7 As 175/2025 – Nejvyšší správní soud

7 As 175/2025- 38 - text  7 As 175/2025 - 41 pokračování [OBRÁZEK] ČESKÁ REPUBLIKA ROZSUDEK JMÉNEM REPUBLIKY Nejvyšší správní soud rozhodl v senátu složeném z předsedy Milana Podhrázkého, soudce Davida Hipšra a soudkyně Jiřiny Chmelové v právní věci žalobce: Mgr. et Mgr. V. M., Ph.D., zast. Mgr. et Mgr. Janem Vobořilem, Ph.D., advokátem se sídlem U smaltovny 1115/32, Praha 7, proti žalovanému: Policejní prezidium České republiky, se sídlem Strojnická 27, Praha 7, o kasační stížnosti žalobce proti usnesení Městského soudu v Praze ze dne 29. 7. 2025, č. j. 5 A 37/202549, takto: Usnesení Městského soudu v Praze ze dne 29. 7. 2025, č. j. 5 A 37/202549, se ruší a věc se vrací tomuto soudu k dalšímu řízení. Odůvodnění: I. Vymezení věci [1] Policie ČR v roce 2015 žalobci odebrala daktyloskopické otisky prstů v souvislosti s trestním řízení, které bylo proti němu vedeno. Žalovaný dne 30. 10. 2020 žalobci k jeho žádosti o přístup k osobním údajům sdělil, že jeho otisky prstů se nacházejí v daktyloskopické kartě zařazené v informačních systémech policie. Žalobce byl též informován o potřebě dalšího zpracování jeho osobních údajů (z důvodu vedení dalšího trestního řízení). Dne 3. 1. 2025 pak žalobce požádal dle § 28 odst. 1 zákona č. 110/2019 Sb., o zpracování osobních údajů, o poskytnutí kopie své daktyloskopické karty. Žalovaný nicméně žalobci dne 10. 2. 2025 sdělil, že jeho osobní údaje v daktyloskopické kartě nezpracovává ani v informačních systémech ani ve fyzické podobě. K navazující žádosti žalobce o sdělení důvodů zničení daktyloskopické karty pak žalovaný žalobci sdělil, že k jejímu zničení došlo dne 22. 1. 2025, neboť zpracovávané identifikační údaje již nejsou pro policii nadále nezbytné k plnění jejích úkolů. [2] Žalobce se žalobou podanou k Městskému soudu v Praze domáhal určení, že zásah žalovaného spočívající ve vymazání daktyloskopické karty z informačních systému policie byl nezákonný. Mimo jiné tvrdil, že žalovaný porušil jeho právo na přístup k osobním údajům, přičemž výmaz daktyloskopické karty je též zásahem do jeho práva na informační sebeurčení zaručeného čl. 10 odst. 3 Listiny. K výmazu jeho osobních údajů z daktyloskopické karty došlo poté, co podle zákona požádal o přístup k nim. Žalovaný má mít nastavena taková vnitřní opatření, aby nedošlo k situaci, že smaže údaje v době vyřizování takové žádosti. V případě žalobce navíc žalovaný postupoval arbitrárně, neboť daktyloskopickou kartu vymazal, aniž by vyčkal na ukončení stále pokračujícího trestního řízení vedeného proti žalobci jako v případě jiných obviněných. Žalovaný se v řízení o žalobě bránil především s tím, že osobní údaje získané prostřednictvím identifikačních úkonů vymazal na základě periodicky prováděného prověřování potřebnosti jejich dalšího uchovávání a posouzení jejich další potřebnosti a pro účely budoucí identifikace, a nikoliv v souvislosti s žádostí žalobce. I kdyby daktyloskopická karta žalobce nebyla v průběhu vyřizování jeho žádosti vymazána, její kopii by poskytnout nemohl, neboť takové právo mu nesvědčí. [3] Městský soud žalobu v záhlaví označeným usnesením odmítl. Zabýval se předně tím, zda napadený úkon pojmově vůbec mohl být nezákonným zásahem. Vyšel z toho, že zásah do veřejných subjektivních práv má v dané věci dle žalobce spočívat ve výmazu jeho osobních údajů. Pokud jde o ústavněprávní rovinu ochrany práva na sebeurčení, pak nedocházíli ke zpracování osobních údajů třetí osobou, nemůže být z povahy věci dotčeno ani právo subjektu údajů na jejich ochranu (ochrana se týká neoprávněného shromažďování, zveřejňování či jiného zneužívání osobních údajů třetí osobou). Uvedené meze ochrany vyplývají i úpravy zpracování osobních údajů na úrovni práva EU. Zatímco působnost Nařízení Evropského parlamentu a Rady (EU) 2016/679, o zpracování osobních údajů (dále „Nařízení o GDPR“) je vyloučena pro oblast zpracování osobních údajů prováděného příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů, ochrana osobních údajů v této oblasti je svěřena Směrnici Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále „Směrnice o ochraně osobních údajů v oblasti prosazování práva“) a Nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (dále „Nařízení EUDPR“). Z hlediska vnitrostátní úpravy městský soud odkázal na § 24 a násl. zákona o zpracování osobních údajů s tím, že daná problematika je upravena též v zákoně č. 273/2008 Sb., o Policii České republiky. Veškerá zmíněná právní úprava je vedena jednotným účelem, kterým je ochrana práv subjektu údajů při shromažďování a zpracování jeho osobních údajů třetí osobou. Součástí práva na informační sebeurčení tak není právo subjektu údajů na zpracování jeho osobního údaje třetí osobou, ale naopak jeho ochrana při zpracování jeho osobního údaje třetí osobou. Dojdeli k výmazu osobního údaje, zaniká i předmět ochrany a právo na informační sebeurčení je tím konzumováno, na čemž nemění nic ani definice „zpracování“ v čl. 3 odst. 3) Nařízení EUDPR. Výmaz jako forma zpracování osobních údajů ve smyslu této definice totiž zahrnuje především právo subjektu údajů „být zapomenut“, tj. právo na výmaz jeho osobních údajů, neníli již jejich využití nezbytné a přiměřené a nikoli právo na další vedení jeho osobního údaje. Ačkoli tedy daktyloskopické otisky prstů patří mezi zákonem chráněné osobní údaje, tak jejich výmaz nemůže již z povahy věci představovat zásah do práva na informační sebeurčení. II. Obsah kasační stížnosti a vyjádření žalovaného [4] Žalobce (stěžovatel) podal proti usnesení městského soudu kasační stížnost. Předeslal, že městský soud použil nesprávnou právní úpravu. Nařízení EUDPR se totiž na danou věc vůbec nevztahuje. Namísto toho jsou zde použitelná obdobná ustanovení Nařízení GDPR. Zpracování osobních údajů pro účely policejních orgánů členských států Unie spadá obecně do působnosti Směrnice o ochraně osobních údajů v oblasti prosazování práva, která je provedena v hlavě III. zákona o zpracování osobních údajů. Nicméně § 24 odst. 2 tohoto zákona odkazuje na ustanovení Nařízení GDPR. Jedná se ovšem o vadu bez dopadu na posouzení dané věci, protože konkrétní ustanovení jsou v obou nařízeních prakticky totožná. [5] Stěžovatel namítá, že žaloba měla být posouzena dle svého obsahu. Městský soud nevycházel z jeho tvrzení o porušeném veřejném subjektivním právu, neboť v bodě 12 napadeného usnesení uvedl, že stěžovatel spatřuje zásah do svých veřejných subjektivních práv v tom, že „žalovaný vymazal jeho osobní údaje“. V těchto intencích pak posuzoval přípustnost žaloby. To ovšem vůbec nevystihuje obsah tvrzení v žalobě o zasaženém veřejném subjektivním právu. Tím je právo na přístup k osobním údajům, přičemž právě znemožnění přístupu k osobním údajům se negativně projevilo v právní sféře stěžovatele. [6] Nesouhlasí ani s tím, že výmaz osobních údajů nemůže z povahy věci představovat zásah do práva na informační sebeurčení. Každou situaci je vždy nutné hodnotit individuálně. V daném případě bylo zasaženo právo na přístup k osobním údajům, protože výmazem bylo naplnění daného práva zmařeno. Výmaz osobních údajů je úkon směřující proti jednotlivci a je schopný zasáhnout sféru jeho práv. Je zde naplněn i vztah příčinné souvislosti mezi výmazem a z toho plynoucím následkem (zásahem) do jeho právní sféry. Pokud by nebyly daktyloskopické údaje vymazány, byly by osobní údaje stěžovateli zpřístupněny na základě práva na přístup k osobním údajům. Výmaz žalovaný provedl v momentě, kdy vyřizoval žádost stěžovatele o přístup k jeho údajům. Nenaplnění práva na přístup k osobním údajům tak bylo zmařeno zásahem správního orgánu a úzký vztah mezi výmazem osobních údajů a právem na přístup k osobním údajům je nesporný. Výmaz osobních údajů a přístup k těmto osobním údajům dává do souvislosti Evropský sbor na ochranu osobních údajů ve svých Pokynech č. 01/2022 k právům subjektů údajů – právo na přístup (přijatých dne 28. 3. 2023). Kauzální vztah mezi výmazem osobních údajů a právem na přístup k osobním údajům podle stěžovatele vyplývá i z tzv. práva na omezení zpracování, které je zakotvené jak v zákoně o zpracování osobních údajů (§ 28 odst. 3), tak ve Směrnici o ochraně osobních údajů v oblasti prosazování práva (čl. 16 odst. 3). Podle práva na omezení zpracování dochází v určitých situacích k tzv. „zmražení“ osobních údajů, aby nedošlo k jejich dalšímu zpracování například formou výmazu. Existence samotného práva na omezení zpracování poukazuje na nerozlučný vztah mezi výmazem osobních úd