I. Ustanovení § 65 zákona č. 273/2008 Sb., o Policii České republiky, jak je vykládáno judikaturou správních soudů, dostatečně stanoví minimální podmínky zpracování osobních údajů (včetně údajů biometrických a genetických) tak, aby mohlo sloužit coby právní základ jejich zpracování podle čl. 8 a čl. 10 směrnice Evropského parlamentu a Rady (EU) 2016/680 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů.
II. Předání odsouzeného mimo věznici v rozporu s § 42a odst. 1 zákona č. 169/1999 Sb., o výkonu trestu odnětí svobody, samo o sobě nezpůsobuje nezákonnost tzv. identifikačních úkonů provedených policií po tomto předání podle § 65 odst. 1 písm. b) zákona č. 273/2008 Sb., o Policii České republiky.
(Podle rozsudku Nejvyššího správního soudu ze dne 15. 12. 2025, čj. 5 As 327/2022-48)
Krajský soud konstatoval, že žalobce byl rozsudkem ze dne 22. 10. 2003, čj. 2 T 3/2003-545, odsouzen pro trestný čin ublížení na zdraví a pokus trestného činu vraždy spáchaného zvlášť surovým nebo trýznivým způsobem, za což byl žalobci uložen trest odnětí svobody v trvání 18 let a zároveň mu bylo uloženo ochranné protialkoholní léčení v ambulantní formě. Z tohoto rozsudku též vyplynulo, že byl žalobce opakovaně soudně trestán. Podle názoru krajského soudu tak provedení identifikačních úkonů u žalobce coby osoby ve výkonu trestu odnětí svobody nebylo možno považovat za nepřiměřené – zásah do žalobcových práv odůvodňuje jeho trestní minulost, závažnost a způsob spáchání trestných činů.
Krajský soud nepřisvědčil ani žalobcově argumentaci, že při namítaném zásahu nebyla dostatečně zjištěna jeho totožnost a že jej nebylo možno považovat za odsouzeného, resp. za osobu ve výkonu trestu odnětí svobody. Z výše uvedeného rozsudku čj. 2 T 3/2003-545 vyplývá, že žalobce byl shledán vinným spácháním brutálních úmyslných trestných činů a odsouzen k úhrnnému nepodmíněnému trestu odnětí svobody. Z ničeho nevyplývalo, že by při identifikačních úkonech došlo k jakékoliv záměně. I z obsahu žaloby vyplynulo, že žalobce byl k provedení identifikačních úkonů eskortován z věznice a že byly získávány právě jeho osobní údaje.
Podle stěžovatele nebylo zpracování jeho osobních údajů nezbytné. Neexistovalo totiž žádné riziko, které by odůvodňovalo postup policie. Pravděpodobnost recidivy byla v době provedení identifikačních úkonů velmi nízká. Ty byly provedeny krátce před vypršením jeho trestu, nebyl vzat v úvahu podstatně zhoršený zdravotní stav stěžovatele ani jeho pokročilý věk.
Žalovaný upozornil, že předmětem řízení je pouze zásah spočívající v provedení identifikačních úkonů kriminalistickým technikem. Domnělé vady, které měly podle stěžovatele provázet jeho převzetí, resp. vydání Policii České republiky, nemohly mít vliv na zákonnost provedení identifikačních úkonů.
Nejvyšší správní soud kasační stížnost zamítl.
Z odůvodnění:
[12] Nejvyšší správní soud konstatuje, že podstatou posuzované věci je otázka zákonnosti postupu žalovaného spočívajícího v sejmutí daktyloskopických otisků z rukou stěžovatele, odebrání jeho biologických vzorků umožňujících získání informací o jeho genetickém vybavení, měření jeho těla a pořízení jeho obrazových záznamů (fotografií) a ve zpracování takto získaných osobních údajů.
[13] Pole § 65 odst. 1 písm. b) zákona č. 273/2008 Sb., o Policii České republiky (dále jen „zákon o policii“),
policie může při plnění svých úkolů pro účely budoucí identifikace u osoby ve výkonu trestu odnětí svobody za spáchání úmyslného trestného činu snímat daktyloskopické otisky, zjišťovat tělesné znaky, provádět měření těla, pořizovat obrazové, zvukové a obdobné záznamy a odebírat biologické vzorky umožňující získání informací o genetickém vybavení
. Podle odstavce 5 téhož ustanovení
policie osobní údaje získané podle odstavce 1 vymaže, jakmile jejich zpracovávání není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti anebo stíhání trestných činů nebo zajišťování bezpečnosti České republiky, veřejného pořádku nebo vnitřní bezpečnosti
.
[14] Usnesením ze dne 27. 3. 2023, čj. 5 As 327/2022-29, Nejvyšší správní soud řízení o kasační stížnosti podle § 48 odst. 3 písm. d) s. ř. s. přerušil, protože vyhodnotil, že pro rozhodnutí ve věci samé je namístě vyčkat rozhodnutí Soudního dvora o předběžných otázkách týkajících se právě § 65 zákona o policii a jeho souladu s jednotnou právní úpravou Evropské unie, konkrétně s čl. 4 odst. 1 písm. c) a e), čl. 8 a čl. 10 směrnice 2016/680. Sedmý senát Nejvyššího správního soudu totiž usnesením ze dne 26. 1. 2023, čj. 7 As 172/2022-49, předložil Soudnímu dvoru tyto předběžné otázky:
1) Jakou míru rozlišování mezi jednotlivými subjekty osobních údajů vyžaduje čl. 4 odst. 1 písm. c) či čl. 6 ve spojení s čl. 10 směrnice č. 2016/680? Je slučitelné s imperativem minimalizace zpracování osobních údajů, stejně jako povinnosti rozlišovat mezi různými kategoriemi subjektů údajů, aby vnitrostátní právní úprava umožňovala odběr genetických údajů s ohledem na všechny osoby podezřelé nebo obviněné ze spáchání úmyslného trestného činu?
2) Je v souladu s čl. 4 odst. 1 písm. e) směrnice č. 2016/680, pokud je s odkazem na obecný účel předcházení, vyhledávání nebo odhalování trestné činnosti potřebnost pokračujícího uchovávání profilu DNA hodnocena orgány Policie na základě jejich interních předpisů, což v praxi často znamená uchovávání citlivých osobních údajů na dobu neurčitou, aniž by byl stanoven jakýkoliv maximální časový limit pro uchovávání těchto osobních údajů? Pokud to v souladu není, s ohledem na jaká kritéria má být případně hodnocena časová přiměřenost uchovávání osobních údajů shromážděných a uchovávaných s tímto cílem?
3) V případě zvláště citlivých osobních údajů spadajících pod čl. 10 směrnice č. 2016/680, jaký je minimální rozsah hmotně-právních či procesních podmínek získávání, uchovávání, a vymazání těchto údajů, který musí být v právu členského státu upraven ‚obecně závazným předpisem‘? Může mít kvalitu ‚práva členského státu‘ ve smyslu článku 8 odst. 2 ve spojení s čl. 10 směrnice 2016/680 také
judikatura
soudní?
[15] Jak již Nejvyšší správní soud upozornil v usnesení čj. 5 As 327/2022-29, pro posuzovanou věc byla podstatná odpověď na třetí z těchto otázek, neboť se týkala dostatečnosti české právní úpravy získávání a zpracování citlivých osobních údajů pro účely budoucí identifikace. Pokud by byla česká právní úprava shledána rozpornou s právem Evropské unie, nezbylo by než považovat jakékoliv zpracování biologických vzorků DNA a na jejich základě pořízených profilů DNA automaticky za nezákonné (srov. bod 54 usnesení čj. 7 As 172/2022-49) – i takové vzorky přitom byly stěžovateli odebrány.
[16] Soudní dvůr rozsudkem ze dne 20. 11. 2025,
JH proti Policejnímu prezidiu
, C-57/23, rozhodl o sedmým senátem Nejvyššího správního soudu předložených předběžných otázkách takto:
1) Články 8 a 10 směrnice 2016/680 musí být vykládány v tom smyslu, že pokud jde o shromažďování, uchovávání a výmaz biometrických a genetických údajů, musí být pojem ‚právo členského státu‘ ve smyslu těchto článků chápán tak, že se vztahuje na obecně závazný předpis, který stanoví minimální podmínky shromažďování, uchovávání a výmazu takových údajů, jak je vykládán judikaturou vnitrostátních soudů, za předpokladu, že je tato
judikatura
dostupná a dostatečně předvídatelná.
2) Článek 6 a čl. 4 odst. 1 písm. c) směrnice 2016/680 posuzovaný ve spojení s článkem 10 této směrnice musí být vykládány v tom smyslu, že nebrání vnitrostátní právní úpravě, která bez rozlišování umožňuje shromažďování biometrických a genetických údajů všech osob obviněných nebo podezřelých ze spáchání úmyslného trestného činu, pokud účely tohoto shromažďování nevyžadují rozlišování mezi těmito dvěma kategoriemi osob a správci jsou v souladu s vnitrostátním právem, včetně judikatury vnitrostátních soudů, povinni dodržovat všechny zásady a zvláštní požadavky stanovené v článcích 4 a 10 uvedené směrnice.
3) Článek 4 odst. 1 písm. e) směrnice 2016/680 musí být vykládán v tom smyslu, že nebrání vnitrostátní právní úpravě, podle níž je potřebnost pokračujícího uchovávání biometrických a genetických údajů hodnocena orgány policie na základě interních předpisů, aniž by tato právní úprava stanovila maximální časový limit pro uchovávání, za předpokladu, že uvedená právní úprava stanoví přiměřené lhůty pro pravidelný přezkum potřeby uložení těchto údajů a že je při tomto přezkumu posouzena naprostá nezbytnost prodloužení jejich uchovávání.
[17] Jak již bylo naznačeno shora, pro nyní posuzovanou věc byla rozhodná třetí otázka, kterou bylo podle Soudního dvora třeba zodpovědět jako první – odpověď na otázku 3) je tedy ve výše uvedené citaci pod bodem 1). Odpověď 2) rozsudku Soudního dvora ve věci C-57/23 není pro nyní řešenou věc rozhodná, neboť se týká požadavku na diferenciaci shromažďování biometrických údajů osob obviněných a podezřelých ze spáchání úmyslného trestného činu, přičemž v posuzované věci jde o osobu, která byla odsouzena a vykonávala trest odnětí svobody, a jde tedy o osobu, u které je nepochybně zájem na získání o uchování osobních údajů nejsilnější. Odpověď 3) se pak zabývá hodnocením potřebnosti pokračujícího zpracování. V posuzované věci jde však o prvotní zpracování, nikoliv o zpracování, které by se mohlo stát nezákonným zásahem v důsledku běhu času nesprávným vyhodnocením potřebnosti dalšího zpracovávání osobních údajů.
[18] Jak uvedl Soudní dvůr, podstatou otázky zodpovězené pod bodem 1) bylo, zda musí být čl. 8 a čl. 10 směrnice 2016/680 vykládány v tom smyslu, že pokud jde o shromažďování, uchovávání a výmaz biometrických a genetických údajů, musí být pojem
právo členského státu
ve smyslu těchto ustanovení chápán tak, že se vztahuje pouze na obecně závazný předpis, který stanoví minimální podmínky shromažďování, uchovávání a výmazu takových údajů, nebo zda pod tento pojem může spadat i
judikatura
vnitrostátních soudů, která tyto podmínky upřesňuje.
[19] Podle čl. 8 směrnice 2016/680 totiž:
1. Členské státy stanoví, že zpracování je zákonné, pouze pokud je nezbytné ke splnění úkolu prováděného příslušným orgánem pro účely stanovené v čl. 1 odst. 1 a v rozsahu nezbytném pro tyto účely a
pokud má základ v právu Unie nebo členského státu
. 2. Právo členského státu upravující zpracování v oblasti působnosti této směrnice stanoví alespoň cíle zpracování, osobní údaje, jež mají být zpracovány, a účely zpracování.
[20] Podle čl. 10 téže směrnice pak
zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, a zpracovaní genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, údajů o zdravotním stavu nebo údajů o sexuálním životě či sexuální orientaci fyzické osoby je povoleno pouze tehdy, pokud je zcela nezbytné, pokud existují vhodné záruky práv a svobod subjektu údajů a: a)
pokud je povoleno právem Unie nebo členského státu
; b) na ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; nebo c) pokud se týká údajů zjevně zveřejněných subjektem údajů
.
[21] Soudní dvůr upozornil, že „
pojem ‚právo členského státu‘ použitý v těchto článcích 8 a 10 je tudíž třeba chápat tak, že v oblasti působnosti směrnice 2016/680 konkretizuje podmínku stanovenou v čl. 8 odst. 2 Listiny
[základních práv Evropské unie]
, podle níž jakékoli zpracování osobních údajů, které není prováděno na základě souhlasu dotčené osoby, musí být prováděno na základě jiného oprávněného důvodu stanoveného zákonem, což je podmínka, která sama o sobě pouze odráží požadavek stanovený v článku 52 Listiny, podle kterého musí být každé omezení výkonu základních práv uznaných touto listinou stanoveno zákonem.
Tento pojem tedy souvisí s platností použití vnitrostátního práva jako právního základu pro zpracování osobních údajů.
“ V bodě 54 rozsudku ve věci C-57/23 pak Soudní dvůr shrnuje, že pojem
právo členského státu
(coby právní základ pro zpracování osobních údajů) musí být „
chápán tak, že může odkazovat na právní předpis, který výslovně upravuje zpracování osobních údajů v oblasti působnosti této směrnice, jak je vykládán
[upřesněn]
judikaturou vnitrostátních soudů
“ – právo v tomto chápání však musí být jasné, přesné a předvídatelné. Aby mohlo být právo členského státu základem pro zpracování osobních údajů, přímo z obecného závazného právního předpisu musí vyplývat alespoň zpracováním sledované cíle, dotčené osobní údaje a účely zpracování.
[22] Nejvyšší správní soud je přesvědčen, že česká právní úprava Soudním dvorem vznesené požadavky splňuje. Ustanovení § 65 zákona o policii obsahuje cíle zpracování – tak je třeba číst jeho odstavec 5, který stanoví, že je nutno osobní údaje vymazat, jakmile
jejich zpracovávání není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti anebo stíhání trestných činů nebo zajišťování bezpečnosti České republiky, veřejného pořádku nebo vnitřní bezpečnosti
. Ačkoliv zákon hovoří o účelech, prismatem směrnice 2016/680 se podle názoru Nejvyššího správního soudu jedná o cíle zpracování, neboť ty je nutno chápat jako „
obecnější účely uvedené v čl. 1 odst. 1 směrnice 2016/680
“, tj. prevenci, vyšetřování, odhalování či stíhání trestných činů nebo výkon trestů, včetně ochrany před hrozbami pro veřejnou bezpečnost a jejich předcházení (viz bod 81 rozsudku ve věci C-57/23). Ustanovení § 65 odst. 1 zákona o policii rovněž stanoví účely zpracování: budoucí identifikace při plnění úkolů Policie České republiky. Stejně tak uvádí, jakých osobních údajů se zpracování týká: Policie České republiky může
snímat daktyloskopické otisky, zjišťovat tělesné znaky, provádět měření těla, pořizovat obrazové, zvukové a obdobné záznamy a odebírat biologické vzorky umožňující získání informací o genetickém vybavení
. Obecně závazný předpis tedy cíle a účely zpracování i dotčené osobní údaje specifikuje.
[23] Pro úplnost Nejvyšší správní soud dodává, že § 65 zákona o policii není jediným ustanovením normujícím zpracování osobních údajů v souvislosti s činností policie. V tomto ohledu je třeba zmínit zejména § 79 téhož zákona upravující pravidla zpracování některých citlivých údajů (odstavec 3), způsob evidování a použití evidovaných osobních údajů (odstavce 4 až 6) či povinnost zpracovávat osobní údaje pouze, je-li to nezbytné k plnění úkolů v souvislosti s výše uvedenými cíli zpracování (odstavec 2). Postupovat tak, aby případný zásah do práv a svobod osob nepřekročil nezbytnou míru, je koneckonců základní povinností každého policisty i zaměstnance policie [§ 11 písm. c) zákona o policii]. Zásady a pravidla pro zpracování osobních údajů (včetně úpravy záruk práv subjektů údajů, resp. povinnosti tyto záruky poskytnout) blíže rozvádí zákon č. 110/2019 Sb., o zpracování osobních údajů, a to ve vztahu k úkolům policie zejména v hlavě III.
[24]
Judikatura
správních soudů pak výkladem dovodila požadavky, jejichž cílem je především dodržování zásady minimalizace zpracování osobních údajů a přiměřenosti zásahu do práv subjektů údajů – zejména povinnost policie před přistoupením ke zpracování osobních údajů zohlednit mimo jiné dosavadní trestnou činnost pachatele, typovou i individuální závažnost trestné činnosti, v souvislosti s níž má dojít k odběru vzorku, i osobu pachatele včetně jeho věku (srov. zejm. rozsudky NSS ze dne 18. 5. 2022, čj. 5 As 254/2019-49 a čj. 5 As 241/2019-46, či ze dne 2. 4. 2020, čj. 2 As 164/2019-30, č. 4018/2020 Sb. NSS, a na ně navazující další judikaturu, např. rozsudky NSS ze dne 28. 11. 2022, čj. 10 As 300/2022-20, ze dne 10. 8. 2023, čj. 2 As 115/2023-38, ze dne 15. 6. 2023, čj. 2 As 252/2021-25, či rozsudek ze dne 21. 11. 2025, čj. 21 As 121/2025-36, z rozhodovací praxe krajských soudů srov. např. rozsudky Krajského soudu v Brně ze dne 1. 4. 2025, čj. 31 A 66/2024-63, Krajského soudu v Praze ze dne 4. 7. 2024, čj. 51 A 96/2023-52, Krajského soudu v Plzni ze dne 19. 12. 2022, čj. 55 A 59/2022-113, či Krajského soudu v Ostravě – pobočky v Olomouci ze dne 20. 2. 2024, čj. 65 A 91/2023-61). Nutno podotknout, že obdobná kritéria považuje při hodnocení, zda je zpracování osobních údajů (zcela) nezbytné, za podstatná též
judikatura
Soudního dvora (srov. bod 84 rozsudku ve věci C-57/23, či rozsudek ze dne 26. 1. 2023,
Ministerstvo na vatrešnite raboty
, C-205/21, bod 132).
[25] Samotná skutečnost, že
judikatura
správních soudů dovodila pro zpracování osobních údajů na základě § 65 zákona o policii bližší požadavky, však ještě bez dalšího neznamená, že její výklad obecně závazných předpisů lze považovat za
právo členského státu
ve smyslu čl. 8 a čl. 10 směrnice 2016/680. Soudní dvůr v rozsudku ve věci C-57/23 totiž vysvětlil, že
právo členského státu
je třeba chápat jako obecný právní předpis stanovující minimální podmínky shromažďování, uchovávání a výmazu osobních údajů, jak je vykládán judikaturou vnitrostátních soudů, ovšem pouze pokud je tato
judikatura
dostupná a dostatečně předvídatelná
.
[26] Podle názoru Nejvyššího správního soudu
judikatura
správních soudů kritérium dostupnosti splňuje. Právní řád sice Nejvyššímu správnímu soudu nestanoví povinnost uveřejňovat rozhodnutí správních soudů, jeho oprávnění tak činit však vyplývá z § 5 odst. 5 zákona č. 106/1999 Sb., o svobodném přístupu k informacím. V souladu s § 129 Kancelářského a spisového řádu Nejvyššího správního soudu přijatého směrnicí č. 3/2017 (ve znění pozdějších směrnic) se na internetových stránkách soudu zveřejňují jeho anonymizovaná (pseudonymizovaná) rozhodnutí. Jedná se sice pouze o interní dokument Nejvyššího správního soudu, v jeho důsledku je ovšem fakticky jeho
relevantní
rozhodovací činnost volně dostupná na internetu na stránkách www.nssoud.cz. Na stránkách Nejvyššího správního soudu je dostupná i většina rozhodnutí krajských soudů, jde-li o rozhodnutí v řízeních podle soudního řádu správního.
[27] Co se týče dostatečné předvídatelnosti judikatury, Soudní dvůr odkázal na východiska rozsudky Evropského soudu pro lidská práva ze dne 26. 4. 1979,
The
S
unday Times proti Spojenému království
, stížnost č. 6538/74, ze dne 1. 7. 2008,
Liberty a další proti Spojenému království
, stížnost č. 58243/00 a rozsudek velkého senátu ze dne 4. 12. 2008,
S. a Marper proti Spojenému království
, stížnosti č. 30562/04 a č. 30566/04. Podle této judikatury Evropského soudu pro lidská práva je kvalitativním požadavkem práva jeho předvídatelnost. Pramen práva musí být dostatečně přesně formulovaný, aby dotyčným jednotlivcům umožnil regulovat jejich chování, což předpokládá, že dostatečně jasně vymezuje rozsah a způsoby výkonu pravomoci svěřené příslušným orgánům.
[28] Nejvyšší správní soud zdůrazňuje, že Evropský soud pro lidská práva ve výše uvedeném rozsudku ve věci
The Sunday Times proti Spojenému království
v bodě 49 v kontextu hodnocení předvídatelnosti práva výslovně připustil, že dostatečná předvídatelnost práva neznamená, že musejí jednotlivci být schopni právní důsledky svého jednání předvídat s absolutní jistotou – takový stav Evropský soud pro lidská práva označil za nedosažitelný, neboť by znamenal excesivní rigiditu, při níž by právo nebylo schopno držet krok s měnícími se okolnostmi, pročež je právo nevyhnutelně dotčeno neurčitými pojmy, jejichž intepretace a aplikace je otázkou praxe. Jednoduše řečeno, právo musí být dostatečně obecné, aby mohlo regulovat i takové situace, které historický zákonodárce ani nemohl předvídat. Rovněž Soudní dvůr v bodě 53 rozsudku ve věci C-57/23 uznává, že akt dovolující zásah do základních práv uznávaných Listinou základních práv Evropské unie sice musí definovat rozsah tohoto omezení, může tak však učinit dostatečně širokým způsobem, aby se mohlo přizpůsobit odlišným případům a změnám situace, a může být případně výkladem upřesněn jeho konkrétní rozsah.
[29] K tomu je třeba poznamenat, že míra přípustné obecnosti právní úpravy spojená s nižší předvídatelností bezesporu souvisí i s upravovanou právní oblastí. Právě oblast ochrany osobních údajů je charakteristická nepřeberným množstvím proměnných (technologické možnosti správců a zpracovatelů osobních údajů, nákladnost opatření k ochraně osobních údajů, povaha, rozsah a kontext zpracování, různé míry rizikovosti zpracování různých osobních údajů). Jen stěží si lze představit právní úpravu, která by umožňovala zohlednit veškeré
relevantní
okolnosti zpracování a zároveň by (bez nutnosti
interpretace
obecných právních pojmů) poskytovala jasnou odpověď na otázku, které zpracování je zákonné, a které nikoliv.
[30] Uvedenému ostatně odpovídá i způsob právní regulace ochrany osobních údajů v obecné rovině. Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), které je i mezi česky hovořícími běžně známo pod zkratkou GDPR (
General Data Protection Regulation
), rovněž stanoví zejména obecné zásady zákonnosti, korektnosti a transparentnosti, účelového omezení, minimalizace údajů, přesnosti, omezení uložení a integrity a důvěrnosti (čl. 5 odst. 1 tohoto nařízení). Ty sice v některých ustanoveních konkretizuje, zachování jejich smyslu je ovšem především na každém správci osobních údajů – viz zejm. čl. 5 odst. 2 tohoto nařízení (za dodržování zásad odpovídá správce, který musí navíc být schopný dodržení souladu doložit) či čl. 25, který explicitně předvídá povinnost správce osobních údajů zavést vhodná technická a organizační opatření, jejichž účelem je
provádět
zásady ochrany osobních údajů. Obecné nařízení k ochraně osobních údajů předvídá dále možnost uložit správní pokutu i za porušení nikoliv jen konkretizovaných norem, ale též za porušení zásad pro zpracování osobních údajů [čl. 83 odst. 5 písm. a) tohoto nařízení]. Obecné nařízení k ochraně osobních údajů tedy samo představuje obecnou úpravu založenou především na zásadách; v tomto ohledu srov. např. sdělení Komise Evropskému parlamentu a Radě ze dne 24. 6. 2020, část 2 – Hlavní zjištění –
Použití nařízení GDPR na nové technologie
, tj. zprávu o hodnocení a přezkumu obecného nařízení k ochraně osobních údajů podle čl. 97 tohoto nařízení. Obecné nařízení o ochraně osobních údajů se sice nepoužije na zpracování osobních údajů za účely (cíli) uvedenými v § 65 zákona o policii kvůli výluce z věcné působnosti stanovené v čl. 2 odst. 2 písm. d) tohoto nařízení, i tak jej však lze uvést jako ilustraci vhodné právní úpravy ochrany osobních údajů. Nejvyšší správní soud tak s ohledem na to považuje poměrně vysokou míru obecnosti právní úpravy v oblasti ochrany osobních údajů za vcelku nezbytnou a žádoucí.
[31] Česká právní úprava jasně stanoví případy, v nichž musí jednotlivec počítat s eventualitou, že budou jeho osobní údaje zpracovány pro účely budoucí identifikace, a to v jednoznačně vymezených situacích v § 65 odst. 1 zákona o policii (zejména v případě podezření, obvinění či výkonu trestu odnětí svobody za spáchání úmyslného trestného činu nebo v případě osob, jimž bylo uloženo ochranné léčení nebo zabezpečovací
detence
). Ačkoliv podle tohoto ustanovení policie při plnění svých úkolů v takových případech může získávat osobní údaje, a je tedy primárně na jejím uvážení, jestli k identifikačním úkonům přistoupí, je při své úvaze limitována tím, že získané osobní údaje musí vymazat, jakmile jejich zpracování není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti anebo stíhání trestných činů nebo zajišťování bezpečnosti České republiky, veřejného pořádku nebo vnitřní bezpečnosti (viz § 65 odst. 5 zákona o policii). Tím pádem policie nemůže odebrat vzorky podle § 65 odst. 1 zákona o policii, nejsou-li pro vytyčené účely (cíle) nezbytné. S ohledem na obecné požadavky na minimalizaci zásahu do práv a svobod osob totiž jen stěží může obstát provedení identifikačních úkonů k získání osobních údajů, které nemohou být zpracovávány (musejí být vymazány). Výše uvedená
judikatura
pak konkretizuje hlediska, z jejichž pohledu se v individuálních případech zvažuje, zda je konkrétní zpracování osobních údajů nezbytné a zda je zásah do práv subjektu údajů přiměřený.
[32] Jak vyplývá z výše uvedeného, česká právní úprava je zcela jasná, pokud jde o vymezení případů, kdy je provedení identifikačních úkonů podle § 65 odst. 1 zákona o policii myslitelné. Nelze předem s absolutní jistotou určit, v jakých případech pak bude zpracování osobních údajů nezbytné, jsou však známa kritéria, na jejichž základě se potřebnost zpracování v individuálních případech posuzuje. Podle názoru Nejvyššího správního soudu taková právní úprava (včetně jejího výkladu) odpovídá povaze ochrany osobních práv a jejím specifikům, jak byly popsány shora. Pokud by měla tato kritéria nahradit nad míru podrobná pravidla, vedlo by to k Evropským soudem pro lidská práva předvídané rigiditě regulace a nedostatečnému prostoru pro zvážení individuálních okolností každého případu a v konečném důsledku paradoxně ke zpracování údajů nepotřebných či naopak nezpracování údajů, které jsou pro plnění úkolů policie nezbytné. Nejvyšší správní soud proto považuje právní úpravu (včetně jejího soudního výkladu) za dostatečně předvídatelnou.
[33] Nutno podotknout, že § 65 odst. 1 zákona o policii byl podroben i přezkumu ze strany Ústavního soudu, který nálezem ze dne 22. 3. 2022, sp. zn. Pl. ÚS 7/18, č. 119/2022 Sb., zamítl návrh Městského soudu v Praze na jeho zrušení v části týkající se možnosti odebírat biologické vzorky umožňující získání informací o genetickém vybavení. V tomto nálezu se Ústavní soud zabýval mimo jiné právě otázkou dostatečné přesnosti právní úpravy a neshledal, že by její přílišná obecnost či neúplnost způsobovala protiústavnost posuzovaného ustanovení [viz blíže část IX d) uvedeného nálezu].
[34] Nejvyšší správní soud uzavírá, že podle jeho názoru právo České republiky upravující shromažďování, uchování a výmaz osobních údajů (včetně údajů biometrických a genetických), jak je vykládáno dostupnou a dostatečně předvídatelnou judikaturou správních soudů, stanovuje dostatečně minimální podmínky zpracováních těchto osobních údajů tak, aby mohlo sloužit coby právní základ zpracování ve smyslu čl. 8 a čl. 10 směrnice 2016/680 (resp. coby
jiný oprávněný důvod
pro zpracování ve smyslu čl. 8 odst. 2 Listiny základních práv Evropské unie). Zpracování stěžovatelových osobních údajů proto nelze považovat za nezákonné z důvodu, že pro takové zpracování chybí právní základ, respektive oprávněný důvod.
[35] Nad rámec nezbytného odůvodnění Nejvyšší správní soud dodává, že zákon ani
judikatura
doposud neurčily hranici mezi nezbytností zpracování coby součásti obecných zásad zpracování osobních údajů ve smyslu čl. 4 odst. 1 písm. c) směrnice 2016/680 a
zcela nezbytným
zpracováním ve smyslu čl. 10 téže směrnice upravující zpracování zvláštních kategorií osobních údajů. Česká právní úprava však i v tomto směru umožňuje eurokonformní výklad, neboť správním soudům nic nebrání za nezákonný zásah považovat pouze zpracování biometrických údajů pro nesplnění podmínky
naprosté nezbytnosti
zpracování a ve vztahu ke zpracování ostatních osobních údajů žalobu zamítnout. Stejně tak policejní orgán
může
přistoupit k provedení jednotlivých identifikačních úkonů, není nucen tak činit paušálně ani získávat všechny osobní údaje, o nichž § 65 zákona o policii pojednává – právě skutečnost, že policejní orgán není povinen osobní údaje shromáždit ve všech případech, byla podstatná také při rozhodování Soudního dvora ve věci C-57/23 [byť ve vztahu k odpovědi 2), srov. zejm. body 89 a 90 odkazovaného rozsudku]. S podmínkou naprosté nezbytnosti by naopak byla v rozporu právní úprava vyžadující systematické shromažďování biometrických a genetických údajů každého obviněného z úmyslného trestného činu, tj. bez možnosti zvážení naprosté nezbytnosti zpracování (viz blíže bod 135 rozsudku ve věci C-205/21). Nejvyšší správní soud upozorňuje, že relativně vysoká obecnost účelu zpracování stanoveného v § 65 odst. 1 zákona o policii implikuje v případě citlivých údajů potřebu o to přísnějšího posouzení, zda jsou dány specifické okolnosti svědčící o
naprosté nezbytnosti zpracování
, tj. zejména, zda účelu zpracování nelze dosáhnout prostřednictvím jiných kategorií údajů než těch vyjmenovaných v čl. 10 směrnice 2016/680 (přiměřeně srov. bod 82 rozsudku ve věci C-57/23 či bod 127 rozsudku ve věci C-205/21).
[36] V posuzované věci krajský soud vycházel ze stejných východisek, jako byla dovozena výše zmíněnou judikaturou správních soudů, a zohlednil v ní vytčená kritéria, přičemž dospěl k závěru, že v případě stěžovatele zpracování osobních údajů (včetně profilu DNA) splňuje kritéria přiměřenosti a nezbytnosti. Na pomyslnou misku vah ve prospěch nutnosti zpracování stěžovatelových osobních údajů položil zejména, že byl stěžovatel trestán opakovaně a že byl odsouzen za trestný čin ublížení na zdraví a pokus trestného činu vraždy spáchaného zvlášť surovým nebo trýznivým způsobem k trestu odnětí svobody v trvání 18 let (za současného uložení ochranného protialkoholního léčení v ambulantní formě).
[37] S tímto hodnocením Nejvyšší správní soud souhlasí a dodává, že vražda (i pokus o ní) je jedním z nejzávažnějších trestných činů, které český právní řád zná. Jde o trestný čin proti lidskému životu, při jehož odhalování je nutno často spoléhat na důkazy prokazující přítomnost pachatele na určitém místě či jeho kontakt s určitým předmětem, tj. například pomocí profilu DNA či otisků prstů (srov.
bod 25 výše označeného rozsudku čj. 5 As 254/2019-49, v němž NSS upozornil, že naopak v případě tzv.
zločinů bílých límečků
na takové důkazy mnohdy spoléhat nelze). Stejně jako u osoby, která byla za určitý trestný čin odsouzena a vykonávala trest odnětí svobody, je zájem na zajištění osobních údajů za účelem budoucí identifikace (zejména pro případ páchání další trestní činnosti) nejsilnější. Již jen odsouzení za takto závažný trestný čin (pokus o něj) lze považovat za velmi silnou indicii svědčící o tom, že získání všech osobních údajů, jejichž zpracování zákon o policii umožňuje, bude zcela nezbytné.
[38] Uvedený závěr nemohou zvrátit ani okolnosti případu, na které v kasační stížnosti odkazuje stěžovatel. Od stěžovatelovy trestné činnosti sice uplynula relativně dlouhá doba, naprostou většinu z této doby však byl stěžovatel ve výkonu trestu odnětí svobody, a jen stěží tedy lze uvažovat o tom, že by stěžovatelovo dlouhodobé bezproblémové chování nasvědčovalo tomu, že v jeho případě již není nutno uchovávat údaje k případné budoucí identifikaci. Ani stěžovatelem uváděné zdravotní potíže (dýchací obtíže, srdeční nedostatečnost) či jeho věk (v době, kdy k identifikačním úkonům došlo, mu bylo skoro 60 let) Nejvyšší správní soud v daném případě nepovažuje za rozhodující, neboť mu další závažnou trestnou činnost
neznemožňují. (…)
[44] Podle stěžovatele bylo provedení identifikačních úkonů nezákonné s ohledem na § 42a zákona o výkonu trestu odnětí svobody. Podle odstavce 1 tohoto ustanovení
odsouzený se předá policejnímu orgánu mimo věznici na dobu nezbytně nutnou k provedení úkonu probíhajícího řízení na základě písemné žádosti obsahující odůvodnění takového postupu. Žádost zašle policejní orgán alespoň 3 dny před provedením takového úkonu řediteli věznice. Žádost musí být schválena ředitelem příslušného útvaru Policie České republiky nebo jím písemně pověřeným příslušníkem Policie České republiky, náčelníkem Vojenské policie, anebo vedoucím příslušníkem Generální inspekce bezpečnostních sborů.
[45] Nejvyšší správní soud konstatuje, že smyslem tohoto ustanovení je zajistit, aby ve specifické situaci, kdy je nutno v probíhajícím řízení provést úkony mimo věznici, nemusela eskortu zajišťovat vězeňská služba, čímž se měl minimalizovat počet vězeňskou službou prováděných eskort a měly se snížit její náklady (k tomu srov. shora uvedený rozsudek čj. 1 As 190/2022-73 a důvodovou zprávu k zákonu č. 276/2013 Sb., kterým byl § 42a do zákona o výkonu trestu odnětí svobody). Účelem této úpravy tedy je vymezit, kdy může být odsouzený předán policii mimo věznici, nikoliv zamezit jakémukoliv provádění úkonů mimo věznici. Otázka, zda byl stěžovatel k provedení identifikačních úkonů eskortován zákonným způsobem, se však míjí s podstatou nyní posuzované věci.
[46] Tato otázka byla
relevantní
v řízení o žalobě, kterou se stěžovatel domáhal určení, že byl postup policistů (zejména spoutání stěžovatele) při jeho eskortě k provedení identifikačních úkonů nezákonný. Městský soud v Praze tuto žalobu sice původně rozsudkem ze dne 28. 7. 2022, čj. 15 A 38/2021-109, zamítl. Podle názoru vysloveného v tomto rozsudku vyplývalo oprávnění policistů stěžovatele spoutat z § 54 písm. e) zákona o policii. Nejvyšší správní soud ovšem tento rozsudek zrušil opakovaně zmiňovaným rozsudkem čj. 1 As 190/2022-73, v němž upozornil, že § 54 písm. e) zákona o policii umožňuje policii použít pouta proti osobě převzaté z výkonu trestu odnětí svobody k provedení procesních úkonů; stěžovatel však nebyl převzat za účelem provedení úkonů v probíhajícím řízení, a uvedené ustanovení tedy nebylo možno aplikovat. Nejvyšší správní soud však nevyloučil, že by zmocnění policie k jednání vůči stěžovateli mohlo vyplývat z jiných zákonných ustanovení. Městský soud v Praze posléze rozsudkem ze dne 30. 1. 2024, čj. 15 A 38/2021-167, určil, že zásah provedený dne 17. 2. 2021 příslušníky Policie České republiky, jenž spočíval ve spoutání žalobce a jeho eskortování z věznice. na policejní stanici a zpět, byl nezákonný, a to z důvodu, že policisté, kteří namítaný zásah realizovali, neměli pro své jednání namířené vůči stěžovateli zákonné zmocnění (stěžovatel nebyl předán za účelem provedení úkonu probíhajícího řízení v souladu s § 42a odst. 1 zákona o výkonu trestu odnětí svobody, oprávnění ke spoutání a eskortování stěžovatele podle Městského soudu v Praze nevyplývalo ani z § 65 zákona o policii). Městský soud v Praze však
uvedl, že „
v těch případech, kdy provedení identifikačních úkonů u osoby, která se nachází ve výkonu trestu odnětí svobody za spáchání úmyslného trestného činu, není možné realizovat ve věznici, kde daná osoba trest vykonává, má policie možnost požádat Vězeňskou službu, která podle § 2 odst. 1 písm. c) zákona č. 555/1992 Sb., o Vězeňské službě a justiční stráži České republiky střeží, předvádí a
eskortuje osoby
ve výkonu vazby, ve výkonu zabezpečovací
detence
a
ve výkonu trestu odnětí svobody
, o eskortování odsouzeného na příslušné policejní pracoviště, kde lze tyto úkony provést
.“
[47] Stěžovatelova eskorta k identifikačním úkonům tedy byla provedena v rozporu se zákonem (viz výrok výše uvedeného rozsudku čj. 15 A 38/2021-167, proti němuž žalovaný správní orgán kasační stížností nebrojil), neboť v takovém případě policistům nesvědčilo zákonné zmocnění vyplývající ze zákonného ustanovení upravujícího předání odsouzeného policejnímu orgánu a zmocnění převzatou osobu spoutat by bylo možno aplikovat pouze v případě potřeby provedení úkonů v probíhajícím řízení. Naopak v nyní posuzované věci aplikovaný § 65 odst. 1 písm. b) zákona o policii takovou podmínku neobsahuje, vyžaduje pouze, aby se identifikační úkony týkaly osoby ve výkonu trestu odnětí svobody za úmyslný trestný čin, a o oprávnění policie provést identifikační úkony tedy nemůže být pochyb.
[48] Identifikační úkony nečiní nezákonnými ani to, že k nim došlo po nezákonným způsobem provedené eskortě. V tomto ohledu je podstatné, že důvod nezákonnosti eskorty k identifikačním úkonům ve své podstatě nijak nesouvisí s provedenými identifikačními úkony. Stěžovatelova eskorta nebyla nezákonná proto, že k ní vůbec nemělo dojít, ale pouze proto, že ji provedl jiný orgán, než jaký je k tomu oprávněný (policie namísto vězeňské služby). Nezákonný zásah, jak jej popsal Městský soud v Praze, se nijak netýkal stěžovatelova práva na informační sebeurčení, potažmo ochrany jeho osobních údajů.
[49] Podle názoru Nejvyššího správního soudu nezákonnost eskorty
nezpůsobuje ani neúčinnost či nepřípustnost případných důkazů založených na takto získaných údajích v trestním řízení, což je pro posuzovanou věc rovněž významné, neboť jedním z cílů zpracování osobních údajů podle § 65 zákona o policii je právě stíhání trestných činů. Neúčinnost či nepřípustnost důkazu v trestním řízení totiž nezapříčiní každá vada úkonu, ale pouze taková, která porušuje právo na spravedlivý proces (srov. nález ÚS ze dne 23. 10. 2014, sp. zn. I. ÚS 1677/13, č. 195/2014 Sb. ÚS). Z tohoto hlediska je rozhodné, že nezákonnost eskorty stěžovatele k identifikačním úkonům neměla žádný vliv na samotný průběh identifikačních úkonů či na obsah jimi zjištěných osobních údajů, na možnost stěžovatele hájit svá práva ani na oprávnění policie identifikační úkony provést. Nejvyšší správní soud nemá pochybnosti ani o použitelnosti takto získaných údajů pro naplnění zbylých cílů jejich zpracování (předcházení, vyhledávání a odhalování trestné činnosti, zajišťování bezpečnosti České republiky, veřejného pořádku a vnitřní bezpečnosti).
[50] Nejvyšší správní soud proto uzavírá, že předání stěžovatele mimo věznici v rozporu s § 42a odst. 1 zákona o výkonu trestu odnětí svobody samo o sobě nemohlo způsobit nezákonnost identifikačních úkonů provedených policií po tomto předání podle § 65 odst. 1 písm. b) zákona o policii. (…)