Vydání 7/2013

Žalovaný rozhodnutím ze dne 30. 9. 2009 uložil České republice - Ministerstvu financí pokutu ve výši 350 000 Kč za správní delikt dle § 45 odst. 1 písm. h) ZOOÚ.

Žalobce podal proti rozhodnutí žalovaného rozklad, který předseda žalovaného zamítl rozhodnutím ze dne 21. 12. 2009.

Žalobce podal proti rozhodnutí o rozkladu žalobu u Městského soudu v Praze, který ji zamítl rozsudkem ze dne 8. 8. 2012, čj. 10 A 46/2010-62. Působnost Ministerstva financí jakožto správce, resp. zpracovatele osobních údajů v rámci automatizovaného daňového informačního systému (ADIS) v průběhu řízení o žalobě [v důsledku účinnosti zákona č. 199/2010 Sb., kterým se mění zákon č. 586/1992 Sb., o daních z příjmů, ve znění pozdějších předpisů, a zákon č. 218/2000 Sb., o rozpočtových pravidlech a o změně některých souvisejících zákonů (rozpočtová pravidla), ve znění pozdějších předpisů, a některé další zákony] přešla na Generální finanční ředitelství. Jako se žalobcem proto bylo v řízení před městským soudem posléze jednáno s Českou republikou - Generálním finančním ředitelstvím.

Městský soud v odůvodnění rozsudku odkázal na čl. 1, čl. 17 a bod 46 preambule směrnice Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Účelem zákona o ochraně osobních údajů, shodným s cíli směrnice 95/46/ES, je ochrana jednotlivců v souvislosti se zpracováním jejich osobních údajů. Za tímto účelem jsou správci ukládány povinnosti při zabezpečení zpracování těchto údajů. Zabezpečeno má být jakékoli nakládání s osobními údaji zahrnované pod pojem zpracování (""). Cílem právní úpravy v této oblasti je ochrana osob ve vztahu ke zpracování osobních údajů, resp. naplnění jejich práva na ochranu před neoprávněným zasahováním do jejich soukromí v souvislosti se zpracováváním osobních údajů, nikoli ochrana údajů sama o sobě. Rovněž povinnost zabezpečení se netýká údajů samotných, nýbrž celé škály úkonů zahrnovaných pod zákonný pojem zpracování. Zabezpečení osobních údajů ve smyslu § 13 ZOOÚ není činností zahrnovanou pod pojem zpracování osobních údajů dle § 4 písm. e) téhož zákona.

Ustanovení § 3 odst. 6 citovaného zákona stanoví výjimku pro zpracování osobních údajů, kterou je nutno vykládat restriktivně. Tato výjimka nepředstavuje vynětí orgánů daňové správy z působnosti ZOOÚ. Znamená, že správce (či zpracovatele) osobních údajů výjimečně nezavazují pouze § 5 odst. 1 a § 11 a § 12 ZOOÚ pro zpracování osobních údajů nezbytných pro plnění povinností správce, a to v případě, kdy jedná v zájmu zajištění např. významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření. I v případech, kdy žalobce zpracovává osobní údaje nezbytné pro plnění povinností stanovených touto výjimkou dle § 3 odst. 6 citovaného zákona, a kdy není vázán jen § 5 odst. 1 a § 11 a § 12 téhož zákona, je vázán jeho § 13. Vztažení výjimky pro zpracování osobních údajů na správu daní ve smyslu "é" činnosti (jakékoli "é" opatření) by bylo proti smyslu , jak je tento institut vymezen v § 1 odst. 2 zákona č. 280/2009 Sb., daňový řád. Článek 13 směrnice 95/46/ES nezavazuje přijmout legislativní opatření s cílem omezit ve vyjmenovaných oblastech rozsah práv a povinností uvedených v jejím čl. 17 (Bezpečnost zpracování). Ani z důvodové zprávy k zákonu č. 439/2004 Sb., kterým se mění zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, není možno dovodit, že výjimka daná § 3 odst. 6 ZOOÚ znamená vyloučení aplikace celého zákona (včetně § 13).

Městský soud neshledal opodstatněnou námitku, že daňový řád jako procesní právní předpis pro správu daní a zákon č. 531/1990 Sb., o územních finančních orgánech, představují speciální právní předpis s autonomní úpravou ochrany osobních údajů. Tyto zákony neobsahují autonomní celistvou právní úpravu pro zpracování osobních údajů v oblasti daňové správy s cílem ochrany jednotlivce, a nemohou tak vyloučit aplikaci obecné úpravy, kterou představuje ZOOÚ. Zakotvení toliko povinnosti mlčenlivosti a sankce za její nedodržení nemohou garantovat samy o sobě vyšší ochranu zpracovávaným osobním údajům, nahrazující či dokonce přesahující rámec vymezený pravidly pro zpracování osobních údajů ZOOÚ. Povinnost mlčenlivosti je upravena jak v obecném předpise pro správní řízení (správním řádu), tak i v řadě dalších předpisů upravujících konkrétní oblasti veřejné, resp. státní správy.

Z podkladů, jichž se žalobce dovolává nelze jen proto, že je v nich užit pojem , dovozovat, že na žalobce nedopadají povinnosti § 13 ZOOÚ, resp. že výjimka zakotvená v § 3 odst. 6 písm. f) či g) citovaného zákona pod pojmem rozumí správu daní jako takovou. Žalobce pomíjí, že musí jít o zajišťující významný finanční zájem České republiky či Evropské unie.

Původně obecná úprava § 13 ZOOÚ doznala změny, a kromě ustanovení odstavec 3 byla výslovně v odstavci 4 stanovena pro případ automatizovaného zpracování osobních údajů vedle opatření podle odstavce 1 obecně vymezených konkrétně také povinnost mj. pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány. V případě automatizovaného zpracování osobních údajů již není ponecháno úvaze správce, jako u volby opatření podle odstavce 1, jaké konkrétní technické či organizační opatření provede, aby zajistil vyloučení rizik dle odstavce 3. Je zde přímo založena povinnost správce, aby systém pro automatizované zpracování osobních údajů zaznamenával, kdy, kým a z jakého důvodu byly osobní údaje do něj vloženy a jinak zpracovány. Volba tohoto prostředku tak není již ponechána na úvaze konkrétního správce o vyhodnocení rizik, ale jde o prostředek, který v případě automatizovaného zpracování osobních údajů představuje určitý standard, požadovaný zákonem od všech adresátů právní normy, zpracovávají-li osobní údaje automatizovaně. Z článku 17 směrnice 95/46/ES vyplývá, že členským státům bylo ponecháno vymezení povinností, jimiž správce zaváže, s přihlédnutím ke stavu techniky a nákladům na provedení tak, aby opatření zajistila přiměřenou úroveň bezpečnosti odpovídající rizikům. Pro automatizované zpracování osobních údajů představuje uvedený požadavek s ohledem na stav techniky a náklady standard. Městský soud neshledal, že by při zpracování osobních údajů v rámci správy daní daňové orgány měly či mohly být takto stanovené povinnosti zproštěny.

Žalobce (stěžovatel) podal proti rozsudku městského soudu kasační stížnost, v níž namítal, že § 13 ZOOÚ je implementován do českého právního řádu na základě směrnice 95/46/ES. Je třeba odlišovat povinnost členského státu provést směrnici a uložení povinnosti členskému státu, resp. jeho organizační jednotce provést určitá opatření proti neoprávněnému nebo nahodilému přístupu k osobním údajům v rámci automatizovaných informačních systémů. Pokud je povaha § 13 odst. 1 a 4 písm. c) citovaného zákona preventivní, je třeba při ukládání povinností vyjít ze znění ZOOÚ a směrnice 95/46/ES (čl. 17 odst. 1 transponovaný do § 13 odst. 1 uvedeného zákona). Při volbě postupů a opatření ve vnitrostátním právním předpisu k zajištění účelu a smyslu směrnice se na základě principu proporcionality musí poměřovat na jedné straně stav techniky, náklady na provedení příslušných opatření i přiměřená úroveň bezpečnosti odpovídající rizikům zpracování a povaze údajů, na druhé straně i samotné preventivní funkce opatření. Tato odráží obecný princip, že primárním prostředkem ochrany před nezákonným zásahem je především jeho prevence, ovšem s přihlédnutím k povaze každého konkrétního případu. Před novelizací zákonem č. 170/2007 Sb., kterým se mění některé zákony v souvislosti se vstupem České republiky do schengenského prostoru, byly povinnosti správce nebo zpracovatele upraveny relativně neurčitě, kdy bylo na nich, aby sami zhodnotili rizika při zpracování osobních údajů. Důvodem byla ta skutečnost, že podmínky zpracování osobních údajů se u každého správce nebo zpracovatele natolik liší, že jakákoli paušalizace by nebyla efektivní. Technická a organizační opatření volil správce nebo zpracovatel dle úvahy limitované účelem tohoto ustanovení a čl. 17 směrnice 95/46/ES. Stanovení limitů povinností dle čl. 17 této směrnice je nutné vykládat i s přihlédnutím k jejímu bodu 46 preambule. Z uvedeného limitu vyplývá, že testu proporcionality se musí podrobit: odpovídající bezpečnostní opatření zabraňující neoprávněnému zpracování osobních údajů a náklady na jejich provedení, míra rizika ze zpracování údajů, povaha údajů a procesy, které se k nim váží. Rizikovost procesů je snížena technickými opatřeními, kdy je dána úzká souvislost mezi konkrétním daňovým subjektem a konkrétní úřední osobou spravující jeho daň. Je třeba mít dále na zřeteli specifika systému ADIS i samotné správy daní. Opatření dle § 13 odst. 4 písm. c) ZOOÚ by mohlo vést ke zpomalení systému, aniž by současně přineslo odpovídající snížení míry bezpečnostního rizika, přičemž vytvoření nového systému by s sebou neslo značné náklady. Pokud český zákonodárce nepromítl limit aplikace čl. 17 směrnice 95/46/ES, jedná se o porušení povinnosti transponovat směrnici jednotně ve všech členských státech. První věta čl. 17 se jeví spíše obecná. Členský stát může přijmout podrobnější úpravu, ale nemůže netransponovat obecně vyjádřené limity ve větě druhé, jež se vztahují jak k poměřování povinnosti vycházející explicitně z čl. 17 citované směrnice, tak i jeho konkretizování ve vnitrostátním právním předpise. Tímto je totiž explicitním jazykovým výkladem české právní normy v rozporu s uvedenou směrnicí rozšířena povinnost pro všechny správce a zpracovatele, nezávisle na jejich veřejnoprávní nebo soukromoprávní povaze.

Přímý účinek směrnice 95/46/ES vede k jejímu použití namísto chybějícího ustanovení, které by zakládalo limity povinnosti správce nebo zpracovatele dle § 13 odst. 1 ZOOÚ. Podmínky jasnosti, přesnosti i úplnosti a bezpodmínečnosti evropské normy jsou splněny. Jsou splněny i specifické podmínky pro přímý účinek směrnice: marné uplynutí lhůty k řádné implementaci, nedochází k přímému uložení povinnosti, zlepšení právního postavení aktivně legitimovaných přímých či nepřímých beneficiantů směrnice (z hlediska věty druhé čl. 17 směrnice 95/46/ES je beneficiantem správce nebo zpracovatel). Při interpretaci § 13 ZOOÚ je tudíž třeba aplikovat přímý účinek čl. 17 věty druhé citované směrnice. Správní orgán dohledu i soudní orgán je povinen aplikovat i směrnicí stanovené limity.

Přijetím zákona č. 170/2007 Sb. byly do § 13 ZOOÚ zařazeny odstavce 3 a 4, které měly doplnit a upřesnit jeho odstavec 1 s tím, že povinnost správce a zpracovatele zůstala i dle důvodové zprávy stejná. Ustanovení § 13 odstavec 4 uvedeného zákona jen návodně upřesňuje obecnou povinnost správce nebo zpracovatele, což potvrzuje i odborná literatura. Opatření mohou být technická, organizační, právní a jiná. Organizačně-právním opatřením, jež má preventivně působit na úřední osoby a tím jim zabraňovat v neoprávněném zpracování osobních údajů, je v prvé řadě povinnost mlčenlivosti stanovená v § 52 odst. 1 daňového řádu. Porušením této povinnosti, která má stejný charakter i účel jako povinnost dle § 13 odst. 1 ZOOÚ a kterou i doplňuje a rozvíjí, se úřední osoba vystavuje přestupkovému řízení s možnou pokutou až 500 000 Kč. Takovou úpravu lze chápat jako velmi přísnou, tedy z hlediska prevence velmi účinnou. Nadto je každý zaměstnanec o této povinnosti a možných následcích poučen. Stěžovatel dále konkretizoval technická opatření, jež zabraňují v přístupu jakékoli úřední osoby ke všem údajům v systému ADIS, přiblížil přihlašování do systému, přidělování přístupového práva a určování jeho rozsahu a uzavřel, že je ve stávajícím stavu systému ADIS ve spojení s organizačními i technickými opatřeními daňové správy možné s relativně vysokou mírou pravděpodobnosti zjistit, která úřední osoba mohla neoprávněně zpracovávat osobní údaje.

V § 3 odst. 6 ZOOÚ je mezi oblastmi, na které se povinnosti správce uvedené v § 5 odst. 1, § 11 a § 12 nevztahují, uvedena i oblast správy daní. Uvedené povinnosti správce osobních údajů se neaplikují v případě významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření. Z důvodové zprávy vyplývá, že původní znění neodpovídalo znění směrnice 95/46/ES. Demonstrativním výčtem právních předpisů, uvedeným v poznámce pod čarou, jsou do jisté míry stanoveny okruhy činností, jež mají výjimku z uvedených povinností. Pro správu daní je zde uveden zákon č. 212/1992 Sb., o soustavě daní, ve znění zákona č. 302/1993 Sb., přičemž tento byl s účinností k 1. lednu 2004 zrušen. I tak je ale jednoznačně dána výjimka pro správu daní a její jednotlivá daňová řízení (daňová opatření). Pojem je třeba vyložit s ohledem na jeho běžné použití v českých právních předpisech. Jde o každé individuální rozhodnutí v daňové oblasti. Vzhledem k § 5 odst. 1 ZOOÚ, který uvozuje systematicky jeho Hlavu II pojednávající o právech a povinnostech při zpracování osobních údajů, je dána výjimka i v oblasti zaznamenávání logů, protože vysvětlení povinnosti dle § 13 odst. 1 citovaného zákona je třeba chápat jako součást obecné povinnosti správce dle § 5 odst. 1 téhož zákona, zejména pod písm. b).

Žalovaný ve svém vyjádření ke kasační stížnosti uvedl, že ZOOÚ byl do českého právního řádu implementován také na základě směrnice 95/46/ES, nicméně povinnost zajistit vysokou úroveň ochrany osobních údajů České republice ukládá již Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat (č. 115/2001 Sb. m. s.). Vzhledem k bodu 2 preambule a čl. 1 směrnice 95/46/ES je tato směrnice prostředkem ochrany základních práv a svobod fyzických osob, zejména jejich soukromí v souvislosti se zpracováním osobních údajů, a beneficientem práv ze směrnice jsou tedy fyzické osoby (subjekty údajů). Podle bodu 10 preambule implementace směrnice nesmí vést k oslabení této ochrany. Podle jejího čl. 5 je úkolem příslušného státu upřesnit podmínky, za kterých je zpracování osobních údajů přípustné, a stanovit též povinnosti týkající se bezpečnosti zpracování osobních údajů, jak je vymezuje čl. 17. Druhá věta čl. 17 směrnice 95/46/ES stanoví, jakého cílového stavu má být prostřednictvím příslušných opatření dosaženo, a to s ohledem na zde vyjmenované aspekty. Nejedná se o stanovení limitů v rámci bezpečnostních opatření, případně o úlevy pro beneficienta směrnice, za kterého se bezdůvodně považuje sám stěžovatel. V souladu s uvedenými ustanoveními směrnice zákonodárce zakotvil obecnou povinnost přijímat opatření k zabezpečení osobních údajů (§ 13 odst. 1 ZOOÚ) a dále určil, jaká rizika musí být předmětnými opatřeními zohledněna (§ 13 odst. 3 téhož zákona). V § 13 odst. 4 ZOOÚ výslovně nařídil, jaká opatření musí být provedena. Povinnost uložená v § 13 odst. 4 písm. c) citovaného zákona zvyšuje standard bezpečnosti zpracování osobních údajů. Plněním této povinnosti je umožňováno přímo identifikovat osoby mající přístup k osobním údajům, a tedy identifikovat i původce případného narušení bezpečnosti zpracování osobních údajů. Značná část narušitelů bezpečnosti zpracování osobních údajů pochází z řad zaměstnanců správce, případně zpracovatele osobních údajů. Zakotvení tohoto ustanovení svědčí o vysokém stupni implementace směrnice. Ze samotné dikce návětí § 13 odst. 4 téhož zákona ("é") je evidentní, že má povahu a není ustanovením, které jen návodně upřesňuje obecnou povinnost správce nebo zpracovatele s přihlédnutím k rozumným a pro konkrétní případ efektivním opatřením. Závaznost povinností podle tohoto ustanovení potvrzuje i odborná literatura.

Z § 3 odst. 6 uvedeného zákona je především zřejmé, že výjimky nezahrnují správu daní jako takovou, ale pouze určité její části. Významnějším je, že předmětné výjimky zahrnují pouze určitá výslovně uvedená ustanovení ZOOÚ, a nikoliv povinnosti podle § 13. Povinnosti stanovené v § 5 odst. 1 a § 13 citovaného zákona se týkají problematiky zpracování osobních údajů a patří mezi klíčové, což je logickým důvodem pro jejich zařazení do hlavy II. Nicméně jsou obsahově rozdílné a plnění povinnosti podle § 13 nelze chápat jako neoddělitelnou součást povinností zakotvených v § 5 odst. 1 téhož zákona. Článek 13 směrnice 95/46/ES vůbec nepřipouští výjimku z povinnosti zajistit bezpečnost zpracování podle čl. 17 téže směrnice.

daňové předpisy nezakotvují žádnou povinnost při zabezpečení osobních údajů korespondující s povinnostmi podle § 13 ZOOÚ. Za takovou povinnost nelze považovat povinnost mlčenlivosti ani přidělování přístupových práv úředním osobám [to koresponduje pouze s povinností dle § 13 odst. 4 písm. a) citovaného zákona]. Účelem povinnosti dle § 13 odst. 4 písm. c) uvedeného zákona je přímo identifikovat osobu, která mohla neoprávněně zpracovávat osobní údaj, a ověřit její jednání.

Nejvyšší správní soud kasační stížnost zamítl.