Source: http://kraken.slv.cz/7As186/2012
Timestamp: 2018-04-23 00:17:02+00:00
Document Index: 341110

Matched Legal Cases: ['soud ', '§ 13', 'soud ', '§ 40', 'soud ', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', 'soud ', 'soud ', '§ 13', '§ 3', '§ 3', '§ 13', '§ 3', '§ 3', '§ 3', '§ 3', '§ 3', '§ 5', '§ 3', 'soud ', 'soud ', 'soud ', '§ 103', 'soud ', '§ 13', '§ 13', '§ 13', 'soud ', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 52', '§ 13', '§ 13', '§ 13', '§ 3', '§ 5', '§ 3', '§ 1', 'soud ', '§ 3', '§ 5', '§ 13', '§ 5', '§ 13', '§ 13', 'soud ', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 3', '§ 3', '§ 3', '§ 13', '§ 13', '§ 15', '§ 13', '§ 13', '§ 13', 'soud\n', '§ 109', 'soud ', 'soud ', '§ 13', '§ 3', '§ 5', '§ 11', '§ 5', '§ 11', '§ 12', '§ 13', '§ 5', '§ 5', '§ 3', '§ 3', '§ 13', '§ 13', '§ 5', '§ 13', '§ 4', '§ 13', '§ 5', '§ 5', '§ 3', '§ 13', '§ 3', '§ 3', '§ 13', '§ 13', '§ 3', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', '§ 13', 'soud ', '§ 13', '§ 13', '§ 13', '§ 13', '§ 52', '§ 15', '§ 13', 'soud ', '§ 60', '§ 120', 'soud ']

7As186/2012
7 As 186/2012-31
ROZSUDEK JMÉNEM REPUBLIKY Nejvy¹¹í správní soud rozhodl v senátì slo¾eném z pøedsedkynì JUDr. Eli¹ky Cihláøové a soudcù JUDr. Jaroslava Hubáèka a JUDr. Karla ©imky v právní vìci ¾alobce: Generální finanèní øeditelství, se sídlem Lazarská 15/7, Praha 1, proti ¾alovanému: Úøad pro ochranu osobních údajù, se sídlem Pplk. Sochora 27, Praha 7, v øízení o kasaèní stí¾nosti ¾alobce proti rozsudku Mìstského soudu v Praze ze dne 17. 10. 2012, è. j. 9 A 251/2011-90,
Rozsudkem Mìstského soudu v Praze ze dne 17. 10. 2012, è. j. 9 A 251/2011-90, byla zamítnuta ¾aloba podaná Ministerstvem financí proti rozhodnutí pøedsedy Úøadu pro ochranu osobních údajù ze dne 30. 6. 2009, zn. INSP1-6632/08-5, kterým nebylo vyhovìno námitkám Ministerstva financí podaným proti kontrolnímu protokolu ze dne 31. 3. 2009, zn. INSP1-6632/08-2 poøízenému v rámci kontroly, jejím¾ pøedmìtem bylo dodr¾ování povinností stanovených v ust. § 13 odst. 4 písm. c) zákona è. 101/2000 Sb. ve znìní pozdìj¹ích pøedpisù (dále jen zákon o ochranì osobních údajù ) v systému ADIS. V odùvodnìní rozsudku mìstský soud uvedl, ¾e podle kontrolního protokolu vyhotoveného Úøadem pro ochranu osobních údajù (dále jen Úøad ) dne 31. 3. 2009 o výsledcích kontroly dodr¾ování zákona o ochranì osobních údajù bylo Ministerstvu financí ulo¾eno podle ust. § 40 odst. 1 citovaného zákona nápravné opatøení-upravit ve lhùtì do 6 mìsícù systém ADIS tak, aby poøizoval elektronické záznamy, které umo¾ní, urèit a ovìøit kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány. Za pøedmìt sporu oznaèil mìstský soud to, zda Ministerstvo financí bylo vázáno právní úpravou ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù. Na základì dikce ust. § 13 citovaného zákona nelze podle mìstského soudu pøisvìdèit ¾alobní námitce, ¾e Ministerstvo financí není vázáno ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù a ¾e k zaji¹tìní povinnosti ulo¾ené v ust. § 13 odst. 1 citovaného zákona postaèovaly záruky dané jinými právními prostøedky, pøíp. ¾e oblast daòové správy je z plnìní uvedené povinnosti vyòata. Ust. § 13 zákona o ochranì osobních údajù je tøeba vykládat a aplikovat vcelku a jeho odst. 4 písm. c) je konkretizací povinnosti obecnì stanovené v odst. 1 citovaného ustanovení. V ust. § 13 odst. 1 zákona o ochranì osobních údajù je stanovena obecná povinnost správcù a zpracovatelù údajù pøijmout preventivní opatøení k neoprávnìnému pøístupu k osobním údajùm èi k jejich zneu¾ití. Jaká to jsou opatøení je stanoveno v ust. § 13 odst. 2 zákona o ochranì osobních údajù, podle nìho¾ má jít o technicko-organizaèní opatøení. Jiné právní prostøedky (namítaná povinnost mlèenlivosti podle zákona è. 337/1992 Sb., ve znìní pozdìj¹ích pøedpisù, nebo ukládání pokut) nemají povahu technicko-organizaèních opatøení ve smyslu ust. § 13 odst. 2 citovaného zákona a v pøípadì pokut nemají ani povahu preventivních opatøení ve smyslu ust. § 13 odst. 1 citovaného zákona. Právní úprava obsa¾ená v ust. § 13 zákona o ochranì osobních údajù vymezuje, jaká opatøení jsou ¾ádoucí a pøípadná pro evidenci nakládání s daty a pøitom i preventivnì pro úèely zamezení neoprávnìného nakládání s osobními údaji tak, aby bylo pøímo zjistitelné kým a jakým zpùsobem jsou údaje zpracovávány. Uvedené zcela koresponduje úvaze Úøadu, ¾e zvlá¹tní právní pøedpisy v daòové správì neupravují po¾adavky na ochranu osobních údajù natolik komplexnì a v takové míøe, která by odpovídala rizikùm v daòovém systému. Zákon è. 170/2007 Sb., kterým byl s úèinností od 12. 7. 2007 zmìnìn zákon o ochranì osobních údajù (dále jen zákon è. 170/2007 ) nestanovil sice konkrétní opatøení, které má být pøijato, ale stanovil typ opatøení, které má v systému automatizovaného zpracování osobních údajù zaruèit úèel ust. § 13 odst. 1 zákona o ochranì osobních údajù. Tedy citované ustanovení skuteènì konkretizoval a doplnil, av¹ak pro systém ADIS, a to tím, jak má tento systém pracovat a jakou metodiku pro zaji¹tìní cíle v citovaném ustanovení zvolit, toti¾ metodiku elektronických záznamù, tzv. logování, které umo¾ní zjistit a ovìøit dispozici s daty. Znìní ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù je jednoznaèné a jako zákonná norma je zavazující. Opatøení, která Ministerstvo financí pøijalo, odpovídají spí¹e povinnostem uvedeným v ust. § 13 odst. 4 písm. a) a b) citovaného zákona. Nemíøí v¹ak na zachycení konkrétního zpracování dat jednotlivými osobami. Dodr¾ování ust. § 13 odst. 4 zákona o ochranì osobních údajù vedoucí k naplnìní zásady uvedené v odst. 1 citovaného ustanovení je koncipováno jako povinnost, nikoliv jako alternativa, která by závisela na úvaze správce údajù. Z textu dùvodové zprávy k zákonu è. 170/2007 Sb. vyplývá to, co správnì posoudil Úøad, toti¾ potøeba konkrétní povinnosti technicko-organizaèních opatøení v rámci obecnì stanovené, av¹ak nedostateènì a nekonkrétnì vymezené, povinnosti podle ust. § 13 odst. 1 zákona o ochranì osobních údajù, v oblasti ADIS, tedy systémù, které existují zejména u správcù údajù, kteøí disponují (jako finanèní úøady) velkým mno¾stvím osobních dat. ®alobní námitky o nepøimìøené povinnosti oznaèil mìstský soud za nedùvodné, zvlá¹tì dopadá-li zákon è. 170/2007 Sb. na automatizované systémy dat a po¾aduje elektronickou evidenci kontaktu konkrétních osob s konkrétními daty.
Jako nedùvodnou posoudil mìstský soud také ¾alobní námitku, ¾e povinnost stanovená v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù se nevztahuje na zpracovávání osobních údajù v oblasti daòové správy z dùvodu výjimky podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù. Z dikce ust. § 3 odst. 6 citovaného zákona nevyplývá, ¾e by se pro zpracování osobních údajù nepou¾ilo ust. § 13 citovaného zákona. Pro zpracování osobních údajù je jedinì legitimní úèel daný èinností èi pùsobností správce údajù. To neplatí jde-li o jiný úèel a záva¾ný celospoleèenský zájem deklarovaný v ust. § 3 odst. 6 pod písm. a) a¾ h) citovaného zákona. Správci danì budou v¾dy zpracovávat údaje pro úèely daòových opatøení èi jiných úkonù daòové správy, a proto se na nì nemù¾e vztahovat výjimka podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù ohlednì daòových opatøení a dopadající zase na výkon daòové správy, nikoliv na jiný úèel. Uvedenými výjimkami jsou správci danì vázáni pro jiné pøípady, tj. pro pøípady v ust. § 3 odst. 3 písm. a) a¾ e) a h) citovaného zákona, zatímco jiní správci údajù, odli¹ní od správcù danì, budou vázáni i v záva¾ných pøípadech daòových opatøení výjimkami podle ust. § 3 odst. 6 písm. f) a g) citovaného zákona, nebo» to bude vy¾adovat spoleèenský zájem zde zakotvený. Argumentace ministerstva financí je tak právnì pokraèování nelogická, nebo» se dovolává výjimky, která by nevyjadøovala smysl ust. § 3 odst. 6 citovaného zákona, tj. úpravu nakládání s osobními údaji správci údajù mimo úèel jim pøíznaèný, ale v podstatì by negovala povinnost správcù údajù, jimi¾ jsou správci danì podle ust. § 5 odst. 1 písm. f) citovaného zákona. Z uvedených dùvodù je tedy výklad Ministerstva financí s odkazem na judikaturu Soudního dvora EU, ¾e rozhodnutí vydaná správcem danì jsou daòovými opatøeními ve smyslu ust. § 3 odst. 6 písm. f) zákona o ochranì osobních údajù, irelevantní.
Ulo¾ené nápravné opatøení není ani v rozporu s èl. 17 Smìrnice Evropského parlamentu a Rady (ES) è. 95/46/ES (dále jen smìrnice ). Dikce tohoto èlánku byla transponována do èeského právního øádu zákonem è. 170/2007 Sb., nebo» tento zákon ze smìrnice pøevzal potøebu technicko-organizaèních opatøení v rámci systému ADIS, a to právì k úèelu stanovenému ve smìrnici. Postup Úøadu nebyl ani v rozporu s èl. 17 vìta druhá smìrnice, nebo» tak uèinil v rámci daného stavu techniky. Nákladnost funkce elektronické evidence (tzv. logování), která by dosáhla zjevné nepøimìøenosti oproti vyhodnocení rizik, není z námitek Ministerstva financí zøejmá, nebo» Ministerstvo financí nevyhodnotilo rizika nakládání s údaji bez potøeby elektronické evidence. Také v ¾alobní námitce nepøimìøené lhùty k opatøení k nápravì neuvedlo konkrétní kvalifikované argumenty k technické nároènosti a finanèní nákladovosti provedení ulo¾eného opatøení. Proto¾e jeho tvrzení o nepøimìøených výdajích a stagnaci bì¾né èinnosti daòové správy v dùsledku provedení elektronické evidence nakládání s daty stojí proti tvrzení Úøadu, ¾e jde o standardní opatøení pøijaté a fungující u jiných správcù údajù, není to dùvod pro zru¹ení napadeného rozhodnutí. Mìstský soud nepøijal argumentaci ohlednì závaznosti èl. 17 vìty druhé smìrnice. Ministerstvo financí se také podle názoru mìstského soudu mýlí, pova¾uje-li smìrnici za pøedpis práva EU s pøímým úèinkem. Pøímým úèinkem se vyznaèují naøízení Rady, zatímco smìrnice jsou pøedpisem doporuèujícího charakteru s cílem uvést úpravu èlenských státù do souladu s evropským právem. Doporuèená transpozice byla provedena zákonem è. 170/2007 Sb. s tím, ¾e konkrétní úprava byla ponechána na národním zákonodárci. Mìstský soud proto nepova¾oval danou problematiku za potøebnou vylo¾it v øízení o pøedbì¾né otázce. Otázka pøimìøenosti nákladù Ministerstva financí není øe¹itelná pøímou aplikací èl. 17 vìty druhé smìrnice. ®alobní námitka pøimìøenosti ulo¾eného opatøení souvisí i s námitkou nepøimìøenosti lhùty k nápravì. Tato námitka proti kontrolnímu protokolu nebyla uplatnìna, a proto Úøad v napadeném rozhodnutí neposuzoval dostateènost stanovené lhùty. Mìstský soud tedy nemìl k posouzení této námitky nejen kvalifikované dùvody zabývající se technickou a finanèní nároèností ulo¾eného opatøení, ale ani procesní podmínky, aby vypoøádání neexistující námitky proti kontrolnímu protokolu ohlednì nepøimìøenosti lhùty k nápravì pøezkoumal.
Proti tomuto rozsudku podalo Generální finanèní øeditelství (dále jen stì¾ovatel ) v zákonné lhùtì kasaèní stí¾nost z dùvodu uvedeného v ust. § 103 odst. 1 písm. a) s. ø. s. V kasaèní stí¾nosti stì¾ovatel uvedl, ¾e pova¾uje napadený rozsudek za nezákonný, proto¾e spoèívá na nesprávném posouzení právních otázek. Mìstský soud oznaèil za spornou otázku, zda bylo Ministerstvo financí vázáno právní úpravou v ust. § 13 odst. 1 a odst. 4 písm. c) zákona o ochranì osobních údajù. Pokud je povaha ust. § 13 odst. 1 a odst. 4 písm. c) zákona o ochranì osobních údajù generálnì preventivní, tj. nemù¾e sama o sobì neoprávnìnému nebo nahodilému pøístupu a zpracování osobních údajù zabránit, je tøeba vyjít pøi ukládání povinností osobám soukromého i veøejného práva ze znìní zákona o ochranì osobních údajù a pøedev¹ím ze znìní èl. 17 odst. 1 smìrnice. Ze smìrnice pøímo vyplývá, ¾e ust. § 13 zákona o ochranì osobních údajù je tøeba chápat kontextuálnì a nikoli èistì jazykovì tak, jak uèinil v napadeném rozsudku mìstský soud i správní orgán ukládající nápravné opatøení. Pøi volbì postupù a opatøení ve vnitrostátním právním pøedpisu k zaji¹tìní úèelu a smyslu smìrnice se na základì principu proporcionality musí pomìøovat na jedné stranì stav techniky, náklady na provedení pøíslu¹ných opatøení i pøimìøenou úroveò bezpeènosti odpovídající rizikùm zpracování a povaze údajù, na druhé stranì preventivní funkce opatøení k naplnìní úèelu smìrnice i ust. § 13 zákona o ochranì osobních údajù. Pøed úèinností zákona è. 170/2007 Sb. byly povinnosti správce nebo zpracovatele pøi zabezpeèení osobních údajù upraveny relativnì neurèitì a bylo na nich, aby si sami zhodnotili rizika pøi zpracování osobních údajù. Technická a organizaèní opatøení správce nebo zpracovatel volil podle úvahy limitované úèelem citovaného ustanovení i jeho vzoru v èl. 17 smìrnice. Právì vzhledem k rùznorodosti povah osobních údajù, rizikùm jejich neoprávnìného zpracování byly a jsou povinnosti ulo¾ené v ust. § 13 zákona o ochranì osobních údajù limitovány principem proporcionality podle faktorù uvedených v èl. 17 odst. 1 smìrnice. Èeský právní pøedpis tyto limity explicitnì neobsahoval, implicitnì v¹ak vyplývaly ze smìrnice i povahy tìchto povinností s preventivním charakterem. Relativní neurèitost a obecnost povinnosti v ust. § 13 odst. 1 zákona o ochranì osobních údajù odrá¾í právì nemo¾nost pau¹alizovanì a taxativnì stanovit pro v¹echny situace, v¹echny osobní údaje i v¹echny správce nebo zpracovatele stejná opatøení, kdy navíc úèelem ust. § 13 zákona o ochranì osobních údajù, a zejména èl. 17 smìrnice, je pøijetí tìch opatøení, která se nejvíce pøiblí¾í ideálnímu stavu nemo¾nosti neoprávnìného zpracování osobních údajù. Stanovení limitù povinností podle èl. 17 smìrnice je nutné vykládat i s pøihlédnutím k bodu 46 (recitálu) smìrnice. Z uvedeného limitu v aplikaci èl. 17 vìty první smìrnice, tedy i ust. § 13 zákona o ochranì osobních údajù, vyplývá, ¾e se musí testu proporcionality podrobit odpovídající bezpeènostní opatøení zabraòující neoprávnìnému zpracování osobních údajù a náklady na jejich provedení. Tato opatøení se dále musí pomìøovat i s mírou rizika ze zpracování údajù, jejich povahou a procesy, které se k nim vá¾í. Rizikovost procesù je sní¾ena technickými opatøeními, kdy je dána úzká souvislost mezi konkrétním daòovým subjektem a konkrétní úøední osobou spravujícího jeho daò, vèetnì pøístupových práv pouze tìchto úøedních osob, i pøísnou povinností mlèenlivosti. Je tøeba mít dále na zøeteli specifika systému ADIS i samotné správy daní. V systému ADIS je evidováno cca 6,5 mil daòových subjektù, pøièem¾ celkový poèet u¾ivatelù je pøibli¾nì 15.000 s tím, ¾e ke konkrétnímu údaji o konkrétním daòovém subjektu se dostane jen velmi omezený okruh u¾ivatelù. Kvùli nárokùm, které klade úèel a smysl správy daní na systém ADIS, je tento systém po stránce informaèní velmi robustní, kdy v jeho jednotlivých souèástech paralelnì bì¾í velmi mnoho operací, které lze jen velmi tì¾ko zaznamenat, aby nedo¹lo ke zpomalení systému, a tím i do znaèné míry k jeho nefunkènosti. Návodné opatøení uvedené v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù by tedy mohlo vést ke zpomalení systému, ani¾ by souèasnì pøineslo odpovídající sní¾ení míry bezpeènostního rizika, pøièem¾ vytvoøení nového systému odpovídajícího citovanému ustanovení by s sebou neslo znaèné náklady. Nepromítl-li zákonodárce smìrnicí pøedpokládaný limit aplikace èl. 17 do èeského právního øádu, jedná se o poru¹ení povinnosti transponovat smìrnici. Pokud je právní norma obsa¾ená ve smìrnici dostateènì podrobná, jsou èlenské státy odkázány jen na pøevzetí jejího znìní do vnitrostátního pramene práva. Z tohoto úhlu pohledu se èl. 17 vìta první smìrnice jeví po obsahové stránce spí¹e obecná. Èlenský stát tedy mù¾e pøijmout podrobnìj¹í úpravu, ale nemù¾e netransponovat obecnì vyjádøené limity v èl. 17 vìta druhá smìrnice. V daném pøípadì je tak explicitním jazykovým výkladem èeské právní normy v rozporu se smìrnicí roz¹íøena povinnost pro v¹echny správce a zpracovatele. S vý¹e uvedeným souvisí i posouzení pøímého úèinku smìrnice. V pøípadì smìrnice jako sekundárního právního aktu EU je na základì závazné judikatury Soudního dvora EU za splnìní urèitých podmínek pøipu¹tìn pøímý úèinek. Specifické podmínky pro pøímý úèinek smìrnice zahrnují: marné uplynutí lhùty k øádné implementaci (tato podmínka je splnìna, nebo» v ust. § 13 odst. 1 zákona o ochranì osobních dat nejsou uvedeny limity jeho pou¾ití a zdánlivì se tak ust. § 13 odst. 4 písm. c) citovaného zákona prostøednictví odstavce prvého vztahuje na v¹echny zpracovatele a správce bez ohledu na konkrétní okolnosti, co¾ vychází napø. z rozsudku Soudního dvora è. 41/74, Yvonne Van Duyn), nedochází k pøímému ulo¾ení povinnosti (pøímým úèinkem smìrnice nesmí vzniknout nová povinnost jednotlivci, subjektivní právo v¹ak vzniknout mù¾e, co¾ vyplývá napø. z rozsudku Soudního dvora è. C-60/02 Rolex; za takovou situaci by ¹lo extenzivnì pova¾ovat i limit povinností podle ust. § 13 odst. 1 zákona pokraèování o ochranì osobních dat), zlep¹ení právního postavení aktivnì legitimovaných pøímých èi nepøímých beneficiantù smìrnice (vzhledem ke smìrnicí ulo¾ené povinnosti je z hlediska èl. 17 vìty druhé smìrnice nepøímým beneficientem správce nebo zpracovatel; tato podmínka byla judikována napø. v rozsudku Soudního dvora è. 87-89/90 Verholen). Uvedené specifické podmínky byly v daném pøípadì splnìny, tudí¾ je tøeba pøi interpretaci ust. § 13 zákona o ochranì osobních dat aplikovat pøímý úèinek èl. 17 vìty druhé smìrnice, který stanovuje zároveò i test proporcionality k povinnosti pøijetí bezpeènostních opatøení. Z uvedeného plyne, ¾e správní i soudní orgán je povinen aplikovat v rámci interpretace ust. § 13 odst. 1 zákona o ochranì osobních dat i smìrnicí stanovené limity. Pøijetím zákona è. 170/2007 Sb. byly do ust. § 13 zákona o ochranì osobních dat zaøazeny odst. 3 a 4, je¾ mìly doplnit a upøesnit jeho odst. 1 s tím, ¾e povinnost správce nebo zpracovatele zabezpeèit osobní údaje zùstala i podle dùvodové zprávy stejná ve srovnání se stavem pøed úèinností zákona è. 170/2007 Sb. Ust. 13 odst. 4 zákona o ochranì osobních dat tedy jen návodnì upøesòuje obecnou povinnost správce nebo zpracovatele s pøihlédnutím k rozumným a pro konkrétní pøípad efektivním opatøením k zabránìní nezákonného zpracování osobních údajù v rámci automatizovaného informaèního systému. Stì¾ovatel vyjádøil nesouhlas s právním názorem mìstského soudu, ¾e není mo¾né splnit návodné doplnìní ust. § 13 odst. 1 zákona o ochranì osobních údajù o odst. 4 písm. c) citovaného ustanovení jinými opatøeními. Tìmito opatøeními mohou být opatøení technická, organizaèní, právní a jiná. Je to v prvé øadì povinnost mlèenlivosti stanovená v ust. § 52 odst. 1 zákona è. 280/2009 Sb., ve znìní pozdìj¹ích pøedpisù (dále jen daòový øád ). Poru¹ením této povinnosti, je¾ má stejný charakter i úèel jako povinnost ulo¾ená v ust. § 13 odst. 1 zákona o ochranì osobních dat a kterou i doplòuje a rozvíjí, se úøední osoba vystavuje mo¾nému pøestupkovému øízení. Takovou úpravu lze chápat ve srovnání s jinými správními øízeními jako velmi pøísnou, tedy z hlediska prevence velmi úèinnou. Technickým opatøením, je¾ zabraòuje v pøístupu jakékoli úøední osoby ke v¹em údajùm v systému ADIS je heslo, pøièem¾ pøístupová oprávnìní schvaluje øeditel finanèního úøadu a v¾dy se vztahuje pouze na daòové subjekty v rámci stanovené náplnì práce úøední osoby. Pøidìlování pøístupových práv úøedním osobám se øídí interní smìrnicí, ji¾ je tøeba chápat jako dal¹í organizaèní opatøení vzhledem k ust. § 13 odst. 1 a 4 písm. c) zákona o ochranì osobních údajù. Rozsah pøidìlení pøístupových práv je zdokumentován v systému ADIS a kdykoli je mno¾né vypsat k urèitému dni pøístupová práva aktuální i historická vèetnì údaje, kdo pøístupová práva pøidìlil. V systému ADIS je obsa¾ena i evidence písemností, je¾ sleduje, kdo vlo¾il a kdo realizoval konkrétní akci, a má-li písemnost elektronický podpis, existuje také údaj o pøesném okam¾iku jejího vlo¾ení. U vedoucích pracovníkù lze také zjistit, kdy spustili systém ADIS. Je-li tedy jedinou funkcí návodu uvedeného v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù pùsobit preventivnì a ex post zjistit, která úøední osoba mohla neoprávnìnì zpracovávat osobní údaje, je ve stávajícím stavu systému ADIS ve spojení s organizaèními i technickými opatøeními daòové správy mo¾né s relativnì vysokou mírou pravdìpodobnosti zjistit tu stejnou skuteènost, kdy tato úøední osoba navíc má povinnost mlèenlivosti a ulo¾ení vysoké pokuty za její poru¹ení garantuje vy¹¹í míru prevence zabránìní v neoprávnìném nebo nahodilém zpracování osobních údajù. Uvedené skuteènosti mìl ji¾ ve správním øízení Úøad zohlednit.
Stì¾ovatel v kasaèní stí¾nosti rovnì¾ namítal nesprávné právní posouzení vìci ve vztahu k ust. § 3 odst. 6 zákona o ochranì osobních údajù, v nìm¾ jsou s úèinností od 25. 7. 2004 po pøijetí zákona è. 439/2004 Sb. uvedeny oblasti, na které se povinnosti správce uvedené v ust. § 5 odst. 1 a 11 a 12 nevztahují. Touto oblastí je podle ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù i oblast správy daní, tj. uvedené povinnosti správce osobních údajù se neaplikují v pøípadì významného finanèního zájmu Èeské republiky nebo Evropské unie, kterým je zejména stabilita finanèního trhu a mìny, fungování penì¾ního obìhu a platebního styku, jako¾ i rozpoètová a daòová opatøení. Z dùvodové zprávy vyplývá, ¾e pùvodní znìní neodpovídalo znìní smìrnice. Dále se v dùvodové zprávì uvádí, ¾e ustanovení je doplnìno souborem poznámek pod èarou, které obsahují demonstrativní výèet tìch nejvýznamnìj¹ích zákonù, na které uvedené výjimky dopadají. Tìmito uvedenými právními pøedpisy jsou do jisté míry stanoveny okruhy èinností, je¾ mají výjimku z uvedených povinností. Zákonodárce pou¾il pojem daòová opatøení , je¾ je tøeba vylo¾it s ohledem na jeho bì¾né pou¾ití v èeských právních pøedpisech. Za daòové opatøení stì¾ovatel pova¾uje ka¾dé individuální rozhodnutí v daòové oblasti, nebo» z ji¾ nejbli¾¹ího právního pøedpisu, který by mìl vymezit pojem daòové opatøení , uvedený názor vyplývá. Podle ust. § 1 odst. 2 zákona è. 337/1992 Sb., ve znìní pozdìj¹ích pøedpisù, se správou daní rozumí právo èinit opatøení potøebná ke správnému a úplnému zji¹tìní, stanovení a splnìní daòových povinností, zejména právo vyhledávat daòové subjekty, danì vymìøit, vybrat, vyúètovat, vymáhat nebo kontrolovat podle tohoto zákona jejich splnìní ve stanovené vý¹i a dobì. Stejnì tento pojem vylo¾il i Evropský soud pro lidská práva v rozsudku ve vìci I-Iozen proti Nizozemí ze dne 22. 5. 1998, kde je pod pojmem opatøení uvádìno vymìøení daòového penále. Je-li podle èl. 13 smìrnice i ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù stanovena výjimka pro správu daní a navazující pùsobnost napø. podle zákona è. 218/2000 Sb., o rozpoètových pravidlech, ve znìní pozdìj¹ích pøedpisù, vzhledem k ust. § 5 odst. 1 zákona o ochranì osobních údajù, který uvozuje systematicky Hlavu II citovaného zákona pojednávající o právech a povinnostech pøi zpracování osobních údajù, je dána výjimka i v oblasti zaznamenávání logù, proto¾e toto návodné vysvìtlení povinnosti podle ust. § 13 odst. 1 citovaného zákona je tøeba chápat jako souèást obecné povinnosti správce podle ust. § 5 odst. 1 citovaného zákona, zejména pod písm. b) tohoto ustanovení. V podáních správnímu orgánu i mìstskému soudu byly podrobnì vylo¾eny dùvody, pro které lze dojít k závìru, ¾e Ministerstvo financí vynalo¾ilo ve¹keré úsilí, které bylo mo¾no po¾adovat, aby poru¹ení právní povinnosti zabránilo, napø. v rámci pøísné úpravy mlèenlivosti i velmi omezeného pøístupu úøedních osob do systému ADIS ve smyslu ust. § 13 odst. 1 zákona o ochranì osobních údajù. I vzhledem k paralelnì probíhajícímu øízení o kasaèní stí¾nosti vedené pod sp. zn. 7 As 150/2012 ve vìci ulo¾ené sankce a souhlasnému vyjádøení Úøadu s pøedlo¾ením interpretace èl. 17 smìrnice s ohledem na jeho transpozici do ust. § 13 odst. 1 odst. 4 zákona o ochranì osobních údajù se stì¾ovatel pøiklání k tomu, aby sporná otázka byla pøedlo¾ena do øízení o pøedbì¾né otázce k Soudnímu dvoru Evropské unie. Ze v¹ech uvedených dùvodù stì¾ovatel navrhl, aby Nejvy¹¹í správní soud rozsudek mìstského soudu zru¹il a vìc vrátil tomuto soudu k dal¹ímu øízení.
Úøad ve vyjádøení ke kasaèní stí¾nosti uvedl, ¾e stì¾ovatel uvádí v zásadì tyté¾ argumenty, které byly uplatnìny v ¾alobì a ve správním øízení a s nimi¾ se ji¾ jak Úøad, tak mìstský soud, zcela dostateènì vypoøádaly. Hlavním argumentem je údajný nesoulad zákona o ochranì osobních údajù se smìrnicí, resp. nedostateèná transpozice smìrnice do právního øádu Èeské republiky. Je mo¾no souhlasit s tím, ¾e citovaný zákon byl do èeského právního øádu implementován také na základì smìrnice, nicménì povinnost zajistit vysokou úroveò ochrany osobních údajù Èeské republice ukládá ji¾ Úmluva ETS è. 108, o ochranì osob se zøetelem na automatizované zpracování osobních údajù, pøijatá dne 28. 1. 1981 ve ©trasburku. Je tøeba zdùraznit, ¾e podle bodu 2 preambule a èl. 1 je smìrnice prostøedkem ochrany základních práv a svobod fyzických osob, zejména jejich soukromí v souvislosti se zpracováním osobních údajù, a beneficientem tìchto práv jsou fyzické osoby (subjekty údajù). S tím souvisí i bod 10 preambule, podle nìho¾ implementace smìrnice nesmí vést k oslabení této ochrany. Podle èl. 5 smìrnice je úkolem pøíslu¹ného státu upøesnit podmínky, za kterých je zpracování osobních údajù pøípustné, a stanovit také povinnosti týkající se bezpeènosti zpracování osobních údajù, jak je vymezuje èl. 17 smìrnice. Citovaný èlánek stanoví obecnou povinnost pøijímat vhodná opatøení k zaji¹tìní bezpeènosti zpracování osobních údajù a také jakého cílového stavu má být prostøednictvím pøíslu¹ných opatøení dosa¾eno, a to s ohledem na vyjmenované aspekty. V ¾ádném pøípadì se nejedná o stanovení limitù v rámci bezpeènostních opatøení, pøípadnì o jakési úlevy pro beneficienta smìrnice, za kterého se nadto zcela bezdùvodnì Ministerstvo pokraèování financí, pota¾mo stì¾ovatel, jako správce osobních údajù pova¾uje. V souladu se smìrnicí zákonodárce v ust. § 13 odst. 1 zákona o ochranì osobních údajù zakotvil obecnou povinnost pøijímat opatøení k zabezpeèení osobních údajù. Dále v ust. § 13 odst. 3 citovaného zákona urèil, jaká rizika musí být pøedmìtnými opatøeními zohlednìna, a v ust. § 13 odst. 4 citovaného zákona výslovnì naøídil, jaká opatøení musí být provedena, a to vèetnì povinnosti poøizovat elektronické záznamy, které umo¾ní urèit a ovìøit, kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány. Z vìcného hlediska je evidentní, ¾e povinnost ulo¾ená v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù zvy¹uje standard bezpeènosti zpracování osobních údajù. V této souvislosti není bez významu, ¾e podle poznatkù Úøadu znaèná èást naru¹itelù bezpeènosti zpracování osobních údajù pochází z øad zamìstnancù správce, pøípadnì zpracovatele, osobních údajù. Uvedené ustanovení proto nelze prostøednictvím èl. 17 smìrnice jakkoli zpochybòovat. Navíc by takové zpochybòování bylo v rozporu se zásadou vyjádøenou v bodì 10 preambule smìrnice. Zakotvení povinnosti v ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù rozhodnì není dùsledkem nedostateèné implementace smìrnice. Z dikce návìtí ust. § 13 odst. 4 zákona o ochranì osobních údajù je evidentní, ¾e toto ustanovení má kogentní povahu a není ustanovením, které jen návodnì upøesòuje obecnou povinnost správce nebo zpracovatele s pøihlédnutím k rozumným a pro konkrétní pøípad efektivním opatøením , jak se domnívá stì¾ovatel. Argumentoval-li stì¾ovatel dále ust. § 3 odst. 6 písm. f) a g) zákona o ochranì osobních údajù, je z jeho textu pøedev¹ím zøejmé, ¾e výjimka nezahrnuje správu daní jako takovou, ale pouze urèité její èásti, co¾ v tomto pøípadì komplexní aplikaci ust. § 3 odst. 6 písm. f) i g) zákon o ochranì osobních údajù pøedem vyluèuje. V souvislosti s ust. § 3 odst. 6 citovaného zákona Úøad pova¾uje za významnìj¹í, ¾e pøedmìtné výjimky zahrnují pouze urèitá výslovnì uvedená ustanovení citovaného zákona a v ¾ádném pøípadì nikoli povinnosti podle ust. § 13 citovaného zákona. Dále Úøad také poukázal na to, ¾e relevantní daòové pøedpisy ¾ádnou povinnost pøi zabezpeèení osobních údajù korespondující s povinnostmi podle ust. § 13 zákona o ochranì osobních údajù nezakotvují. Akceptovat názor Ministerstva financí by znamenalo, ¾e není povinen osobní údaje zabezpeèit ¾ádnými technicko-organizaèními opatøeními, co¾ by bylo evidentnì absurdní. Ochrana osobních údajù ve smyslu zákona o ochranì osobních údajù i smìrnice pøedstavuje celou ¹kálu vzájemnì sice skloubených a doplòujících se, nicménì odli¹ných, povinností. Povinnost mlèenlivosti zakotvenou v daòových pøedpisech tudí¾ nelze vnímat jako jakousi komplexní právní úpravu ochrany osobních údajù pøedstavující náhradu za zákon o ochranì osobních údajù. Je mo¾no ji chápat pouze jako jistou paralelu vùèi ust. § 15 citovaného zákona. Obdobnì nelze za plnìní povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona pova¾ovat pøidìlování pøístupových práv úøedním osobám, jak je popisováno stì¾ovatelem. Tento postup toti¾ koresponduje pouze s povinností ulo¾enou v ust. § 13 odst. 4 písm. a), pøíp. písm. b) zákona o ochranì osobních dat. Úèelem povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona toti¾ není ex post a s urèitou mírou pravdìpodobnosti zjistit, která z úøedních osob mohla neoprávnìnì zpracovávat osobní údaj, nýbr¾ takovou osobu pøímo identifikovat a ovìøit její jednání. S ohledem na uvedené není kasaèní stí¾nost dùvodná, a proto Úøad navrhl, aby byla zamítnuta.
Nejprve je nutno uvést, ¾e s ohledem na zmìny zákona è. 531/1990 Sb., ve znìní pozdìj¹ích pøedpisù provedené zákonem è. 199/2010Sb. (èást V., èl. VI. bod 2 a 3) s úèinností od 1. 1. 2011 pøe¹la práva k u¾ívání automatizovaného daòového informaèního systému ADIS z Èeské republiky-Ministerstva financí na Èeskou republiku-Generální finanèní øeditelství, které od uvedeného data vykonává povinnosti správce, resp. zpracovatele, ADIS, mìstský soud
(by» nedùslednì), a také Nejvy¹¹í správní soud, dále v soudním øízení jednal na stranì ¾alobce a poté stì¾ovatele s Generálním finanèním øeditelstvím.
V øízení o kasaèní stí¾nosti nemohlo být podle ust. § 109 odst. 5 s. ø. s. pøihlí¾eno ke skuteènostem, které stì¾ovatel uplatnil poté, kdy bylo vydáno napadené rozhodnutí. To platí pro velkou èást faktických informací vztahujících se k systému ADIS, které byly uvedeny v kasaèní stí¾nost a nikoliv v ¾alobì. Nejvy¹¹í správní soud proto nemohl zohlednit tvrzení o poètu evidovaných daòových subjektù, o poètu u¾ivatelù systému ADIS, o fungování tohoto systému, o jeho zpomalení v pøípadì zaznamenávání tzv. logù, o technických opatøeních zabraòujících v pøístupu do systému a o rozsahu pøístupových práv. Pokud by mìly být tyto skuteènosti zohlednìny pøi pøezkumu napadeného rozhodnutí, Ministerstvu financí nic nebránilo v tom, aby je uplatnilo ji¾ v ¾alobì.
Nedùvodnou shledal Nejvy¹¹í správní soud stí¾ní námitku vynìtí oblasti správy daní z povinnosti stanovené v ust. § 13 zákona o ochranì osobních údajù.
Podle ust. § 3 odst. 6 zákona o ochranì osobních údajù se pro zpracování osobních údajù nezbytných pro plnìní povinností správce stanovených zvlá¹tními zákony pro zaji¹tìní taxativnì vyjmenovaných zájmù nepou¾ijí ustanovení § 5 odst. 1 a § 11 a 12 . V taxativním výètu zájmù je pod písmenem f) uveden také významný finanèní zájem Èeské republiky nebo Evropské unie, kterým je zejména stabilita finanèního trhu a mìny, fungování penì¾ního obìhu a platebního styku, jako¾ i rozpoètová a daòová opatøení.
Citované ustanovení tak vyjímá správce plnící povinnosti stanovené pro zaji¹tìní vyjmenovaných zájmù explicitnì pouze z pùsobnosti ust. § 5 odst. 1 a § 11 a § 12 zákona o ochranì osobních údajù. Takoví správci tedy nejsou vázání pouze povinnostmi stanovenými v tìchto ustanoveních. Nelze proto souhlasit s Ministerstvem financí v tom, ¾e povinnosti podle ust. § 13 zákona o ochranì osobních údajù jsou souèástí povinnosti podle ust. § 5 odst. 1 citovaného zákona.
Podle ust. § 5 odst. 1 zákona o ochranì osobních údajù je správce povinen a) stanovit úèel, k nìmu¾ mají být osobní údaje zpracovány, b) stanovit prostøedky a zpùsob zpracování osobních údajù, c) zpracovat pouze pøesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, ¾e jím zpracované osobní údaje nejsou s ohledem na stanovený úèel pøesné, provede bez zbyteèného odkladu pøimìøená opatøení, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepøesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6. Nepøesné osobní údaje se musí oznaèit. Informaci o blokování, opravì, doplnìní nebo likvidaci osobních údajù je správce povinen bez zbyteèného odkladu pøedat v¹em pøíjemcùm, d) shroma¾ïovat osobní údaje odpovídající pouze stanovenému úèelu a v rozsahu nezbytném pro naplnìní stanového úèelu, e) uchovávat osobní údaje pouze po dobu, která je nezbytná k úèelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro úèely státní statistické slu¾by, pro úèely vìdecké a pro úèely archivnictví. Pøi pou¾ití pro tyto úèely je tøeba dbát práva na ochranu pøed neoprávnìným zasahováním do soukromého a osobního ¾ivota subjektu údajù a osobní údaje anonymizovat, jakmile je to mo¾né, f) zpracovávat osobní údaje pouze v souladu s úèelem, k nìmu¾ byly shromá¾dìny. Zpracovávat k jinému úèelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajù pøedem souhlas, g) shroma¾ïovat osobní údaje pouze otevøenì; je vylouèeno shroma¾ïovat údaje pod záminkou jiného úèelu nebo jiné èinnosti, h) nesdru¾ovat osobní údaje, které byly získány k rozdílným úèelùm. pokraèování Podle ust. § 13 odst. 1 zákona o ochranì osobních údajù jsou správce a zpracovatel povinni pøijmout taková opatøení, aby nemohlo dojít k neoprávnìnému nebo nahodilému pøístupu k osobním údajùm, k jejich zmìnì, znièení èi ztrátì, neoprávnìným pøenosùm, k jejich jinému neoprávnìnému zpracování, jako¾ i k jinému zneu¾ití osobních údajù. Tato povinnost platí i po ukonèení zpracování osobních údajù. Podle odst. 2 citovaného ustanovení je správce nebo zpracovatel povinen zpracovat a dokumentovat pøijatá a provedená technicko-organizaèní opatøení k zaji¹tìní ochrany osobních údajù v souladu se zákonem a jinými právními pøedpisy. V odst. 3 citovaného ustanovení je správci nebo zpracovateli stanovena povinnost v rámci opatøení podle odst. 1 posuzovat rizika týkající se vyjmenovaných oblastí.
Podle ust. § 13 odst. 4 zákona o ochranì osobních údajù je správce nebo zpracovatel povinen v oblasti automatizovaného zpracování osobních údajù v rámci opatøení podle odstavce 1 také a) zajistit, aby systémy pro automatizovaná zpracování osobních údajù pou¾ívaly pouze oprávnìné osoby, b) zajistit, aby fyzické osoby oprávnìné k pou¾ívání systémù pro automatizovaná zpracování osobních údajù mìly pøístup pouze k osobním údajùm odpovídajícím oprávnìní tìchto osob, a to na základì zvlá¹tních u¾ivatelských oprávnìní zøízených výluènì pro tyto osoby, c) poøizovat elektronické záznamy, které umo¾ní urèit a ovìøit, kdy, kým a z jakého dùvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a d) zabránit neoprávnìnému pøístupu k datovým nosièùm.
Povinnosti stanovené v zákona o ochranì osobních údajù v ust. § 5 odst. 1 na stranì jedné a v ust. § 13 na stranì druhé jsou svou povahou zcela odli¹né. Zatímco v prvém citovaném ustanovení jsou stanoveny povinnosti pøi zpracování osobních údajù, ve druhém citovaném ustanovení jsou stanoveny povinnosti pøi zabezpeèení osobních údajù. Poslednì uvedené ustanovení tedy smìøuje k zamezení neoprávnìného pøístupu ke zpracovávaným a zpracovaným osobním údajùm, popø. jejich neoprávnìné zmìnì, znièení, ztrátì, pøenosùm, zpracování èi jinému zneu¾ití. Pøi zabezpeèení osobních údajù se nejedná o zpracování ve smyslu ust. § 4 písm. e) zákona o ochranì osobních údajù. Ust. § 13 citovaného zákona tedy nelze chápat pouze jako upøesnìní ust. § 5 odst. 1 citovaného zákona. Toto ustanovení nestanoví ¾ádné srovnatelné povinnosti ani plnìní povinností v nìm zakotvených a ani jinak nezaruèuje bezpeènost osobních údajù. Tím, ¾e správce stanoví prostøedky a zpùsob zpracování osobních údajù, tedy splní povinnosti podle ust. § 5 odst. 1 písm. b) zákona o ochranì osobních údajù, nijak neplní povinnost pøijmout opatøení k zabezpeèení osobních údajù.
Taxativní výèet ustanovení, která se podle ust. § 3 odst. 6 zákona o ochranì osobních údajù na správce údajù ve vyjmenovaných oblastech nepou¾ijí, je nutno pova¾ovat za zcela jednoznaènì projevenou vùli zákonodárce nevyjímat tyto správce z povinnosti podle ust. § 13 citovaného zákona. Navíc se výjimky podle ust. § 3 odst. 6 citovaného zákona výslovnì uplatní pouze pro zpracování osobních údajù, pod které nelze zahrnout zabezpeèení osobních údajù. Takto projevená vùle zákonodárce pøitom plnì koresponduje s èl. 13 odst. 1 smìrnice, podle nìho¾ mohou èlenské státy pøijmout legislativní opatøení s cílem omezit rozsah povinností a práv uvedených v èl. 6 odst. 1, èl. 10, èl. 11 odst. 1 a èl. 12 a èl. 13, pokud je to nezbytné pro zaji¹tìní vyjmenovaných zájmù. A contrario tak èlenské státy nemohou uèinit v pøípadì povinnosti podle èl. 17. Nemo¾nost roz¹íøení takové výjimky lze dovodit i z cíle smìrnice, jak je vyjádøen napøíklad v bodì 10. odùvodnìní nebo v èl. 1 odst. 1. Podle nich èlenské státy zaji¹»ují ochranu základních práv a svobod fyzických osob, zejména jejich soukromí, v souvislosti se zpracováním osobních údajù. Sblí¾ení vnitrostátních právních pøedpisù pou¾itelné v dané oblasti nesmí vést k oslabení ochrany, kterou zaji¹»ují, ale musí mít naopak za cíl zaji¹tìní vysoké úrovnì ochrany v Evropské unii [v tomto smyslu viz rozsudky Soudního dvora EU ve vìcech C-101/01 Lindqvist, Sb. rozh. 2003, s. I 12971, bod 95; C-524/06 Huber, Sb. rozh. 2008, s. I 9705, bod 50; C-73/07 Tietosuojavaltuutettu, Sb.roh. 2008, s. I-9831, bod 52; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb. rozh., bod 28; v¹echny dostupné na http://curia.europa.eu]. Také eurokonformní výklad zákona o ochranì osobních údajù, tj. výklad pøibli¾ující se co nejvíce obsahu a úèelu smìrnice, potvrzuje nutnost restriktivního posuzování výjimek podle ust. § 3 odst. 6 citovaného zákona. Pokud by èeský zákonodárce vyòal správce údajù v oblastech, které jsou v tomto ustanovení vyjmenovány, i z povinnosti stanovené v ust. § 13 zákona o ochranì osobních údajù, pøekroèil by své oprávnìní k pøijetí výjimky podle èl. 13 odst. 1 smìrnice. O tom, ¾e tento èlánek pøipou¹tí výjimky pouze z vyjmenovaných ustanovení smìrnice, pøitom nemá pochybnosti ani Soudní dvùr EU (srov. rozsudek ve vìci C-73/07 Tietosuojavaltuutettu, Sb. roh. 2008, s. I-9831, bod 47).
Jeliko¾ tedy správa systému ADIS není vyòata z pùsobnosti ust. § 13 zákona o ochranì osobních údajù, je zcela nadbyteèné zabývat se otázkou, v jakém rozsahu spadá správa daní pod výjimku podle ust. § 3 odst. 6 citovaného zákona a jaký je pøesný obsah pojmu daòová opatøení podle tohoto ustanovení.
Dal¹í námitky Ministerstva financí se týkají výkladu ust. § 13 zákona o ochranì osobních údajù a èl. 17 smìrnice.
Podle èl. 17 odst. 1 smìrnice stanoví èlenské státy, ¾e správce údajù musí pøijmout vhodná technická a organizaèní opatøení na ochranu osobních údajù proti náhodnému nebo nedovolenému znièení, náhodné ztrátì, úpravám, neoprávnìnému sdìlování nebo pøístupu, zejména pokud zpracování zahrnuje pøedávání údajù v síti, jako¾ i proti jakékoli jiné podobì nedovoleného zpracování. Tato opatøení mají zajistit, s ohledem na stav techniky a na náklady na jejich provedení, pøimìøenou úroveò bezpeènosti odpovídající rizikùm vyplývajícím ze zpracování údajù a z povahy údajù, které mají být chránìny.
Jak ji¾ Soudní dvùr nìkolikrát potvrdil, smìrnice obsahuje pravidla vyznaèující se jistou pru¾ností a v mnoha pøípadech ponechává na èlenských státech, aby upravily podrobnosti nebo si vybraly z daných mo¾ností. Je proto potøeba v¾dy posoudit, zda byla vnitrostátní opatøení pøijata, a v konkrétním pøípadì také aplikována, v rámci smìrnicí nastaveného prostoru pro uvá¾ení (srov. napø. rozsudky Soudního dvora ve vìcech C-101/01 Lindqvist, Sb. rozh. 2003, s. I 12971, body 83 a¾ 85; a C-468/10 a C-469/10 ASNEF, dosud nepublikováno ve Sb. rozh., body 35-36).
Je nutno také vzít v úvahu, ¾e èl. 17 odst. 1 vìta druhá smìrnice je nejen z povahy tohoto pramene práva (viz èl. 288 vìta tøetí Smlouvy o fungování Evropské unie), ale i ze své dikce adresován èlenským státùm. Jedná se o hlediska, která musí èlenské státy zohlednit pøi stanovení vhodných technických a organizaèních opatøení na ochranu osobních údajù, tj. jakýsi konkretizovaný po¾adavek proporcionality vnitrostátní legislativy. Jde tedy o pokyn, jakým zpùsobem má být smìrnice v této èásti transponována, nikoliv o pravidlo, které by mìl èeský zákonodárce vtìlit do vnitrostátního pøedpisu. V ¾ádném pøípadì proto z tohoto èlánku nevyplývá povinnost èlenských státù ponechat na zpracovatelích a správcích, jaká opatøení na ochranu osobních údajù pøijmou, pokud pøi tom øádnì zohlední v¹echna uvedená hlediska. Smìrnice po¾aduje urèitý minimální standard bezpeènosti osobních údajù, pøièem¾ ponechává na èlenských státech, jakými konkrétními opatøeními tento standard zajistí a zda pøípadnì pøistoupí k vytvoøení vy¹¹ího standardu bezpeènosti osobních údajù. V tomto jsou èlenské státy limitovány právì napøíklad po¾adavkem proporcionality podle èl. 17 odst. 1 vìta druhá smìrnice.
Je proto potøeba posoudit, zda byla vý¹e uvedená hlediska respektována pøi legislativním zakotvení povinností podle ust. § 13 zákona o ochranì osobních údajù a pøi jeho aplikaci. Pouhým pøijetím odpovídající právní úpravy se toti¾ po¾adavek øádné implementace smìrnice pokraèování nevyèerpává (srov. rozsudek Soudního dvora ve vìci C-62/00 Marks & Spencer, Sb.rozh. 2002, s. I-6325, body 27-28). Pøed tím je v¹ak nutno poukázat na rozdílný re¾im ust. § 13 odst. 1 a odst. 4 zákona o ochranì osobních dat.
Èeský zákonodárce v ust. § 13 zákona o ochranì osobních dat zvolil kombinaci obecnì stanovené povinnosti pøijmout opatøení na ochranu osobních údajù (odst. 1) a dále, pouze pro oblast automatizovaného zpracování osobních údajù, povinnosti pøijmout konkrétní opatøení (odst. 4). V prvém pøípadì je volba konkrétních opatøení ponechána na správci a zpracovateli, ov¹em tak, aby byl naplnìn po¾adavek odst. 1 citovaného ustanovení, tj. aby nemohlo dojít k neoprávnìnému nebo nahodilému pøístupu k osobním údajùm, k jejich zmìnì, znièení èi ztrátì, neoprávnìným pøenosùm, k jejich jinému neoprávnìnému zpracování, jako¾ i k jinému zneu¾ití osobních údajù. V pøípadì konkrétních opatøení podle odst. 4 citovaného ustanovení ji¾ tomu tak není. Ta je nutno pøijmout bezvýjimeènì.
Ust. § 13 odst. 4 zákona o ochranì osobních dat lze skuteènì chápat jako upøesnìní odst. 1 citovaného ustanovení, ov¹em nikoliv ve smyslu demonstrativního výètu opatøení ponechaných na volbì správce nebo zpracovatele. Urèitý vztah mezi nimi neznamená, ¾e musí také sdílet toto¾ný re¾im. Zatímco citované ustanovení obecnì po¾aduje dosa¾ení urèitého cíle bez ohledu na konkrétní zvolená opatøení (odst. 1), ve speciálních situacích (automatizované zpracování osobních údajù) ji¾ trvá také na provedení konkrétních opatøení (odst. 4). Obì pravidla jsou proto relativnì samostatná. Z hlediska odst. 4 citovaného ustanovení není rozhodné, zda a do jaké míry dochází zároveò k naplnìní cíle podle odst. 1 citovaného ustanovení. Jeliko¾ je v¹ak nutno opatøení podle odst. 4 citovaného ustanovení pøijmout také , jejich pøijetím není dotèena povinnost podle odst. 1 citovaného ustanovení. Toté¾ platí pro opaènou vazbu mezi obìma odstavci. Splnìním povinnosti podle odst. 1 citovaného ustanovení nejsou nijak dotèeny povinnosti podle odst. 4 citovaného ustanovení, nebo» ty je nutno splnit také . Jakkoliv tedy ust. § 13 odst. 4 zákona o ochranì osobních údajù obsahuje opatøení, která jsou svou povahou zároveò opatøeními v re¾imu odst. 1 citovaného ustanovení (nikoliv v¹ak nutnì postaèujícími), jejich pøijetí zjevnì není, oproti obecnému pravidlu v odst. 1, ponecháno na vùli správce nebo zpracovatele.
Opaèný výklad nelze dovodit ani z novelizace ust. § 13 zákona o ochranì osobních údajù provedené zákonem è. 170/2007 Sb., respektive z dùvodové zprávy k tomuto zákonu. Na jednu stranu sice dùvodová zpráva hovoøí o konkretizaci opatøení po¾adovaných ji¾ na základì odst. 1 citovaného ustanovení, ale na druhou stranu zdùrazòuje, ¾e nové odstavce 3 a 4 pøedstavují vyjádøení konkrétních povinností správcù a zpracovatelù a stanoví pøesný obsah opatøení v rámci plnìní povinnosti správcù (a zpracovatelù) pro zabezpeèení osobních údajù. Dùvodová zpráva tedy jen potvrzuje skuteènost, ¾e povinnost podle ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù je nutno plnit bez ohledu na to, jaká dal¹í opatøení podle odst. 1 citovaného ustanovení jsou správcem èi zpracovatelem pøijata. Stanovením konkrétní povinnosti s pøesným obsahem zjevnì nebylo zamý¹leno ponechat na vùli správce èi zpracovatele, zda danou povinnost bude plnit èi nikoliv.
Ust. § 13 odst. 1 a 4 zákona o ochranì osobních údajù tedy obsahují dvì relativnì samostatné povinnosti, jimi¾ je proveden èl. 17 odst. 1 smìrnice. V posuzované vìci je pøitom sporný soulad zákona se smìrnicí pouze co do povinnosti podle ust. § 13 odst. 4 písm. c) citovaného zákona. Konkrétnì je potøeba posoudit, zda byla tato povinnost zakotvena v souladu s po¾adavkem proporcionality konkretizovaným v èl. 17 odst. 1 vìta druhá smìrnice.
Pøi posuzování pøimìøenosti povinnosti zaznamenávat tzv. logy, tj. poøizovat záznamy o tom kdo, kdy a z jakého dùvodu osobní údaje zaznamenal èi jinak zpracoval, je nutno vzít v úvahu její výslovné omezení na pøípady automatizovaného zpracování osobních údajù. Obecnì ze zpracování osobních údajù tímto zpùsobem, tedy za pou¾ití výpoèetní techniky, plynou vy¹¹í rizika úniku osobních údajù, jejich neoprávnìné zmìny, znièení, ztráty, zpracování èi jiného zneu¾ití, proto¾e výpoèetní technika umo¾òuje rychlé a detailní zpracování velkého mno¾ství dat, jako¾ i jejich snadné a bez zvlá¹tních opatøení následnì jen obtí¾nì zjistitelné kopírování, vèetnì kopírování nepovoleného. Ve své podstatì jsou to právì informaèní systémy provozované pomocí výpoèetní techniky, je¾ jsou svoji podstatou typickým potenciálním objektem zneu¾ití osobních údajù v masovém mìøítku, a to zpùsobem, co do komerèních i jiných mo¾ností vyu¾ití takto získaných dat vysoce spoleèensky nebezpeèným. Toto vy¹¹í riziko pak odùvodòuje zakotvení specifické povinnosti, její¾ plnìní s sebou navíc nenese nepøimìøené náklady. Je-li automatizované zpracování osobních údajù vyu¾íváno, nemù¾e èinit za souèasného stavu techniky problém implementovat do pou¾ívaného systému na zpracování osobních údajù dal¹í vedlej¹í funkci-zaznamenávání urèitých operací tak, aby byla zpìtnì dohledatelná jejich povaha a rozsah. Takové opatøení má vysoký preventivní úèinek zabraòující zneu¾ití údajù z informaèního systému, nebo» ka¾dý, kdo s ním pracuje, si musí být vìdom toho, ¾e je mo¾no zpìtnì ovìøit, kdo, kdy a jakým zpùsobem s informaèním systémem pracoval, a zda se tak dìlo oprávnìnì. Zároveò si lze stì¾í pøedstavit jiné adekvátní opatøení, které by se srovnatelnou úèinností zaji¹»ovalo bezpeènost osobních údajù. V pøípadì splnìní povinnosti podle ust. § 13 odst. 4 zákona o ochranì osobních údajù toti¾ ka¾dá osoba, která neoprávnìnì nakládá s údaji obsa¾enými v systému, jen¾ je automatizovanì zpracovává, si musí být vìdoma toho, ¾e její jednání mù¾e být pomocí takového záznamu zpìtnì dohledáno a odhaleno. Po¾adavek na zaznamenávání tzv. logù proto Nejvy¹¹í správní soud pova¾uje ve v¹ech pøípadech automatizovaného zpracování osobních údajù za plnì legitimní, ¾ádoucí a s ohledem na jeho omezení pouze na pøípady automatizovaného zpracování také pøimìøený. Povinnost podle ust. § 13 odst. 4 zákona o ochranì osobních údajù tedy odpovídá po¾adavkùm èl. 17 odst. 1 smìrnice.
Splnìní uvedené povinnosti se nelze vyhnout poukazem na dodr¾ení podmínek ust. § 13 odst. 1 zákona o ochranì osobních údajù, pota¾mo tvrzením, ¾e bezpeènost osobních údajù je dostateèná. Ministerstvo financí proto nesplnilo povinnosti podle ust. § 13 odst. 4 zákona o ochranì osobních údajù tím, ¾e pøijalo jiná organizaèní a technická opatøení. A to i v pøípadì, ¾e by tato opatøení umo¾òovala s relativnì vysokou mírou pravdìpodobnosti zjistit tu stejnou skuteènost . Cílem opatøení je toti¾ zjistit, kdo a kdy konkrétnì provedl urèitou operaci s osobními údaji, nikoliv pouze s relativnì vysokou mírou pravdìpodobnosti. Tento cíl je legitimní a prostøedky k nìmu vedoucí [opatøení podle ust. § 13 odst. 4 písm. c) zákona o ochranì osobních údajù] proporcionální. V ¾ádném pøípadì tohoto cíle nelze dosáhnout hrozbou sankce za poru¹ení povinnosti mlèenlivosti stanovené v ust. § 52 odst. 1 daòového øádu. Taková povinnost je stanovena i v ust. § 15 zákona o ochranì osobních údajù a nelze tvrdit, ¾e by pouhá mo¾nost ulo¾ení vy¹¹í sankce v pøípadì poru¹ení povinnosti mlèenlivosti podle daòového øádu mìla vést k vylouèení aplikace ust. § 13 odst. 4 zákona o ochranì osobních údajù pouze v oblasti daòové správy. Nejvy¹¹í správní soud proto dospìl k závìru, ¾e ani aplikací zákonné úpravy v daném pøípadì nedo¹lo k rozporu se znìním a úèelem smìrnice.
Jeliko¾ tedy èl. 17 odst. 1 smìrnice byl øádnì implementován, není opodstatnìná ani námitka jeho pøímého úèinku. Otázka pøímého úèinku smìrnice se toti¾ stává aktuální v¾dy teprve a¾ v okam¾iku chybìjící èi ¹patnì provedené implementace (srov. rozsudky Soudního dvora ve vìcech 8/81 Becker, Sb. rozh. 1982, s. 53, bod 20; 103/88 Costanzo, Sb. rozh. 1989, s. 1839, bod 29; C-319/97 Kortas, Sb. rozh. 1999, s. I-3143, bod 21). Není proto dùvod zkoumat dal¹í podmínky nastoupení pøímého úèinku smìrnice. pokraèování Výklad èl. 13 odst. 1 a èl. 17 odst. 1 smìrnice pova¾uje Nejvy¹¹í správní soud, i s ohledem na dosavadní judikaturu Soudního dvora EU, za natolik jasný, ¾e neshledal dùvod polo¾it Soudnímu dvoru EU v tomto smìru pøedbì¾nou otázku (srov. rozsudek Soudního dvora ve vìci 283/81 CILFIT, Sb. rozh. 1982, s. 3415, body 10-20).
Výrok o náhradì nákladù øízení se opírá o ust. § 60 odst. 1 vìta první ve spojení s ust. § 120 s. ø. s. podle kterého, nestanoví-li tento zákon jinak, má úèastník, který mìl ve vìci plný úspìch právo na náhradu nákladù øízení pøed soudem, které dùvodnì vynalo¾il proti úèastníkovi, který ve vìci úspìch nemìl. Nejvy¹¹í správní soud ¾ádnému z úèastníkù náhradu nákladù nepøiznal, proto¾e stì¾ovatel v øízení úspìch nemìl a Úøadu ¾ádné náklady s tímto øízením nevznikly.