10 A 12/2023–160

Rubrum

Městský soud v Praze rozhodl v senátu složeném z předsedy JUDr. Jaromíra Klepše a soudců JUDr. Vladimíra Gabriela Navrátila a Mgr. Andrey Veselé v právní věci žalobce: Mgr. A. N. zastoupeného JUDr. Vladislavem Vnenkem, Ph.D., advokátem sídlem Mezibranská 1579/4, Praha 1, 110 00 proti žalovanému: Státní ústav pro kontrolu léčiv, sídlem Šrobárova 48, 100 41 Praha 10 zastoupeného JUDr. Michalem Havlíkem, advokátem se sídlem Hálkova 2, Praha 2, 120 00 za účasti: PhMr. Lucie a Aleš Nedopilovi s.r.o., IČO: 27112951 sídlem Praha 10 – Hostivař, Horolezecká 16/924 zastoupeného JUDr. Vladimírem Kubátem, advokátem sídlem Mezibranská 1579/4, Praha 1, 110 00 v řízení o žalobě na ochranu před nezákonným zásahem, pokynem nebo donucením správního orgánu, který spočíval v tom, že žalovaný žalobci zneplatnil přístupové údaje do elektronického systému eRecept, a že znemožnil žalobci od 16. 12. 2022 do 22. 12. 2022 přístup do elektronického systému eRecept takto:

Výrok

I. Žaloba se zamítá.

II. Žalobce nemá právo na náhradu nákladů řízení.

III. Žalovanému se nepřiznává právo na náhradu nákladů řízení.

IV. Osoba zúčastněná na řízení nemá právo na náhradu nákladů řízení.

Odůvodnění

I. Předmět věci

1. Dne 15. 12. 2022 byla v Lékárně u Bílého lva Jarov, kterou provozuje osoba zúčastněná na řízení, prováděna kontrola podle zákona č. 255/2012 Sb., o kontrole (kontrolní řád), tato kontrola byla u žalovaného vedena pod sp. zn. sukls275570/2022. Dne 16. 12. 2022 žalovaný zneplatnil přístupové údaje žalobce jakožto zaměstnance osoby zúčastněné na řízení do informačního systému eRecept. K obnovení přístupových údajů žalobce došlo dne 22. 12. 2022 v odpoledních hodinách. Žalobce považuje zneplatnění údajů za zásah do svých práv. Žalobce se domáhá vyslovení nezákonnosti tohoto zásahu žalovaného, tvrzený nezákonný zásah trval od 16. 12. 2022 do 22. 12. 2022, nyní již netrvá.

II. Žaloba a další vyjádření

2. Podle žalobce došlo tímto zásahem k zásahu do práva na výkon povolání a získání prostředků prací dle čl. 26 odst. 1 a 3 Listiny základních práv a svobod. Jako lékárník nemohl plnit pracovní povinnosti ke svému zaměstnavateli, neboť nemohl vydávat léky prostřednictvím systému eRecept. Nezákonný zásah spočívá v postupu v rozporu s ustanovením § 81a zákona č. 378/2007 Sb., o léčivech (dále jen „zákon o léčivech“), který garantuje nepřetržitý přístup do elektronického systému eRecept. Došlo ke zneplatnění přístupových údajů do informačního systému eRecept, což zákon neumožňuje.

3. Žalovaný postupoval podle vyhlášky Ministerstva zdravotnictví č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb. Ta však podle žalobce nemůže být použita, neboť odporuje kompetenční normě podle čl. 79 odst. 3 Ústavy, současně samotnému zákonu o léčivech a výhradě zákona.

4. Žalobce v první řadě poukazuje na formulaci § 81a odst. 1 zákona o léčivech a je názoru, že ministerstvo bylo oprávněno vyhláškou pouze upravit postup a podmínky pro získání přístupových údajů do elektronického systému eRecept, nikoliv však, že bude prováděcí předpis upravovat podmínky a postup odebírání či blokování přístupových údajů, či snad stanoví pravomoc správního orgánu něco takového činit. Taková vyhláška je podle žalobce v rozporu s čl. 79 odst. 3 Ústavy.

5. Podle žalobce dále vyhláška neupravuje některý z postupů, zejména, že budou údaje opětovně zpřístupněny pouze, pokud bude podpisem vysloven souhlas s postupem správního orgánu. K tomu žalobce odkázal na emaily ze dne 16. 12. 2022 a ze dne 19. 12. 2022.

6. Vyhláška odporuje podle žalobce i zákonu o léčivech, konkrétně § 81 odst. 3 zákona, který zaručuje farmaceutovi nepřetržitý přístup do systému eRecept.

7. Dále je žalobce toho názoru, že postup správního orgánu se svojí povahou, účinky, důsledky a svým obsahem jeví jako tzv. nápravný prostředek správního dozoru; obdobně jako v případech dle § 8 zákona č. 64/1986 Sb., České národní rady o České obchodní inspekci a § 50 odst. 1 a odst. 2 zák. č. 90/2016 Sb., o posuzování shody stanovených výrobků při jejich dodávání na trh nebo § 31 zákona č. 112/2016 Sb., o evidenci tržeb či § 86 odst. l písm. a) zákona ČNR č. 591/1992 Sb., o cenných papírech. K tomu je však nutné, aby byla správnímu orgánu svěřena zvláštní pravomoc ze strany zákonodárce, neboť zde se uplatňuje výhrada zákona s ohledem na čl. 4 odst. 2 Listiny. Výhrada zákona k tomu byla nezbytná, neboť důsledkem postupu správního orgánu v případě žalobce bylo zasaženo do jeho základních práv garantovaných mu ústavním pořádkem. Zásadně není možné, aby zákonem byla na sekundární normotvorbu přenesena pravomoc stanovit meze základních práv.

8. Žalovaný ve vyjádření k žalobě poukázal na to, že systém eRecept je jedním ze základních informačních systémů České republiky, jehož fungování a integrita je nezbytná k bezpečnosti České republiky (viz usnesení vlády č. 1020). S ohledem na množství osobních údajů je nezbytné zajišťovat jeho integritu a důvěrnost a zabezpečení osobních údajů. Shrnul, že je povinen se řídit příslušnými ustanoveními zákona č. 181/2014 Sb., o kybernetické bezpečnosti (dále jen „zákon o kybernetické bezpečnosti“) a jeho prováděcích předpisů. Poukázal na to, že přístup do eReceptu dle § 81a zákona o léčivech je omezený, přístupové údaje jsou nepřenosné a mohou být využívány pouze fyzickou osobou, které byly vydány. Proto v případě kompromitace vznikne riziko pro osobní údaje a žalovaný jako zpracovatel osobních údajů je povinen přijmout bezpečnostní opatření. Jedním z těchto opatření je pak dle ustanovení § 12 odst. 2 vyhlášky č. 82/2018 Sb. přidělování a odebírání přístupových údajů. Toto opatření neznamená, že lékař či farmaceut, jehož přístupové údaje jsou tímto opatřením zneplatněny, ztrácí přístup do informačního systému eRecept. Tento přístup je mu nadále zachován s tím, že si musí pouze zažádat o obnovu přístupových údajů, kdy jsou mu poskytnuty nové přístupové údaje. Žalovaný žalobci nijak nebránil v přístupu do informačního systému eRecept a ani obnovení jeho přístupu ničím nepodmiňoval. Žalobce si mohl ihned po zneplatnění jeho dosavadních přístupových údajů požádat o jejich obnovu prostřednictvím webových stránek www.sukl.cz, přičemž návod a odkazy na příslušné elektronické formuláře jsou dostupné na webových stránkách www.epreskripce.cz. Žalovaný tyto informace zveřejňuje v souladu s ustanovení § 81 odst. 2 zákona o léčivech. Pokud žalobce tvrdí, že mu byl odpírán přístup do informačního systému eRecept, podle žalovaného měl doložit, kdy žádal o obnovu svých přístupových údajů do informačního systému eRecept a kdy mu toto obnovení nebylo žalovaným umožněno. Žalovaný je tak přesvědčen, že žalobce neunesl důkazní břemeno ke svému tvrzení, že mu žalovaný bránil v přístupu do informačního systému eRecept.

9. Žalovaný poukázal na průběh kontroly, odkud vyplývá, že přístupové údaje žalobce do informačního systému eRecept byly užívány třetími osobami, a to navíc takovými, které nejsou oprávněny do tohoto systému přistupovat.

10. Předmětná záležitost byla řešena jako kybernetický bezpečnostní incident, to muselo být žalobci zřejmé z toho, že s ním za žalovaného komunikoval pan Ing. P. P., manažer kybernetické bezpečnosti, a taktéž z obsahu této komunikace. Žalovaný v tomto případě nevystupoval vůči žalobci jako vrchnostenský orgán, nýbrž jako správce informačního systému komunikující s jeho uživatelem v rámci řešení kybernetického bezpečnostního incidentu. Je povinností žalovaného zajistit poučení uživatelů informačního systému eRecept o jejich povinnostech ve smyslu ustanovení § 9 odst. 1 písm. a) bod 1. vyhlášky č. 82/2018 Sb. Zároveň je žalovaný v souladu s ustanovením § 12 odst. 2 písm. k) vyhlášky č. 82/2018 povinen prosazovat, aby uživatelé informačního systému eRecept při používání privátních autentizačních informací dodržovali stanovené postupy.

11. Žalovaný taktéž uvedl, že jeho jednání bylo vyvoláno protiprávním jednáním žalobce, jednalo se o jediné fakticky účinné bezpečnostní opatření, nejednalo o sankční opatření, jednalo se o opatření k zajištění bezpečnosti informací. Bylo to vhodné opatření, žalobce si mohl přístup obnovit okamžitě po zneplatnění dosavadních údajů, o tomto postupu jsou informace na webu žalovaného. Žalovaný nepodmiňoval přístup souhlasem s poučením, žalovaný pouze poučil žalobce o jeho povinnostech souvisejících s nakládáním s přístupovými údaji do informačního systému eRecept tak, aby se neopakoval uvedený kybernetický bezpečnostní incident. Jeho postup byl i proporcionální. Přijal toto opatření za účelem, mimo jiné, ochrany základních práv třetích osob, konkrétně práva na nedotknutelnost soukromí osoby dle čl. 7 Listiny, práva na ochranu před neoprávněným zasahováním do soukromého a rodinného života dle čl. 10 odst. 2 Listiny a práva na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě dle čl. 10 odst. 3 Listiny. Uvedené opatření bylo přitom učiněno v zájmu ochrany těchto základních práv ve vztahu k vysokému množství osob, jejichž citlivé osobní údaje jsou uloženy v informačním systému eRecept.

12. Žalovaný uvedl, že žalobce následně obnovil své přístupové údaje do informačního systému eRecept dne 22. 12. 2022 s tím, že jeho žádosti o obnovu bylo vyhověno automatizovaným systémem a tato obnova byla dokončena během několika minut. Skutečnost, že žalobce si o obnovu přístupových údajů nepožádal dříve, ačkoliv tak mohl učinit kdykoliv po zablokování dosavadních přístupových údajů, nemůže jít k tíži žalovaného. Není proto pravdou, že by znepřístupnění trvalo od 16. 12. 2022 do 22. 12. 2022. Druhou povinností, která žalovanému vznikla v důsledku kybernetického bezpečnostního incidentu, bylo nahlášení tohoto incidentu Národnímu úřadu pro kybernetickou a informační bezpečnost dle ustanovení § 8 odst. 1 a odst. 4 zákona o kybernetické bezpečnosti, což žalovaný taktéž učinil. Vzhledem k tomu, že výše popsaným jednáním žalobce došlo rovněž k porušení zabezpečení osobních údajů (tj. porušení zabezpečení, které vede k neoprávněnému zpřístupnění – viz čl. 4 odst. 12 Nařízení GDPR) uložených v informačním systému eRecept, byl žalovaný povinen ohlásit tuto skutečnost Úřadu pro ochranu osobních údajů, což také učinil.

13. Podle žalovaného má jeho postup oporu též v § 81a odst. 1 zákona o léčivech a v § 2 odst. 8 vyhlášky č. 329/2019. Ačkoliv zmocňovací ustanovení § 81a odst. 1 zákona o léčivech výslovně nestanoví, že prováděcí právní předpis má upravovat též zrušení či zneplatnění přístupových údajů, je žalovaný přesvědčen, že ze smyslu a účelu zákona o léčivech vyplývá, že vůlí zákonodárce bylo, aby prováděcí předpis upravoval i tuto otázku a o i s ohledem na zákaz zpřístupnění informací v eReceptu dle § 81a odst. 7 a následné stíhání porušení tohoto zákazu dle § 108 odst. 7 písm. l) zákona o léčivech.

14. Základních práv dle čl. 26 odst. 1 a odst. 3 Listiny se navíc lze domáhat pouze v mezích zákonů, které tato práva provádějí. Meze jsou stanoveny zákonem o léčivech, který upravuje podmínky výkonu tohoto povolání. Zákon o léčivech přitom stanoví, že informační systém eRecept není veřejně přístupný a zároveň zapovídá zpřístupnění informací, k nimž má v tomto systému přístup farmaceut, třetím osobám.

15. V replice na vyjádření žalovaného žalobce uvedl, že je nerozhodné, zda systém eRecept je základním informačním systémem na základě usnesení vlády, neboť usnesení vlády není obecně pramenem práva, ani obsahově nemá konkrétní citované usnesení vlády normativní povahu. Relevantní není ani ochrana osobních údajů, neboť podstatou je, že žalovaný podle žalobce nedisponuje pravomocí ke svému postupu a žalobci byl odepřen nepřetržitý přístup do elektronického systému eRecept. O obnovení přístupu požádal dne 16. 12. 2022 v reakci na email z téhož dne.

16. Žalobce zdůraznil, že žalovaný podmínil sdělení postupu k obnovení přístupu do systému podpisem poučení. Takovéto podmínky nejen že nemá žádnou právní relevanci pro absenci opory v právním předpisu, ale současně je třeba tento požadavek chápat jako porušení zásady zákazu sebeobviňování.

17. Žalovaný jako správní orgán opakovaně i přes žádost o obnovení přístupu odmítl sdělit postup k obnovení přístupu či přístup obnovit, pokud žalobce nesplní požadavek bez zákonné opory (obnovení přístupu podpisem předmětného poučení), což je současně v rozporu s ustanovením § 81a zákona o léčivech. Žalobce nemohl předvídat, že postup Ing. P. je nesprávný, tento zaměstnanec zneplatnil údaje, komunikoval se žalobcem, vystupoval za správní orgán. Žalobce namítl, že ve věci nebylo zahájeno žádné správní či přestupkové řízení, žádný orgán k tomu zákonem způsobilý nekonstatoval, že by žalobce postupoval protiprávně, se žalobcem bylo od počátku nakládáno jako s viníkem.

18. V řízení uplatnila práva osoba zúčastněná na řízení. Ta se ve svém vyjádření zcela ztotožnila s obsahem žaloby a s argumentací žalobce.

III. Dosavadní řízení

19. Městský soud ve věci rozhodl rozsudkem ze dne 31. 8. 2023, čj. 10 A 12/2023 – 77, žalobu zamítl.

20. Nejvyšší správní soud následně ke kasační stížnosti žalobce a osoby zúčastněné na řízení rozsudkem ze dne 23. 5. 2024, č. j. 10 As 250/2023 – 64 zrušil rozsudek městského soudu a věc mu vrátil k dalšímu řízení.

21. Nejvyšší správní soud je toho názoru, že je napadený rozsudek nepřezkoumatelný, protože neodpovídá na klíčovou žalobní námitku – tou je tvrzení, že žalovaný zasáhl do základního práva stěžovatelů (lékárníka a lékárny) nikoli na základě zákona, jak vyžaduje ústavní pořádek, ale na základě podzákonného předpisu (vyhlášky).

22. Nejvyšší správní soud konstatoval, že v projednávané věci Státní úřad pro kontrolu léčiv při výkonu působnosti v oblasti kybernetické bezpečnosti (správní orgán) lékárníkovi (přímo) zneplatnil přístupové údaje do systému eRecept (dopustil se zásahu). Poukázal však na to, že u případného zásahu do žalobcova veřejného subjektivního práva na přístup do systému eRecept [zaručené ustanovením § 81 odst. 3 písm. b), d) a f) zákona o léčivech], ale také u zásahu do jeho základního práva na nerušený výkon zvoleného povolání (zaručeného ustanovením čl. 26 odst. 1 a 3 Listiny základních práv a svobod), bylo třeba objasnit, zda k tomuto zásahu měl žalovaný výlučně zákonný (nikoli podzákonný) podklad. Relativní základní práva zaručená Listinou (jedním z nichž je i právo podle čl. 26) totiž lze omezit jen zákonem ve formálním smyslu (čl. 4 odst. 2 Listiny). Podle názoru Nejvyššího správního soudu městský soud v závěru, že postup žalovaného byl v souladu se zákonem o léčivech a vyhláškou, která jej provádí, nijak nereagoval na tvrzení, podle nějž zákon samotný neumožňuje zneplatnit stěžovatelovy přístupové údaje do systému eRecept, a omezit tak stěžovatele v jeho základním právu na nerušený výkon povolání lékárníka.

23. Současně Nejvyšší správní soud poukázal na závěr městského soudu, že žalobce měl možnost si kdykoli požádat o nové přístupové údaje a že žalovaný mu nijak nebránil v obnovení přístupu do systému eRecept. S ohledem na toto zjištění (že stěžovateli nebyl přístup do systému znemožněn) by se podle Nejvyššího správního soudu dalo uvažovat o tom, že postup žalovaného neměl vliv na stěžovatelovu schopnost pracovat jako lékárník (a na možnost jeho zaměstnavatele – lékárny – podnikat). Pak je ale otázkou, zda samotné zneplatnění přístupových údajů lze (s ohledem na možnost bezodkladně získat údaje nové) vůbec označit za zásah, který někoho zkrátil na právech. V této souvislosti Nejvyšší správní soud připomněl, že soudní ochranu ve smyslu § 82 s. ř. s. je přitom nutné poskytnout jen proti nezákonným postupům dosahujícím určité (minimální) intenzity: stejně jako drobné pochybení ve správním řízení není důvodem pro zrušení výsledného rozhodnutí, nemá být ani drobné pochybení, které nemohlo skutečně zasáhnout veřejná subjektivní práva jednotlivce, označeno za nezákonný zásah (rozsudek NSS ze dne 16. 8. 2023, čj. 2 As 90/2023 – 58, bod 14).

24. Podle Nejvyššího správního soudu městský soud srozumitelně nevysvětlil, která stěžovatelova práva, respektive zda vůbec nějaká, byla zmíněným postupem zkrácena. Teprve s ohledem na tento závěr lze přitom rozhodnout, zda je třeba posuzovat jen zákonnost zásahu ve smyslu § 82 s. ř. s. (tedy to, zda je zásah v souladu s právními předpisy), nebo (také) přísněji zákonnost ve smyslu čl. 4 odst. 2 Listiny základních práv a svobod (tedy to, zda jde o zásah na základě zákona ve formálním smyslu). Do dalšího řízení proto Nejvyšší správní soud městskému soudu uložil, aby vyjasnil, zda zneplatnění přístupových údajů do systému eRecept za situace, kdy přístupové údaje lze bez splnění dalších podmínek (obratem) opětovně získat, představuje zásah; a pokud ano, zda jen do veřejného subjektivního práva stěžovatele (případně stěžovatelky – lékárny), nebo také do jeho (jejich) základních práv.

IV. Další procesní postup

25. Městský soud po zrušení rozsudku umožnil procesním stranám uplatnit aktuální procesní stanovisko.

26. Písemně se k věci vyjádřil nejprve žalovaný. V podání ze dne 6. 6. 2024 setrval na tom, že zneplatnění přístupových údajů žalobce do informačního systému eRecept byl v souladu se zákonem. Uvedený postup má oporu v zákoně č. 181/2014 Sb., o kybernetické bezpečnosti a v Nařízení Evropského Parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Tento postup zároveň nijak neodporoval zákonu č. 378/2007 Sb., o léčivech, v platném znění a vyhlášce Ministerstva zdravotnictví č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb, v platném znění.

27. Je názoru, že zabezpečení nepřetržitého přístupu informačním systémem eRecept může platit pouze v takové situaci, kdy je osoba přistupující do tohoto informačního systému držitelem platných přístupových údajů. Ustanovení § 81 odst. 3 zákona o léčivech míří na funkcionalitu informačního systému eRecept, nestanoví, že žalovaný je povinen zabezpečovat, aby tyto osoby měly vždy a za všech okolností přístup do informačního systému eRecept. Nedávalo by z logiky věci smysl, aby byly stanoveny další podmínky pro získání přístupových údajů do tohoto informačního systému, pokud by ustanovení § 81 odst. 3 zákona o léčivech by stanovovalo nepřetržitý přístup tam uvedených osob do informačního systému eRecept bez dalšího.

28. Setrval na tom, že žalobci nekladl žádné překážky k obnově přístupových údajů, ničím ji nepodmiňoval, prakticky obratem mohla být provedena. Postup je dostupný na webu www.epreskripce.cz, z datového záznamu je rovněž patrné, že žalobce již 10. 10. 2022 žádal o obnovu svých přístupových údajů, postup mu proto byl znám. Obnova byla provedena prakticky okamžitě.

29. Podle žalovaného ustanovení § 2 odst. 8 vyhlášky nepředstavuje porušení kompetenční normy. Je názoru, že úmyslem zákonodárce je, aby informace uložené v informačním systému eRecept, včetně citlivých osobních údajů, byly důvěrné a aby k nim neměly přístup neoprávněně osoby. Podle žalovaného je rovněž vůle zákonodárce, aby prováděcí předpis upravoval i otázku zrušení či zneplatnění přístupových údajů. Oprávnění stanovit postup a podmínky pro získání přístupových údajů nezbytně předpokládá i stanovení podmínek, za kterých je možné tyto přístupové údaje zneplatnit tak, aby bylo zabráněno protiprávnímu stavu – neoprávněnému zpřístupnění údajů – a aby bylo dosaženo smyslu a účelu zákona o léčivech – zachování důvěrnosti informací uložených v informačním systému eRecept. Jedná se o veřejnosti nepřístupný systém, zapovídá zpřístupnění informací třetím osobám.

30. Podle žalovaného jsou meze základních lidských práv stanoveny mimo jiné zákonem o léčivech, který upravuje podmínky výkonu tohoto povolání. Postup dle vyhlášky upravuje situaci, kterou předpokládá zákon o léčivech – neoprávněné zpřístupnění informací. Vyhláškou není stanovena sekundární povinnost, která by nevyplývala ze zákona o léčivech. Postup sleduje legitimní cíl – zachování důvěrnosti informací.

31. Žalovaný je názoru, že zneplatnění přístupových údajů žalobce nemůže představovat zásah hodný soudní ochraně. Žalovaný žalobci nikterak nebránil v obnově jeho přístupových údajů do informačního systému eRecept, tedy žalobci neznemožňoval přistupovat do tohoto informačního systému a postup žalovaného neměl vliv na žalobcovu schopnost pracovat jako lékárník. Měl tedy minimální dopad do práv žalobce. Zdůraznil, že žalobce měl možnost požádat si bez jakýchkoliv překážek o obnovu přístupových údajů do informačního systému eRecept. Pokud tak neučinil ihned, jde to k tíži žalobce. I kdyby postup nebyl souladný s právem, právě s ohledem na minimální zásah podle žalovaného nelze poskytnout žalobci soudní ochranu.

32. Žalobce se vyjádřil k věci dne 17. 9. 2024 pro srovnání poukázal na to, že zákon o elektronických úkonech a autorizované konverzi výslovně upravuje ve svém zákonném textu podmínky znepřístupnění datové schránky (§ 11 zákona), zneplatnění přístupových údajů (§ 12 zákona) či zrušení datové schránky (§ 13 zákona) a to s ohledem na limitaci tzv. výhrady zákona ve smyslu čl. 4 odst. 2 Listiny. Dále uvedl, že zákon o kybernetické bezpečnosti neobsahuje žádné zmocňovací ustanovení pro ministerstvo zdravotnictví a sama vyhláška č. 329/2019 Sb., neodkazuje na zmocnění ze zákona o kybernetické bezpečnosti. Setrval na přesvědčení, že obnovení přístupu žalovaný podmiňoval podpisem poučení, což vyplývá z emailové komunikace. Neměl důvod tedy pochybovat, že jakmile bude podepsáno poučení, poté mu bude sdělen postup k obnovení přístupu do systému eRecept. K předchozí žádosti o obnovení přístupu do systému eRecept žalobce uvedl, že k tomu žalovaný nepředložil žádný důkaz a do doby zásahu mu nebyl přístup znepřístupněn zásahem správního orgánu. Žalobce setrval na tom, že znepřístupnění systému eRecept bylo zásahem do jeho veřejných subjektivních práv – na nepřetržitý přístup do systému a oprávnění z toho vyplývající a do základního práva dle článku 26 odst. 1 a 3 Listiny, zejména do práva na nerušený výkon zvoleného povolání (lékárníka/farmaceuta), neboť mu bylo znemožněno výkon jeho povolání. Má za to, že nebylo prokázáno, že by došlo k vyzrazení přístupových údajů.

33. Osoba zúčastněná na řízení se k věci před jednáním nevyjádřila.

V. Jednání ve věci

34. Jednání ve věci se konalo ve dnech 31. 8. 2023 a 19. 9. 2024.

35. Procesní strany na jednání 31. 8. 2023 setrvaly na svém procesním postoji. Soud na tomto jednání provedl dokazování emailovou komunikací mezi Ing. P. P. a žalobcem v období od 16. 12. do 23. 12. 2022, poučením určeným pro žalobce ze dne 16. 12. 2022 s připojeným vyjádřením žalobce ze dne 22. 12. 2022, výzvou žalobce ze dne 19. 12. 2022 k upuštění od zásahu a obnovení stavu a odpovědí žalovaného ze dne 22. 12. 2022, relevantní částí usnesení vlády ČR ze dne 7. 12. 2022, č. 1020, ohledáním webových stránek www.epreskripce.cz (odkazy https://www.epreskripce.cz/jak–zacit–pouzivat–erecept, https://www.epreskripce.cz/sites/default/files/soubory/navod_zadost_o_pristup_k_is_erecept_zdravotnik.pdf, https://www.epreskripce.cz/sites/default/files/soubory/navod_zadost_o_obnoveni_pristupu_k_is_erecept_zdravotnik.pdf, https://pristupy.sukl.cz/ei_forms.html#/form_Nove_pristupove_udaje) a ohledáním záznamu o SQL výstupu z databáze.

36. Při jednání 19. 9. 2024 (po zrušení rozsudku Městského soudu v Praze ze dne 31. 8. 2023, čj. 10 A 12/2023 – 77) procesní strany setrvaly na svém dosavadním postoji. Žalovaný doplnil, že vyhláška č. 329/2019 Sb. není provedením zákona o kybernetické bezpečnosti. K emailové konverzaci z prosince 2022 uvedl, že se strany neshodnou na jejich interpretaci, trval na tom, že nepodmiňoval obnovení přístupu podpisem poučení. Podle žalovaného je tvrzení žalobce o telefonátu důkazně nepodložené. Poukázal na to, že žalobce již v minulosti přístupové údaje obnovoval. Odkázal rovněž na obsah správního spisu o kontrole, z něhož vyplývá, že žalobce své přístupové údaje zpřístupnil třetí osobě.

37. Na tomto jednání soud vzhledem ke změně složení senátu oproti předchozímu řízení zopakoval důkazy, které provedl již na jednání dne 31. 8. 2023. Dále provedl důkaz výslechem žalobce a provedl důkaz podklady o žádostech žalobce o přístup ze dne 10. 10. 2022 a 22. 12. 2022.

38. Soud vycházel rovněž ze správního spisu ve věci kontroly na místě provedené dne 15. 12. 2022, sp. zn. sukls275570/2022, avšak neprovedl jej jako důkaz. Jedná se o správní spis, který je stranám znám a dokazování se jím neprovádí (rozsudek Nejvyššího správního soudu ze dne 29. 1. 2009, č. j. 9 Afs 8/2008–117, č. 2383/2011 Sb. NSS).

39. Další důkazy: formulář hlášení kybernetického bezpečnostního incidentu a ohlášení porušení zabezpečení osobních údajů dle GDPR, městský soud neprovedl, neboť se nejedná o sporné skutečnosti, nadto ani nejsou podstatné pro posuzovanou věc. Městský soud rovněž pro nadbytečnost neprovedl navrhovaný důkaz výslechem manažera kybernetické bezpečnosti žalovaného Ing. P. P., neboť o jeho postupu dostatečně vypovídá elektronická komunikace, která byla provedena jako důkaz.

VI. Posouzení věci Městským soudem v Praze

40. Podle § 82 s. ř. s. každý, kdo tvrdí, že byl přímo zkrácen na svých právech nezákonným zásahem, pokynem nebo donucením (dále jen „zásah“) správního orgánu, který není rozhodnutím, a byl zaměřen přímo proti němu nebo v jeho důsledku bylo proti němu přímo zasaženo, může se žalobou u soudu domáhat ochrany proti němu nebo určení toho, že zásah byl nezákonný.

41. Ochranu podle § 82 a násl. s. ř. s. může soud poskytnout jen tehdy, jsou–li kumulativně splněny podmínky, aby žalobce byl přímo (1. podmínka) zkrácen na svých právech (2. podmínka) nezákonným (3. podmínka) zásahem, pokynem nebo donucením („zásahem“ v širším smyslu) správního orgánu, které nejsou rozhodnutím (4. podmínka), a byl zaměřen přímo proti němu nebo v jeho důsledku bylo proti němu přímo zasaženo (5. podmínka). Není–li byť jen jediná z uvedených podmínek splněna, nelze žalobci ochranu podle § 82 a násl. s. ř. s. poskytnout (k tomu viz např. rozsudek Nejvyššího správního soudu ze dne 17. 3. 2008, č. j. 2 Aps 1/2005 – 65, č. 603/2005 Sb. NSS).

42. Podle § 87 odst. 1 s. ř. s. soud rozhoduje na základě skutkového stavu zjištěného ke dni svého rozhodnutí; rozhoduje–li soud pouze o určení toho, zda zásah byl nezákonný (což je případ žalobce), vychází ze skutkového a právního stavu, který tu byl v době zásahu.

I. Zjištěný skutkový stav

43. Z provedeného dokazování a ze správního spisu (z protokolu o kontrole ze dne 7. 2. 2023, č. j. sukls 275570/2022 a z jeho fotografické přílohy č. 1–6) soud zjistil následující skutkový stav.

44. Žalovaný provedl kontrolu u osoby zúčastněné na řízení v rámci širší kontroly povinností podle zákona o léčivech, zákona č. 167/1998 Sb., o návykových látkách, zákona č. 272/2013 Sb., o prekursorech drog, zákona č. 372/2011 Sb., o zdravotních službách, zákona č. 40/1995 Sb., o regulaci reklamy a zákona č. 48/1997 Sb., o veřejném zdravotním pojištění (viz vymezení předmětu kontroly dle bodu 1.2 a průběh kontroly dle bodu 2 protokolu o kontrole ze dne 7. 2. 2023). Při provádění kontroly tedy nevystupoval jako dozorový orgán nad správou přístupových údajů, ale jako kontrolní orgán povolaný ke kontrolní činnosti vyjmenovanými zákony (viz záhlaví protokolu o kontrole, které označuje ustanovení, podle nichž žalovaný vykonává působnost kontrolního orgánu v oblasti právní úpravy těchto zákonů). Porušení pravidel pro držení přidělených přístupových údajů učinil jako dílčí kontrolní zjištění.

45. Při kontrole dne 15. 12. 2022 žalovaný konkrétně zjistil, že v lékárně U Bílého lva Jarov v době zahájení kontroly (11:05) nebyl přítomen lékárník. Při kontrolním nákupu byly léčivé přípravky vydány farmaceutickou asistentkou, která je vydala u počítače identifikovaného jako Stanice A. Ta ovšem k systému eRecept byla na této stanici A přihlášena přístupovými údaji žalobce (ID a heslo SÚKL), přístup byl ověřen certifikátem žalobce (ten byl identifikován jménem a příjmením žalobce – viz příloha č. 3 protokolu). Současně na stanici B byla přihlášena druhá osoba Mgr. O. K., která vydávala volně prodejné léky. Účtenka za kontrolní nákup byla expedována jménem žalobce. Žalobce se dostavil na místo v průběhu kontroly v 11:57 poté, co mu zahájení kontroly oznámila farmaceutická asistentka. Ač ze správního spisu o kontrole vyplývá, že žalobce či osoba zúčastněná na řízení měli vůči průběhu kontroly výhrady (např. námitky osoby zúčastněné na řízení ze dne 28. 2. 2023), tato kontrolní zjištění nezpochybnili a nečiní to ani v průběhu řízení před soudem.

46. Žalobci byl znepřístupněn účet k systému eRecept 16. 12. 2022. O tom e–mailem téhož dne žalobce vyrozuměl manažer kybernetické bezpečnosti žalovaného. Současně žalobci odeslal jako přílohu poučení o porušení technicko–organizačních opatření. Žalobci vytkl, že umožnil jiné osobě použít jeho přihlašovací údaje k přístupu do informačního systému eRecept, a to v rozporu s poučením, které při vydání přístupových údajů SÚKL poskytl – tedy že jsou údaje nepřenosné. Žalobce znovu poučil, že vydané přístupové údaje jsou nepřenosné, jsou vydány pouze pro účely přístupu do systému eRecept žalobci a jejich poskytnutí jiné osobě povede k zablokování přístupu do systému eRecept, ohlášení porušení zabezpečení osobních údajů Úřadu pro ochranu osobních údajů a nahlášení kybernetického bezpečnostního incidentu Národnímu úřadu pro kybernetickou a informační bezpečnost. Žalobce měl toto poučení podepsat s tím, že poté bude žalobci sdělen postup pro obnovení přístupu.

47. Na to žalobce reagoval v navazující emailové komunikaci, toto poučení podepsat odmítl. Se znepřístupněním údajů nesouhlasil, opakovaně žalovaného vyzval k upuštění od tohoto zásahu, žalovaný na svém postupu trval s tím, že jde o postup souladný se zákonem o léčivech, se zákonem o kybernetické bezpečnosti a jejich prováděcích předpisů. Žalobce se nakonec dne 22. 12. 2022 k poučení vyjádřil s tím, že s ním nesouhlasí. Dále uvedl, že nesouhlasí s tvrzeními v dokumentu, nikomu PIN ani hesla a ani datový soubor certifikátu neposkytl. O způsobu výdaje na druhý certifikát žalobce byly poučeny obě kontrolorky SÚKL a na místě jeho postup nezpochybnily a ani nesdělily jiné řešení výdeje studentů 5. ročníku na studijní praxi.

48. Manažer kybernetické bezpečnosti žalovaného žalobci sdělil ve dnech 20 a 22. 12. 2022 postup pro obnovení přístupu prostřednictvím webového rozhrání na adrese https://pristupy.sukl.cz/. Žalobce podal žádost o obnovení přístupu dne 22. 12. 2022, přístup mu byl obnoven téhož dne. To žalobci potvrdil emailem manažer kybernetické bezpečnosti dne 23. 12. 2022.

49. Manažer kybernetické bezpečnosti žalovaného o tomto incidentu zpravil Národní úřad pro kybernetickou a informační bezpečnost a Úřad pro ochranu osobních údajů.

50. Žalobce při svém výslechu uvedl, že v den, kdy mu byl odejmut přístup, vydával recepty. V odpoledních hodinách mu přístup přes certifikát přestal fungovat. Telefonicky se na příčinu dotazoval u technika žalovaného, který následně žalobce v systému nemohl najít. Žalobce přístup ověřoval i přes webové rozhraní, kde zjistil, že chyba přetrvává. Nemohl vydávat recepty, ty musel po zavírací době uzavřít kolega. Přístup nefungoval i následující den. Od žalovaného se pak dozvěděl, že byl z registru vymazán z důvodu zneužití certifikátu. Dozvěděl se, že je to následek provedené kontroly, při níž bylo řešeno použití sekundárního certifikátu žalobce pro praktikantu 5. ročníku farmaceutické fakulty. Před tímto zásahem pouze obnovoval certifikát prostřednictvím webového rozhraní žalovaného (standardní web žalovaného, jehož prostřednictvím je možné prokliknout na eRecept), do něhož se přihlásil jménem a heslem. Stejným postupem se obměňuje jednou za určité období heslo (avízo k tomu přijde předem emailem). Popsal, že přes web epreskripce.cz lze registrovat nového lékaře či lékárníka, popř. se tam postupuje při změně hesel, párování certifikátů. Uvedl, že kombinace hesla a připárovaných přístupových certifikátů se používá pro identifikaci, která umožňuje vydávat léky. Poukázal na telefonický hovor s Národním úřadem pro kybernetickou bezpečnost, z něhož podle žalobce vyplynulo, že pokud umožnil používat sekundární certifikát farmaceutické asistentce a současně jí nesdělil přístupové údaje, bezpečnost neporušil. Asistentka se podle žalobce pouze podepsala jeho jménem, praxi studentů při výdeji léků však podle žalobce nelze řešit jinak. Měl za to, že tuto praxi vysvětlil při kontrole, i tak přes propůjčení tohoto certifikátu on sám odpovídá za správnost výdeje léčiva. Uvedl, že po sdělení žalovaného, že může obnovit přístup, jej přes webové rozhraní žalovaného také obnovil. Zásah žalovaného pro žalobce znamenal, že nemohl pracovat, vydávat léky přes eRecept, což je drtivá většina případů a poskytovatel zdravotních služeb musel sehnat náhradního zaměstnance. Zasáhlo to stovky případů.

51. Žalobce krom uvedeného osvětlil, že lékárník, lékař má vytvořený přístup do registru zdravotních pracovníků, tam má přidělený certifikát, kterým se podepisují. Žalobce používá dva certifikáty – hlavní a komplexní na tokenu, jako jednatel společnosti a sám osobně. Proto vytvořil druhý omezenější certifikát, který je uložen v počítači a používá jej pro odbornou praxi s elektronickým podpisem žalobce. Přístupové údaje se student nedozví, jsou na pozadí tohoto profilu a jsou uloženy v kryptované databázi.

II. Žalobce napadá dvě jednání

52. Žalobce podle názoru soudu napadá dvě jednání žalovaného. Ta spočívají a) ve zrušení přístupu do elektronického systému eRecept. Žalobce poté napadá zákonnost druhého b) jednání, jímž žalovaný žalobci (dle jeho názoru) znemožnil přístup do tohoto systému v období od 16. 12. 2022 do 22. 12. 2022, kdy mělo být dle přesvědčení žalobce obnovení přístupu podmíněno tím, že podpisem vysloví souhlas s postupem správního orgánu. Podle názoru městského soudu se jedná o dvě jednání s jinými následky. V tom první případě je následkem jednání žalovaného pozbytí přístupových údajů žalobce. Ve druhém případě je následkem jednání žalovaného to, že žalobci v daném období nemělo být umožněno obnovit přístupové údaje.

53. Ochranu podle § 82 a násl. s. ř. s. může soud poskytnout jen tehdy, jsou–li kumulativně splněny podmínky, aby žalobce byl přímo (1. podmínka) zkrácen na svých právech (2. podmínka) nezákonným (3. podmínka) zásahem, pokynem nebo donucením („zásahem“ v širším smyslu) správního orgánu, které nejsou rozhodnutím (4. podmínka), a byl zaměřen přímo proti němu nebo v jeho důsledku bylo proti němu přímo zasaženo (5. podmínka). Není–li byť jen jediná z uvedených podmínek splněna, nelze žalobci ochranu podle § 82 a násl. s. ř. s. poskytnout (k tomu viz např. rozsudek Nejvyššího správního soudu ze dne 17. 3. 2008, č. j. 2 Aps 1/2005 – 65, č. 603/2005 Sb. NSS).

54. Nejvyšší správní soud pak ve zrušujícím rozsudku ze dne 23. 5. 2024, č. j. 10 As 250/2023–64 poukázal na to, že soudní ochranu ve smyslu § 82 s. ř. s. je přitom nutné poskytnout jen proti nezákonným postupům dosahujícím určité (minimální) intenzity: stejně jako drobné pochybení ve správním řízení není důvodem pro zrušení výsledného rozhodnutí, nemá být ani drobné pochybení, které nemohlo skutečně zasáhnout veřejná subjektivní práva jednotlivce, označeno za nezákonný zásah (rozsudek Nejvyššího správního soudu ze dne 16. 8. 2023, čj. 2 As 90/2023 – 58, bod 14).

III. Jednání žalovaného spočívající ve zneplatnění přístupových údajů

55. Základní otázkou, kterou je podle názoru městského soudu třeba vyložit, je to, zda a vůbec jaká práva byla jednáním žalovaného, spočívajícím v zneplatnění přístupových údajů zasažena (2. podmínka testu).

56. Lékárenská péče je dle § 5 odst. 2 písm. i) zákona č. 372/2011 Sb. o zdravotních službách druhem zdravotní péče (podkategorie zdravotních služeb), jejímž účelem je zajišťování, příprava, úprava, uchovávání, kontrola a výdej léčiv, s výjimkou transfuzních přípravků a surovin pro výrobu krevních derivátů podle zákona o léčivech, laboratorních chemikálií, zkoumadel, dezinfekčních přípravků, a dále zajišťování, uchovávání, výdej a prodej zdravotnických prostředků podle zákona o zdravotnických prostředcích, zajišťování, uchovávání, výdej a prodej potravin pro zvláštní lékařské účely; v rámci této péče je dále poskytováno poradenství, konzultační služby a další služby v oblasti prevence a včasného rozpoznávání onemocnění, podpory zdraví a posuzování a kontrola účelného, bezpečného a hospodárného užívání léčivých přípravků a postupů s tím spojených.

57. Z § 80 odst. 1 zákona o léčivech poté vyplývá základní pravidlo, že léčivé přípravky se předepisují na lékařský předpis, a to na recept pro konkrétního pacienta vytvářený v elektronické podobě. Výjimky obsahuje § 81f zákona o léčivech, kdy se recept pro konkrétního pacienta vystavuje v listinné podobě.

58. Podle § 81g odst. 2 písm. a) – c) se léčivé přípravky vázané na lékařský předpis vydávají na základě elektronického receptu s výjimkami dle § 81f, kdy je vystavován listinný recept – i při výdeji v těchto případech je vydávající farmaceut povinen přepsat údaje z této podoby do elektronického záznamu (§ 81g odst. 6 zákona o léčivech), který se uchovává v centrálním úložišti receptů coby součásti systému eRecept /§ 81 odst. 1 písm. a) ve spojení s § 81g odst. 6 zákona o léčivech/.

59. Z ustanovení § 80 odst. 2 zákona o léčivech vyplývá, že elektronický recept je vytvářen, měněn nebo rušen v systému eRecept. Podle § 82 odst. 2 písm. a) zákona o léčivech platí, že léčivé přípravky jsou oprávněny vydávat v lékárnách mj. farmaceuti v lékárnách.

60. Z citovaných ustanovení zákona o zdravotních službách a zákona o léčivech tedy ednoznačně vyplývá, že k poslání žalobce jako farmaceuta a osoby zúčastněné na řízení jako poskytovatelky lékárenské péče je nezbytné, aby žalobce mohl využívat přístup do systému eRecept. Žalobce odnětím přístupových oprávnění ztratil přístup do eReceptu a pokud mu byl přístup do eReceptu po určitou dobu odepřen, byl tím významně omezen výkon jeho povolání.

61. Městský soud je toho názoru, že u žalobce lze identifikovat dvě práva, která byla jednáním žalovaného zasažena a přímo zkrácena. Jelikož zásah směřoval proti žalobci při výkonu povolání farmaceuta, bylo zasaženo jeho relativní základní právo na nerušený výkon zvoleného povolání a s tím akcesoricky spojené právo získávat prostředky pro své životní potřeby prací (zaručené ustanovením čl. 26 odst. 1 a 3 Listiny základních práv a svobod). Jak Nejvyšší správní soud v bodu 15 svého rozsudku rovněž konstatoval, žalobce je také nadán veřejným subjektivním právem na nepřetržitý přístup farmaceuta do systému eRecept dle § 81 odst. 3 písm. b), d) a f) zákona o léčivech. Jelikož žalobce po tuto dobu systém nemohl využívat, ač jako oprávněná osoba původně přístupovými údaji disponoval, proto bylo odnětím přístupu žalovaným z výše vyložených důvodů zasaženo a zkráceno právo na nepřetržitý přístup žalobce do systému eRecept.

62. Jednáním žalovaného pak bylo zasaženo i právo osoby zúčastněné na řízení na podnikání (na nerušený výkon podnikání) rovněž dle článku 26 Listiny základních práv a svobod, protože žalobce následkem uvedeného jednání nemohl plnit poslání lékárny coby poskytovatele zdravotní péče.

63. Tím byla splněna podmínka č. 2 testu nezákonnosti zásahu.

64. Další otázkou je to, zda byl žalobce (potažmo osoba zúčastněná na řízení coby jeho zaměstnavatel) tímto zásahem (jednáním žalovaného) přímo zkrácen na svých právech (1., 4 a 5. podmínka testu).

65. Mezi stranami vůbec není sporné, že jednání žalovaného nemá formu rozhodnutí. Ostatně sám Nejvyšší správní soud v bodě 18 svého rozsudku konstatoval, že se žalovaný zneplatněním přístupových údajů vůči žalobci dopustil zásahu.

66. Co se týče otázky, zda mohly být práva žalobce zásahem žalovaného zkrácena, je rovněž nesporné, že především žalobce (a v důsledku toho i jeho zaměstnavatel – osoba zúčastněná na řízení) následkem prvního jednání žalovaného nemohli po určitou dobu využívat přístup do systému eRecept, tj. nemohli systém využívat ve stejném rozsahu, jako kdyby k zásahu nedošlo. Zneplatněním přístupových údajů tedy došlo ke zkrácení práv žalobce a osoby zúčastněné na řízení. V této souvislosti soud vycházel také z toho, že žalovaný odnětím přístupových údajů znemožnil žalobci plnohodnotně využívat systém eRecept. Dosavadní nerušený stav, kdy žalobce mohl využívat svůj přístup k vydávání léků (a tím plnit své pracovní povinnosti ve prospěch zaměstnavatele – osoby zúčastněné na řízení), tak byl jednáním žalovaného zásadně změněn. Jinými slovy, nebýt tohoto jednání žalovaného, žalobce a jeho prostřednictvím i osoba zúčastněná na řízení mohli nadále nerušeně systém eRecept využívat. Jednání žalovaného, které tento stav narušilo a bylo namířené přímo proti osobě žalobce v postavení lékárníka (coby osoby zaměstnané zdravotnickým zařízením, které tak nemohlo plnit své poslání) tak nepochybně představuje významný zásah. Tím je tedy podle názoru městského soudu jednoznačně vyřešeno, že zásah žalovaného, který přímo zkrátil výše uvedená práva žalobce (potažmo osoby zúčastněné na řízení jako jeho zaměstnavatele) dosáhl významné intenzity, která by zasluhovala soudní ochranu.

67. Proto soud shledal, že za těchto okolností byla výše identifikovaná práva žalobce (potažmo osoby zúčastněné na řízení) přímo zkrácena jednáním žalovaného, které není rozhodnutím. Podmínky č. 1, 4 a 5 testu byly tedy u tohoto jednání rovněž naplněny.

68. Poslední otázkou je to, zda žalovaný do práv žalobce a osoby zúčastněné na řízení uvedenými jednáními zasáhl nezákonně (3. podmínka testu).

69. Dle kontrolního zjištění a provedeného výslechu umožnil žalobce využití svých přístupových údajů do systému eRecept jiné osobě (studentce farmacie). Z vyjádření manažera kybernetické bezpečnosti žalovaného ze dne 19. 2. 2022 vyplývá, že zneplatnění původních přístupových údajů žalobce učinil dle § 2 odst. 4, 8 písm. c) prováděcí vyhlášky č. 329/2019 Sb. a dle § 12 odst. 1 vyhlášky č. 82/2018 Sb.

70. Informační systém eRecept zřizuje žalovaný jako informační systém veřejné správy a je správcem a provozovatelem systému eRecept (§ 81 odst. 1, 2 zákona o léčivech). Systém eRecept není veřejně dostupný (§ 81a odst. 8 zákona o léčivech). Systém eRecept umožňuje přístup jen osobám uvedeným v § 81 odst. 3 zákona o léčivech ve spojení s § 2 odst. 1 prováděcí vyhlášky č. 329/2019 Sb., jiným osobám (např. studentům na praxi) přístup neumožňuje. Systém eRecept umožňuje oprávněným osobám (např. lékaři, pacientovi, vydávajícímu farmaceutovi, zdravotní pojišťovně, ministerstvu zdravotnictví atp.) přístup k údajům dle § 81 odst. 3 zákona o léčivech nebo např. k lékovému záznamu dle § 81d zákona o léčivech.

71. Podle § 81 odst. 5 zákona o léčivech Systém eRecept eviduje v žurnálu činností každý zaslaný požadavek a činnost do něho přihlášených subjektů. Žurnál činností zaznamenává v systému eRecept přístup a činnosti všech subjektů oprávněných vstupovat do systému eRecept.

72. Současně platí, že informační systém eRecept je informačním systémem prvku kritické infrastruktury. K rozhodování o prvcích kritické infrastruktury, jejichž provozovatelem je organizační složka státu, zmocňuje vládu § 4 odst. 1 písm. e) zákona č. 240/2000 Sb., o krizovém řízení. Vláda usnesením ze dne 7. 12. 2022, č. 1020 ve výroku I. schválila aktualizovaný Seznam prvků kritické infrastruktury, jejichž provozovatelem je organizační složka státu – informační systém eRecept je veden jako položka 414 tohoto seznamu.

73. K provedení zákona o léčivech vydalo ministerstvo zdravotnictví vyhlášku č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb. Zákon č. 181/2014 Sb., o kybernetické bezpečnosti provádí vyhláška Národního úřadu pro kybernetickou a informační bezpečnost č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti).

74. Podle čl. 79 odst. 3 Ústavy České republiky (ústavní zákon č. 1/1993 Sb.) jsou ministerstva, jiné správní úřady a orgány územní samosprávy oprávněny na základě a v mezích zákona vydávat právní předpisy, jsou–li k tomu zákonem zmocněny.

75. Východiska pro interpretaci tohoto ustanovení poskytuje ustálená judikatura Ústavního soudu. Ten v nálezu sp. zn. Pl. ÚS 45/2000 (č. 96/2001 Sb.; N 30/21 SbNU 261) uvedl, že „ústavní vymezení odvozené normotvorby exekutivy spočívá na následujících zásadách: (a) nařízení musí být vydáno oprávněným subjektem, (b) nařízení nemůže zasahovat do věcí vyhrazených zákonu (nemůže tedy stanovit primární práva a povinnosti) a (c) musí být zřejmá vůle zákonodárce k úpravě nad zákonný standard (musí být tedy otevřen prostor pro sféru nařízení).“ 76. Prováděcí vyhláškou jakožto dalším případem odvozené normotvorby se Ústavní soud zabýval v nálezu sp. zn. Pl. ÚS 23/02 (č. 476/2004 Sb.; N 89/33 SbNU 353), kde uvedl, že „pro zabezpečení efektivního výkonu veřejné správy je vhodné ponechat úpravu podrobností podzákonnému právnímu předpisu, který lze operativněji měnit. Proto i ústavní pořádek České republiky dovoluje zákonodárci, aby za určitých podmínek zmocnil výkonné orgány k vydávání podzákonných právních předpisů. Zmocnění ovšem musí být výslovné a obsah podzákonného předpisu musí být v souladu se zákonem, který provádí, musí tedy být vydán na jeho základě a v jeho mezích. Pokud však Parlament rezignuje na stanovení příslušného rámce a blanketně zmocní exekutivu k tomu, aby stanovila, co je právo, jaká jsou práva a povinnosti osob nebo jaké jsou pravomoci a povinnosti správních úřadů, pak porušuje zásadu omezené delegace normotvorby, a porušuje tak i principy dělby moci, stanovené mj. v čl. 2 odst. 1 Ústavy. Omezení delegace normotvorby je jedním z tradičních a klíčových aspektů dělby moci a systému brzd a vzájemných vyvážení, na nichž je postaven i ústavní pořádek České republiky. Zákonodárce v systému dělby moci zásadně nemůže přenést svou pravomoc na jiný subjekt, svěřit ji do jiných rukou (...). Podle judikatury Ústavního soudu nemusí být každá povinnost stanovena zákonem, neboť požadavek, aby jakákoliv povinnost byla stanovena přímo a výhradně zákonem, by zjevně vedl k absurdním důsledkům, a to k popření smyslu sekundární normotvorby, jelikož pojmovou součástí každé právní normy je vymezení určitých práv a povinností adresátů normy' (srov. nález č. 410/2001 Sb.). Podzákonný předpis se však musí vždy pohybovat v mezích zákona, které jsou buď výslovně vymezeny anebo vyplývají ze smyslu a účelu zákona. Na základě zákonného zmocnění má prováděcí předpis konkretizovat problematiku upravenou v základních rysech již samotným zákonem, ale nikdy nesmí jít mimo zákon.“ V nálezu sp. zn. Pl. ÚS 3/2000 (č. 231/2000 Sb.; N 93/18 SbNU 287) pak Ústavní soud konstatoval, že čl. 79 odst. 3 Ústavy je třeba interpretovat restriktivně, což znamená, že zmocnění k vydávání podzákonných právních předpisů musí být konkrétní, jednoznačné a jasné. III.a) Zmocnění k zásahu dle § 81a odst. 1 zákona o léčivech 77. Co se týče podoby samotné právní úpravy přístupu do systému eRecept, podle § 81a odst. 1 věty první zákona o léčivech k systému eRecept a jeho součástem přistupuje lékař a farmaceut prostřednictvím jemu Ústavem vydaných přístupových údajů a přístupového certifikátu poskytovatele zdravotních služeb, v rámci jehož činnosti poskytuje zdravotní služby. Dle ustanovení § 81a odst. 1 věty třetí až čtvrté jsou k systému oprávněni přistupovat i jiné vyjmenované osoby. Podle § 81a odst. 1 věty páté zákona o léčivech „postup a podmínky pro získání přístupových údajů a certifikátů stanoví prováděcí právní předpis“.

78. Ustanovení § 81a odst. 1 zákona o léčivech stanovuje, že oprávněné osoby k systému eRecept mohou přistupovat prostřednictvím přístupových údajů a přístupového certifikátu. K přístupu do systému eRecept je tedy třeba užít přístupové údaje, které dle § 81a odst. 1 zákona o léčivech a § 2 odst. 1 a 4 vyhlášky č. 329/2019 Sb. mohou být žalovaným vydány pouze jedny pro jednu fyzickou osobu. Přístupový certifikát pak slouží toliko k zabezpečení komunikace se systémem eRecept (srov. § 2 odst. 7 vyhlášky č. 329/2019 Sb.) a početnímu omezení nepodléhá. Přístup k systému eRecept je zabezpečen dle § 81a odst. 1 zákona o léčivech a) přístupovými údaji fyzické osoby a současně b) přístupovým certifikátem k zabezpečení této komunikace.

79. Dle kontrolního zjištění a ostatně i dle výslechu žalobce užívala farmaceutická asistentka v době kontroly tzv. sekundární certifikát žalobce, který jej vytvořil právě pro potřeby odborné praxe. Byť se tedy nejednalo o tzv. primární (komplexní) certifikát, který žalobce užívá pro své potřeby a praktikantům jej nezpřístupňuje, podstatné je to, že i sekundární certifikát je k přístupu do systému eRecept používán jen ve spojení s přístupovými údaji žalobce. To potvrzuje příloha 3 protokolu o kontrole, z níž vyplývá, že prostřednictvím aplikace byl žalobce k systému eRecept přihlášen svým uživatelským jménem a heslem (ID SÚKL a heslo SÚKL) a ověřen certifikátem číslo 00B72B4B pro subjekt „Mgr. A. N.“. Rovněž žalobce ve svém výslechu uvedl, že byť šlo o certifikát užívaný pro odbornou praxi, k systému eRecept byl přihlášen svými přístupovými údaji, které se vyskytovaly „na pozadí“ aplikace. Právě vzhledem k tomu, že certifikát je tedy provázán na jedinečné přístupové údaje žalobce, je podle názoru soudu třeba nahlížet na užívání certifikátu zřízeného pro potřeby praxe jako na užívání již samotných přístupových údajů žalobce.

80. Zákonodárce ustanovením § 81a odst. 1 věty první až čtvrté zákona o léčivech tedy podmiňuje přístup mj. lékaře a farmaceuta do systému eRecept prostřednictvím přístupových údajů a přístupového certifikátu poskytovatele zdravotních služeb, které mu vydává žalovaný. To znamená, že přístup k systému eRecept je tedy omezen a podmíněn přidělením přístupových oprávnění od žalovaného a současně je žalovaný tímto zákonným ustanovením obecně zmocněn k přidělování přístupových údajů oprávněným subjektům.

81. Současně zákonodárce v ustanovení § 81a odst. 1 větě páté zákona o léčivech zmocňuje ministerstvo zdravotnictví (ve spojení s § 114 odst. 1 zákona o léčivech) k provedení tohoto omezení, tj. ke stanovení postupu a podmínek pro získání přístupových údajů a certifikátů prováděcí vyhláškou.

82. Z ustanovení § 81a odst. 1 zákona o léčivech v první řadě vyplývá, že bez přístupových údajů do systému eRecept farmaceut nemůže ve smyslu § 82 odst. 2 zákona o léčivech vydávat léčivé přípravky. Touto podmínkou tedy dochází k výraznému omezení výkonu jeho povolání a jeho prostřednictvím i k omezení poskytování lékařských služeb jejich poskytovatelem. Prostřednictvím této podmínky, tj. podmínky získat přístup do systému eRecept, je tedy omezeno právo žalobce na nepřetržitý přístup k systému eRecept a jeho právo na nerušený výkon povolání a práva osoby zúčastněné na řízení na podnikání.

83. Městský soud v Praze je nicméně v první řadě toho názoru, že samotné toto omezení (tj. vazba přístupu do systému eRecept na získání a držení přístupových údajů od žalovaného) sleduje legitimní cíl a je i rozumné k jeho dosažení.

84. Jak již Nejvyšší správní soud v rozsudku ze dne 23. 5. 2024, č. j. 10 As 250/2023 – 64 vyložil, relativní základní práva na nerušený výkon povolání a podnikání, mohou být omezena zákonem ve formálních smyslu (srov. článek 26 odst. 2, článek 4 odst. 2 Listiny základních práv a svobod).

85. Podle článku 41 odst. 1 Listiny základních práv a svobod platí, že mj. práv v článku 26 Listiny je možno se domáhat pouze v mezích zákonů, které tato ustanovení provádějí. Z práv podle čl. 26 Listiny tedy primárně plynou nároky zakotvené v zákonech, které tato práva provádějí. To ostatně konstatoval Ústavní soud v sp. zn. IV. ÚS 266/09 nebo I. ÚS 3921/12): „Podle ustanovení čl. 41 je možné dovolávat se práva podle čl. 26 pouze v mezích prováděcích zákonů, což zároveň znamená, že i každé omezení musí být upraveno zákonem.“ To je v projednávané věci naplněno, neboť omezující podmínka přístupu k systému eRecept prostřednictvím přístupových údajů, které je oprávněn žalobci vydat toliko žalovaný, je stanovena v § 81a odst. 1 zákona o léčivech.

86. Dalším klíčovým principem je požadavek šetřit podstaty a smyslu omezovaných základních práv, který se uplatní i u sociálních práv. Vztah mezi čl. 41 odst. 1 a čl. 4 odst. 4 vyjádřil ÚS v nálezu Pl. ÚS 31/09: „I když ustanovení čl. 41 odst. 1 umožňuje zákonodárci stanovit konkrétní podmínky realizace sociálních práv, jejich zákonné vymezení nesmí být v rozporu s ústavními principy, jinak řečeno, zákony, které je upravují, nesmějí ústavně zaručená sociální práva zcela popřít či je anulovat. Stejně jako v případě základních práv a svobod přímo vymahatelných na základě Listiny musí i v případě sociálních práv zákonodárce respektovat pravidlo uvedené v čl. 4 odst. 4, podle něhož při používání ustanovení o mezích základních práv a svobod musí být šetřeno jejich podstaty a smyslu.“ 87. Ústavní soud pak zásahy do práv uvedených v čl. 41 odst. 1 Listiny základních práv a svobod přezkoumává v (mírnějším) testu racionality. Ten se skládá ze 4 kroků: a) vymezení smyslu a podstaty sociálního práva, tedy jeho jádra nebo esenciálního obsahu. Toto jádro sociálního práva vyplývá z příslušného ustanovení hlavy čtvrté Listiny základních práv a svobod v kontextu čl. 4 odst. 4. b) Zhodnocení, zda se zásah nedotýká samotné existence sociálního práva nebo jeho skutečné realizace (esenciálního obsahu). Pokud se nedotýká esenciálního obsahu sociálního práva, pokračuje se dále kroky tři a čtyři tohoto testu (jinak se pokračuje testem proporcionality). c) Posouzení, zda zákonná úprava sleduje legitimní cíl, tedy zda není svévolným zásadním snížením celkového standardu základních práv. d) Zvážení otázky, zda zákonný prostředek použitý k jeho dosažení je rozumný (racionální), byť nikoliv nutně nejlepší, nejvhodnější, nejúčinnější či nejmoudřejší (blíže viz: TOMOSZEK, Maxim. Čl. 41 [Omezení vymahatelnosti některých sociálních práv]. In: HUSSEINI, Faisal, BARTOŇ, Michal, KOKEŠ, Marian, KOPA, Martin a kol. Listina základních práv a svobod. 1. vydání (1. aktualizace). Praha: C. H. Beck, 2021, marg. č. 30.)

88. Co se týče podstaty a smyslu základních práv zaručených čl. 26 odst. 1 Listiny základních práv a svobod lze ve vztahu k právu podnikat a vykonávat jinou hospodářskou činnost specifikovat tím způsobem, že jde o svobodu vykonávat určitou výdělečnou činnost samostatně na vlastní účet a odpovědnost za účelem dosažení zisku. Toto právo zaručuje samotnou možnost výkonu takovéto činnosti, jakož i to, že povinnosti a omezení, jež se k ní vztahují, nebudou znemožňovat její hlavní účel (srov. Pl. ÚS 19/13, bod 66, Pl. ÚS 13/14, bod 14) (srov. TOMOSZEK, Maxim. Čl. 41 [Omezení vymahatelnosti některých sociálních práv]. In: HUSSEINI, Faisal, BARTOŇ, Michal, KOKEŠ, Marian, KOPA, Martin a kol. Listina základních práv a svobod. 1. vydání (1. aktualizace). Praha: C. H. Beck, 2021, marg. č. 55.) Z čl. 26 Listiny plyne veřejné subjektivní právo jednotlivce, aby stát nekladl výběru a výkonu právem dovolených činností, pro které jsou určité předpoklady potřebné, neodůvodněné veřejnoprávní překážky (nález sp. zn. Pl. ÚS 11/08, bod 28).

89. Omezující podmínka k přístupu do systému eRecept podle názoru soudu nijak neznemožňuje farmaceutovi (či lékaři) a jeho zaměstnavateli výkon jejich povolání, resp. podnikatelské činnosti.

90. Z ustanovení § 2 odst. 1 písm. c) a odst. 2 prováděcí vyhlášky č. 329/2019 Sb., i z dokazování samotného vyplynulo, že přidělení přístupových údajů farmaceutovi se odvíjí pouze od elektronické žádosti, nepodléhá žádným dalším podmínkám ani uvážení či povolení žalovaného. Soud tedy neshledal, že by povinnost přístupu k systému eRecept vázaná na přidělení přístupových údajů, měla zásadně zatěžovat žadatele ve výkonu jejich činnosti.

91. Co se týče legitimního cíle tohoto omezení, zde soud vyšel z toho, že k systému eRecept může být udělen jen přístup lékaři či farmaceutovi, nikoliv jiné osobě (srov. § 81 odst. 3 zákona o léčivech, § 2 odst. 1 písm. b), c) a odst. 4 prováděcí vyhlášky č. 329/2019 Sb.) Vzhledem k povaze a rozsahu vedených informací v systému eRecept, je tedy potřeba omezit a chránit přístup do tohoto systému.

92. Přidělování přístupových údajů žalovaným konkrétní osobě na základě žádosti je pak rozumným zákonným prostředkem k dosažení cíle – tj. k ochraně přístupu do systému eRecept. Jelikož přístupové údaje jsou vázány k její žádosti na konkrétní osobu, je tím tak zajištěn konkrétní a identifikovatelný rozsah osob, které mají do systému a jeho součástí přístup, tj. v případě farmaceuta, kdy a kdo konkrétně vydal předepsaný léčivý přípravek.

93. Toto omezení podle městského soudu současně neporušuje právo žalobce na nepřetržitý přístup k systému eRecept. Zákon o léčivech dle § 81 odst. 3 zákona o léčivech přiznává právo na nepřetržitý přístup do informačního systému eRecept jen oprávněným osobám. To ovšem logicky může platit pouze v takové situaci, kdy je farmaceut (příp. jiná oprávněná osoba) držitelem platných přístupových údajů coby základní podmínky dle § 81a odst. 1 zákona o léčivech pro využívání systému eRecept. Pakliže oprávněná osoba tyto údaje nezískala, nebo by tyto údaje byly zrušeny, tím není splněna podmínka pro přístup do systému dle § 81a odst. 1 zákona o léčivech. V takové situaci proto ani nemůže trvat povinnost žalovaného zabezpečit žalobci nepřetržitý přístup do systému. A ani prováděcí vyhláška, která blíže konkretizuje podmínky dle § 81a odst. 1 zákona o léčivech, za nichž přístup nebude možný (za předpokladu, že existuje k takové podzákonné úpravě zmocnění), není sama o sobě v rozporu s právem oprávněných osob na zabezpečení nepřetržitého přístupu do systému eRecept dle § 81 odst. 3 zákona o léčivech.

94. Městský soud v Praze je tedy toho názoru, že samotné omezení přístupu do systému eRecept závislé na získání přístupových údajů od žalovaného představuje legitimní zákonné omezení práv ve smyslu článku 26 odst. 2 Listiny základních práv a svobod, přičemž meze těchto práv jsou stanoveny zákonem v souladu s článkem 4 odst. 2 Listiny základních práv a svobod.

95. Žalobci soud v této souvislosti přisvědčil v tom, že žalovaný mu svým jednáním (tj. zrušením přístupových údajů) uložil nápravný prostředek za účelem ukončení protiprávního jednání či odstranění protiprávního stavu vzniklého porušením právní povinnosti; jedná se tedy o tzv. specifický nápravný prostředek správního dozoru, jímž je sledován jiný cíl než sankcí (blíže k výkladu např. rozsudek Nejvyššího správního soudu ze dne 6. 2. 2020, č. j. 5 As 325/2018 – 39 a v něm citovaná judikatura Nejvyššího správního soudu). Již na tomto místě však soud předesílá, že dle jeho názoru je žalovaný ke správě přístupových údajů k systému eRecept, tj. k jejich přidělování a k případnému odebírání, zmocněn přímo ustanovením § 81a odst. 1 zákona o léčivech.

96. O tom, že žalovaný je zákonem tj. ustanovením § 81a odst. 1 věty první a páté zákona o léčivech zmocněn prostřednictvím prováděcí vyhlášky k přidělování přístupových oprávnění, mezi stranami sporu není. Mezi stranami však panuje zásadní spor o to, zda je žalovaný na základě zákona zmocněn také k odebrání a znemožnění přístupu do systému eRecept, tj. zda odebrání přístupu žalobci představuje zákonné omezení práv dle článku 4 odst. 2, čl. 26 odst. 2 Listiny.

97. Ustanovení § 81 odst. 1 zákona o léčivech in fine (věta pátá) uvádí, že „postup a podmínky pro získání přístupových údajů stanoví prováděcí právní předpis.“ Z věty páté téhož ustanovení vyplývá, že pouze bližší podmínky pro získání přístupových údajů a certifikátů stanoví prováděcí právní předpis. K vydání prováděcího předpisu je dle § 114 zákona o léčivech zmocněno konkrétně ministerstvo zdravotnictví.

98. Z posledně uvedeného ustanovení (ve spojení s § 114 zákona o léčivech) vyplývá vůle zákonodárce zmocnit ministerstvo zdravotnictví v souladu s článkem 79 odst. 3 Ústavy České republiky k provedení zákonného omezení přístupu k systému eRecept, tj. ke stanovení podrobnějších podmínek k získání přístupových údajů a certifikátů u žalovaného. To nad obecný zákonný standard, neboť ustanovení § 81a odst. 1 zákona o léčivech jen obecně ukládá lékařům a farmaceutům omezení, povinnost a podmínku přistupovat k systému eRecept pouze prostřednictvím přístupových údajů a certifikátů získaných od žalovaného. To vyplývá i z důvodové zprávy (dostupné jako sněmovní tisk 302/0 na adrese https://www.psp.cz/sqw/text/orig2.sqw?idd=139527 k novele 262/2019 Sb. „přesný postup a podmínky pro získání přístupu budou stanoveny v prováděcím předpise.“ 99. Zákonodárce ustanovením § 81a odst. 1 věty páté zákona o léčivech (ve spojení s § 114 téhož zákona) podle názoru soudu formulačně vymezil meze zmocnění (k provedení zákonného omezení povolání žalobce a poskytovatele zdravotních služeb) tak, že se týkají stanovení postupu a podmínek získání přístupu k systému eRecept, to aniž by v tomto vymezení předvídal, že (i v budoucnu) by mohly nastat nepředvídané situace, které by se mohly vztahovat na nakládání s přístupovými údaji a které by bylo nezbytné blíže upravit prováděcí vyhláškou. Zákonodárce takto postupoval jinak než např. v úpravě přístupu k datovým schránkách, kdy přímo v ustanovení § 9 a násl. zákona č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů stanovil podmínky pro přístup i znepřístupnění datových schránek.

100. Přesto takový postup zákonodárce podle názoru soudu obstojí. Již ze základních rysů ustanovení § 81a odst. 1 zákona o léčivech je totiž podle názoru soudu zjevné, že zákonodárce zkrátka zmocnil ministerstvo zdravotnictví rámcově k tomu, aby prováděcím předpisem stanovilo podmínky, za nichž oprávněná osoba může získat a disponovat přístupovým oprávněním k systému eRecept. Jinými slovy tedy obecně zmocnil ministerstvo k technickému stanovení postupu a podmínek nejen pro získání ale obecně přístupu k systému eRecept, tj. včetně jeho odebrání, pokud to bude sledovat účel přístupu k systému.

101. Z ustanovení § 81a odst. 1 věty první až čtvrté zákona o léčivech totiž vyplývá, že k systému eRecept na základě (od žalovaného) získaných přístupových údajů přistupuje nejen lékař a farmaceut, ale též pracovník zdravotní pojišťovny, ministerstva zdravotnictví nebo Policie České republiky. Nicméně jedná se o široký okruh osob, které mohou na základě tohoto zákonného ustanovení od žalovaného získat oprávnění k přístupu systému eRecept. Zákon o léčivech však přiznává a omezuje přístup k systému těmto osobám pouze ve vazbě na jejich status (tj. ve vazbě na postavení lékaře, farmaceuta, příslušného pověřeného pracovníka), který mohou tyto osoby z různých důvodů také pozbýt. Na to žalovaný musí u přístupových údajů taktéž vhodně reagovat a pokud se nadále nejedná o oprávněnou osobu definovanou v § 81a odst. 1 zákona o léčivech, z citovaného ustanovení a contrario vyplývá, že pak nemůže nadále držet dříve získané přístupové oprávnění. Je tedy nasnadě, že ustanovení § 81a odst. 1 zákona o léčivech vymezuje i negativní rámec zmocnění pro ministerstvo, tj. zmocnění k úpravě situací, kdy přístupové oprávnění osoba rozhodně mít nemůže.

102. Bylo by proto podle názoru soudu v rozporu s účelem omezujícího ustanovení § 81a odst. 1 věty první až čtvrté zákona o léčivech, pokud by ve srovnání s tím měly být vykládány meze jeho zmocňovacího ustanovení (dle věty páté) tak, že prováděcímu předpisu umožňují pouze stanovení postupu a podmínek k získání přístupu. Pokud by měl záměr zákonodárce spočívat pouze ve zmocnění ministerstva zdravotnictví toliko ke stanovení postupu a podmínek získání přístupu (přístupových údajů a certifikátů) k systému od žalovaného, soudu by ani nebylo zřejmé, jakým jiným výslovným způsobem než touto prováděcí vyhláškou by zákonodárce hodlal upravit další podmínky spojené s omezeným přístupem k systému Recept, neboť § 81a zákona o léčivech již žádné další zmocnění nebo podmínky přístupu k systému eRecept nestanovuje.

103. Podle názoru soudu proto ze smyslu a účelu § 81a odst. 1 zákona o léčivech jako celku nevyplývá a nelze dovodit úmysl zákonodárce zmocnit ministerstvo zdravotnictví pouze takovému k úzkému provedení podmínek přístupu k systému eRecept, jak by mohla nasvědčovat doslovná a gramatická interpretace věty páté. Úmyslem zákonodárce, byť v § 81a odst. 1 větě páté zákona o léčivech je podle názoru soudu zmocnit ministerstvo zdravotnictví k obecnému provedení resp. ke stanovení postupu a podmínek pro přístup k systému eRecept, tj. nejen pro získání přístupu do tohoto systému.

104. Podle názoru městského soudu by ostatně i rozumně uvažující člověk ze samotné formulace ustanovení § 81 odst. 1 věty páté zákona o léčivech „postup a podmínky pro získání přístupových údajů stanoví prováděcí právní předpis“ spíše očekával, že v tomto prováděcím předpise budou stanoveny nejen podmínky, které musí být splněny pro získání přístupu, ale také pro jeho neudělení a pozbytí, pokud budou souviset s podmínkami, za kterých má být přístup jinak získán.

105. Podle názoru městského soudu proto z takto pozitivně vymezeného ustanovení § 81a odst. 1 věty páté zákona o léčivech vyplývá jak zmocnění stanovit postup a podmínky pro získání přístupových údajů, tak i zmocnění opačné, tj. definice situací, které se budou odvíjet od podmínek k získání přístupu a které budou znamenat, že pokud osoba postup a podmínky pro přístup nebude splňovat, nebude také disponovat přístupovými údaji a certifikáty. Podle názoru soudu se tedy jedná o dvě strany téže mince – tím je bližší stanovení podmínek přístupu do systému eRecept, k jehož udělování je žalovaný obecně zmocněn v § 81a odst. 1 větě prvé zákona o léčivech.

106. Konkrétní postup a podmínky pro získání přístupových údajů do systému eRecept u osob k tomu oprávněných dle § 81a odst. 1 zákona o léčivech stanovuje ministerstvo zdravotnictví žalovanému v ustanovení § 2 prováděcí vyhlášky (nazvané „Postup a podmínky pro získání přístupových údajů a certifikátů“).

107. Tato část prováděcí vyhlášky obsahuje kombinaci předepsaného postupu a stanovení podmínek pro získání přístupových údajů. Pod pojem „postup“ je třeba zařadit formální náležitosti žádostí o přístup k systému eRecept (srov. § 2 odst. 2 a 3, 7 vyhlášky). Ostatní lze podle názoru soudu zařadit pod „podmínky pro získání přístupových údajů“.

108. Konkrétně farmaceutovi vydá žalovaný přístupové údaje podle § 2 odst. 1 písm. c) této vyhlášky na žádost a podle § 2 odst. 2 vyhlášky taková osoba získá od Ústavu přístupové údaje podle § 81a odst. 1 zákona o léčivech na základě své žádosti zaslané prostřednictvím elektronického formuláře zveřejněného na internetových stránkách Ústavu. Na žádost získá farmaceut rovněž přístupový certifikát, který slouží k zabezpečení komunikace se systémem eRecept (§ 2 odst. 7 prováděcí vyhlášky č. 329/2019 Sb.)

109. Prováděcí vyhláška pak v ustanovení § 2 odst. 4 – 6 vytvořila soubor podmínek, za nichž je získání a držení přístupových údajů možné – podmiňuje vydání jedněch přístupových údajů pouze pro jednu osobu (přístupový certifikát takto omezen není – srov. odst. 7 vyhlášky, lze tedy disponovat více certifikáty) a stanovuje podmínku nepřenosnosti údajů na jinou osobu než té, které byly vydány. Dále stanovuje podmínky omezující využívání přístupových údajů u dalších kategorií oprávněných osob a konečně podmínku pro vydání nových přístupových údajů, kterou je však zrušení předchozích údajů. V této souvislosti v ustanovení § 2 odst. 8 vyhláška stanovuje 4 podmínky, za nichž dojde ke zrušení přístupových údajů (úmrtí osoby, žádost osoby o nové údaje, podezření na zneužití či kompromitaci přístupových údajů, žádost osoby o zrušení přístupu).

110. Dle těchto podmínek tedy žádost o přístupové údaje musí být podána na standardizovaném elektronickém formuláři. Proto pokud žalobce žalovaného toliko vyzýval k obnovení přístupu ve dnech 16. 12. 2022 (v rámci emailové komunikace k manažerovi kybernetické bezpečnosti žalovaného) a 19. 12. 2022 (výzva k obnovení stavu před zásahem), takový postup (po zrušení přístupových údajů) nebyl v souladu s § 81a odst. 1 zákona o léčivech ve spojení s § 2 odst. 2 vyhlášky a žalobce takto nemohl získat přístupové údaje k eReceptu. Žalobce byl v situaci, kdy mu byly zneplatněny přístupové údaje, tedy povinen podat novou žádost a do té doby nebyl oprávněn k přístupu do systému.

111. Soud je toho názoru, že je obecně možné, aby v prováděcím předpise byly stanoveny další podmínky a povinnosti, pokud jsou konkretizované v mezích zákonného zmocnění. Obdobný (a mnohem detailnější) postup aproboval Ústavní soud v nálezu sp. zn. Pl. ÚS 5/01 (č. 410/2001 Sb.), v němž se zabýval mj. tím, zda vláda v mezích svého zákonného zmocnění vydala nařízení č. 445/2000 Sb. o stanovení produkčních kvót mléka na léta 2001 až 2005. Vláda tímto nařízením provedla k tomu zmocňující ustanovení § 12 odst.1 a 3 zákona č. 256/2000 Sb. o Státním zemědělském intervenčním fondu (v tehdy účinném znění): vláda svým nařízením do 3 měsíců od účinnosti zákona stanoví podmínky a zásady pro provádění dalších opatření k organizaci trhu se zemědělskými výrobky a potravinami podle § 1 odst. 2 písm. b) a c) a stanoví produkční kvóty a podmínky systému produkčních kvót, při jejichž stanovení dodrží rozsah a časové termíny vyplývající z časového harmonogramu stanoveného v jednání o přistoupení České republiky do Evropské unie. Nařízení č. 445/2000 Sb. představovalo komplexní právní předpis – od vymezení pojmů přes rozhodování o žádosti, kompenzační podporu atp. Ústavní soud i tak v části V a IV (až na výjimky § 4 a § 14 odst. 2 nařízení, kdy zcela absentovala zákonná zmocnění nebo s nimi byla v přímém rozporu) obecně shledal, že „napadené nařízení výhradu zákona neporušuje, neboť toliko na základě výslovného zákonného zmocnění konkretizuje problematiku, upravenou v základních rysech již samotným zákonem. Opačný závěr, který by požadoval stanovení jakékoliv povinnosti přímo a výhradně zákonem, by zjevně vedl k absurdním důsledkům, a to k popření smyslu sekundární (a v některých případech i primární) normotvorby, jelikož pojmovou součástí každé právní normy je vymezení určitých práv a povinností adresátů normy.“ 112. Vycházeje z uvedeného, poté soud shledal, že taktéž ve všech případech vyjmenovaných v § 2 prováděcí vyhlášky se jedná o podmínky, které jsou stanovené v mezích zákonného zmocnění dle § 81a odst. 1 věty páté zákona o léčivech. Podle názoru soudu jde v těchto případech totiž stále jen o provedení podmínek zákonného omezení přístupu k systému eRecept.

113. Pro věc stěžejní podmínka nepřenosnosti údajů má podle názoru soudu svůj rámec stanoven v § 81a odst. 1 zákona o léčivech právě v tom, že přístup do systému eRecept je omezen pouze na několik kategorií oprávněných osob, a že jednotlivé přístupy osob, výdeje léků atp. se do systému zaznamenávají. Právě stanovená podmínka nepřenosnosti údajů proto vhodně reflektuje zákonem vyjádřený zájem na zachování omezeného přístupu k systému pouze pro kategorie oprávněných osob a na jednoznačné identifikaci osoby, která k systému přistupovala. Ve vazbě na zachování této omezenosti přístupu je proto podle názoru soudu efektivní a účelné, pokud údaje, které k přístupu využila třetí osoba (tj. jiná, než oprávněná) a které jí tedy nebyly pro přístup vydány, budou jako specifický nápravný prostředek přidělování přístupových údajů dle § 81a odst. 1 zákona o léčivech zrušeny dle § 2 odst. 8 písm. c) vyhlášky. Neboť právě tento postup zase zajistí, že do systému budou mít i po takovém jednání omezený přístup jen ty osoby, kterým byly vydány od žalovaného přístupové údaje.

114. Také tato podmínka a následné opatření, obojí technicky provedené v prováděcí vyhlášce, tak podle názoru soudu jen sledují primární cíl a tím je ochrana omezeného přístupu k systému, k jehož udělování je žalovaný obecně zmocněn § 81a odst. 1 věty první až čtvrté zákona o léčivech.

115. Městský soud je proto toho názoru, že správa přístupu k informačnímu systému eRecept stanovená v prováděcí vyhlášce uvedených způsobem, nepochybně sleduje a respektuje meze stanovené zákonodárcem v § 81a odst. 1 větě páté zákona o léčivech k zachování omezeného přístupu k systému eRecept (a tím omezení k výkonu povolání a podnikatelské činnosti žalobce a osoby zúčastněné na řízení).

116. Soud je proto názoru, že ustanovení § 2 vyhlášky č. 329/2019 Sb. jako celku (tedy včetně odst. 8 upravujícího případy zrušení přístupových údajů) tedy vydalo ministerstvo zdravotnictví jako zákonem oprávněný subjekt k bližší úpravě podmínek přístupu k systému eRecept, nijak přitom nezasahovalo do věcí vyhrazených zákonu o léčivech. Zákon k tomu přitom vymezil základní meze – tj. že přístup k systému eRecept náleží pouze oprávněným osobám s přístupovými údaji a certifikátem získanými jen od žalovaného a že ke stanovení podmínek pro provedení tohoto omezení je příslušné ministerstvo zdravotnictví. Podle názoru soudu je navíc toto zmocnění legislativně vhodným způsobem regulace. Jedná se o totiž o právní úpravu technických záležitostí, které se týkají zabezpečení podmínek přístupu k systému eRecept, která umožňuje pružnou změnu. K tomu jsou právě podzákonné předpisy vhodné (srov. nález Pl. ÚS 23/02).

117. Městský soud uvedené shrnuje tak, že § 81a odst. 1 věta první až čtvrtá zákona o léčivech legitimně omezuje přístup k systému eRecept získáním přístupových údajů od žalovaného. Stanovuje tedy primární omezení a základní podmínku přístupu k systému eRecept pouze pro oprávněné osoby. Ustanovení § 81a odst. 1 věta pátá zákona o léčivech zmocňuje ministerstvo zdravotnictví k technickému provedení této podmínky přístupu k systému eRecept; přitom v tomto ustanovení přímo předvídá a ministerstvu ukládá, aby přístup vázal na blíže nespecifikovaný „postup a podmínky“. V rámci toho je ministerstvo zákonodárcem zmocněno nejen ke stanovení postupu a podmínek pro získání přístupu, ale vzhledem k potřebě zachování omezeného přístupu k systému také ke stanovení postupu a podmínek k nezískání resp. pozbytí získaných údajů. Zákonodárce tedy podle názoru soudu v § 81a odst. 1 zákon o léčivech vymezil jasná zmocňující pravidla a meze pro vydání prováděcí vyhlášky a ministerstvo zdravotnictví v prováděcí vyhlášce toto zmocnění konkretizovala.

118. Omezení přístupu k systému eRecept v důsledku aplikace této prováděcí vyhlášky představuje ony meze základních práv a svobod dle čl. 26 odst. 1 – 3 Listiny, které byly v tomto případě stanoveny přímo zákonem (čl. 4 odst. 2 Listiny). Samotné zákonné omezení, které stanovuje podmíněný přístup k systému eRecept pouze na ty osoby, které splnily podmínky pro získání (a tedy držení) přístupových údajů od žalovaného, podle názoru soudu v testu racionality obstálo. Podmínky a povinnosti z této vyhlášky, která toto zákonné omezení základních práv prakticky provádí, pro žalobce vyplývající byly proto ukládány „na základě zákona a v jeho mezích“ (čl. 4 odst. 1 Listiny) /obdobně srov. nález Ústavního soudu sp. zn. Pl. ÚS 5/01 (č. 410/2001 Sb.). Prováděcí vyhláška č. 329/2019 Sb. a z toho plynoucí zmocněné postavení žalovaného při přidělování a odebírání přístupových údajů proto podle názoru soudu tzv. výhradu zákona neporušila.

119. Soud je proto z vyložených důvodů toho názoru, že zákonodárce dle § 81a odst. 1 věty páté zákona o léčivech zmocnil ministerstvo zdravotnictví i k provedení podmínek ke zrušení přístupových údajů k systému eRecept, konkrétně v situaci, kdy dojde k naplnění podmínek dle § 2 odst. 4 a 8 prováděcí vyhlášky č. 329/2019 Sb.

120. Tato situace poté v projednávané věci nastala, o čemž soud nemá nejmenších pochyb. Z protokolu o kontrole a z jeho grafické přílohy č. 3 totiž vyplývá, že u stanice A byl k systému eRecept přihlášený žalobce svými přístupovými údaji a certifikátem. Léky u této stanice však vydávala praktikantka I. Ch. (jejíž identitu žalobce u kontroly potvrdil), kontrolní nákup byl přitom uskutečněn jménem žalobce (viz účtenka o kontrolním nákupu, která je součástí správního spisu). K systému eRecept tedy měla v danou chvíli přístup jiná osoba, než–li žalobce, kterému tyto přístupové údaje byly vydány. Podle názoru soudu je zcela nerozhodné, zda žalobce přístupové údaje praktikantce sdělil, nebo jí „jen“ umožnil výdej léků prostřednictvím svých přístupových údajů. Podstatné je, že v danou dobu bylo zjištěno, že žalobce umožnil třetí osobě vydávat léky prostřednictvím jemu konkrétních přidělených přístupových údajů.

121. Žalobce sám ve svém výslechu uvedl, že přístup k systému eRecept se konal na pozadí jemu přidělených přístupových údajů a certifikátu. Osoba, která užívala pracovní stanici na základě těchto přístupových údajů, tedy mohla mj. využívat systém eRecept. Přístup k systému eRecept tedy měla jiná osoba, než ta, které byly přiděleny, ostatně žalobce se na místo dostavil (dle protokolu o kontrole) až ca 50 minut po zahájení kontroly. Tímto jednáním tedy byly přístupové údaje „zneužity“, tj. užity jiným způsobem, než ke kterému byly vydány – tj. pro vydávání léků žalobcem samotným. Tyto údaje byly i kompromitované – tímto pojmem se rozumí ve smyslu § 43 zákona č. 412/2005 Sb., o ochraně utajovaných informací nakládání s kryptografickým materiálem, které způsobilo nebo by mohlo způsobit porušení ochrany utajované informace. A soud je názoru, že tento pojmu je nutno vykládat totožně i v podmínkách přístupu k systému eRecept, neboť k systému a k informacím v něm (např. o lékových záznamech), které je třeba z výše uvedených důvodů třeba chránit, měla přístup osoba, která k tomu dle § 81a odst. 1 zákona o léčivech nebyla oprávněna.

122. Soud je toho názoru, že v době kontroly (srov. § 87 odst. 1 s. ř. s.) tedy bylo spolehlivě zjištěno jednání žalobce, právě pro nějž mu byl odebrán přístup. Při zrušení údajů pak žalovaný vystupoval jako orgán zmocněný ustanovením § 81a odst. 1 větou první a páté zákona o léčivech k přidělování a správě přístupových oprávnění k systému eRecept. Vycházeje z nastavených podmínek prováděcího předpisu vydaného na základě a v mezích zákonného zmocnění k technickému provedení tohoto omezení výkonu povolání žalobce a podnikání osoby zúčastněné na řízení, pak zrušení přístupových údajů podle názoru soudu provedl zcela v souladu s § 81a odst. 1 zákona o léčivech a § 2 odst. 4 a 8 prováděcí vyhlášky č. 329/2019 Sb. III.b) Zmocnění v režimu zákona o kybernetické bezpečnosti 123. Jak již bylo výše uvedeno, na provozování systému eRecept se vztahují i práva a povinnosti spojené s oblastí kybernetické bezpečnosti. Žalovaný ostatně ve vyrozumění ze dne 22. 12. 2022 poukázal na to, že zneplatnění původních přístupových údajů učinil také jako opatření dle § 12 odst. 1 vyhlášky č. 82/2018 Sb.

124. Podle § 3 písm. c) zákona o kybernetické bezpečnosti platí, že orgány a osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti, jsou správce a provozovatel informačního systému kritické informační infrastruktury.

125. Provozovatelem informačního systému eRecept jakožto systému kritické informační infrastruktury je v projednávané věci žalovaný. Vztahují se tedy na něj oprávnění a povinnosti, které pro něj vyplývají ze zákona o kybernetické bezpečnosti a z jeho prováděcího předpisu č. 82/2018 Sb.: např. povinnost zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci (podle § 4 odst. 2 zákona o kybernetické bezpečnosti), povinnost hlásit Národnímu úřadu pro kybernetickou a informační bezpečnost kybernetické bezpečnostní incidenty (podle § 8 odst. 1, 4 zákona o kybernetické bezpečnosti).

126. Podle § 9 odst. 1 písm. a) bodu 1 prováděcí vyhlášky č. 82/2018 Sb. žalovaný v rámci řízení bezpečnosti lidských zdrojů s ohledem na stav a potřeby systému řízení bezpečnosti informací stanoví plán rozvoje bezpečnostního povědomí, jehož cílem je zajistit odpovídající vzdělávání a zlepšování bezpečnostního povědomí a který obsahuje formu, obsah a rozsah poučení uživatelů, administrátorů, osob zastávajících bezpečnostní role a dodavatelů o jejich povinnostech a o bezpečnostní politice. Rovněž podle § 9 odst. 1 písm. e) prováděcí vyhlášky zajistí pravidelné školení a ověřování bezpečnostního povědomí zaměstnanců v souladu s jejich pracovní náplní, f) zajistí kontrolu dodržování bezpečnostní politiky ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role, i) určí pravidla a postupy pro řešení případů porušení stanovených bezpečnostních pravidel ze strany uživatelů, administrátorů a osob zastávajících bezpečnostní role.

127. Podle § 10 odst. 1 prováděcí vyhlášky žalovaný v rámci řízení provozu a komunikací zajišťuje bezpečný provoz informačního a komunikačního systému a stanoví provozní pravidla a postupy, které obsahují zejména a) práva a povinnosti administrátorů, uživatelů a osob zastávajících bezpečnostní role.

128. Podle § 12 odst. 1 prováděcí vyhlášky žalovaný na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu a komunikačnímu systému a přijímá opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení podle § 19 a 20, a která brání ve zneužití těchto údajů neoprávněnou osobou. Z ustanovení § 12 odst. 2 písm. a) – n) pak v souhrnu vyplývá oprávnění žalovaného v rámci řízení přístupu k informačnímu a komunikačnímu systému řídit, přidělit a odebrat přístupová práva k informačnímu a komunikačnímu systému. Zejména podle písm. h) žalovaný přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu.

129. Obecně není sporu o tom, že žalovaný jako oprávněná osoba je oprávněna jakožto bezpečnostní opatření odebrat přístup k systému eRecept podle § 4 odst. 2 zákona o kybernetické bezpečnosti ve spojení § 12 odst. 1, 2 vyhlášky o kybernetické bezpečnosti.

130. V projednávané věci však nebyla prokázána bezpečnostní politika, bezpečnostní dokumentace či politika přístupu k systému eRecept (srov. příloha 5 prováděcí vyhlášky č. 82/2018 Sb.), z nichž by mělo vyplývat, že v případě využívání přístupových údajů jinou osobou než osobou, které byly přiděleny údaje, je žalovaný oprávněn znepřístupnit uživateli přístupové údaje.

131. Soud tedy neshledal za prokázané, že by postup žalovaného byl opodstatněn na základě zákona o kybernetické bezpečnosti a jeho prováděcí vyhlášky.

IV. Jednání žalovaného po zrušení přístupu žalobce do systému eRecept

132. Druhé napadané jednání, jímž žalovaný žalobci (dle jeho názoru) znemožnil přístup do tohoto systému v období od 16. 12. 2022 do 22. 12. 2022, kdy mělo být dle přesvědčení žalobce obnovení přístupu podmíněno tím, že podpisem vysloví souhlas s postupem správního orgánu, bezprostředně souvisí s prvním jednáním žalovaného. Soud proto v první řadě k některým podmínkám testu nezákonnosti zásahu pro stručnost jen shrnuje výše uvedené. Je tedy toho názoru, že také toto jednání není rozhodnutím, bylo taktéž namířeno přímo proti žalobci a ze stejných důvodů jím byla zasažena již výše identifikována práva žalobce a osoby zúčastněné na řízení (splněny 1., 4 a 5. podmínka testu).

133. Co se týče hodnocení podmínek zákonnosti a významného zkrácení zasažených práv žalobce a osoby zúčastněné na řízení (2. a 3. podmínka testu) z dokazování vyplynulo, že žalobci byly zneplatněny přístupové údaje dne 16. 12. 2022, a že k obnovení přístupu došlo dne 22. 12. 2022.

134. Z dokazování vyplynulo, že v této době žalovaný dne 16. 12. 2022 emailem, který adresoval přímo žalobci, sdělil důvody svého postupu – tj. že žalobci byly zneplatněny přístupové údaje pro porušení kybernetických opatření, přičemž důvod k tomuto postupu byl v tomto emailu rovněž specifikovaný – šlo o následek umožnění užívání přihlašovacích údajů třetí osobě. Žalobce byl současně požádán, aby podepsal přiložené poučení s tím, že poté mu bude sdělen postup pro obnovu přístupu. Obdobné sdělil žalobci manažer kybernetické bezpečnosti v emailu ze dne 19. 12. 2022 – tj. především to, že po podpisu bude žalobci sdělen postup k obnovení přístupu.

135. Z dokazování tedy vyplynulo, že žalovaný dne 16. 12. 2022 současně s informací o zrušení přístupových údajů žalobce vyzval k podpisu přiloženého poučení o pravidlech nepřenosnosti přístupových údajů a o následcích při porušení tohoto pravidla. Primárním záměrem žalovaného v tomto období bylo tedy podle názoru soudu dosáhnout přiloženého poučení žalobce o podmínce nepřenosnosti přístupových údajů, nikoliv bránit žalobci v obnovení přístupových údajů. Žalovaný totiž vyžadoval na žalobci to, aby v první řadě potvrdil své srozumění s pravidly přístupu do systému eRecept (zejména o nepřenosnosti údajů). K takovému postupu podle názoru soudu žalovaného opravňuje § 4 odst. 2 zákona o kybernetické bezpečnosti (cit.: – 2) orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci) a § 9 a § 12 prováděcí vyhlášky č. 82/2018 Sb. Žalobce měl tedy vyslovit souhlas s tímto poučením, neměl vyslovit souhlas s předchozím postupem správního orgánu.

136. Seznámení s pravidlem o nepřenosnosti přístupových údajů dle § 81a odst. 1 zákona o léčivech ve spojení s § 2 prováděcí vyhláškou č. 329/2019 Sb. lze podle názoru soudu kvalifikovat jako bezpečností opatření ve smyslu § 4 odst. 1 zákona o kybernetické bezpečnosti. Podle tohoto ustanovení je bezpečnostním opatřením souhrn úkonů, jejichž cílem je zajištění bezpečnosti informací v informačních systémech a dostupnosti a spolehlivosti služeb a sítí elektronických komunikací v kybernetickém prostoru. Obdobné poučení o nepřenosnosti přístupových údajů je ostatně součástí elektronického formuláře žádosti o přístupové údaje či o obnovení přístupových údajů. Bylo tedy v souladu s pravidly pro zachování kybernetické bezpečnosti a s podmínkami pro získání přístupu k systému eRecept, pokud žalovaný (vycházeje z toho předpokladu, že žalobce i do budoucna bude chtít disponovat přístupem k systému eRecept) žalobce s podmínkou nepřenosnosti přístupových údajů k systému eRecept znovu seznámil a současně vyžadoval od něj potvrzení, že je s ním srozuměn.

137. Ze vzájemné emailové korespondence poté vyplývá podle názoru soudu určité nedorozumění mezi stranami dané tím, že obě strany měly odlišný zájem, kterého chtěly v daném období dosáhnout.

138. Záměrem žalovaného podle názoru soudu bylo dosáhnout poučení žalobce o nepřenosnosti údajů. Tím, že trval na tom, aby podepsal toto poučení, však žalobci nijak nebránil v obnovení přístupových údajů. Z komunikace totiž nevyplývá, že by žalovaný výslovně stanovil podpis poučení jako podmínku získání přístupu. Pokud žalobce ve výslechu tvrdil, že mu telefonicky bylo sděleno, že byl ze systému vymazán a obnova není standardně možná, nepředkládá k tomu žádný důkaz. A nakonec to vyvrací žalovaný i tím, že jednak žalobci sdělil postup k obnovení přístupu již dne 20. 12. 2022, tj. ještě v době, kdy žalobce poučení nepodepsal a údaje k žádosti mu nakonec obnovil na základě elektronické žádosti, aniž by žalobce vůbec podepsal, že je srozuměn s přiloženým poučením.

139. Záměrem žalobce v tomto období bylo domoci se u žalovaného přehodnocení jeho předchozího postupu. Této snaze žalobce odpovídala i prvotní obrana žalovaného. V emailu ze dne 16. 12. 2022 žalobce jen stručně ve třech větách vyzval žalovaného k umožnění přístupu k systému eRecept a dále vyjádřil prostý nesouhlas s postupem žalovaného. K takto formulovanému emailu zase žalovaný dne 19. 12. 2022 mlčky setrval na svém postupu a výslovně zopakoval toliko svou žádost o podpis poučení. Žalobce poté později až v několika emailech ze dne 19. 12. 2022 jednak znovu stručně odmítl podpis poučení a poté již požádal o sdělení postupu k obnově přístupu. Na to již reagoval žalovaný dne 20. 12. 2022 tím, že znovu žalobce emailem poučil o nepřenosnosti údajů a poučil žalobce o tom, že přístup lze obnovit prostřednictvím on–line formuláře, jehož adresu současně zaslal.

140. Z této komunikace vyplývá, že žalobce žalovaného až do 19. 12. výslovně ani nepožádal o sdělení postupu k obnově údajů. Do té doby žalovanému proto nemuselo být zřejmé, že žalobce si tohoto postupu sám není vědom. Až teprve, co bylo mezi stranami vyjasněno, že žalobce si není vědom postupu k obnovení přístupu, žalovaný tento postup žalobci sdělil ve dnech 20. 12. a 22. 12 a teprve potom žalobce dne 22. 12. 2022 požádal o obnovení svého přístupu, čemuž žalovaný obratem vyhověl.

141. Na jednu stranu je třeba zohlednit to, že emaily ze dnů 16. 12. a 19. 12. 2022 představovaly konkrétně mířená sdělení žalovaného vůči žalobci. Z nich žalobce mohl podle názoru soudu nabýt dojmu, že na základě porušení pravidel kybernetické bezpečnosti je pro obnovu přístupu v tomto případě potřeba odlišný postup, který mu žalovaný teprve sdělí. Jednání žalovaného, byť bylo jinak vedeno ze zákonného důvodu, tedy nepochybně také přispělo k prodloužení doby neobnovení přístupových údajů žalobce a s tím související nemožnost výkonu práce žalobce a jeho zaměstnavatele.

142. Na druhou stranu nelze pominout, že žalobce se v problematice přístupových údajů k systému eRecept a vydávání certifikátů zjevně sám dostatečně orientuje. Žalovaný navíc provozní informace k systému sděluje prostřednictvím svých internetových stránek – viz § 81odst. 2 zákona o léčivech. Konkrétní informace, jak postupovat při získání přístupových údajů a nepřetržitý přístup k systému eRecept nebo pro obnovení tohoto přístupu, jsou doposud dostupné na webu www.epreskripce.cz. Z těchto informací vyplývá, že k obnově přístupových údajů dojde na základě žádosti – elektronického formuláře. To je v souladu s ustanovením § 2 odst. 2 prováděcí vyhlášky, podle které platí, že osoba uvedená v odstavci 1 písm. a) až c) získá od žalovaného přístupové údaje podle § 81a odst. 1 zákona o léčivech na základě své žádosti zaslané prostřednictvím elektronického formuláře zveřejněného na internetových stránkách žalovaného.

143. Žalobce si tedy v první řadě mohl a měl být vědom alespoň toho, že přístup lze získat prostřednictvím formuláře a to i na základě svých předchozích zkušeností při obnově certifikátu ze dne 10. 10. 2022. Žalobce si totiž byl vědom toho, že správa přístupových údajů se zásadně uskutečňuje prostřednictvím webu žalovaného www.epreskripce.cz. Mohl tedy postupovat při obnově sám a bez vyčkávání na reakci žalovaného s využitím informací, které se mj. o obnově přístupu nacházejí přímo na tomto webu. Žalobce měl přitom v období, kdy jeho přístupové údaje byly znepřístupněny, dostatečný časový prostor na to, aby stanovený postup pro obnovu přístupových údajů včas sám vyhledal z veřejně dostupných zdrojů a zjistil i bez potřeby součinnosti se žalovaným.

144. Pokud takto žalobce neučinil dříve, ač mohl (a sám ani netvrdí, co by mu v tom bránilo), nelze (s přihlédnutím k obsahu postupně vyvíjející se vzájemné konverzace) klást k tíži žalovaného, že sdělil žalobci postup k obnově údajů až ve dnech 20. 12. a 22. 12. 2022, poté, co jej ke sdělení tohoto postupu žalobce výslovně vyzval, a že až poté žalobce požádal o obnovení údajů, které obratem získal.

145. Soud proto shledal, že nebylo prokázáno, že by žalovaný znemožnil či odmítl obnovu přístupových údajů žalobce. Žalovaný byl v tomto období primárně zaměřený na dosažení poučení žalobce o nepřenosnosti údajů. Toto jednání žalovaného proto nebylo nezákonné a mělo oporu v citovaných zákonných povinnostech na zabezpečení kybernetické bezpečnosti. Z vyložených důvodů pak ani nezkrátilo zasažená práva žalobce ani osoby zúčastněné na řízení. V tomto období, které následovalo po předchozím zneplatnění údajů, bylo totiž podstatné, aby žalobce sám o přístup požádal formou elektronické žádosti, což bez zásadní překážky učinil až 22. 12. 2022. Poté žalovaný přístupové údaje žalobce obnovil prakticky obratem (aniž by trval na podpisu poučení, což žalobce doposud neučinil). V tomto jednání žalovaného nebyla tedy splněna podmínka 2. a 3. testu.

VII. Závěr a náklady řízení

146. Městský soud v Praze shledal, že zásah žalovaného proti žalobci, který spočíval ve zneplatnění přístupových údajů do informačního systému eRecept (a tím omezení výše identifikovaných práv žalobce a osoby zúčastněné na řízení), byl učiněn na základě zákonného zmocnění dle § 81a odst. 1 věty první a páté zákona o léčivech ve spojení s § 2 odst. 8 písm. c) vyhlášky č. 329/2019 Sb. Žalovaný proto nejednal nezákonně. Žalovaný nejednal nezákonně, ani co se týče postupu k obnovení přístupu žalobce do systému eRecept. V obnovení přístupu žalovaný žalobci nijak nebránil, čemuž svědčí to, že žalobce přístup obnovil na základě nové žádosti sám a ta byla online obratem vyřízena. Tímto jednáním žalovaný žalobce ani osobu zúčastněnou na řízení nijak na jejich (výše identifikovaných) právech nezkrátil.

147. Žaloba není důvodná, proto ji soud zamítl dle § 87 odst. 3 s. ř. s.

148. O nákladech řízení rozhodl městský soud jedním komplexním výrokem, tj. jak o nákladech řízení před městským soudem tak i v řízení o kasační stížnosti, které vedl Nejvyšší správní soud pod sp. zn. 10 As 250/2023 – podle § 110 odst. 2 věty prvé s. ř. s. platí, že zruší–li Nejvyšší správní soud rozhodnutí krajského soudu a vrátí–li mu věc k dalšímu řízení, rozhodne krajský soud v novém rozhodnutí i o náhradě nákladů řízení o kasační stížnosti. Nejvyšší správní soud v rozsudku ze dne 19. 11. 2008, č. j. 1 As 61/2008 – 1, k tomu vyložil, že „ v novém rozhodnutí, kterým se řízení končí (§ 61 odst. 1 s. ř. s.), tak krajský (zde městský) soud rozhoduje znovu o náhradě nákladů řízení, a to komplexně. Do těchto nákladů řízení patří jak náklady vzniklé v novém řízení před krajským soudem, tak i náklady, které vznikly v původním řízení před krajským soudem a též náklady, které vznikly v řízení o kasační stížnosti. Tyto náklady přitom tvoří jediný celek a krajský soud o jejich náhradě rozhodne jediným výrokem vycházejícím z § 60 s. ř. s.“ 149. O nákladech řízení rozhodl soud podle § 60 odst. 1 s. ř. s. tak, že žádnému z účastníků nepřiznal jejich náhradu. Žalobce nebyl procesně úspěšný, náhrada nákladů řízení mu proto nepřísluší. Žalovaný byl ve věci plně úspěšný a byl zastupován advokátem. Žalovaný je poměrně velký správní orgán, který by měl být náležitě personálně vybaven. Spravování a provozování systému eRecept byla žalovanému svěřena zákonem již v roce 2019, jedná se tedy o standardní součást působnosti žalovaného a ten by tedy měl být schopen svůj postup hájit vlastními silami. Z procesního hlediska tak soud nepovažuje náklady na advokátní zastoupení za důvodně vynaložené. Soud proto žalovanému náhradu nákladů řízení nepřiznal. Za obvyklého běhu věcí by žalovanému náklady řízení nad rámec jeho běžné administrativní činnosti nevznikly.

150. Podle § 60 odst. 5 s. ř. s. má osoba zúčastněná na řízení právo na náhradu jen těch nákladů, které jí vznikly v souvislosti s plněním povinnosti, kterou jí soud uložil. Z důvodů zvláštního zřetele hodných může jí soud na návrh přiznat právo na náhradu dalších nákladů řízení. Městský soud osobě zúčastněné na řízení žádnou povinnost neuložil. Městský soud v Praze poté neshledal žádný důvod hodný zvláštního zřetele přiznat jí náhradu nákladů řízení. Osobě zúčastněné na řízení tak městský soud náhradu nákladů řízení nepřiznal (§60 odst. 5 s. ř. s.).