Source: http://kraken.slv.cz/3As21/2005
Timestamp: 2018-06-18 00:56:44+00:00
Document Index: 5771133

Matched Legal Cases: ['soud ', '§ 13', 'soud ', '§ 13', '§ 47', 'soud ', '§ 13', '§ 46', 'soud ', 'soud ', '§ 46', 'soud ', 'soud ', '§ 9', 'soud ', '§ 78', '§ 103', 'soud ', '§ 47', '§ 13', '§ 47', '§ 46', '§ 13', 'Soud ', '§ 13', '§ 47', 'soud ', '§ 13', '§ 13', '§ 46', '§ 47', '§ 4', '§ 13', 'soud ', '§ 103', 'Soud ', '§ 47', '§ 13', '§ 47', '§ 46', 'soud ', '§ 13', '§ 4', '§ 47', 'soud ', '§ 4', '§ 13', '§ 4', '§ 4', '§ 13', '§ 13', 'soud ', 'soud ', 'soud ', 'soud ', 'soud ', 'soud ', '§ 1', '§ 13', '§ 4', '§ 47', '§ 13', 'soud ', '§ 47', '§ 47', '§ 47', 'soud ', '§ 10', '§ 11', '§ 16', '§ 19', 'soud ', '§ 13', '§ 17', '§ 13', '§ 46', 'soud ', '§ 13', '§ 13', 'soud ', '§ 13', 'soud ', '§ 13', 'soud ', '§ 13', '§ 13', 'soud ', '§ 78', 'soud ', 'soud ', 'soud ', '§ 9', 'soud ', 'soud ']

3As21/2005
è. j. 3 As 21/2005-105
Nejvy¹¹í správní soud rozhodl v senátì slo¾eném z pøedsedy senátu JUDr. Jaroslava Vla¹ína a soudcù JUDr. Milana Kamlacha a JUDr. Marie Souèkové v právní vìci ¾alobkynì K., a.s., zast. JUDr. Tomá¹em Prokopcem, advokátem se sídlem Praha 1, ©tìpánská 20, proti ¾alovanému Úøadu pro ochranu osobních údajù, sídlem Praha 7, Pplk. Sochora 27, o kasaèní stí¾nosti ¾alobkynì proti rozsudku Mìstského soudu v Praze è. j. 10 Ca 118/2003-61 ze dne 14. 10. 2004,
Odùvodnìní: Vèas podanou kasaèní stí¾ností napadla ¾alobkynì (dále té¾ stì¾ovatelka ) v záhlaví uvedený rozsudek Mìstského soudu v Praze, kterým byla zamítnuta její ¾aloba proti rozhodnutí ¾alovaného è. j. 3047/767/02-SP/R1 ze dne 13. 11. 2002. Pøedseda Úøadu pro ochranu osobních údajù jím zamítl rozklad ¾alobkynì proti rozhodnutí Úøadu pro ochranu osobních údajù (dále jen Úøad ) è. j. 86/02148/INSP/6 ze dne 19. 6. 2002 a napadené rozhodnutí potvrdil. Prvoinstanèním rozhodnutím Úøadu byla ¾alobkyni ulo¾ena pokuta ve vý¹i 3 000 000 Kè za poru¹ení právní povinnosti uvedené v ust. § 13 zákona è. 101/2000 Sb., o ochranì osobních údajù a o zmìnì nìkterých zákonù, ve znìní pozdìj¹ích pøedpisù (dále jen zákon ), jeho¾ se mìla dopustit tím, ¾e minimálnì je¹tì ke dni 23. 1. 2001 nepøijala v¹echna potøebná opatøení, aby nemohlo dojít k neoprávnìnému pøístupu, neoprávnìnému zpracování èi jinému zneu¾ití osobních údajù jejích klientù. V dùsledku uvedeného poru¹ení právní povinnosti do¹lo v èasovém rozmezí od 20. 1. 2001 do 23. 1. 2001 k neoprávnìnému pøístupu a k odcizení záznamového média, obsahujícího významné mno¾ství osobních údajù klientù K., a.s., èím¾ osobní údaje klientù byly vystaveny nebezpeèí jejich neoprávnìného zpracování èi jiného zneu¾ití.
Mìstský soud v Praze se ztoto¾nil se závìrem správních orgánù, ¾e ¾alobce nedostál povinnosti ulo¾ené mu ustanovením § 13 zákona, a to jednáním v úplnosti a v konkrétu popsaným v odùvodnìní obou rozhodnutí. Tato zji¹tìní ostatnì ¾alobce ani nijak nenapadl. Namítá-li, ¾e ¾alovaný nebyl oprávnìn k ulo¾ení pokuty s odkazem na ust. § 47 odst. 2 a 3 zákona, pøisvìdèil Mìstský soud v Praze názoru správních orgánù, ¾e je zde v obsahové náplni zákonných pojmù zpracování a zabezpeèení rozdíl, jako¾ i závìru, ¾e vyvození sankce za poru¹ení povinností stanovených zákonem bylo po dobu vymezenou v pøechodných ustanoveních vylouèeno výslovnì pouze v pøípadech, kdy správce nebo zpracovatel neuvedl do souladu s novou právní úpravou vlastní zpracování osobních údajù, tj. nesplnil povinnosti stanovené novou úpravou pro toto zpracování oproti právní úpravì pùvodní. Povinnost dle § 13 zákona byla zákonem stanovena od 1. 6. 2000 a její poru¹ení bylo proto od tohoto data podle ust. § 46 odst. 1 zákona pod hrozbou sankce. Pravomoc Úøadu ulo¾it za nesplnìní povinností stanovených zákonem pokutu je dána výslovnì a v daném pøípadì není dotèena shora uvedenou výjimkou. Namítá-li pøesto ¾alobce, ¾e k poru¹ení povinnosti nemohlo dojít, nebo» zákon nestanoví, jaká konkrétní opatøení mìla být uèinìna, doplnil Mìstský soud v Praze nad argumentaci uvedenou v odùvodnìní ¾alobou napadeného rozhodnutí, ¾e rámec pro øádné plnìní této povinnosti musí vymezit sám zpracovatel èi správce podle prostøedkù a zpùsobù zpracování a zajistit jej odpovídajícím zpùsobem finanènì, technicky i organizaènì. Dle názoru soudu existuje v oblasti bezpeènostních opatøení k ochranì majetku obecnì a pøi nakládání s osobními údaji, resp. jejich ochranì zvlá¹tì, urèitý soubor bezpeènostních opatøení pova¾ovaný za standard, ani¾ by musel být v zákonì výslovnì vymezen. Jako nedùvodnou posoudil Mìstský soud v Praze rovnì¾ námitku vytýkající napadenému rozhodnutí nedostatek posouzení vý¹e sankce ve smyslu ust. § 46 odst. 5 zákona. S ohledem na výèet skuteèností svìdèících jak ve prospìch, tak v neprospìch ¾alobce neshledal soud sankci v dolní tøetinì zákonné sazby zjevnì nepøimìøenou. Podle soudu také ze spisu nespornì vyplývá, ¾e ¾alobce nebyl zkrácen v právu na øádný proces a na svou obhajobu tím, ¾e jeho zástupci nebylo umo¾nìno nahlédnout do spisu v den tvrzený v ¾alobì, tj. 2. 5. 2002. Øízení bylo zahájeno oznámením doruèeným dne 17. 4. 2002, ¾ádosti o prodlou¾ení lhùty ze dne 26. 4. 2002 bylo vyhovìno a souèasnì byla stanovena lhùta k vyjádøení do 17. 5. 2002. Z protokolu o jednání ze dne 5. 6. 2002 vyplývá, ¾e práva nahlédnout do spisu bylo následnì vyu¾ito, ¾e ¾alobce podal vyjádøení k zahájenému øízení a mohl se do doby vydání rozhodnutí správního orgánu I. stupnì vyjádøit ke v¹em podkladùm a zji¹tìním Úøadu, jako¾ i ¾e tak uèinil. Dùvodnou nakonec soud neshledal ani námitku podjatosti pracovníka správního úøadu. Dùvody vylouèení pracovníka pøesnì vymezuje zákon è. 71/1967 Sb., o správním øízení (správní øád), ve znìní pozdìj¹ích pøedpisù (dále jen správní øád ). Pomìr k vìci, k úèastníkùm nebo zástupcùm nebyl v daném pøípadì zji¹tìn a není ani ve smyslu ust. § 9 správního øádu namítán. Pøedseda Úøadu pak ani vylouèen být nemù¾e, nebo» jako vedoucí ústøedního orgánu státní správy má obdobné postavení jako ministr a není tak dle judikatury Nejvy¹¹ího správního soudu pracovníkem správního orgánu. Samotná okolnost, ¾e pøedseda Úøadu podal veøejnoprávnímu médiu obecnou informaci o zákonem pøedpokládaném postupu Úøadu v dané vìci nakonec není v rozporu se zákonem. Vhodnost podávání této informace pøed tím, ne¾ uplyne dotèenému úèastníkovi lhùta k vyjádøení, je pak podle názoru soudu otázkou profesionálního postoje a pøístupu. Podání obecné informace o tom, jaké øízení probíhá, podle jakého pøedpisu, ¾e se provádí zji¹»ování, resp. ¾e je Úøad, pakli¾e zjistí poru¹ení zákona, povinen (nikoli pouze oprávnìn) ulo¾it sankci, pøedpokládá koneènì i zákon è. 106/1999 Sb., o svobodném pøístupu k informacím. Z uvedených dùvodù Mìstský soud v
Praze ¾alobu podle ust. § 78 odst. 7 zákona è. 150/2002 Sb., soudní øád správní, ve znìní pozdìj¹ích pøedpisù (dále jen s. ø. s. ) jako nedùvodnou zamítl.
Podanou kasaèní stí¾ností napadla stì¾ovatelka rozsudek Mìstského soudu v Praze z dùvodu podle ust. § 103 odst. 1 písm. a) s. ø. s., tedy pro nezákonnost spoèívající v nesprávném posouzení právní otázky soudem. Mìstský soud v Praze se podle jejího názoru nedostateènì vypoøádal s otázkou dopadu ust. § 47 odst. 2 zákona na daný pøípad, a to pøesto, ¾e se jedná o jádro pøedmìtného sporu. Stì¾ovatelka dále cituje ust. § 13, § 47 odst. 2, 3 a § 46 odst. 1 zákona. Z tìchto podle ní jasnì vyplývá, ¾e neuvedl-li správce èi zpracovatel osobních údajù, který provádìl zpracování osobních údajù pøed úèinností zákona, toto do souladu se zákonem do 31. 12. 2001, nemohl být za takovéto jednání sankcionován, a to a¾ do 31. 12. 2002. Podle stì¾ovatelky se jedná o klasický model zmírnìní dopadù nové právní úpravy na správce a zpracovatele osobních údajù, kterým zákonodárce umo¾nil, aby mohlo být ve stanovené lhùtì uèinìno zadost v¹em povinnostem novou právní úpravou ulo¾eným. Za situace, kdy Úøad dospìl ke zji¹tìní o údajném poru¹ení § 13 zákona a¾ v kontrolním protokole ze dne 31. 8. 2001, má stì¾ovatelka za to, ¾e i v pøípadì, pokud by k uvedenému poru¹ení skuteènì do¹lo, nebyl Úøad oprávnìn pokutu ulo¾it, nebo» v té dobì ji¾ byla novela zákona è. 177/2001 Sb. více ne¾ tøi mìsíce úèinná. Stì¾ovatelka nesouhlasí dále se závìrem soudu, podle kterého vyvození sankce za poru¹ení povinností stanovených zákonem bylo po dobu vymezenou v pøechodných ustanoveních výslovnì vylouèeno pouze v tìch pøípadech, kdy správce (zpracovatel) neuvedl do souladu s novou úpravou vlastní zpracování osobních údajù, tj. nesplnil povinnosti novou úpravou pro toto zpracování stanovené oproti pùvodní právní úpravì. Uvedený výklad pova¾uje stì¾ovatelka za úèelový, resp. odporující základním právním zásadám právního øádu Èeské republiky, konkrétnì zákazu retroaktivity zákona. Takový postup by umo¾nil ukládat sankce za nesplnìní povinností stanovených zákonem è. 256/1992 Sb. poté, co byl tento zru¹en zákonem è. 101/2000 Sb. Podle stì¾ovatelky v¹ak není pøípustné, aby za poru¹ení povinností stanovených ji¾ derogovanou právní úpravou byly ukládány sankce podle úpravy nové. Za nesprávný pova¾uje stì¾ovatelka rovnì¾ názor soudu, podle nìho¾ existují urèité standardy bezpeènostních opatøení, které lze realizovat, ani¾ by musely být výslovnì stanoveny zákonem. Uvedený závìr je podle stì¾ovatelky protiústavní, nebo» státní orgány nemohou nutit stì¾ovatelku èinit, co zákon neukládá, resp. jí za toto následnì ukládat sankce. Soud také nepøihlédl ke skuteènosti, ¾e stì¾ovatelka byla v dobré víøe, ¾e splnila povinnosti ulo¾ené jí ustanovením § 13 zákona tím, ¾e zajistila støe¾ení objektu agenturou A.S.S. a pøijala dal¹í bezpeènostní opatøení, co¾ soudu také dolo¾ila. Namítá proto neúmìrnost vý¹e ulo¾ené pokuty a opakuje, ¾e byla zkrácena na svých procesních právech tím, ¾e jejímu právnímu zástupci nebylo umo¾nìno nahlédnout do spisu a seznámit se s dùkazními prostøedky, jako¾ i ¾e ve vìci rozhodovali podjatí pracovníci Úøadu.
®alovaný ve svém vyjádøení ke kasaèní stí¾nosti ze dne 28. 2. 2005 mimo jiné uvádí, ¾e opatøení pro pøechodné období (§ 47 odst. 2 a 3 zákona) bylo zøejmì pøijato proto, aby umo¾nilo správcùm a zpracovatelùm dat uvést svou dosavadní praxi do souladu s novým zákonem, tzn. vytvoøit èasové podmínky pro zavedení nové legislativní úpravy, nikoliv za úèelem prolomení podmínek ochrany osobních údajù do té doby pøedchozím zákonem upravené. Tzv. ochranná lhùta tedy jistì nepøedstavuje obecný zákaz pou¾ití pokut ve stanoveném období. V dal¹ím zejména odkazuje na obsah svého vyjádøení k ¾alobì a na odùvodnìní rozhodnutí pøedsedy Úøadu v dané vìci.
Ze správního spisu zjistil Nejvy¹¹í správní soud tyto pro posouzení vìci rozhodné skuteènosti: Dne 19. 6. 2002 vydal Úøad pro ochranu osobních údajù na základì kontrol provedených ve dnech 28. 5. 2001 a¾ 20. 6. 2001 a 1. 8. 2001 a z nich vyplynuv¹ího protokolu ze dne 31. 8. 2001 rozhodnutí, jím¾ za poru¹ení povinnosti uvedené v § 13 zákona è. 101/2000 Sb. ve smyslu ust. 46 odst. 1 tohoto zákona v tehdy platném znìní ulo¾il stì¾ovatelce pokutu ve vý¹i 3 000 000 Kè. Vzhledem k tomu, ¾e od doby ztráty záznamového média do zahájení kontroly uskuteènila stì¾ovatelka mno¾ství organizaènì technických opatøení vedoucích ke zlep¹ení zabezpeèení informaèního systému, neodpovídala jeho úroveò stavu zabezpeèení v dobì ztráty. Úøad proto pøi posuzování skutkového stavu vycházel i ze skuteèností zji¹tìných v odpovídající dobì Policií ÈR. Pracovníci Slu¾by kriminální policie zjistili, ¾e klíèe od místnosti, z ní¾ bylo zaøízení odcizeno, vlastnilo osm osob a správce. Ke klíèùm správce byl volný pøístup prostøednictvím vrátného. Místnost nebyla nijak zabezpeèena. K celkové ostraze budovy bylo zji¹tìno, ¾e tato sice byla støe¾ena agenturou K.S.S ., leè ze strany této agentury nebyla provádìna ¾ádná kontrola èi ztoto¾nìní osob, které vcházely nebo vycházely z budovy. Policií vyslechnutí pracovníci stì¾ovatelky pak shodnì uvedli, ¾e do místnosti, kde bylo záznamové zaøízení, se vstupovalo dle potøeby, o vstupech se nevedly ¾ádné záznamy. Vést takové záznamy neukládalo pracovníkùm Odboru informaèních systémù stì¾ovatelky ani rozhodnutí øeditele K. ze dne 8. 9. 1997 ( Zaji¹tìní ochrany majetku a. s. K. ), ani pokyn ze dne 10. 1. 2000 Zálohování a ochrana dat . Tento upravoval ochranu dat pouze z hlediska pøístupových práv u¾ivatelù a technický zpùsob zálohování dat; zabezpeèení z hlediska ust. § 13 zákona neøe¹il a neukládal v tomto ohledu zamìstnancùm stì¾ovatelky ¾ádné povinnosti. K námitce, ¾e není mo¾no pøed datem 31. 12. 2002 u¾ít ust. § 46 odst. 1 z dùvodù podle ust. § 47 odst. 2 a 3 Úøad uvedl, ¾e posléze uvedená ustanovení na danou vìc nedopadají, nebo» bezpeènostní opatøení, zejména jejich organizaènì technickou èást, nelze pova¾ovat za zpracování osobních údajù ve smyslu ust. § 4 písm. e) zákona.
Podaný rozklad proti rozhodnutí Úøadu jeho pøedseda zamítl a napadené rozhodnutí potvrdil. Po posouzení prùbìhu správního øízení v prvním stupni v celém rozsahu, zhodnocení dùkazù z hlediska materiální pravdy a souladu se zákonem, dospìl toti¾ k závìru, ¾e správní orgán I. stupnì ve svém rozhodování nepochybil, ¾e do¹lo k poru¹ení § 13 zákona, které je dostateènì prokázané a ¾e vý¹e sankce odpovídá záva¾nosti spáchaného správního deliktu vzhledem k rozsahu osobních údajù, je¾ byly odcizeny spolu se zálohovacím zaøízením.
O ¾alobì proti rozhodnutí pøedsedy Úøadu rozhodl Mìstský soud v Praze, jak bylo uvedeno vý¹e.
Stì¾ovatelka napadla rozhodnutí Mìstského soudu v Praze z dùvodu podle ust. § 103 odst. 1 písm. a) s. ø. s. Soud se podle jejího názoru pøedev¹ím nedostateènì vypoøádal s otázkou dopadu ust. § 47 odst. 2 a 3 zákona na daný pøípad. Z ustanovení § 13, § 47 odst. 2, 3 a § 46 odst. 1 zákona je podle ní zøejmé, ¾e pokud by správce èi zpracovatel osobních údajù, který provádìl zpracování osobních údajù pøed úèinností zákona, neuvedl toto do souladu se zákonem do 31. 12. 2001, nemohl by být za takovéto jednání sankcionován, a to a¾ do 31. 12. 2002. Své pøesvìdèení o tom, ¾e z uvedených ustanovení podaný závìr jasnì vyplývá, ov¹em nijak blí¾e neodùvodòuje ani nerozvádí. Nejvy¹¹í správní soud se s tímto názorem stì¾ovatelky neztoto¾nil.
Klíèovou pro rozhodnutí o této námitce je dle názoru Nejvy¹¹ího správního soudu otázka výkladová, a to zda lze povinnost zabezpeèit osobní údaje stanovenou ustanovením
§ 13 zákona posoudit jako jejich zpracování ve smyslu ust. § 4 písm. e) zákona, jinak øeèeno, zda je mo¾né pojem zabezpeèení pojmu zpracování podøadit. V pøípadì kladné odpovìdi na tuto otázku pak bude nutno posoudit, zda se na takové zpracování vztahují ust. § 47 odst. 2 a 3 zákona.
Co se týká první otázky, vycházel Nejvy¹¹í správní soud ze znìní zákona è. 101/2000 Sb., dùvodové zprávy k nìmu, a zejména pak ze znìní a zpùsobu u¾ití pøedmìtných pojmù smìrnicí Evropského parlamentu a Rady ES/95/46 (dále té¾ smìrnice ), která byla jedním z hlavních východisek pøi zpracování nové právní úpravy, ji¾ citovaný zákon pøedstavuje. Podle ust. § 4 písm. e) zákona se zpracováním osobních údajù rozumí jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádìjí s osobními údaji, a to automatizovanì nebo jinými prostøedky. Zpracováním osobních údajù se rozumí zejména shroma¾ïování, ukládání na nosièe informací, zpøístupòování, úprava nebo pozmìòování, vyhledávání, pou¾ívání, pøedávání, ¹íøení, zveøejòování, uchovávání, výmìna, tøídìní nebo kombinování, blokování a likvidace. Podle ust. § 13 zákona je povinností správce a zpracovatele pøi zabezpeèení osobních údajù pøijmout taková opatøení, aby nemohlo dojít k neoprávnìnému nebo nahodilému pøístupu k osobním údajùm, k jejich zmìnì, znièení èi ztrátì, neoprávnìným pøenosùm, k jejich jinému neoprávnìnému zpracování, jako¾ i k jinému zneu¾ití osobních údajù. Posléze citované ustanovení je pak zahrnuto do èásti první, hlavy druhé zákona, nazvané Práva a povinnosti pøi zpracování osobních údajù. Zabezpeèení osobních údajù tak na jednu stranu není zahrnuto do demonstrativního výètu výkladového ustanovení § 4 písm. e) zákona, na druhou stranu je systematicky zaøazeno do hlavy druhé zákona, je¾ upravuje práva a povinnosti související se zpracováním osobních údajù, mimo jiné i taková, která zákonodárce do výètu ust. § 4 písm. e) pojal ( shroma¾ïování ; uchovávání ).
Dle dùvodové zprávy k § 13 vládního návrhu zákona o ochranì osobních údajù se tímto ustanovením upravují obecné povinnosti pro v¹echny správce, pokud se týèe zaji¹tìní ochrany osobních údajù a jejich bezpeènosti. Opatøeními, která je správce povinen uèinit, se rozumí opatøení technická, organizaèní, právní a jiná. Jimi se má zabránit neoprávnìnému i nahodilému pøístupu, zpracování a zneu¾ívání /vyu¾ívání/ osobních údajù. Údaje musí být chránìny jak vùèi zamìstnancùm, tak jiným osobám, které s nimi oprávnìnì pøicházejí do styku, tak napø. vùèi tzv. prùnikáøùm (hackerùm) Dùvodová zpráva tak sice vysvìtluje, jaká opatøení je zapotøebí pøijmout, aby správce (zpracovatel) dostál své povinnosti ulo¾ené mu ustanovením § 13 zákona, øe¹ení terminologického problému výkladu a aplikace pøedmìtného ustanovení zákona v¹ak nepøiná¹í. Za významnou nicménì v této souvislosti Nejvy¹¹í správní soud pova¾uje skuteènost, ¾e jak dùvodová zpráva, tak i zákon sám, vèetnì jeho názvu u¾ívají shodnì slovních spojení ochrana osobních údajù a zabezpeèení osobních údajù .
Vzhledem k tomu, ¾e zákon è. 101/2000 Sb. je svou podstatou implementací smìrnice ES/95/46 do právního øádu Èeské republiky, vycházel Nejvy¹¹í správní soud pøi hledání odpovìdi na vý¹e polo¾enou výkladovou otázku zejména z jejího znìní. Jeliko¾ je smìrnice jako pramen evropského práva závazná, pokud jde o výsledek, jeho¾ má být dosa¾eno, resp. vá¾e èlenský stát ve vztahu ke svému cíli, zatímco formy a prostøedky ponechává na volbì èlenského státu, zamìøil se Nejvy¹¹í správní soud primárnì na úèel takto implementované právní úpravy. Podle rozsudku Evropského soudního dvora ve vìci 14/83, Sabine von Colson and Elisabeth Kamann v Land Nordrhein-Westfalen [1984] ECR 1891, bod 26. je národní soud pøi aplikaci práva èlenského státu, a obzvlá¹tì pøi aplikaci ustanovení zákona, jen¾ byl pøijat za úèelem implementace smìrnice, povinen vykládat takový zákon ve svìtle pojmosloví(dikce) a úèelu smìrnice. Jak ji¾ Nejvy¹¹í správní soud judikoval, toto pravidlo se vztahuje i na pøípady, kdy se posuzují skutkové okolnosti, k nim¾ do¹lo pøed vstupem Èeské republiky do Evropské unie, a rozhodným právem je právo tehdy úèinné. I pak je nutno ustanovení èeského právního pøedpisu, pøijatého nepochybnì za úèelem sbli¾ování èeského práva s právem Evropských spoleèenství a majícího svùj pøedobraz v právní normì obsa¾ené v právu Evropských spoleèenství, vykládat konformnì s touto normou (podle rozsudku ze dne 29. 9. 2005, èj. 2 Afs 92/2005-45; publikováno ve Sbírce rozhodnutí Nejvy¹¹ího správního soudu pod è. 741/2006).
Smìrnice ES/95/46, její¾ název zní o ochranì jednotlivcù ve vztahu ke zpracování osobních dat a o volném pohybu tìchto dat, zakotvuje ve svém èlánku 1 povinnost èlenských státù zajistit ochranu základních svobod a práv fyzických osob, zejména jejich soukromí v souvislosti se zpracováním osobních údajù. Podle úvodního ustanovení odst. 46 smìrnice vy¾aduje ochrana práv a svobod subjektù údajù v souvislosti se zpracováním osobních údajù, aby byla pøijata odpovídající technická a organizaèní opatøení, a to jak pøi pøípravì zpracování, tak pøi jeho provádìní, zejména za úèelem zaji¹tìní bezpeènosti a zabránìní jakémukoli nepovolenému zpracování; tato opatøení musí zajistit úroveò bezpeènosti odpovídající stavu technického rozvoje a nákladùm na jejich zavedení a zároveò pøimìøenou rizikùm takového zpracování a povaze údajù, které mají být chránìny. Èlánek 17 smìrnice, pojmenovaný Bezpeènost zpracování pak øíká, ¾e správce je povinen pøijmout odpovídající technická a organizaèní opatøení tak, aby nemohlo dojít k nahodilému nebo neoprávnìnému znièení osobních údajù, jejich ztrátì, zmìnì èi neoprávnìnému pøístupu, zejména tam, kde zpracování zahrnuje pøenos dat prostøednictvím sítì, a proti jakýmkoli jiným zpùsobùm neoprávnìného zpracování.
Pøesto¾e zákon è. 101/2000 Sb. ve znìní úèinném v dobì rozhodování správních orgánù výslovné, se smìrnicí konformní oznaèení úèelu neobsahoval (doplnìno zákonem è. 439/2004 Sb.) a i v souèasnosti se nadále dr¾í slovních spojení ochrana osobních údajù, resp. zabezpeèení osobních údajù, je z vý¹e uvedeného zøejmé, ¾e jeho úèelem, shodným s cíly smìrnice, byla od poèátku jednoznaènì ochrana jednotlivcù v souvislosti se zpracováním jejich osobních údajù. Za tímto úèelem jsou pak správci ukládány povinnosti pøi zabezpeèení zpracování tìchto údajù. Zabezpeèeno tedy má být jakékoli nakládání s osobními údaji zahrnované pod pojem zpracování ( processing ). Bezpeèné zpracování osobních údajù má pak nutnì za následek jednak bezpeènost dat samých (následek jaksi samozøejmý), pøedev¹ím v¹ak zaji¹»uje ochranu subjektù tìchto údajù, resp. jejich soukromí, tzn. primární úèel právní úpravy. Nejvy¹¹í správní soud proto uzavírá, ¾e s ohledem na znìní smìrnice, jako¾ i souèasné znìní ust. § 1 zákona byla a je cílem právní úpravy v této oblasti ochrana osob ve vztahu ke zpracování osobních údajù, resp. naplnìní jejich práva na ochranu pøed neoprávnìným zasahováním do jejich soukromí v souvislosti se zpracováváním osobních údajù, nikoli ochrana údajù sama o sobì. Rovnì¾ povinnost zabezpeèení se netýká údajù samotných, nýbr¾ celé ¹kály úkonù zahrnovaných pod zákonný pojem zpracování.
Z dikce smìrnice tedy vyplývá, ¾e zabezpeèení osobních údajù ve smyslu ust. § 13 zákona è. 101/2000 Sb. není jednou z èinností zahrnovaných pod pojem zpracování osobních údajù, demonstrativnì vypoètených v ust. § 4 písm. e) cit. zákona. Tyto termíny oznaèují aktivity druhovì odli¹né, které jsou nicménì ve vzájemném, pro správce (zpracovatele) osobních údajù velmi podstatném vztahu, kdy povinnost zabezpeèení dopadá na ve¹keré úkony zahrnované pod zákonný pojem zpracování osobních údajù (jeho pøípravu i samotné provádìní). Ust. § 47 odst. 2 a 3 zákona se tudí¾ na povinnost podle jeho § 13 nevztahují.
By» je odpovìï na první polo¾enou otázku záporná, pova¾uje Nejvy¹¹í správní soud za vhodné vyjádøit se rovnì¾ k otázce druhé, tj. k tomu, jakých pøípadù se tedy ust. § 47 odst. 2 a 3 zákona týkají, a v dal¹ím textu tak proto èiní.
Zmìna ust. § 47 odst. 2 a doplnìní ust. § 47 odst. 3 byly vèlenìny do zákona è. 101/2000 Sb. zákonem è. 177/2001 Sb., kterým se mìní zákon è. 101/2000 Sb., o ochranì osobních údajù a o zmìnì nìkterých zákonù, ve znìní zákona è. 227/2000 Sb., a zákon è. 65/1965 Sb., zákoník práce, ve znìní pozdìj¹ích pøedpisù. Jeliko¾ jsou tyto zøejmì bez vztahu k ostatním konkrétním zmìnám, které pro správce (zpracovatele) z novely vyplývají, nebylo úmyslem zákonodárce v daném pøípadì zjevnì nic jiného, ne¾ prodlou¾it ji¾ pùvodním znìním zákona upravené pøechodné období a novì zavést beztrestnost poru¹ení povinností novì vzniklých pro správce a zpracovatele osobních údajù v dùsledku pøijetí zákona è. 101/2000 Sb. Vztah je zde tedy jednoznaènì mezi povinnostmi vyplývajícími ze zákona è. 256/1992 Sb., o ochranì osobních údajù v informaèních systémech a zákonem è. 101/2000 Sb., o ochranì osobních údajù, kdy posléze uvedený zákon rozsah povinností souvisejících se zpracováním osobních údajù (døíve provozováním informaèního systému) znaènì roz¹iøuje. Pøechodné období beztrestnosti poru¹ení povinností vyplývajících ze zákona è. 101/2000 Sb. se pak nutnì vztahuje pouze na povinnosti novì stanovené zákonem è. 101/2000 Sb. ve srovnání se zákonem è. 256/1992 Sb, jak správnì uzavøely soud i ¾alovaný správní orgán. Jedná se zejména o povinnosti vyplývající z ustanovení § 10, § 11 odst. 2 (pouèovací povinnost ve vztahu k subjektùm údajù) a odst. 6, § 16 a § 19 (oznamovací povinnost vùèi Úøadu) zákona.
Námitka stì¾ovatelky, ¾e Úøadem byla sankcionována povinnost ulo¾ená podle zákona v dobì rozhodování správního orgánu ji¾ derogovaného a závìr soudu je tudí¾ v tomto ohledu v rozporu se zákazem retroaktivity, není dùvodná. Mìstský soud v Praze v dané souvislosti pouze konstatoval, ¾e povinnost podle ust. § 13 zákona ji¾ byla zahrnuta i do pøedcházející právní úpravy v ust. § 17 písm. i) a ¾e se tedy nejedná o povinnost, kterou by stì¾ovatelka za úèinnosti zákona è. 256/1992 Sb. nemìla. Bez ohledu na dezinterpretaci názoru Mìstského soudu v Praze stì¾ovatelkou v¹ak Úøad v daném pøípadì prokazatelnì rozhodoval podle zákona è. 101/2000 Sb. a ve výroku svého rozhodnutí konstatuje poru¹ení ust. § 13 tohoto zákona, za které ve smyslu jeho ust. § 46 odst. 1 v tehdy platném znìní ulo¾il pokutu ve vý¹i 3 000 000 Kè. Úøad tedy v ¾ádném pøípadì svým rozhodnutím nezalo¾il zpìtnou úèinnost zákona è. 256/1992 Sb., nebo» podle tohoto zákona nerozhodoval.
K tvrzené protiústavnosti názoru soudu, podle nìho¾ existují urèité standardy bezpeènostních opatøení, které lze pøi ochranì osobních údajù realizovat, ani¾ by musely být výslovnì stanoveny zákonem, Nejvy¹¹í správní soud uvádí, ¾e právní názor Mìstského soudu v Praze sdílí a na podporu tohoto názoru odkazuje na vý¹e citovanou dùvodovou zprávu k ust. § 13 zákona, kde se mimo jiné øíká, ¾e opatøeními, která je správce povinen uèinit, se rozumí opatøení technická, organizaèní, právní a jiná. Zákonodárce tak do textu dùvodové zprávy v podstatì zahrnul èást znìní èl. 17 smìrnice (rovnì¾ viz vý¹e), kterou zøejmì neshledal nezbytnou pøi formulaci ust. § 13 zákona, a tuto je¹tì doplnil o opatøení právní a jiná. Jisté skouposti zákonodárce pøi formulaci tohoto ustanovení zákona ve srovnání s textem smìrnice lze jistì litovat a Nejvy¹¹í správní soud pøipou¹tí, ¾e u¾itá dikce klade na správce a zpracovatele v jistém smyslu vy¹¹í nároky, kdy¾ zpùsob a prostøedky zabezpeèení osobních údajù ponechává na jednu stranu jejich vlastní úvaze, na druhou stranu za nesplnìní pøedmìtné povinnosti hrozí pomìrnì vysokými sankcemi. Nelze v¹ak akceptovat smìr, kterým se ubírá argumentace stì¾ovatelky, nebo» tento by v koneèném dùsledku vedl k nepou¾itelnosti ust. § 13 zákona jako celku. V tomto bodu lze poukázat na publikaci
PhDr. Miroslavy Matou¹ové, Osobní údaje a jejich ochrana. Povinnosti správce pøi zpracování; ASPI Publishing; 2003, kde autorka uvádí, ¾e ke ka¾dé technologii existuje soubor bezpeènostních opatøení pova¾ovaný za standard Obecnì vyu¾itelné jsou mezinárodní technické normy (napø. ISO/IEC 17799:2000 Information Technology-Code of Practice of Information Security Management), z nich¾ øada byla vydána jako èeské technické normy (napø. ÈSN ISO/IEC TR 13335 Informaèní technologie-Smìrnice pro øízení bezpeènosti IT 1-3). Nejvy¹¹í správní soud tak uzavírá, ¾e výklad Mìstského soudu v Praze je zcela legitimní, nebo» obecná formulace ust. § 13 zákona nutnì pøedpokládá pøijetí naprosto konkrétních opatøení organizaèních a technických, kdy standard by mìl pøedstavovat jakési nutné minimum. Nejvy¹¹í správní soud pova¾uje v této souvislosti rovnì¾ za významné, ¾e po incidentu s odcizením zálohovacího zaøízení pøijala stì¾ovatelka mno¾ství opatøení, kterými se sna¾ila zabránit mo¾nému opakování podobných událostí (zavedení kontroly re¾imu vstupu do budov spoleènosti; evidence pøidìlování klíèù; evidence vstupu osob do servroven; etc.), a vý¹e naøíkaná skromnost formulace ust. § 13 zákona jí v tom nijak nebránila. Pøedmìtnou námitku je tudí¾ na místì posoudit také jako úèelovou. Vý¹e uvedené lze vztáhnout rovnì¾ na tvrzení stì¾ovatelky o tom, ¾e byla v dobré víøe o splnìní své povinnosti podle ust. § 13 zákona, nebo» zajistila-li støe¾ení objektu bezpeènostní agenturou. O formálnosti této ostrahy pojednává správní spis dostateènì.
Co se týká námitky neúmìrnosti vý¹e ulo¾ené pokuty, ztoto¾òuje se Nejvy¹¹í správní soud s odùvodnìním napadeného rozsudku, jako¾ i obou rozhodnutí správního orgánu. Má-li pokuta naplnit vedle své penalizaèní funkce i úlohu preventivní, musí mít postih sílu odradit od nezákonného postupu i jiné nositele stejných zákonných povinností; tento úèinek pak mù¾e vyvolat jen postih odpovídající významu chránìného zájmu, vèas a vìcnì správnì vyvozený. Jde-li o finanèní postih, musí být znatelný v majetkové sféøe delikventa, tedy být nikoli pro nìho zanedbatelný, a nutnì tak musí v sobì obsahovat i represivní slo¾ku. V opaèném pøípadì by toti¾ postih delikventa smysl postrádal. Moderaèní právo soudu upravené v § 78 odst. 2 s. ø. s., tj. mo¾nost upustit od potrestání èi sní¾ení postihu, má proto místo toliko tam, kde jde o postih zjevnì nepøimìøený (podle rozsudku Mìstského soudu v Praze ze dne 16. 11. 2004, è. j. 10 Ca 250/2003-48; publikováno ve sbírce rozhodnutí Nejvy¹¹ího správního soudu pod è. 560/2005). Nejvy¹¹í správní soud stanovenou vý¹i pokuty zjevnì nepøimìøenou neshledal.
K opakované námitce zkrácení na procesních právech stì¾ovatelky tím, ¾e jejímu zástupci nebylo dne 2. 5. 2002 umo¾nìno nahlédnutí do spisu, Nejvy¹¹í správní soud uvádí, ¾e bylo pouze na rozhodnutí stì¾ovatelky, zda podá své vyjádøení k oznámení o zahájení správního øízení hned 3. 5. 2002, nebo vyu¾ije mo¾nosti nahlédnout do spisu v jiném termínu do 17. 5. 2002 (konec prodlou¾ené lhùty) tak, aby ve svém vyjádøení mohla na pøípadné nové poznatky reagovat. Stì¾ovatelka se rozhodla pro první variantu. Z protokolu o ústním jednání ze dne 5. 6. 2002 pak vyplývá, ¾e zástupce stì¾ovatelky vyu¾il svého práva nahlédnout do spisu ve dnech 16. a 20. 5. 2002, jako¾ i ¾e byla stì¾ovatelka vyzvána, aby pøedlo¾ila dal¹í dùkazy, pøípadnì se ke spisu vyjádøila. Tìchto svých práv vyu¾ila. Ze samotné skuteènosti, ¾e zástupci stì¾ovatelky nebylo dne 2. 5. 2002 z objektivních dùvodù (viz odùvodnìní rozhodnutí o rozkladu) umo¾nìno, aby nahlédl do spisu, proto nelze usoudit na poru¹ení práva stì¾ovatelky na øádný proces. Co se nakonec týká námitky podjatosti pøedsedy Úøadu, ztoto¾òuje se Nejvy¹¹í správní soud se závìrem soudu potud, ¾e v daném pøípadì nejsou splnìny podmínky vylouèení z projednávání a rozhodování vìci tak, jak je upravuje ust. § 9 správního øádu. Pøedseda Úøadu pro ochranu osobních údajù je do funkce jmenován prezidentem a jeho postavení pøedsedy nezávislého úøadu je obdobné postavení ministra. Podle judikatury správních soudù námitka podjatosti ministra nepøichází v úvahu, nebo» jeho postavení v øízení o rozkladu je výluèné a nezastupitelné (podle rozsudku Vrchního soudu v Praze ze dne 28. 2. 2002, è. j. 7 A 138/99-38). Dle názoru Nejvy¹¹ího správního soudu pak z úryvkù novinového èlánku citovaných stì¾ovatelkou v ¾alobì proti druhoinstanènímu rozhodnutí správního orgánu obecnì nevyplývá zaujatost pøedsedy Úøadu vùèi stì¾ovatelce. Lze jí nicménì pøisvìdèit, ¾e vìtou bude to precedenèní rozhodnutí, tak¾e musíme stanovit la»ku vý¹e pokut, pøedseda Úøadu nepøímo pøedjímá, ¾e bude v daném pøípadì poru¹ení povinnosti shledáno. (Vìta, podle ní¾ úøad rozhodl, ¾e bude sankcionovat Komerèní poji¹»ovnu kvùli loòské kráde¾i dat , je formulována autorkou èlánku, nikoli pøedsedou Úøadu.) Ze samotné skuteènosti, ¾e pracovníci Úøadu rozhodli, ¾e se na tento pøípad nevztahuje ochranná lhùta , jako¾ ani z ostatních stì¾ovatelkou citovaných výrokù, v¹ak ¾ádné pøedsudky pøedsedy Úøadu nevyplývají. Jak správnì uvádí Mìstský soud v Praze, podání základních obecných informací o probíhajícím øízení pøedpokládá zákon è. 106/1999 Sb., o svobodném pøístupu k informacím. Svou roli koneènì bezesporu sehrál i zpùsob, jakým byl podaný rozhovor zpracován do finální podoby novinového èlánku. Nejvy¹¹í správní soud proto uzavírá, ¾e by» lze zpùsob (pøedèasnost) podání informací pøedsedou Úøadu posoudit snad jako neprofesionální, nelze z nìj-v dùsledku jedné nevhodnì formulované vìty-usoudit na zaujatost Úøadu èi jeho pøedsedy vùèi stì¾ovatelce, zejména s ohledem na jinak objektivní zpùsob, jakým bylo celé správní øízení vedeno, jako¾ i kvalifikovaná správní rozhodnutí, která byla jeho výsledkem.