 1 písm. a) a d) zákona č. 150/2002 Sb., soudní řád správní (dále jen „s. ř. s.“). [8] Stěžovatel především zdůraznil, že městský soud přezkoumal rozhodnutí ministra nad rámec uplatněných žalobních bodů a zrušil jej z důvodu, k němuž nebyl povinen, a tím pádem ani oprávněn, přihlédnout i bez námitky. Tvrzení, že správní orgány nejednaly s dotčenými osobami a nepřiznaly jim postavení účastníků řízení, žalobce nevznesl ani v průběhu správního řízení, ani v žalobě. Městský soud tak ve svém posouzení vykročil výrazně nad rámec rozsahu řádně uplatněných žalobních bodů (§ 75 odst. 2 s. ř. s.). [9] Kromě námitky překročení meze soudního přezkumu městským soudem je pak stěžovatel rovněž názoru, že argumentace městského soudu neobstojí ani z hlediska věcného. Stěžovatel považuje právní názor městského soudu o subjektech údajů coby povinných účastnících správního řízení o poskytnutí údajů dle zákona o svobodném přístupu k informacím za pomýlený. S odkazem na jiné, dřívější rozhodnutí stejného senátu městského soudu (rozsudek ze dne 23. 9. 2020, č. j. 10 A 110/201829) uvádí, že byť tedy správní orgán může dotčený subjekt vyrozumět, pokud to uzná za vhodné, o žádné účastenství v řízení před správním orgánem se v tomto případě nejedná, a to ani analogicky. V důsledku toho také rozhodnutí správního orgánu, který této možnosti upozornění dotčeného subjektu údajů nevyužije, nemůže způsobit procesní vadu jeho správního rozhodnutí, jak dovozuje městský soud. [10] V rovině praktické pak stěžovatel doplnil, že v projednávané věci jsou dotčené subjekty údajů (tedy fyzické osoby, které jednaly za dané právnické osoby a jejichž jména, příjmení, funkční zařazení v rámci právnické osoby a kontaktní údaje byly začerněny) osoby působící na území Čínské lidové republiky a Spojeného království Velké Británie a Severního Irska (kde jsou inkorporovány předmětné právnické osoby – subjekty, které dané certifikáty vystavily). Stěžovatel nemá k dispozici kontakty na tyto fyzické osoby. Požadavek městského soudu na jejich vyrozumění je tak v zásadě nesplnitelný. Závěrem pak stěžovatel doplňuje, že pokud by dané osoby byly navíc účastníky řízení o poskytnutí osobních údajů, ať již přímo či analogicky, správní orgán by jim patrně měl také doručovat napadené rozhodnutí, což je opět s ohledem na jejich neznámé bydliště v zahraničí nerealizovatelné. [11] Žalobce ve vyjádření ke své kasační stížnosti uvedl celkem 17 bodů, ve kterých vyjadřuje nesouhlas s tvrzeními stěžovatele. Ve svém vyjádření žalobce mimo jiné podtrhl své právo coby spotřebitele a adresáta mimořádných opatření k nošení ochrany úst a nosu vědět, zda výrobky, které měl používat, byly řádně přezkoušeny a certifikát osvědčující tento postup byl vyhotoven oprávněnými osobami. Městský soud rovněž dle jeho názoru nijak nevykročil z žalobních důvodů uplatněných žalobcem. Žalobce zdůrazňuje, že mu není jasné, proč má být začerněn údaj, kdo předmětné objednávky za dodávajícího, stejně jako kupujícího, podepsal. Skutečnost, že stěžovatel tímto způsobem tají skutečnou identitu osob, které měly za předmětné právnické osoby jednat, pouze vzbuzuje podezření, že se jedná o „nastrčené“ osoby a společnosti a že žalovaný tímto způsobem „skrývá pravou podstatu koupě objednaného zboží, a hlavně jeho původ“. III. Právní hodnocení Nejvyššího správního soudu [12] Nejvyšší správní soud shledal, že kasační stížnost je přípustná. Byla podána osobou oprávněnou, ve lhůtě dle § 106 odst. 2 s. ř. s. Napadený rozsudek proto přezkoumal v rozsahu a z důvodů vymezených stěžovatelem v kasační stížnosti. Přihlížel při tom k případným vadám, které je povinen zkoumat z úřední povinno