Source: http://kraken.slv.cz/7As186/2012
Timestamp: 2018-04-23 00:17:02+00:00

Document:
7As186/2012
7 As 186/2012-31
ROZSUDEK JMÉNEM REPUBLIKY Nejvy¹¹í správní soud rozhodl v senátì slo¾eném z pøedsedkynì JUDr. Eli¹ky Cihláøové a soudcù JUDr. Jaroslava Hubáèka a JUDr. Karla ©imky v právní vìci ¾alobce: Generální finanèní øeditelství, se sídlem Lazarská 15/7, Praha 1, proti ¾alovanému: Úøad pro ochranu osobních údajù, se sídlem Pplk. Sochora 27, Praha 7, v øízení o kasaèní stí¾nosti ¾alobce proti rozsudku Mìstského soudu v Praze ze dne 17. 10. 2012, è. j. 9 A 251/2011-90,
Rozsudkem Mìstského soudu v Praze ze dne 17. 10. 2012, è. j. 9 A 251/2011-90, byla zamítnuta ¾aloba podaná Ministerstvem financí proti rozhodnutí pøedsedy Úøadu pro ochranu osobních údajù ze dne 30. 6. 2009, zn. INSP1-6632/08-5, kterým nebylo vyhovìno námitkám Ministerstva financí podaným proti kontrolnímu protokolu ze dne 31. 3. 2009, zn. INSP1-6632/08-2 poøízenému v rámci kontroly, jejím¾ pøedmìtem bylo dodr¾ování povinností stanovených v ust. § 13 odst. 4 písm. c) zákona è. 101/2000 Sb. ve znìní pozdìj¹ích pøedpisù (dále jen zákon o ochranì osobních údajù ) v systému ADIS. V odùvodnìní rozsudku mìstský soud uvedl, ¾e podle kontrolního protokolu vyhotoveného Úøadem pro ochranu osobních údajù (dále jen Úøad ) dne 31. 3. 2009 o výsledcích kontroly dodr¾ování zákona o ochranì osobních údajù bylo Ministerstvu financí ulo¾eno podle ust. § 40 odst. 1 citovaného zákona nápravné opatøení-upravit ve lhùtì do 6 mìsícù systém ADIS tak, aby poøizoval elektronické záznamy, které umo¾ní, urèit a ovìøit kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány. Za pøedmìt sporu oznaèil mìstský soud to, zda Ministerstvo financí bylo vázáno právní úpravou ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù. Na základì dikce ust. § 13 citovaného zákona nelze podle mìstského soudu pøisvìdèit ¾alobní námitce, ¾e Ministerstvo financí není vázáno ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù a ¾e k zaji¹tìní povinnosti ulo¾ené v ust. § 13 odst. 1 citovaného zákona postaèovaly záruky dané jinými právními prostøedky, pøíp. ¾e oblast daòové správy je z plnìní uvedené povinnosti vyòata. Ust. § 13 zákona o ochranì osobních údajù je tøeba vykládat a aplikovat vcelku a jeho odst. 4 písm. c) je konkretizací povinnosti obecnì stanovené v odst. 1 citovaného ustanovení. V ust. § 13 odst. 1 zákona o ochranì osobních údajù je stanovena obecná povinnost správcù a zpracovatelù údajù pøijmout preventivní opatøení k neoprávnìnému pøístupu k osobním údajùm èi k jejich zneu¾ití. Jaká to jsou opatøení je stanoveno v ust. § 13 odst. 2 zákona o ochranì osobních údajù, podle nìho¾ má jít o technicko-organizaèní opatøení. Jiné právní prostøedky (namítaná povinnost mlèenlivosti podle zákona è. 337/1992 Sb., ve znìní pozdìj¹ích pøedpisù, nebo ukládání pokut) nemají povahu technicko-organizaèních opatøení ve smyslu ust. § 13 odst. 2 citovaného zákona a v pøípadì pokut nemají ani povahu preventivních opatøení ve smyslu ust. § 13 odst. 1 citovaného zákona. Právní úprava obsa¾ená v ust. § 13 zákona o ochranì osobních údajù vymezuje, jaká opatøení jsou ¾ádoucí a pøípadná pro evidenci nakládání s daty a pøitom i preventivnì pro úèely zamezení neoprávnìného nakládání s osobními údaji tak, aby bylo pøímo zjistitelné kým a jakým zpùsobem jsou údaje zpracovávány. Uvedené zcela koresponduje úvaze Úøadu, ¾e zvlá¹tní právní pøedpisy v daòové správì neupravují po¾adavky na ochranu osobních údajù natolik komplexnì a v takové míøe, která by odpovídala rizikùm v daòovém systému. Zákon è. 170/2007 Sb., kterým byl s úèinností od 12. 7. 2007 zmìnìn zákon o ochranì osobních údajù (dále jen zákon è. 170/2007 ) nestanovil sice konkrétní opatøení, které má být pøijato, ale stanovil typ opatøení, které má v systému automatizovaného zpracování osobních údajù zaruèit úèel ust. § 13 odst. 1 zákona o ochranì osobních údajù. Tedy citované ustanovení skuteènì konkretizoval a doplnil, av¹ak pro systém ADIS, a to tím, jak má tento systém pracovat a jakou metodiku pro zaji¹tìní cíle v citovaném ustanovení zvolit, toti¾ metodiku elektronických záznamù, tzv. logování, které umo¾ní zjistit a ovìøit dispozici s daty. Znìní ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù je jednoznaèné a jako zákonná norma je zavazující. Opatøení, která Ministerstvo financí pøijalo, odpovídají spí¹e povinnostem uvedeným v ust. § 13 odst. 4 písm. a) a b) citovaného zákona. Nemíøí v¹ak na zachycení konkrétního zpracování dat jednotlivými osobami. Dodr¾ování ust. § 13 odst. 4 zákona o ochranì osobních údajù vedoucí k naplnìní zásady uvedené v odst. 1 citovaného ustanovení je koncipováno jako povinnost, nikoliv jako alternativa, která by závisela na úvaze správce údajù. Z textu dùvodové zprávy k zákonu è. 170/2007 Sb. vyplývá to, co správnì posoudil Úøad, toti¾ potøeba konkrétní povinnosti technicko-organizaèních opatøení v rámci obecnì stanovené, av¹ak nedostateènì a nekonkrétnì vymezené, povinnosti podle ust. § 13 odst. 1 zákona o ochranì osobních údajù, v oblasti ADIS, tedy systémù, které existují zejména u správcù údajù, kteøí disponují (jako finanèní úøady) velkým mno¾stvím osobních dat. ®alobní námitky o nepøimìøené povinnosti oznaèil mìstský soud za nedùvodné, zvlá¹tì dopadá-li zákon è. 170/2007 Sb. na automatizované systémy dat a po¾aduje elektronickou evidenci kontaktu konkrétních osob s konkrétními daty.
Jako nedùvodnou posoudil mìstský soud také ¾alobní námitku, ¾e povinnost stanovená v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù se nevztahuje na zpracovávání osobních údajù v oblasti daòové správy z dùvodu výjimky podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù. Z dikce ust. § 3 odst. 6 citovaného zákona nevyplývá, ¾e by se pro zpracování osobních údajù nepou¾ilo ust. § 13 citovaného zákona. Pro zpracování osobních údajù je jedinì legitimní úèel daný èinností èi pùsobností správce údajù. To neplatí jde-li o jiný úèel a záva¾ný celospoleèenský zájem deklarovaný v ust. § 3 odst. 6 pod písm. a) a¾ h) citovaného zákona. Správci danì budou v¾dy zpracovávat údaje pro úèely daòových opatøení èi jiných úkonù daòové správy, a proto se na nì nemù¾e vztahovat výjimka podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù ohlednì daòových opatøení a dopadající zase na výkon daòové správy, nikoliv na jiný úèel. Uvedenými výjimkami jsou správci danì vázáni pro jiné pøípady, tj. pro pøípady v ust. § 3 odst. 3 písm. a) a¾ e) a h) citovaného zákona, zatímco jiní správci údajù, odli¹ní od správcù danì, budou vázáni i v záva¾ných pøípadech daòových opatøení výjimkami podle ust. § 3 odst. 6 písm. f) a g) citovaného zákona, nebo» to bude vy¾adovat spoleèenský zájem zde zakotvený. Argumentace ministerstva financí je tak právnì pokraèování nelogická, nebo» se dovolává výjimky, která by nevyjadøovala smysl ust. § 3 odst. 6 citovaného zákona, tj. úpravu nakládání s osobními údaji správci údajù mimo úèel jim pøíznaèný, ale v podstatì by negovala povinnost správcù údajù, jimi¾ jsou správci danì podle ust. § 5 odst. 1 písm. f) citovaného zákona. Z uvedených dùvodù je tedy výklad Ministerstva financí s odkazem na judikaturu Soudního dvora EU, ¾e rozhodnutí vydaná správcem danì jsou daòovými opatøeními ve smyslu ust. § 3 odst. 6 písm. f) zákona o ochranì osobních údajù, irelevantní.
Ulo¾ené nápravné opatøení není ani v rozporu s èl. 17 Smìrnice Evropského parlamentu a Rady (ES) è. 95/46/ES (dále jen smìrnice ). Dikce tohoto èlánku byla transponována do èeského právního øádu zákonem è. 170/2007 Sb., nebo» tento zákon ze smìrnice pøevzal potøebu technicko-organizaèních opatøení v rámci systému ADIS, a to právì k úèelu stanovenému ve smìrnici. Postup Úøadu nebyl ani v rozporu s èl. 17 vìta druhá smìrnice, nebo» tak uèinil v rámci daného stavu techniky. Nákladnost funkce elektronické evidence (tzv. logování), která by dosáhla zjevné nepøimìøenosti oproti vyhodnocení rizik, není z námitek Ministerstva financí zøejmá, nebo» Ministerstvo financí nevyhodnotilo rizika nakládání s údaji bez potøeby elektronické evidence. Také v ¾alobní námitce nepøimìøené lhùty k opatøení k nápravì neuvedlo konkrétní kvalifikované argumenty k technické nároènosti a finanèní nákladovosti provedení ulo¾eného opatøení. Proto¾e jeho tvrzení o nepøimìøených výdajích a stagnaci bì¾né èinnosti daòové správy v dùsledku provedení elektronické evidence nakládání s daty stojí proti tvrzení Úøadu, ¾e jde o standardní opatøení pøijaté a fungující u jiných správcù údajù, není to dùvod pro zru¹ení napadeného rozhodnutí. Mìstský soud nepøijal argumentaci ohlednì závaznosti èl. 17 vìty druhé smìrnice. Ministerstvo financí se také podle názoru mìstského soudu mýlí, pova¾uje-li smìrnici za pøedpis práva EU s pøímým úèinkem. Pøímým úèinkem se vyznaèují naøízení Rady, zatímco smìrnice jsou pøedpisem doporuèujícího charakteru s cílem uvést úpravu èlenských státù do souladu s evropským právem. Doporuèená transpozice byla provedena zákonem è. 170/2007 Sb. s tím, ¾e konkrétní úprava byla ponechána na národním zákonodárci. Mìstský soud proto nepova¾oval danou problematiku za potøebnou vylo¾it v øízení o pøedbì¾né otázce. Otázka pøimìøenosti nákladù Ministerstva financí není øe¹itelná pøímou aplikací èl. 17 vìty druhé smìrnice. ®alobní námitka pøimìøenosti ulo¾eného opatøení souvisí i s námitkou nepøimìøenosti lhùty k nápravì. Tato námitka proti kontrolnímu protokolu nebyla uplatnìna, a proto Úøad v napadeném rozhodnutí neposuzoval dostateènost stanovené lhùty. Mìstský soud tedy nemìl k posouzení této námitky nejen kvalifikované dùvody zabývající se technickou a finanèní nároèností ulo¾eného opatøení, ale ani procesní podmínky, aby vypoøádání neexistující námitky proti kontrolnímu protokolu ohlednì nepøimìøenosti lhùty k nápravì pøezkoumal.
Proti tomuto rozsudku podalo Generální finanèní øeditelství (dále jen stì¾ovatel ) v zákonné lhùtì kasaèní stí¾nost z dùvodu uvedeného v ust. § 103 odst. 1 písm. a) s. ø. s. V kasaèní stí¾nosti stì¾ovatel uvedl, ¾e pova¾uje napadený rozsudek za nezákonný, proto¾e spoèívá na nesprávném posouzení právních otázek. Mìstský soud oznaèil za spornou otázku, zda bylo Ministerstvo financí vázáno právní úpravou v ust. § 13 odst. 1 a odst. 4 písm. c) zákona o ochranì osobních údajù. Pokud je povaha ust. § 13 odst. 1 a odst. 4 písm. c) zákona o ochranì osobních údajù generálnì preventivní, tj. nemù¾e sama o sobì neoprávnìnému nebo nahodilému pøístupu a zpracování osobních údajù zabránit, je tøeba vyjít pøi ukládání povinností osobám soukromého i veøejného práva ze znìní zákona o ochranì osobních údajù a pøedev¹ím ze znìní èl. 17 odst. 1 smìrnice. Ze smìrnice pøímo vyplývá, ¾e ust. § 13 zákona o ochranì osobních údajù je tøeba chápat kontextuálnì a nikoli èistì jazykovì tak, jak uèinil v napadeném rozsudku mìstský soud i správní orgán ukládající nápravné opatøení. Pøi volbì postupù a opatøení ve vnitrostátním právním pøedpisu k zaji¹tìní úèelu a smyslu smìrnice se na základì principu proporcionality musí pomìøovat na jedné stranì stav techniky, náklady na provedení pøíslu¹ných opatøení i pøimìøenou úroveò bezpeènosti odpovídající rizikùm zpracování a povaze údajù, na druhé stranì preventivní funkce opatøení k naplnìní úèelu smìrnice i ust. § 13 zákona o ochranì osobních údajù. Pøed úèinností zákona è. 170/2007 Sb. byly povinnosti správce nebo zpracovatele pøi zabezpeèení osobních údajù upraveny relativnì neurèitì a bylo na nich, aby si sami zhodnotili rizika pøi zpracování osobních údajù. Technická a organizaèní opatøení správce nebo zpracovatel volil podle úvahy limitované úèelem citovaného ustanovení i jeho vzoru v èl. 17 smìrnice. Právì vzhledem k rùznorodosti povah osobních údajù, rizikùm jejich neoprávnìného zpracování byly a jsou povinnosti ulo¾ené v ust. § 13 zákona o ochranì osobních údajù limitovány principem proporcionality podle faktorù uvedených v èl. 17 odst. 1 smìrnice. Èeský právní pøedpis tyto limity explicitnì neobsahoval, implicitnì v¹ak vyplývaly ze smìrnice i povahy tìchto povinností s preventivním charakterem. Relativní neurèitost a obecnost povinnosti v ust. § 13 odst. 1 zákona o ochranì osobních údajù odrá¾í právì nemo¾nost pau¹alizovanì a taxativnì stanovit pro v¹echny situace, v¹echny osobní údaje i v¹echny správce nebo zpracovatele stejná opatøení, kdy navíc úèelem ust. § 13 zákona o ochranì osobních údajù, a zejména èl. 17 smìrnice, je pøijetí tìch opatøení, která se nejvíce pøiblí¾í ideálnímu stavu nemo¾nosti neoprávnìného zpracování osobních údajù. Stanovení limitù povinností podle èl. 17 smìrnice je nutné vykládat i s pøihlédnutím k bodu 46 (recitálu) smìrnice. Z uvedeného limitu v aplikaci èl. 17 vìty první smìrnice, tedy i ust. § 13 zákona o ochranì osobních údajù, vyplývá, ¾e se musí testu proporcionality podrobit odpovídající bezpeènostní opatøení zabraòující neoprávnìnému zpracování osobních údajù a náklady na jejich provedení. Tato opatøení se dále musí pomìøovat i s mírou rizika ze zpracování údajù, jejich povahou a procesy, které se k nim vá¾í. Rizikovost procesù je sní¾ena technickými opatøeními, kdy je dána úzká souvislost mezi konkrétním daòovým subjektem a konkrétní úøední osobou spravujícího jeho daò, vèetnì pøístupových práv pouze tìchto úøedních osob, i pøísnou povinností mlèenlivosti. Je tøeba mít dále na zøeteli specifika systému ADIS i samotné správy daní. V systému ADIS je evidováno cca 6,5 mil daòových subjektù, pøièem¾ celkový poèet u¾ivatelù je pøibli¾nì 15.000 s tím, ¾e ke konkrétnímu údaji o konkrétním daòovém subjektu se dostane jen velmi omezený okruh u¾ivatelù. Kvùli nárokùm, které klade úèel a smysl správy daní na systém ADIS, je tento systém po stránce informaèní velmi robustní, kdy v jeho jednotlivých souèástech paralelnì bì¾í velmi mnoho operací, které lze jen velmi tì¾ko zaznamenat, aby nedo¹lo ke zpomalení systému, a tím i do znaèné míry k jeho nefunkènosti. Návodné opatøení uvedené v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù by tedy mohlo vést ke zpomalení systému, ani¾ by souèasnì pøineslo odpovídající sní¾ení míry bezpeènostního rizika, pøièem¾ vytvoøení nového systému odpovídajícího citovanému ustanovení by s sebou neslo znaèné náklady. Nepromítl-li zákonodárce smìrnicí pøedpokládaný limit aplikace èl. 17 do èeského právního øádu, jedná se o poru¹ení povinnosti transponovat smìrnici. Pokud je právní norma obsa¾ená ve smìrnici dostateènì podrobná, jsou èlenské státy odkázány jen na pøevzetí jejího znìní do vnitrostátního pramene práva. Z tohoto úhlu pohledu se èl. 17 vìta první smìrnice jeví po obsahové stránce spí¹e obecná. Èlenský stát tedy mù¾e pøijmout podrobnìj¹í úpravu, ale nemù¾e netransponovat obecnì vyjádøené limity v èl. 17 vìta druhá smìrnice. V daném pøípadì je tak explicitním jazykovým výkladem èeské právní normy v rozporu se smìrnicí roz¹íøena povinnost pro v¹echny správce a zpracovatele. S vý¹e uvedeným souvisí i posouzení pøímého úèinku smìrnice. V pøípadì smìrnice jako sekundárního právního aktu EU je na základì závazné judikatury Soudního dvora EU za splnìní urèitých podmínek pøipu¹tìn pøímý úèinek. Specifické podmínky pro pøímý úèinek smìrnice zahrnují: marné uplynutí lhùty k øádné implementaci (tato podmínka je splnìna, nebo» v ust. § 13 odst. 1 zákona o ochranì osobních dat nejsou uvedeny limity jeho pou¾ití a zdánlivì se tak ust. § 13 odst. 4 písm. c) citovaného zákona prostøednictví odstavce prvého vztahuje na v¹echny zpracovatele a správce bez ohledu na konkrétní okolnosti, co¾ vychází napø. z rozsudku Soudního dvora è. 41/74, Yvonne Van Duyn), nedochází k pøímému ulo¾ení povinnosti (pøímým úèinkem smìrnice nesmí vzniknout nová povinnost jednotlivci, subjektivní právo v¹ak vzniknout mù¾e, co¾ vyplývá napø. z rozsudku Soudního dvora è. C-60/02 Rolex; za takovou situaci by ¹lo extenzivnì pova¾ovat i limit povinností podle ust. § 13 odst. 1 zákona pokraèování o ochranì osobních dat), zlep¹ení právního postavení aktivnì legitimovaných pøímých èi nepøímých beneficiantù smìrnice (vzhledem ke smìrnicí ulo¾ené povinnosti je z hlediska èl. 17 vìty druhé smìrnice nepøímým beneficientem správce nebo zpracovatel; tato podmínka byla judikována napø. v rozsudku Soudního dvora è. 87-89/90 Verholen). Uvedené specifické podmínky byly v daném pøípadì splnìny, tudí¾ je tøeba pøi interpretaci ust. § 13 zákona o ochranì osobních dat aplikovat pøímý úèinek èl. 17 vìty druhé smìrnice, který stanovuje zároveò i test proporcionality k povinnosti pøijetí bezpeènostních opatøení. Z uvedeného plyne, ¾e správní i soudní orgán je povinen aplikovat v rámci interpretace ust. § 13 odst. 1 zákona o ochranì osobních dat i smìrnicí stanovené limity. Pøijetím zákona è. 170/2007 Sb. byly do ust. § 13 zákona o ochranì osobních dat zaøazeny odst. 3 a 4, je¾ mìly doplnit a upøesnit jeho odst. 1 s tím, ¾e povinnost správce nebo zpracovatele zabezpeèit osobní údaje zùstala i podle dùvodové zprávy stejná ve srovnání se stavem pøed úèinností zákona è. 170/2007 Sb. Ust. 13 odst. 4 zákona o ochranì osobních dat tedy jen návodnì upøesòuje obecnou povinnost správce nebo zpracovatele s pøihlédnutím k rozumným a pro konkrétní pøípad efektivním opatøením k zabránìní nezákonného zpracování osobních údajù v rámci automatizovaného informaèního systému. Stì¾ovatel vyjádøil nesouhlas s právním názorem mìstského soudu, ¾e není mo¾né splnit návodné doplnìní ust. § 13 odst. 1 zákona o ochranì osobních údajù o odst. 4 písm. c) citovaného ustanovení jinými opatøeními. Tìmito opatøeními mohou být opatøení technická, organizaèní, právní a jiná. Je to v prvé øadì povinnost mlèenlivosti stanovená v ust. § 52 odst. 1 zákona è. 280/2009 Sb., ve znìní pozdìj¹ích pøedpisù (dále jen daòový øád ). Poru¹ením této povinnosti, je¾ má stejný charakter i úèel jako povinnost ulo¾ená v ust. § 13 odst. 1 zákona o ochranì osobních dat a kterou i doplòuje a rozvíjí, se úøední osoba vystavuje mo¾nému pøestupkovému øízení. Takovou úpravu lze chápat ve srovnání s jinými správními øízeními jako velmi pøísnou, tedy z hlediska prevence velmi úèinnou. Technickým opatøením, je¾ zabraòuje v pøístupu jakékoli úøední osoby ke v¹em údajùm v systému ADIS je heslo, pøièem¾ pøístupová oprávnìní schvaluje øeditel finanèního úøadu a v¾dy se vztahuje pouze na daòové subjekty v rámci stanovené náplnì práce úøední osoby. Pøidìlování pøístupových práv úøedním osobám se øídí interní smìrnicí, ji¾ je tøeba chápat jako dal¹í organizaèní opatøení vzhledem k ust. § 13 odst. 1 a 4 písm. c) zákona o ochranì osobních údajù. Rozsah pøidìlení pøístupových práv je zdokumentován v systému ADIS a kdykoli je mno¾né vypsat k urèitému dni pøístupová práva aktuální i historická vèetnì údaje, kdo pøístupová práva pøidìlil. V systému ADIS je obsa¾ena i evidence písemností, je¾ sleduje, kdo vlo¾il a kdo realizoval konkrétní akci, a má-li písemnost elektronický podpis, existuje také údaj o pøesném okam¾iku jejího vlo¾ení. U vedoucích pracovníkù lze také zjistit, kdy spustili systém ADIS. Je-li tedy jedinou funkcí návodu uvedeného v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù pùsobit preventivnì a ex post zjistit, která úøední osoba mohla neoprávnìnì zpracovávat osobní údaje, je ve stávajícím stavu systému ADIS ve spojení s organizaèními i technickými opatøeními daòové správy mo¾né s relativnì vysokou mírou pravdìpodobnosti zjistit tu stejnou skuteènost, kdy tato úøední osoba navíc má povinnost mlèenlivosti a ulo¾ení vysoké pokuty za její poru¹ení garantuje vy¹¹í míru prevence zabránìní v neoprávnìném nebo nahodilém zpracování osobních údajù. Uvedené skuteènosti mìl ji¾ ve správním øízení Úøad zohlednit.
Stì¾ovatel v kasaèní stí¾nosti rovnì¾ namítal nesprávné právní posouzení vìci ve vztahu k ust. § 3 odst. 6 zákona o ochranì osobních údajù, v nìm¾ jsou s úèinností od 25. 7. 2004 po pøijetí zákona è. 439/2004 Sb. uvedeny oblasti, na které se povinnosti správce uvedené v ust. § 5 odst. 1 a 11 a 12 nevztahují. Touto oblastí je podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù i oblast správy daní, tj. uvedené povinnosti správce osobních údajù se neaplikují v pøípadì významného finanèního zájmu Èeské republiky nebo Evropské unie, kterým je zejména stabilita finanèního trhu a mìny, fungování penì¾ního obìhu a platebního styku, jako¾ i rozpoètová a daòová opatøení. Z dùvodové zprávy vyplývá, ¾e pùvodní znìní neodpovídalo znìní smìrnice. Dále se v dùvodové zprávì uvádí, ¾e ustanovení je doplnìno souborem poznámek pod èarou, které obsahují demonstrativní výèet tìch nejvýznamnìj¹ích zákonù, na které uvedené výjimky dopadají. Tìmito uvedenými právními pøedpisy jsou do jisté míry stanoveny okruhy èinností, je¾ mají výjimku z uvedených povinností. Zákonodárce pou¾il pojem daòová opatøení , je¾ je tøeba vylo¾it s ohledem na jeho bì¾né pou¾ití v èeských právních pøedpisech. Za daòové opatøení stì¾ovatel pova¾uje ka¾dé individuální rozhodnutí v daòové oblasti, nebo» z ji¾ nejbli¾¹ího právního pøedpisu, který by mìl vymezit pojem daòové opatøení , uvedený názor vyplývá. Podle ust. § 1 odst. 2 zákona è. 337/1992 Sb., ve znìní pozdìj¹ích pøedpisù, se správou daní rozumí právo èinit opatøení potøebná ke správnému a úplnému zji¹tìní, stanovení a splnìní daòových povinností, zejména právo vyhledávat daòové subjekty, danì vymìøit, vybrat, vyúètovat, vymáhat nebo kontrolovat podle tohoto zákona jejich splnìní ve stanovené vý¹i a dobì. Stejnì tento pojem vylo¾il i Evropský soud pro lidská práva v rozsudku ve vìci I-Iozen proti Nizozemí ze dne 22. 5. 1998, kde je pod pojmem opatøení uvádìno vymìøení daòového penále. Je-li podle èl. 13 smìrnice i ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù stanovena výjimka pro správu daní a navazující pùsobnost napø. podle zákona è. 218/2000 Sb., o rozpoètových pravidlech, ve znìní pozdìj¹ích pøedpisù, vzhledem k ust. § 5 odst. 1 zákona o ochranì osobních údajù, který uvozuje systematicky Hlavu II citovaného zákona pojednávající o právech a povinnostech pøi zpracování osobních údajù, je dána výjimka i v oblasti zaznamenávání logù, proto¾e toto návodné vysvìtlení povinnosti podle ust. § 13 odst. 1 citovaného zákona je tøeba chápat jako souèást obecné povinnosti správce podle ust. § 5 odst. 1 citovaného zákona, zejména pod písm. b) tohoto ustanovení. V podáních správnímu orgánu i mìstskému soudu byly podrobnì vylo¾eny dùvody, pro které lze dojít k závìru, ¾e Ministerstvo financí vynalo¾ilo ve¹keré úsilí, které bylo mo¾no po¾adovat, aby poru¹ení právní povinnosti zabránilo, napø. v rámci pøísné úpravy mlèenlivosti i velmi omezeného pøístupu úøedních osob do systému ADIS ve smyslu ust. § 13 odst. 1 zákona o ochranì osobních údajù. I vzhledem k paralelnì probíhajícímu øízení o kasaèní stí¾nosti vedené pod sp. zn. 7 As 150/2012 ve vìci ulo¾ené sankce a souhlasnému vyjádøení Úøadu s pøedlo¾ením interpretace èl. 17 smìrnice s ohledem na jeho transpozici do ust. § 13 odst. 1 odst. 4 zákona o ochranì osobních údajù se stì¾ovatel pøiklání k tomu, aby sporná otázka byla pøedlo¾ena do øízení o pøedbì¾né otázce k Soudnímu dvoru Evropské unie. Ze v¹ech uvedených dùvodù stì¾ovatel navrhl, aby Nejvy¹¹í správní soud rozsudek mìstského soudu zru¹il a vìc vrátil tomuto soudu k dal¹ímu øízení.
Úøad ve vyjádøení ke kasaèní stí¾nosti uvedl, ¾e stì¾ovatel uvádí v zásadì tyté¾ argumenty, které byly uplatnìny v ¾alobì a ve správním øízení a s nimi¾ se ji¾ jak Úøad, tak mìstský soud, zcela dostateènì vypoøádaly. Hlavním argumentem je údajný nesoulad zákona o ochranì osobních údajù se smìrnicí, resp. nedostateèná transpozice smìrnice do právního øádu Èeské republiky. Je mo¾no souhlasit s tím, ¾e citovaný zákon byl do èeského právního øádu implementován také na základì smìrnice, nicménì povinnost zajistit vysokou úroveò ochrany osobních údajù Èeské republice ukládá ji¾ Úmluva ETS è. 108, o ochranì osob se zøetelem na automatizované zpracování osobních údajù, pøijatá dne 28. 1. 1981 ve ©trasburku. Je tøeba zdùraznit, ¾e podle bodu 2 preambule a èl. 1 je smìrnice prostøedkem ochrany základních práv a svobod fyzických osob, zejména jejich soukromí v souvislosti se zpracováním osobních údajù, a beneficientem tìchto práv jsou fyzické osoby (subjekty údajù). S tím souvisí i bod 10 preambule, podle nìho¾ implementace smìrnice nesmí vést k oslabení této ochrany. Podle èl. 5 smìrnice je úkolem pøíslu¹ného státu upøesnit podmínky, za kterých je zpracování osobních údajù pøípustné, a stanovit také povinnosti týkající se bezpeènosti zpracování osobních údajù, jak je vymezuje èl. 17 smìrnice. Citovaný èlánek stanoví obecnou povinnost pøijímat vhodná opatøení k zaji¹tìní bezpeènosti zpracování osobních údajù a také jakého cílového stavu má být prostøednictvím pøíslu¹ných opatøení dosa¾eno, a to s ohledem na vyjmenované aspekty. V ¾ádném pøípadì se nejedná o stanovení limitù v rámci bezpeènostních opatøení, pøípadnì o jakési úlevy pro beneficienta smìrnice, za kterého se nadto zcela bezdùvodnì Ministerstvo pokraèování financí, pota¾mo stì¾ovatel, jako správce osobních údajù pova¾uje. V souladu se smìrnicí zákonodárce v ust. § 13 odst. 1 zákona o ochranì osobních údajù zakotvil obecnou povinnost pøijímat opatøení k zabezpeèení osobních údajù. Dále v ust. § 13 odst. 3 citovaného zákona urèil, jaká rizika musí být pøedmìtnými opatøeními zohlednìna, a v ust. § 13 odst. 4 citovaného zákona výslovnì naøídil, jaká opatøení musí být provedena, a to vèetnì povinnosti poøizovat elektronické záznamy, které umo¾ní urèit a ovìøit, kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány. Z vìcného hlediska je evidentní, ¾e povinnost ulo¾ená v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù zvy¹uje standard bezpeènosti zpracování osobních údajù. V této souvislosti není bez významu, ¾e podle poznatkù Úøadu znaèná èást naru¹itelù bezpeènosti zpracování osobních údajù pochází z øad zamìstnancù správce, pøípadnì zpracovatele, osobních údajù. Uvedené ustanovení proto nelze prostøednictvím èl. 17 smìrnice jakkoli zpochybòovat. Navíc by takové zpochybòování bylo v rozporu se zásadou vyjádøenou v bodì 10 preambule smìrnice. Zakotvení povinnosti v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù rozhodnì není dùsledkem nedostateèné implementace smìrnice. Z dikce návìtí ust. § 13 odst. 4 zákona o ochranì osobních údajù je evidentní, ¾e toto ustanovení má kogentní povahu a není ustanovením, které jen návodnì upøesòuje obecnou povinnost správce nebo zpracovatele s pøihlédnutím k rozumným a pro konkrétní pøípad efektivním opatøením , jak se domnívá stì¾ovatel. Argumentoval-li stì¾ovatel dále ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù, je z jeho textu pøedev¹ím zøejmé, ¾e výjimka nezahrnuje správu daní jako takovou, ale pouze urèité její èásti, co¾ v tomto pøípadì komplexní aplikaci ust. § 3 odst. 6 písm. f) i g) zákon o ochranì osobních údajù pøedem vyluèuje. V souvislosti s ust. § 3 odst. 6 citovaného zákona Úøad pova¾uje za významnìj¹í, ¾e pøedmìtné výjimky zahrnují pouze urèitá výslovnì uvedená ustanovení citovaného zákona a v ¾ádném pøípadì nikoli povinnosti podle ust. § 13 citovaného zákona. Dále Úøad také poukázal na to, ¾e relevantní daòové pøedpisy ¾ádnou povinnost pøi zabezpeèení osobních údajù korespondující s povinnostmi podle ust. § 13 zákona o ochranì osobních údajù nezakotvují. Akceptovat názor Ministerstva financí by znamenalo, ¾e není povinen osobní údaje zabezpeèit ¾ádnými technicko-organizaèními opatøeními, co¾ by bylo evidentnì absurdní. Ochrana osobních údajù ve smyslu zákona o ochranì osobních údajù i smìrnice pøedstavuje celou ¹kálu vzájemnì sice skloubených a doplòujících se, nicménì odli¹ných, povinností. Povinnost mlèenlivosti zakotvenou v daòových pøedpisech tudí¾ nelze vnímat jako jakousi komplexní právní úpravu ochrany osobních údajù pøedstavující náhradu za zákon o ochranì osobních údajù. Je mo¾no ji chápat pouze jako jistou paralelu vùèi ust. § 15 citovaného zákona. Obdobnì nelze za plnìní povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona pova¾ovat pøidìlování pøístupových práv úøedním osobám, jak je popisováno stì¾ovatelem. Tento postup toti¾ koresponduje pouze s povinností ulo¾enou v ust. § 13 odst. 4 písm. a), pøíp. písm. b) zákona o ochranì osobních dat. Úèelem povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona toti¾ není ex post a s urèitou mírou pravdìpodobnosti zjistit, která z úøedních osob mohla neoprávnìnì zpracovávat osobní údaj, nýbr¾ takovou osobu pøímo identifikovat a ovìøit její jednání. S ohledem na uvedené není kasaèní stí¾nost dùvodná, a proto Úøad navrhl, aby byla zamítnuta.
Nejprve je nutno uvést, ¾e s ohledem na zmìny zákona è. 531/1990 Sb., ve znìní pozdìj¹ích pøedpisù provedené zákonem è. 199/2010Sb. (èást V., èl. VI. bod 2 a 3) s úèinností od 1. 1. 2011 pøe¹la práva k u¾ívání automatizovaného daòového informaèního systému ADIS z Èeské republiky-Ministerstva financí na Èeskou republiku-Generální finanèní øeditelství, které od uvedeného data vykonává povinnosti správce, resp. zpracovatele, ADIS, mìstský soud
(by» nedùslednì), a také Nejvy¹¹í správní soud, dále v soudním øízení jednal na stranì ¾alobce a poté stì¾ovatele s Generálním finanèním øeditelstvím.
V øízení o kasaèní stí¾nosti nemohlo být podle ust. § 109 odst. 5 s. ø. s. pøihlí¾eno ke skuteènostem, které stì¾ovatel uplatnil poté, kdy bylo vydáno napadené rozhodnutí. To platí pro velkou èást faktických informací vztahujících se k systému ADIS, které byly uvedeny v kasaèní stí¾nost a nikoliv v ¾alobì. Nejvy¹¹í správní soud proto nemohl zohlednit tvrzení o poètu evidovaných daòových subjektù, o poètu u¾ivatelù systému ADIS, o fungování tohoto systému, o jeho zpomalení v pøípadì zaznamenávání tzv. logù, o technických opatøeních zabraòujících v pøístupu do systému a o rozsahu pøístupových práv. Pokud by mìly být tyto skuteènosti zohlednìny pøi pøezkumu napadeného rozhodnutí, Ministerstvu financí nic nebránilo v tom, aby je uplatnilo ji¾ v ¾alobì.
Nedùvodnou shledal Nejvy¹¹í správní soud stí¾ní námitku vynìtí oblasti správy daní z povinnosti stanovené v ust. § 13 zákona o ochranì osobních údajù.
Podle ust. § 3 odst. 6 zákona o ochranì osobních údajù se pro zpracování osobních údajù nezbytných pro plnìní povinností správce stanovených zvlá¹tními zákony pro zaji¹tìní taxativnì vyjmenovaných zájmù nepou¾ijí ustanovení § 5 odst. 1 a § 11 a 12 . V taxativním výètu zájmù je pod písmenem f) uveden také významný finanèní zájem Èeské republiky nebo Evropské unie, kterým je zejména stabilita finanèního trhu a mìny, fungování penì¾ního obìhu a platebního styku, jako¾ i rozpoètová a daòová opatøení.
Citované ustanovení tak vyjímá správce plnící povinnosti stanovené pro zaji¹tìní vyjmenovaných zájmù explicitnì pouze z pùsobnosti ust. § 5 odst. 1 a § 11 a § 12 zákona o ochranì osobních údajù. Takoví správci tedy nejsou vázání pouze povinnostmi stanovenými v tìchto ustanoveních. Nelze proto souhlasit s Ministerstvem financí v tom, ¾e povinnosti podle ust. § 13 zákona o ochranì osobních údajù jsou souèástí povinnosti podle ust. § 5 odst. 1 citovaného zákona.
Podle ust. § 5 odst. 1 zákona o ochranì osobních údajù je správce povinen a) stanovit úèel, k nìmu¾ mají být osobní údaje zpracovány, b) stanovit prostøedky a zpùsob zpracování osobních údajù, c) zpracovat pouze pøesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, ¾e jím zpracované osobní údaje nejsou s ohledem na stanovený úèel pøesné, provede bez zbyteèného odkladu pøimìøená opatøení, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepøesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6. Nepøesné osobní údaje se musí oznaèit. Informaci o blokování, opravì, doplnìní nebo likvidaci osobních údajù je správce povinen bez zbyteèného odkladu pøedat v¹em pøíjemcùm, d) shroma¾ïovat osobní údaje odpovídající pouze stanovenému úèelu a v rozsahu nezbytném pro naplnìní stanového úèelu, e) uchovávat osobní údaje pouze po dobu, která je nezbytná k úèelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro úèely státní statistické slu¾by, pro úèely vìdecké a pro úèely archivnictví. Pøi pou¾ití pro tyto úèely je tøeba dbát práva na ochranu pøed neoprávnìným zasahováním do soukromého a osobního ¾ivota subjektu údajù a osobní údaje anonymizovat, jakmile je to mo¾né, f) zpracovávat osobní údaje pouze v souladu s úèelem, k nìmu¾ byly shromá¾dìny. Zpracovávat k jinému úèelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajù pøedem souhlas, g) shroma¾ïovat osobní údaje pouze otevøenì; je vylouèeno shroma¾ïovat údaje pod záminkou jiného úèelu nebo jiné èinnosti, h) nesdru¾ovat osobní údaje, které byly získány k rozdílným úèelùm. pokraèování Podle ust. § 13 odst. 1 zákona o ochranì osobních údajù jsou správce a zpracovatel povinni pøijmout taková opatøení, aby nemohlo dojít k neoprávnìnému nebo nahodilému pøístupu k osobním údajùm, k jejich zmìnì, znièení èi ztrátì, neoprávnìným pøenosùm, k jejich jinému neoprávnìnému zpracování, jako¾ i k jinému zneu¾ití osobních údajù. Tato povinnost platí i po ukonèení zpracování osobních údajù. Podle odst. 2 citovaného ustanovení je správce nebo zpracovatel povinen zpracovat a dokumentovat pøijatá a provedená technicko-organizaèní opatøení k zaji¹tìní ochrany osobních údajù v souladu se zákonem a jinými právními pøedpisy. V odst. 3 citovaného ustanovení je správci nebo zpracovateli stanovena povinnost v rámci opatøení podle odst. 1 posuzovat rizika týkající se vyjmenovaných oblastí.
Podle ust. § 13 odst. 4 zákona o ochranì osobních údajù je správce nebo zpracovatel povinen v oblasti automatizovaného zpracování osobních údajù v rámci opatøení podle odstavce 1 také a) zajistit, aby systémy pro automatizovaná zpracování osobních údajù pou¾ívaly pouze oprávnìné osoby, b) zajistit, aby fyzické osoby oprávnìné k pou¾ívání systémù pro automatizovaná zpracování osobních údajù mìly pøístup pouze k osobním údajùm odpovídajícím oprávnìní tìchto osob, a to na základì zvlá¹tních u¾ivatelských oprávnìní zøízených výluènì pro tyto osoby, c) poøizovat elektronické záznamy, které umo¾ní urèit a ovìøit, kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a d) zabránit neoprávnìnému pøístupu k datovým nosièùm.
Povinnosti stanovené v zákona o ochranì osobních údajù v ust. § 5 odst. 1 na stranì jedné a v ust. § 13 na stranì druhé jsou svou povahou zcela odli¹né. Zatímco v prvém citovaném ustanovení jsou stanoveny povinnosti pøi zpracování osobních údajù, ve druhém citovaném ustanovení jsou stanoveny povinnosti pøi zabezpeèení osobních údajù. Poslednì uvedené ustanovení tedy smìøuje k zamezení neoprávnìného pøístupu ke zpracovávaným a zpracovaným osobním údajùm, popø. jejich neoprávnìné zmìnì, znièení, ztrátì, pøenosùm, zpracování èi jinému zneu¾ití. Pøi zabezpeèení osobních údajù se nejedná o zpracování ve smyslu ust. § 4 písm. e) zákona o ochranì osobních údajù. Ust. § 13 citovaného zákona tedy nelze chápat pouze jako upøesnìní ust. § 5 odst. 1 citovaného zákona. Toto ustanovení nestanoví ¾ádné srovnatelné povinnosti ani plnìní povinností v nìm zakotvených a ani jinak nezaruèuje bezpeènost osobních údajù. Tím, ¾e správce stanoví prostøedky a zpùsob zpracování osobních údajù, tedy splní povinnosti podle ust. § 5 odst. 1 písm. b) zákona o ochranì osobních údajù, nijak neplní povinnost pøijmout opatøení k zabezpeèení osobních údajù.
Taxativní výèet ustanovení, která se podle ust. § 3 odst. 6 zákona o ochranì osobních údajù na správce údajù ve vyjmenovaných oblastech nepou¾ijí, je nutno pova¾ovat za zcela jednoznaènì projevenou vùli zákonodárce nevyjímat tyto správce z povinnosti podle ust. § 13 citovaného zákona. Navíc se výjimky podle ust. § 3 odst. 6 citovaného zákona výslovnì uplatní pouze pro zpracování osobních údajù, pod které nelze zahrnout zabezpeèení osobních údajù. Takto projevená vùle zákonodárce pøitom plnì koresponduje s èl. 13 odst. 1 smìrnice, podle nìho¾ mohou èlenské státy pøijmout legislativní opatøení s cílem omezit rozsah povinností a práv uvedených v èl. 6 odst. 1, èl. 10, èl. 11 odst. 1 a èl. 12 a èl. 13, pokud je to nezbytné pro zaji¹tìní vyjmenovaných zájmù. A contrario tak èlenské státy nemohou uèinit v pøípadì povinnosti podle èl. 17. Nemo¾nost roz¹íøení takové výjimky lze dovodit i z cíle smìrnice, jak je vyjádøen napøíklad v bodì 10. odùvodnìní nebo v èl. 1 odst. 1. Podle nich èlenské státy zaji¹»ují ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajù. Sblí¾ení vnitrostátních právních pøedpisù pou¾itelné v dané oblasti nesmí vést k oslabení ochrany, kterou zaji¹»ují, ale musí mít naopak za cíl zaji¹tìní vysoké úrovnì ochrany v Evropské unii [v tomto smyslu viz rozsudky Soudního dvora EU ve vìcech C-101/01 Lindqvist, Sb. rozh. 2003, s. I 12971, bod 95; C-524/06 Huber, Sb. rozh. 2008, s. I 9705, bod 50; C-73/07 Tietosuojavaltuutettu, Sb.roh. 2008, s. I-9831, bod 52; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb. rozh., bod 28; v¹echny dostupné na http://curia.europa.eu]. Také eurokonformní výklad zákona o ochranì osobních údajù, tj. výklad pøibli¾ující se co nejvíce obsahu a úèelu smìrnice, potvrzuje nutnost restriktivního posuzování výjimek podle ust. § 3 odst. 6 citovaného zákona. Pokud by èeský zákonodárce vyòal správce údajù v oblastech, které jsou v tomto ustanovení vyjmenovány, i z povinnosti stanovené v ust. § 13 zákona o ochranì osobních údajù, pøekroèil by své oprávnìní k pøijetí výjimky podle èl. 13 odst. 1 smìrnice. O tom, ¾e tento èlánek pøipou¹tí výjimky pouze z vyjmenovaných ustanovení smìrnice, pøitom nemá pochybnosti ani Soudní dvùr EU (srov. rozsudek ve vìci C-73/07 Tietosuojavaltuutettu, Sb. roh. 2008, s. I-9831, bod 47).
Jeliko¾ tedy správa systému ADIS není vyòata z pùsobnosti ust. § 13 zákona o ochranì osobních údajù, je zcela nadbyteèné zabývat se otázkou, v jakém rozsahu spadá správa daní pod výjimku podle ust. § 3 odst. 6 citovaného zákona a jaký je pøesný obsah pojmu daòová opatøení podle tohoto ustanovení.
Dal¹í námitky Ministerstva financí se týkají výkladu ust. § 13 zákona o ochranì osobních údajù a èl. 17 smìrnice.
Podle èl. 17 odst. 1 smìrnice stanoví èlenské státy, ¾e správce údajù musí pøijmout vhodná technická a organizaèní opatøení na ochranu osobních údajù proti náhodnému nebo nedovolenému znièení, náhodné ztrátì, úpravám, neoprávnìnému sdìlování nebo pøístupu, zejména pokud zpracování zahrnuje pøedávání údajù v síti, jako¾ i proti jakékoli jiné podobì nedovoleného zpracování. Tato opatøení mají zajistit, s ohledem na stav techniky a na náklady na jejich provedení, pøimìøenou úroveò bezpeènosti odpovídající rizikùm vyplývajícím ze zpracování údajù a z povahy údajù, které mají být chránìny.
Jak ji¾ Soudní dvùr nìkolikrát potvrdil, smìrnice obsahuje pravidla vyznaèující se jistou pru¾ností a v mnoha pøípadech ponechává na èlenských státech, aby upravily podrobnosti nebo si vybraly z daných mo¾ností. Je proto potøeba v¾dy posoudit, zda byla vnitrostátní opatøení pøijata, a v konkrétním pøípadì také aplikována, v rámci smìrnicí nastaveného prostoru pro uvá¾ení (srov. napø. rozsudky Soudního dvora ve vìcech C-101/01 Lindqvist, Sb. rozh. 2003, s. I 12971, body 83 a¾ 85; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb. rozh., body 35-36).
Je nutno také vzít v úvahu, ¾e èl. 17 odst. 1 vìta druhá smìrnice je nejen z povahy tohoto pramene práva (viz èl. 288 vìta tøetí Smlouvy o fungování Evropské unie), ale i ze své dikce adresován èlenským státùm. Jedná se o hlediska, která musí èlenské státy zohlednit pøi stanovení vhodných technických a organizaèních opatøení na ochranu osobních údajù, tj. jakýsi konkretizovaný po¾adavek proporcionality vnitrostátní legislativy. Jde tedy o pokyn, jakým zpùsobem má být smìrnice v této èásti transponována, nikoliv o pravidlo, které by mìl èeský zákonodárce vtìlit do vnitrostátního pøedpisu. V ¾ádném pøípadì proto z tohoto èlánku nevyplývá povinnost èlenských státù ponechat na zpracovatelích a správcích, jaká opatøení na ochranu osobních údajù pøijmou, pokud pøi tom øádnì zohlední v¹echna uvedená hlediska. Smìrnice po¾aduje urèitý minimální standard bezpeènosti osobních údajù, pøièem¾ ponechává na èlenských státech, jakými konkrétními opatøeními tento standard zajistí a zda pøípadnì pøistoupí k vytvoøení vy¹¹ího standardu bezpeènosti osobních údajù. V tomto jsou èlenské státy limitovány právì napøíklad po¾adavkem proporcionality podle èl. 17 odst. 1 vìta druhá smìrnice.
Je proto potøeba posoudit, zda byla vý¹e uvedená hlediska respektována pøi legislativním zakotvení povinností podle ust. § 13 zákona o ochranì osobních údajù a pøi jeho aplikaci. Pouhým pøijetím odpovídající právní úpravy se toti¾ po¾adavek øádné implementace smìrnice pokraèování nevyèerpává (srov. rozsudek Soudního dvora ve vìci C-62/00 Marks & Spencer, Sb.rozh. 2002, s. I-6325, body 27-28). Pøed tím je v¹ak nutno poukázat na rozdílný re¾im ust. § 13 odst. 1 a odst. 4 zákona o ochranì osobních dat.
Èeský zákonodárce v ust. § 13 zákona o ochranì osobních dat zvolil kombinaci obecnì stanovené povinnosti pøijmout opatøení na ochranu osobních údajù (odst. 1) a dále, pouze pro oblast automatizovaného zpracování osobních údajù, povinnosti pøijmout konkrétní opatøení (odst. 4). V prvém pøípadì je volba konkrétních opatøení ponechána na správci a zpracovateli, ov¹em tak, aby byl naplnìn po¾adavek odst. 1 citovaného ustanovení, tj. aby nemohlo dojít k neoprávnìnému nebo nahodilému pøístupu k osobním údajùm, k jejich zmìnì, znièení èi ztrátì, neoprávnìným pøenosùm, k jejich jinému neoprávnìnému zpracování, jako¾ i k jinému zneu¾ití osobních údajù. V pøípadì konkrétních opatøení podle odst. 4 citovaného ustanovení ji¾ tomu tak není. Ta je nutno pøijmout bezvýjimeènì.
Ust. § 13 odst. 4 zákona o ochranì osobních dat lze skuteènì chápat jako upøesnìní odst. 1 citovaného ustanovení, ov¹em nikoliv ve smyslu demonstrativního výètu opatøení ponechaných na volbì správce nebo zpracovatele. Urèitý vztah mezi nimi neznamená, ¾e musí také sdílet toto¾ný re¾im. Zatímco citované ustanovení obecnì po¾aduje dosa¾ení urèitého cíle bez ohledu na konkrétní zvolená opatøení (odst. 1), ve speciálních situacích (automatizované zpracování osobních údajù) ji¾ trvá také na provedení konkrétních opatøení (odst. 4). Obì pravidla jsou proto relativnì samostatná. Z hlediska odst. 4 citovaného ustanovení není rozhodné, zda a do jaké míry dochází zároveò k naplnìní cíle podle odst. 1 citovaného ustanovení. Jeliko¾ je v¹ak nutno opatøení podle odst. 4 citovaného ustanovení pøijmout také , jejich pøijetím není dotèena povinnost podle odst. 1 citovaného ustanovení. Toté¾ platí pro opaènou vazbu mezi obìma odstavci. Splnìním povinnosti podle odst. 1 citovaného ustanovení nejsou nijak dotèeny povinnosti podle odst. 4 citovaného ustanovení, nebo» ty je nutno splnit také . Jakkoliv tedy ust. § 13 odst. 4 zákona o ochranì osobních údajù obsahuje opatøení, která jsou svou povahou zároveò opatøeními v re¾imu odst. 1 citovaného ustanovení (nikoliv v¹ak nutnì postaèujícími), jejich pøijetí zjevnì není, oproti obecnému pravidlu v odst. 1, ponecháno na vùli správce nebo zpracovatele.
Opaèný výklad nelze dovodit ani z novelizace ust. § 13 zákona o ochranì osobních údajù provedené zákonem è. 170/2007 Sb., respektive z dùvodové zprávy k tomuto zákonu. Na jednu stranu sice dùvodová zpráva hovoøí o konkretizaci opatøení po¾adovaných ji¾ na základì odst. 1 citovaného ustanovení, ale na druhou stranu zdùrazòuje, ¾e nové odstavce 3 a 4 pøedstavují vyjádøení konkrétních povinností správcù a zpracovatelù a stanoví pøesný obsah opatøení v rámci plnìní povinnosti správcù (a zpracovatelù) pro zabezpeèení osobních údajù. Dùvodová zpráva tedy jen potvrzuje skuteènost, ¾e povinnost podle ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù je nutno plnit bez ohledu na to, jaká dal¹í opatøení podle odst. 1 citovaného ustanovení jsou správcem èi zpracovatelem pøijata. Stanovením konkrétní povinnosti s pøesným obsahem zjevnì nebylo zamý¹leno ponechat na vùli správce èi zpracovatele, zda danou povinnost bude plnit èi nikoliv.
Ust. § 13 odst. 1 a 4 zákona o ochranì osobních údajù tedy obsahují dvì relativnì samostatné povinnosti, jimi¾ je proveden èl. 17 odst. 1 smìrnice. V posuzované vìci je pøitom sporný soulad zákona se smìrnicí pouze co do povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona. Konkrétnì je potøeba posoudit, zda byla tato povinnost zakotvena v souladu s po¾adavkem proporcionality konkretizovaným v èl. 17 odst. 1 vìta druhá smìrnice.
Pøi posuzování pøimìøenosti povinnosti zaznamenávat tzv. logy, tj. poøizovat záznamy o tom kdo, kdy a z jakého dùvodu osobní údaje zaznamenal èi jinak zpracoval, je nutno vzít v úvahu její výslovné omezení na pøípady automatizovaného zpracování osobních údajù. Obecnì ze zpracování osobních údajù tímto zpùsobem, tedy za pou¾ití výpoèetní techniky, plynou vy¹¹í rizika úniku osobních údajù, jejich neoprávnìné zmìny, znièení, ztráty, zpracování èi jiného zneu¾ití, proto¾e výpoèetní technika umo¾òuje rychlé a detailní zpracování velkého mno¾ství dat, jako¾ i jejich snadné a bez zvlá¹tních opatøení následnì jen obtí¾nì zjistitelné kopírování, vèetnì kopírování nepovoleného. Ve své podstatì jsou to právì informaèní systémy provozované pomocí výpoèetní techniky, je¾ jsou svoji podstatou typickým potenciálním objektem zneu¾ití osobních údajù v masovém mìøítku, a to zpùsobem, co do komerèních i jiných mo¾ností vyu¾ití takto získaných dat vysoce spoleèensky nebezpeèným. Toto vy¹¹í riziko pak odùvodòuje zakotvení specifické povinnosti, její¾ plnìní s sebou navíc nenese nepøimìøené náklady. Je-li automatizované zpracování osobních údajù vyu¾íváno, nemù¾e èinit za souèasného stavu techniky problém implementovat do pou¾ívaného systému na zpracování osobních údajù dal¹í vedlej¹í funkci-zaznamenávání urèitých operací tak, aby byla zpìtnì dohledatelná jejich povaha a rozsah. Takové opatøení má vysoký preventivní úèinek zabraòující zneu¾ití údajù z informaèního systému, nebo» ka¾dý, kdo s ním pracuje, si musí být vìdom toho, ¾e je mo¾no zpìtnì ovìøit, kdo, kdy a jakým zpùsobem s informaèním systémem pracoval, a zda se tak dìlo oprávnìnì. Zároveò si lze stì¾í pøedstavit jiné adekvátní opatøení, které by se srovnatelnou úèinností zaji¹»ovalo bezpeènost osobních údajù. V pøípadì splnìní povinnosti podle ust. § 13 odst. 4 zákona o ochranì osobních údajù toti¾ ka¾dá osoba, která neoprávnìnì nakládá s údaji obsa¾enými v systému, jen¾ je automatizovanì zpracovává, si musí být vìdoma toho, ¾e její jednání mù¾e být pomocí takového záznamu zpìtnì dohledáno a odhaleno. Po¾adavek na zaznamenávání tzv. logù proto Nejvy¹¹í správní soud pova¾uje ve v¹ech pøípadech automatizovaného zpracování osobních údajù za plnì legitimní, ¾ádoucí a s ohledem na jeho omezení pouze na pøípady automatizovaného zpracování také pøimìøený. Povinnost podle ust. § 13 odst. 4 zákona o ochranì osobních údajù tedy odpovídá po¾adavkùm èl. 17 odst. 1 smìrnice.
Splnìní uvedené povinnosti se nelze vyhnout poukazem na dodr¾ení podmínek ust. § 13 odst. 1 zákona o ochranì osobních údajù, pota¾mo tvrzením, ¾e bezpeènost osobních údajù je dostateèná. Ministerstvo financí proto nesplnilo povinnosti podle ust. § 13 odst. 4 zákona o ochranì osobních údajù tím, ¾e pøijalo jiná organizaèní a technická opatøení. A to i v pøípadì, ¾e by tato opatøení umo¾òovala s relativnì vysokou mírou pravdìpodobnosti zjistit tu stejnou skuteènost . Cílem opatøení je toti¾ zjistit, kdo a kdy konkrétnì provedl urèitou operaci s osobními údaji, nikoliv pouze s relativnì vysokou mírou pravdìpodobnosti. Tento cíl je legitimní a prostøedky k nìmu vedoucí [opatøení podle ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù] proporcionální. V ¾ádném pøípadì tohoto cíle nelze dosáhnout hrozbou sankce za poru¹ení povinnosti mlèenlivosti stanovené v ust. § 52 odst. 1 daòového øádu. Taková povinnost je stanovena i v ust. § 15 zákona o ochranì osobních údajù a nelze tvrdit, ¾e by pouhá mo¾nost ulo¾ení vy¹¹í sankce v pøípadì poru¹ení povinnosti mlèenlivosti podle daòového øádu mìla vést k vylouèení aplikace ust. § 13 odst. 4 zákona o ochranì osobních údajù pouze v oblasti daòové správy. Nejvy¹¹í správní soud proto dospìl k závìru, ¾e ani aplikací zákonné úpravy v daném pøípadì nedo¹lo k rozporu se znìním a úèelem smìrnice.
Jeliko¾ tedy èl. 17 odst. 1 smìrnice byl øádnì implementován, není opodstatnìná ani námitka jeho pøímého úèinku. Otázka pøímého úèinku smìrnice se toti¾ stává aktuální v¾dy teprve a¾ v okam¾iku chybìjící èi ¹patnì provedené implementace (srov. rozsudky Soudního dvora ve vìcech 8/81 Becker, Sb. rozh. 1982, s. 53, bod 20; 103/88 Costanzo, Sb. rozh. 1989, s. 1839, bod 29; C-319/97 Kortas, Sb. rozh. 1999, s. I-3143, bod 21). Není proto dùvod zkoumat dal¹í podmínky nastoupení pøímého úèinku smìrnice. pokraèování Výklad èl. 13 odst. 1 a èl. 17 odst. 1 smìrnice pova¾uje Nejvy¹¹í správní soud, i s ohledem na dosavadní judikaturu Soudního dvora EU, za natolik jasný, ¾e neshledal dùvod polo¾it Soudnímu dvoru EU v tomto smìru pøedbì¾nou otázku (srov. rozsudek Soudního dvora ve vìci 283/81 CILFIT, Sb. rozh. 1982, s. 3415, body 10-20).
Výrok o náhradì nákladù øízení se opírá o ust. § 60 odst. 1 vìta první ve spojení s ust. § 120 s. ø. s. podle kterého, nestanoví-li tento zákon jinak, má úèastník, který mìl ve vìci plný úspìch právo na náhradu nákladù øízení pøed soudem, které dùvodnì vynalo¾il proti úèastníkovi, který ve vìci úspìch nemìl. Nejvy¹¹í správní soud ¾ádnému z úèastníkù náhradu nákladù nepøiznal, proto¾e stì¾ovatel v øízení úspìch nemìl a Úøadu ¾ádné náklady s tímto øízením nevznikly.

References: soud 
 § 13
 soud 
 § 40
 soud 
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 soud 
 soud 
 § 13
 § 3
 § 3
 § 13
 § 3
 § 3
 § 3
 § 3
 § 3
 § 5
 § 3
 soud 
 soud 
 soud 
 § 103
 soud 
 § 13
 § 13
 § 13
 soud 
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 52
 § 13
 § 13
 § 13
 § 3
 § 5
 § 3
 § 1
 soud 
 § 3
 § 5
 § 13
 § 5
 § 13
 § 13
 soud 
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 3
 § 3
 § 3
 § 13
 § 13
 § 15
 § 13
 § 13
 § 13
 soud

 § 109
 soud 
 soud 
 § 13
 § 3
 § 5
 § 11
 § 5
 § 11
 § 12
 § 13
 § 5
 § 5
 § 3
 § 3
 § 13
 § 13
 § 5
 § 13
 § 4
 § 13
 § 5
 § 5
 § 3
 § 13
 § 3
 § 3
 § 13
 § 13
 § 3
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 § 13
 soud 
 § 13
 § 13
 § 13
 § 13
 § 52
 § 15
 § 13
 soud 
 § 60
 § 120
 soud