10 A 12/2023–77

Rubrum

Městský soud v Praze rozhodl v senátu složeném z předsedkyně JUDr. Ing. Viery Horčicové a soudců JUDr. Jaromíra Klepše a JUDr. Vladimíra Gabriela Navrátila v právní věci žalobce: Mgr. A. N. bytem X zastoupeného JUDr. Vladislavem Vnenkem, Ph.D., advokátem sídlem Mezibranská 1579/4, Praha 1, 110 00 proti žalovanému: Státní ústav pro kontrolu léčiv, sídlem Šrobárova 48, 100 41 Praha 10 zastoupeného JUDr. Michalem Havlíkem, advokátem se sídlem Hálkova 2, Praha 2, 120 00 za účasti: PhMr. Lucie a Aleš Nedopilovi s.r.o., IČO: 27112951 sídlem Praha 10 – Hostivař, Horolezecká 16/924 zastoupeného JUDr. Vladimírem Kubátem, advokátem sídlem Mezibranská 1579/4, Praha 1, 110 00 v řízení o žalobě na ochranu před nezákonným zásahem, pokynem nebo donucením správního orgánu, který spočíval v tom, že žalovaný žalobci zneplatnil přístupové údaje do elektronického systému eRecept, a že znemožnil žalobci od 16. 12. 2022 do 22. 12. 2022 přístup do elektronického systému eRecept takto:

Výrok

I. Žaloba se zamítá.

II. Žalobce nemá právo na náhradu nákladů řízení.

III. Žalovanému se nepřiznává právo na náhradu nákladů řízení.

IV. Osoba zúčastněná na řízení nemá právo na náhradu nákladů řízení.

Odůvodnění

I. Předmět věci

1. Dne 15. 12. 2022 byla v Lékárně u Bílého lva Jarov, kterou provozuje osoba zúčastněná na řízení, prováděna kontrola podle zákona č. 255/2012 Sb., o kontrole (kontrolní řád), tato kontrola je u žalovaného vedena pod sp. zn. sukls275570/2022. Dne 16. 12. 2022 žalovaný zneplatnil přístupové údaje žalobce jakožto zaměstnance osoby zúčastněné na řízení do informačního systému eRecept. K obnovení přístupových údajů žalobce došlo dne 22. 12. 2022 v odpoledních hodinách. Žalobce považuje zneplatnění údajů za zásah do svých práv. Žalobce se domáhá vyslovení nezákonnosti tohoto zásahu žalovaného, tvrzený nezákonný zásah trval od 16. 12. 2022 do 22. 12. 2022, nyní již netrvá.

II. Žaloba a další vyjádření

2. Podle žalobce došlo tímto zásahem k zásahu do práva na výkon povolání a získání prostředků prací dle čl. 26 odst. 1 a 3 Listiny základních práv a svobod. Jako lékárník nemohl plnit pracovní povinnosti ke svému zaměstnavateli, neboť nemohl vydávat léky prostřednictvím systému eRecept. Nezákonný zásah spočívá v postupu v rozporu s ustanovením § 81a zákona č. 378/2007 Sb., o léčivech (dále jen „zákon o léčivech“), který garantuje nepřetržitý přístup do elektronického systému eRecept. Došlo ke zneplatnění přístupových údajů do informačního systému eRecept, což zákon neumožňuje.

3. Žalovaný postupoval podle vyhlášky Ministerstva zdravotnictví č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb. Ta podle žalobce nemůže být použita, neboť odporuje kompetenční normě podle čl. 79 odst. 3 Ústavy, současně samotnému zákonu o léčivech a výhradě zákona.

4. Žalobce v první řadě poukazuje na formulaci § 81a odst. 1 zákona o léčivech a je názoru, že ministerstvo bylo oprávněno vyhláškou pouze upravit postup a podmínky pro získání přístupových údajů do elektronického systému eRecept, nikoliv však, že bude prováděcí předpis upravovat podmínky a postup odebírání či blokování přístupových údajů, či snad stanoví pravomoc správního orgánu něco takového činit. Taková vyhláška je podle žalobce v rozporu s čl. 79 odst. 3 Ústavy.

5. Podle žalobce dále vyhláška neupravuje některý z postupů, zejména, že budou údaje opětovně zpřístupněny pouze, pokud bude podpisem vysloven souhlas s postupem správního orgánu (viz emaily ze dne 16. 12. 2022 a ze dne 19. 12. 2022).

6. Vyhláška odporuje podle žalobce i zákonu o léčivech, konkrétně § 81 odst. 3 zákona, který zaručuje farmaceutovi nepřetržitý přístup do systému eRecept.

7. Dále je žalobce toho názoru, že postup správního orgánu se svojí povahou, účinky, důsledky a svým obsahem jeví jako tzv. nápravný prostředek správního dozoru; obdobně jako v případech dle § 8 zákona č. 64/1986 Sb., České národní rady o České obchodní inspekci a § 50 odst. 1 a odst. 2 zák. č. 90/2016 Sb., o posuzování shody stanovených výrobků při jejich dodávání na trh nebo § 31 zákona č. 112/2016 Sb., o evidenci tržeb či § 86 odst. l písm. a) zákona ČNR č. 591/1992 Sb., o cenných papírech. K tomu je však nutné, aby byla správnímu orgánu svěřena zvláštní pravomoc ze strany zákonodárce, neboť zde se uplatňuje výhrada zákona s ohledem na čl. 4 odst. 2 Listiny. Výhrada zákona k tomu byla nezbytná, neboť důsledkem postupu správního orgánu v případě žalobce bylo zasaženo do jeho základních práv garantovaných mu ústavním pořádkem. Zásadně není možné, aby zákonem byla na sekundární normotvorbu přenesena pravomoc stanovit meze základních práv.

8. Žalovaný ve vyjádření k žalobě poukázal na to, že systém eRecept je jedním ze základních informačních systémů České republiky, jehož fungování a integrita je nezbytná k bezpečnosti České republiky (viz usnesení vlády č. 1020). S ohledem na množství osobních údajů je nezbytné zajišťovat jeho integritu a důvěrnost a zabezpečení osobních údajů. Shrnul, že je povinen se řídit příslušnými ustanoveními zákona č. 181/2014 Sb., o kybernetické bezpečnosti (dále jen „zákon o kybernetické bezpečnosti“) a jeho prováděcích předpisů. Poukázal na to, že přístup do eReceptu dle § 81a zákona o léčivech je omezený, přístupové údaje jsou nepřenosné a mohou být využívány pouze fyzickou osobou, které byly vydány. Proto v případě kompromitace vznikne riziko pro osobní údaje a žalovaný jako zpracovatel osobních údajů je povinen přijmout bezpečnostní opatření. Jedním z těchto opatření je pak dle ustanovení § 12 odst. 2 vyhlášky č. 82/2018 Sb. přidělování a odebírání přístupových údajů. Toto opatření neznamená, že lékař či farmaceut, jehož přístupové údaje jsou tímto opatřením zneplatněny, ztrácí přístup do informačního systému eRecept. Tento přístup je mu nadále zachován s tím, že si musí pouze zažádat o obnovu přístupových údajů, kdy jsou mu poskytnuty nové přístupové údaje. Žalovaný žalobci nijak nebránil v přístupu do informačního systému eRecept a ani obnovení jeho přístupu ničím nepodmiňoval. Žalobce si mohl ihned po zneplatnění jeho dosavadních přístupových údajů požádat o jejich obnovu prostřednictvím webových stránek www.sukl.cz, přičemž návod a odkazy na příslušné elektronické formuláře jsou dostupné na webových stránkách www.epreskripce.cz. Žalovaný tyto informace zveřejňuje v souladu s ustanovení § 81 odst. 2 zákona o léčivech. Pokud žalobce tvrdí, že mu byl odpírán přístup do informačního systému eRecept, podle žalovaného měl doložit, kdy žádal o obnovu svých přístupových údajů do informačního systému eRecept a kdy mu toto obnovení nebylo žalovaným umožněno. Žalovaný je tak přesvědčen, že žalobce neunesl důkazní břemeno ke svému tvrzení, že mu žalovaný bránil v přístupu do informačního systému eRecept.

9. Žalovaný poukázal na průběh kontroly, odkud vyplývá, že přístupové údaje žalobce do informačního systému eRecept byly užívány třetími osobami, a to navíc takovými, které nejsou oprávněny do tohoto systému přistupovat.

10. Předmětná záležitost byla řešena jako kybernetický bezpečnostní incident, to muselo být žalobci zřejmé z toho, že s ním za žalovaného komunikoval pan Ing. Petr Pilař, manažer kybernetické bezpečnosti, a taktéž z obsahu této komunikace. Žalovaný v tomto případě nevystupoval vůči žalobci jako vrchnostenský orgán, nýbrž jako správce informačního systému komunikující s jeho uživatelem v rámci řešení kybernetického bezpečnostního incidentu. Je povinností žalovaného zajistit poučení uživatelů informačního systému eRecept o jejich povinnostech ve smyslu ustanovení § 9 odst. 1 písm. a) bod 1. vyhlášky č. 82/2018 Sb. Zároveň je žalovaný v souladu s ustanovením § 12 odst. 2 písm. k) vyhlášky č. 82/2018 povinen prosazovat, aby uživatelé informačního systému eRecept při používání privátních autentizačních informací dodržovali stanovené postupy.

11. Žalovaný taktéž uvedl, že jeho jednání bylo vyvoláno protiprávním jednáním žalobce, jednalo se o jediné fakticky účinné bezpečnostní opatření, nejednalo o sankční opatření, jednalo se o opatření k zajištění bezpečnosti informací. Bylo to vhodné opatření, žalobce si mohl přístup obnovit okamžitě po zneplatnění dosavadních údajů, o tomto postupu jsou informace na webu žalovaného. Žalovaný nepodmiňoval přístup souhlasem s poučením, žalovaný pouze poučil žalobce o jeho povinnostech souvisejících s nakládáním s přístupovými údaji do informačního systému eRecept tak, aby se neopakoval uvedený kybernetický bezpečnostní incident. Jeho postup byl i proporcionální. Přijal toto opatření za účelem, mimo jiné, ochrany základních práv třetích osob, konkrétně práva na nedotknutelnost soukromí osoby dle čl. 7 Listiny, práva na ochranu před neoprávněným zasahováním do soukromého a rodinného života dle čl. 10 odst. 2 Listiny a práva na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě dle čl. 10 odst. 3 Listiny. Uvedené opatření bylo přitom učiněno v zájmu ochrany těchto základních práv ve vztahu k vysokému množství osob, jejichž citlivé osobní údaje jsou uloženy v informačním systému eRecept.

12. Žalovaný uvedl, že žalobce následně obnovil své přístupové údaje do informačního systému eRecept dne 22. 12. 2022 s tím, že jeho žádosti o obnovu bylo vyhověno automatizovaným systémem a tato obnova byla dokončena během několika minut. Skutečnost, že žalobce si o obnovu přístupových údajů nepožádal dříve, ačkoliv tak mohl učinit kdykoliv po zablokování dosavadních přístupových údajů, nemůže jít k tíži žalovaného. Není proto pravdou, že by znepřístupnění trvalo od 16. 12. 2022 do 22. 12. 2022. Druhou povinností, která žalovanému vznikla v důsledku kybernetického bezpečnostního incidentu, bylo nahlášení tohoto incidentu Národnímu úřadu pro kybernetickou a informační bezpečnost dle ustanovení § 8 odst. 1 a odst. 4 zákona o kybernetické bezpečnosti, což žalovaný taktéž učinil. Vzhledem k tomu, že výše popsaným jednáním žalobce došlo rovněž k porušení zabezpečení osobních údajů (tj. porušení zabezpečení, které vede k neoprávněnému zpřístupnění – viz čl. 4 odst. 12 Nařízení GDPR) uložených v informačním systému eRecept, byl žalovaný povinen ohlásit tuto skutečnost Úřadu pro ochranu osobních údajů, což také učinil.

13. Podle žalovaného má jeho postup oporu též v § 81a odst. 1 zákona o léčivech a v § 2 odst. 8 vyhlášky č. 329/2019. Ačkoliv zmocňovací ustanovení § 81a odst. 1 zákona o léčivech výslovně nestanoví, že prováděcí právní předpis má upravovat též zrušení či zneplatnění přístupových údajů, je žalovaný přesvědčen, že ze smyslu a účelu zákona o léčivech vyplývá, že vůlí zákonodárce bylo, aby prováděcí předpis upravoval i tuto otázku a o i s ohledem na zákaz zpřístupnění informací v eReceptu dle § 81a odst. 7 a následné stíhání porušení tohoto zákazu dle § 108 odst. 7 písm. l) zákona o léčivech.

14. Základních práv dle čl. 26 odst. 1 a odst. 3 Listiny se navíc lze domáhat pouze v mezích zákonů, které tato práva provádějí. Meze jsou stanoveny zákonem o léčivech, který upravuje podmínky výkonu tohoto povolání. Zákon o léčivech přitom stanoví, že informační systém eRecept není veřejně přístupný a zároveň zapovídá zpřístupnění informací, k nimž má v tomto systému přístup farmaceut, třetím osobám.

15. V replice na vyjádření žalovaného žalobce uvedl, že je nerozhodné, zda systém eRecept je základním informačním systémem na základě usnesení vlády, neboť usnesení vlády není obecně pramenem práva, ani obsahově nemá konkrétní citované usnesení vlády normativní povahu. Relevantní není ani ochrana osobních údajů, neboť podstatou je, že žalovaný podle žalobce nedisponuje pravomocí ke svému postupu a žalobci byl odepřen nepřetržitý přístup do elektronického systému eRecept. O obnovení přístupu požádal dne 16. 12. 2022 v reakci na email z téhož dne.

16. Žalobce zdůraznil, že žalovaný podmínil sdělení postupu k obnovení přístupu do systému podpisem poučení. Takovéto podmínky nejen že nemá žádnou právní relevanci pro absenci opory v právním předpisu, ale současně je třeba tento požadavek chápat jako porušení zásady zákazu sebeobviňování.

17. Žalovaný jako správní orgán opakovaně i přes žádost o obnovení přístupu odmítl sdělit postup k obnovení přístupu či přístup obnovit, pokud žalobce nesplní požadavek bez zákonné opory (obnovení přístupu podpisem předmětného poučení), což je současně v rozporu s ustanovením § 81a zákona o léčivech. Žalobce nemohl předvídat, že postup Ing. Pilaře je nesprávný, tento zaměstnanec zneplatnil údaje, komunikoval se žalobcem, vystupoval za správní orgán. Žalobce namítl, že ve věci nebylo zahájeno žádné správní či přestupkové řízení, žádný orgán k tomu zákonem způsobilý nekonstatoval, že by žalobce postupoval protiprávně, se žalobcem bylo od počátku nakládáno jako s viníkem.

18. V řízení uplatnila práva osoba zúčastněná na řízení. Ta se ve svém vyjádření zcela ztotožnila s obsahem žaloby a s argumentací žalobce.

III. Jednání ve věci

19. Jednání ve věci se konalo dne 31. 8. 2023. Na něm procesní strany setrvaly na svém procesním postoji.

20. Soud na jednání provedl dokazování emailovou komunikací mezi Ing. P. P. a žalobcem v období od 16. 12. do 23. 12. 2022, poučením určeným pro žalobce ze dne 16. 12. 2022 s připojeným vyjádřením žalobce ze dne 22. 12. 2022, výzvou žalobce ze dne 19. 12. 2022 k upuštění od zásahu a obnovení stavu a odpovědí žalovaného ze dne 22. 12. 2022, relevantní částí usnesení vlády ČR ze dne 7. 12. 2022, č. 1020, ohledáním webových stránek www.epreskripce.cz (odkazy https://www.epreskripce.cz/jak–zacit–pouzivat–erecept, https://www.epreskripce.cz/sites/default/files/soubory/navod_zadost_o_pristup_k_is_erecept_zdravotnik.pdf, https://www.epreskripce.cz/sites/default/files/soubory/navod_zadost_o_obnoveni_pristupu_k_is_erecept_zdravotnik.pdf, https://pristupy.sukl.cz/ei_forms.html#/form_Nove_pristupove_udaje) a ohledáním záznamu o SQL výstupu z databáze.

21. Další důkazy: formulář hlášení kybernetického bezpečnostního incidentu a ohlášení porušení zabezpečení osobních údajů dle GDPR, městský soud neprovedl, neboť se nejedná o sporné skutečnosti, nadto ani nejsou podstatné pro posuzovanou věc. Městský soud rovněž pro nadbytečnost neprovedl navrhovaný důkaz výslechem manažera kybernetické bezpečnosti žalovaného Ing. P. P., neboť o jeho postupu dostatečně vypovídá elektronická komunikace, která byla provedena jako důkaz.

22. Soud vycházel rovněž ze správního spisu ve věci kontroly na místě provedené dne 15. 12. 2022, sp. zn. sukls275570/2022, avšak neprovedl jej jako důkaz. Jedná se o správní spis, který je stranám znám a dokazování se jim neprovádí (rozsudek Nejvyššího správního soudu ze dne 29. 1. 2009, č. j. 9 Afs 8/2008–117, č. 2383/2011 Sb. NSS).

IV. Posouzení věci Městským soudem v Praze

23. Podle § 82 s. ř. s. každý, kdo tvrdí, že byl přímo zkrácen na svých právech nezákonným zásahem, pokynem nebo donucením (dále jen „zásah“) správního orgánu, který není rozhodnutím, a byl zaměřen přímo proti němu nebo v jeho důsledku bylo proti němu přímo zasaženo, může se žalobou u soudu domáhat ochrany proti němu nebo určení toho, že zásah byl nezákonný.

24. Ochranu podle § 82 a násl. s. ř. s. může soud poskytnout jen tehdy, jsou–li kumulativně splněny podmínky, aby žalobce byl přímo (1. podmínka) zkrácen na svých právech (2. podmínka) nezákonným (3. podmínka) zásahem, pokynem nebo donucením („zásahem“ v širším smyslu) správního orgánu, které nejsou rozhodnutím (4. podmínka), a byl zaměřen přímo proti němu nebo v jeho důsledku bylo proti němu přímo zasaženo (5. podmínka). Není–li byť jen jediná z uvedených podmínek splněna, nelze žalobci ochranu podle § 82 a násl. s. ř. s. poskytnout (k tomu viz např. rozsudek Nejvyššího správního soudu ze dne 17. 3. 2008, č. j. 2 Aps 1/2005 – 65, č. 603/2005 Sb. NSS).

25. Podle § 87 odst. 1 s. ř. s. soud rozhoduje na základě skutkového stavu zjištěného ke dni svého rozhodnutí; rozhoduje–li soud pouze o určení toho, zda zásah byl nezákonný, vychází ze skutkového a právního stavu, který tu byl v době zásahu.

26. Z provedeného dokazování a ze správního spisu (z protokolu o kontrole ze dne 7. 2. 2023, č. j. sukls 275570/2022 a z jeho příloh) soud zjistil následující skutkový stav. Žalovaný jako kontrolní orgán při kontrole dne 15. 12. 2022 zjistil, že v lékárně U Bílého lva Jarov u počítače identifikovaného jako Stanice A vydává léky farmaceutická asistentka I. Ch., ta ovšem k systému eRecept byla na této stanici A přihlášena přístupovými údaji žalobce (účet byl identifikován jménem a příjmením žalobce a označen jako vedení odborné praxe). Současně na stanici B byla přihlášena druhá osoba Mgr. O. K., která vydávala volně prodejné léky. Účtenka za kontrolní nákup byla expedována jménem žalobce.

27. Žalobci byl znepřístupněn účet k systému eRecept 16. 12. 2022. O tom e–mailem téhož dne žalobce vyrozuměl manažer kybernetické bezpečnosti žalovaného. Současně žalobci odeslal žalobci jako přílohu poučení o porušení technicko–organizačních opatření. Žalobci vytkl, že umožnil jiné osobě použít jeho přihlašovací údaje k přístupu do informačního systému eRecept, a to v rozporu s poučením, které při vydání přístupových údajů SÚKL poskytl – tedy že jsou údaje nepřenosné. Žalobce znovu poučil, že vydané přístupové údaje jsou nepřenosné, jsou vydány pouze pro účely přístupu do systému eRecept žalobci a jejich poskytnutí jiné osobě povede k zablokování přístupu do systému eRecept, ohlášení porušení zabezpečení osobních osobních údajů Úřadu pro ochranu osobních údajů a nahlášení kybernetického bezpečnostního incidentu Národnímu úřadu pro kybernetickou a informační bezpečnost. Žalobce měl toto poučení podepsat s tím, že poté bude žalobci sdělen postup pro obnovení přístupu.

28. Na to žalobce reagoval v navazující emailové komunikaci, toto poučení podepsat odmítl. Se znepřístupněním údajů nesouhlasil, opakovaně žalovaného vyzval k upuštění od tohoto zásahu, žalovaný na svém postupu trval s tím, že jde o postup souladný se zákonem o léčivech, se zákonem o kybernetické bezpečnosti a jejich prováděcích předpisů. Žalobce se nakonec dne 22. 12. 2022 k poučení vyjádřil s tím, že s ním nesouhlasí. Dále uvedl, že nesouhlasí s tvrzeními v dokumentu, nikomu PIN ani hesla a ani datový soubor certifikátu neposkytl. O způsobu výdaje na druhý certifikát žalobce byly poučeny obě kontrolorky SÚKL a na místě jeho postup nezpochybnily a ani nesdělily jiné řešení výdeje studentů 5. ročníku na studijní praxi.

29. Manažer kybernetické bezpečnosti žalovaného i tak žalobci sdělil dne 22. 12. 2022 postup pro obnovení přístupu prostřednictvím webového rozhrání na adrese https://pristupy.sukl.cz/. Žalobce podal žádost o obnovení přístupu dne 22. 12. 2022, přístup mu byl obnoven o téhož dne. To žalobci potvrdil emailem manažer kybernetické bezpečnosti dne 23. 12. 2022.

30. Manažer kybernetické bezpečnosti žalovaného o tomto incidentu zpravil Národní úřad pro kybernetickou a informační bezpečnost a Úřad pro ochranu osobních údajů.

31. Informační systém eRecept je informačním systémem veřejné správy, který zřizuje a provozuje žalovaný. Žalovaný je správcem a provozovatelem tohoto systému, provozní dokumentaci systému eRecept vytváří a zveřejňuje na svých internetových stránkách (§ 81 odst. 1 a 2 zákona o léčivech). Systém eRecpt není veřejně dostupný (§ 81a odst. 8 zákona o léčivech). K systému eRecept a jeho součástem přistupuje lékař a farmaceut prostřednictvím jemu žalovaným vydaných přístupových údajů a resortního systémového přístupového certifikátu poskytovatele zdravotních služeb podle zákona o elektronizaci zdravotnictví, v rámci jehož činnosti poskytuje zdravotní služby. Postup a podmínky pro získání přístupových údajů stanoví prováděcí právní předpis (§ 81a odst. 1 zákona o léčivech in fine). Systém eRecept umožňuje přístup jen osobám uvedeným v § 81 odst. 3 zákona o léčivech ve spojení s § 2 odst. 1 prováděcí vyhlášky č. 329/2019 Sb., jiným osobám (např. studentům na praxi) přístup neumožňuje.

32. Mezi stranami je podle názoru soudu nesporné, že žalovaný v postavení správního orgánu, kterému je zákonem o léčivech svěřena správa provozu informačního systému eRecept zasáhl přímo práva žalobce úkonem, který spočíval ve zrušení přístupových údajů žalobce k informačnímu systému eRecept, čímž byl žalobce zkrácen na tomto právu (splněna 1., 2., 4. a 5. podmínka testu). Otázkou je, zda byl takový zásah žalovaného též nezákonný (3. podmínka).

33. Žalovaný prostřednictvím systému eRecept zpracovává skutečnosti uvedené v § 81 odst. 4 zákona o léčivech mj. c) identifikační údaje o pacientech, a to v rozsahu údajů uváděných na lékařském předpisu nebo na záznamu o očkování, d) údaje o předepsaných a vydaných léčivých přípravcích včetně názvu, množství a kódu léčivého přípravku, pokud byl Ústavem přidělen, e) údaje uvedené v záznamu o očkování.

34. Systém eRecept pak umožňuje oprávněným osobám přístup k údajům dle § 81 odst. 3 zákona o léčivech nebo např. k lékovému záznamu dle § 81d zákona o léčivech.

35. Podle § 81 odst. 5 zákona o léčivech Systém eRecept eviduje v žurnálu činností každý zaslaný požadavek a činnost do něho přihlášených subjektů. Žurnál činností zaznamenává v systému eRecept přístup a činnosti všech subjektů oprávněných vstupovat do systému eRecept.

36. Současně však také platí, že informační systém eRecept je informačním systémem prvku kritické infrastruktury. K rozhodování o prvcích kritické infrastruktury, jejichž provozovatelem je organizační složka státu, zmocňuje vládu § 4 odst. 1 písm. e) zákona č. 240/2000 Sb., o krizovém řízení. Vláda usnesením ze dne 7. 12. 2022, č. 1020 ve výroku I. schválila aktualizovaný Seznam prvků kritické infrastruktury, jejichž provozovatelem je organizační složka státu – informační systém eRecept je veden jako položka 414 tohoto seznamu.

37. Podle § 3 písm. c) zákona o kybernetické bezpečnosti poté platí, že orgány a osobami, kterým se ukládají povinnosti v oblasti kybernetické bezpečnosti, jsou správce a provozovatel informačního systému kritické informační infrastruktury. Na provozování systému eRecept se vztahují tedy i práva a povinnosti spojené s oblastí kybernetické bezpečnosti.

38. Stručně shrnuto, na provoz a užívání přístupu do informačního systému eRecept se tedy vztahují práva a povinnosti jak dle zákona o léčivech, tak, jelikož jde o informační systém prvku kritické infrastruktury, i dle zákona o kybernetické bezpečnosti. Tyto zákony provádí vyhláška ministerstva zdravotnictví č. 329/2019 Sb., o předepisování léčivých přípravků při poskytování zdravotních služeb (srov. § 81a odst. 1 a § 114 odst. 1 zákona o léčivech) resp. vyhláška Národního úřadu pro kybernetickou a informační bezpečnost č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti).

39. Postup a podmínky pro získání přístupových údajů do systému eRecept jsou upraveny v § 2 vyhlášky ministerstva zdravotnictví č. 329/2019 Sb. Podle § 2 odst. 1 písm. c) této vyhlášky žalovaný farmaceutovi na žádost vydá přístupové údaje podle § 81a odst. 1 zákona o léčivech. Podle § 2 odst. 2 vyhlášky taková soba získá od Ústavu přístupové údaje podle § 81a odst. 1 zákona o léčivech na základě své žádosti zaslané prostřednictvím elektronického formuláře zveřejněného na internetových stránkách Ústavu. Dle těchto podmínek tedy žádost o přístupové údaje musí být podána na standardizovaném elektronickém formuláři. Proto pokud žalobce žalovaného toliko vyzýval k obnovení přístupu ve dnech 16. 12. 2022 (v rámci emailové komunikace k manažerovi kybernetické bezpečnosti žalovaného) a 19. 12. 2022 (výzva k obnovení stavu před zásahem), takový postup nebyl v souladu s § 2 odst. 2 vyhlášky a žalobce takto nemohl získat přístupové údaje k eReceptu.

40. Podle § 2 odst. 4 každá fyzická osoba může mít současně vydány pouze jedny přístupové údaje. Přístupové údaje jsou nepřenosné a mohou být využívány pouze fyzickou osobou, které byly vydány. Vydání nových přístupových údajů je možné pouze v případě zrušení dříve vydaných přístupových údajů.

41. Podle § 2 odst. 8 písm. c) vyhlášky platí, že žalovaný zruší přístupové údaje osoby podle odstavce 1v případě podezření na zneužití nebo kompromitaci přístupových údajů.

42. Podle § 4 odst. 2 zákona o kybernetické bezpečnosti orgány a osoby uvedené v § 3 písm. c) až f) jsou povinny zavést a provádět bezpečnostní opatření v rozsahu nezbytném pro zajištění kybernetické bezpečnosti informačního systému kritické informační infrastruktury, komunikačního systému kritické informační infrastruktury, informačního systému základní služby a významného informačního systému a vést o nich bezpečnostní dokumentaci.

43. Podle § 5 odst. 3 zákona o kybernetické bezpečnosti jsou technickými bezpečnostními opatřeními mj. c) nástroj pro ověřování identity uživatelů, d) nástroj pro řízení přístupových oprávnění, f) nástroj pro zaznamenávání činnosti informačního nebo komunikačního systému, jeho uživatelů a administrátorů.

44. Podle § 6 písm. a) zákona o kybernetické bezpečnosti prováděcí právní předpis stanoví obsah bezpečnostních opatření.

45. Podle § 8 odst. 1, 4 zákona o kybernetické bezpečnosti orgány a osoby uvedené v § 3 písm. c) jsou povinny hlásit Národnímu úřadu pro kybernetickou a informační bezpečnost kybernetické bezpečnostní incidenty v jejich významné síti, informačním systému kritické informační infrastruktury, komunikačním systému kritické informační infrastruktury, informačním systému základní služby nebo významném informačním systému, a to bezodkladně po jejich detekci; tím není dotčena informační povinnost podle jiného právního předpisu nebo přímo použitelného předpisu Evropské unie upravujícího ochranu osobních údajů.

46. Podle § 9 odst. 1 písm. a) bodu 1 vyhlášky č. 82/2018 Sb. povinná osoba v rámci řízení bezpečnosti lidských zdrojů s ohledem na stav a potřeby systému řízení bezpečnosti informací stanoví plán rozvoje bezpečnostního povědomí, jehož cílem je zajistit odpovídající vzdělávání a zlepšování bezpečnostního povědomí a který obsahuje formu, obsah a rozsah poučení uživatelů, administrátorů, osob zastávajících bezpečnostní role a dodavatelů o jejich povinnostech a o bezpečnostní politice 47. Podle § 12 odst. 1 prováděcí vyhlášky č. 82/2018 Sb. povinná osoba na základě provozních a bezpečnostních potřeb řídí přístup k informačnímu a komunikačnímu systému a přijímá opatření, která slouží k zajištění ochrany údajů, které jsou používány pro přihlášení podle § 19 a 20, a která brání ve zneužití těchto údajů neoprávněnou osobou. Z ustanovení § 12 odst. 2 písm. a) – n) pak v souhrnu vyplývá oprávnění povinné osoby v rámci řízení přístupu k informačnímu a komunikačnímu systému řídit, přidělit a odebrat přístupová práva k informačnímu a komunikačnímu systému. Zejména podle písm. h) přiděluje a odebírá přístupová oprávnění v souladu s politikou řízení přístupu.

48. V souhrnu pak z citovaných zákonných a prováděcích podzákonných ustanovení podle názoru městského soudu jednoznačně vyplývá jak oprávnění žalovaného přidělit do systému eRecept přístupové údaje, tak uživatele poučit o jeho povinnostech a bezpečnostní politice a případně mu i přístupové údaje odebrat. Mezi stranami je v zásadě nesporné, že vzhledem k povaze a rozsahu vedených informací v systému eRecept, je potřeba chránit přístup do tohoto systému. Žalobce nijak nesporuje svou povinnost přistupovat k systému eRecept jedinečným přístupem, který byl přidělený jemu a nesporuje ani to, že k systému eRecept může být udělen takto jen přístup lékaři či farmaceutovi, nikoliv jiné osobě (srov. § 81 odst. 3 zákona o léčivech, § 2 odst. 1 písm. b), c) a odst. 4 prováděcí vyhlášky č. 329/2019 Sb.)

49. Podle čl. 79 odst. 3 Ústavy České republiky (ústavní zákon č. 1/1993 Sb.) jsou ministerstva, jiné správní úřady a orgány územní samosprávy oprávněny na základě a v mezích zákona vydávat právní předpisy, jsou–li k tomu zákonem zmocněny.

50. Ustanovení čl. 79 odst. 3 Ústavy svěřuje ministerstvům a jiným správním úřadům pravomoc k vydávání podzákonných právních předpisů, k její realizaci však může dojít jen na základě a v mezích zákona, jsou–li k tomu zákonem zmocněny. Uvedené ustanovení je třeba vykládat restriktivně v tom smyslu, že toto zmocnění musí být konkrétní, jednoznačné a jasné [nález Pl. ÚS 3/2000 z 21. 6. 2000 (N 93/18 SbNU 287; 231/2000 Sb.)] Pakliže tomu tak je, Ústavní soud zkoumá, zda byl podzákonný právní předpis vydán státním orgánem k tomu oprávněným a v mezích jeho kompetence, tedy zda se při výkonu této pravomoci pohyboval v mezích a na základě zákona (secundum et intra legem), a nikoli mimo zákon (preater legem). Zjednodušeně řečeno jde o to, aby v případě, kdy má být podle zákona X, tento předpis nestanovil, že má být Y, ale že má být X1, X2, X3. Ze zmocňovacího ustanovení musí být zřejmá vůle zákonodárce k úpravě nad zákonný standard. Podzákonný předpis se však musí vždy pohybovat v mezích zákona, které jsou buď výslovně vymezeny anebo vyplývají ze smyslu a účelu zákona. Na základě zákonného zmocnění má prováděcí předpis konkretizovat problematiku upravenou v základních rysech již samotným zákonem, ale nikdy nesmí jít mimo zákon (Nález Pl. ÚS 19/13 (č. 396/2013 Sb., č. 178/2013 Sb. ÚS).

51. Ustanovení § 81a zákona o léčivech obecně přiznává právo vybraným subjektům přistupovat k systému eRecept. § 81 odst. 1 zákona o léčivech in fine pak uvádí, že „postup a podmínky pro získání přístupových údajů stanoví prováděcí právní předpis.“ K vydání prováděcího předpisu je dle § 114 zákona o léčivech zmocněno ministerstvo zdravotnictví. Bližší úprava udělování a odebírání přístupu k informačnímu systému eRecept prováděcím předpisem je tak nepochybně stanovena v mezích zákona o léčivech. Týká se totiž přístupu k tomuto systému, což zákon o léčivech obecně upravuje právě v § 81a. Vyhlášku č. 329/2019 Sb. tedy vydalo ministerstvo zdravotnictví jako oprávněný subjekt a nijak nezasahovalo do věcí vyhrazených pouze zákonu o léčivech.

52. Zjevná je i vůle zákonodárce k úpravě nad zákonný standard. Z hlediska jazykového výkladu je sice pravdou, že § 81a odst. 1 a potažmo i § 114 zákona o léčivech nesvěřuje prováděcímu předpisu stanovit více než postup a podmínky pro získání přístupových údajů. Z hlediska logiky, smyslu a účelu této regulace však vyplývá, že pakliže zmocnění obsahuje možnost stanovit podmínky pro získání přístupu a vydání přístupových údajů, tak v rámci téhož zmocnění ministerstvo disponuje oprávněním v prováděcí vyhlášce tento přístup odepřít, pokud předem stanovené podmínky přístupu k eReceptu nebudou naplněny či budou porušeny.

53. Konkrétně jako podmínka vydání přístupových údajů podle § 2 odst. 4 vyhlášky č. 329/2019 Sb. je stanoveno, že každá fyzická osoba může mít současně vydány pouze jedny přístupové údaje. Ty jsou pak nepřenosné a mohou být využívány pouze fyzickou osobou, které byly vydány, přičemž vydání nových přístupových údajů je možné pouze v případě zrušení dříve vydaných přístupových údajů.

54. Je tedy logické, že pokud žalobce toto omezení, tj. povinnost nepřenosnosti a využívání pouze fyzickou osobou, které byly vydány, porušil, porušil tím i podmínku držení přístupových údajů k systému eRecept. Pokud takto fyzická osoba jedná, je podle názoru soudu pro tyto případy stanoveno v témže podzákonném předpise i adekvátní pravidlo – zrušení přístupových údajů.

55. Podle názoru soudu by i z jiných důvodů vůbec bylo absurdní, aby pravidla pro zrušení přístupu nebyla stanovena v téže vyhlášce. Přestože je např. na dobrovolném rozhodnutí fyzické osoby, zda na základě žádosti přístup k eReceptu vůbec získá, bylo by naprosto nelogické, pokud by zde neeexistovala tomu odpovídající reverzní možnost, aby žadatel stejně dobrovolně jako tento přístup získal, nemohl jej stejně tak i pozbýt (tj. zrušit jej na vlastní žádost). A případně znovu dobrovolně získat. Rovněž tak by bylo absurdní, aby vzhledem k tomu, že oprávnění k přístupu slouží výhradně fyzickým osobám, nebylo by možno je oprávnění zrušit pro úmrtí takové osoby /srov. § 2 odst. 8 písm. a) vyhlášky/.

56. Z ustanovení § 2 prováděcí vyhlášky č. 329/2019 Sb. tedy komplexně vyplývá, za jakých podmínek se přístup k eReceptu udělí a zruší. Podle názoru soudu je zkrátka stanovení podmínek pro udělování přístupu a pro jejich zrušení, které navíc reflektují porušení či pozbytí podmínek pro přístup, dvěma stranami téže mince. Jedná se tedy o tentýž rámec podmínek přidělení a užívání přístupu do systému eRecept.

57. Dle kontrolního zjištění žalobce umožnil využití svých přístupových údajů do systému eRecept jednak jiné osobě a to navíc osobě, která k přístupu do systému eRecept jinak ani není oprávněna. Tím postupoval v rozporu s § 81a odst. 1 zákona o léčivech a § 2 odst. 4 prováděcí vyhlášky č. 329/2019 Sb.

58. Podle názoru městského soudu proto bylo na místě zrušení těchto přístupových údajů podle § 2 odst. 8 písm. c) prováděcí vyhlášky. Městský soud dodává, že obecně je také žalovaný oprávněn odebírat přístup k informačnímu systému podle § 12 odst. 2 vyhlášky o kybernetické bezpečnosti. V projednávané věci je však k námitkám žalobce přezkoumáván postup dle zákona o léčivech a jeho prováděcí vyhlášky. Zrušení oprávnění k přístupu tímto způsobem, je jak již soud výše vyložil, v souladu se zákonným zmocněním zákona o léčivech. Případný proces odebírání a navrácení přístupu dle bezpečnostní politiky žalovaného dle zákona o kybernetické bezpečnosti není přímo předmětem této věci.

59. Žalobce také namítl, že žalovaný postupoval v rozporu s § 81 odst. 3 zákona o léčivech, který zaručuje farmaceutovi nepřetržitý přístup do systému eRecept.

60. Informační systém eRecept farmaceutovi sice dle § 81 odst. 3 zákona o léčivech zabezpečuje nepřetržitý přístup. To ovšem logicky může platit pouze v takové situaci, kdy je farmaceut držitelem platných přístupových údajů do tohoto systému. Pakliže byly tyto údaje zrušeny, tím zanikl i přístup takové osoby do systému eRecept. V takové situaci proto ani netrvala povinnost žalovaného zabezpečit žalobci nepřetržitý přístup do systému. Městský soud dodává, že již výše se ztotožnil s oprávněností a zákonností postupu, kdy žalovaný zrušil přístupové údaje dle § 81a odst. 1 zákona o léčivech ve spojení s § 2 odst. 8 písm. c) prováděcí vyhlášky z toho důvodu, že žalobce porušil podmínku nepřenosného užívání vydaných údajů k přístupu do systému eRecept.

61. Žalobce dále namítl, že mu měl být přístup nezákonně obnoven pouze tehdy, pokud podpisem vyslovil ze strany žalobce souhlas s postupem správního orgánu.

62. Z dokazování vyplynulo, že žalobce byl současně s informací o zrušení přístupových údajů dne 16. 12. 2022 vyzván k podpisu poučení o pravidlech nepřenosnosti přístupových údajů. Podpisem měl tedy žalobce akceptovat pouze své srozumění s tímto pravidlem resp. povinností, nikoliv souhlas s postupem správního orgánu.

63. Je pravdou, že žalovaný v prvním emailu dne 16. 12. 2022 žalobci postup pro obnovení přístupu nesdělil. Podle názoru městského soudu však není nezákonné, že žalovaný vyžadoval na žalobci to, aby v první řadě potvrdil své srozumění s pravidly přístupu do systému eRecept (zejména o nepřenosnosti údajů). K takovému postupu podle názoru soudu žalovaného opravňuje § 4 odst. 2 zákona o kybernetické bezpečnosti a § 9 a § 12 prováděcí vyhlášky č. 82/2018 Sb. Jak bylo vyloženo, žalobce podmínky užívání a přístupu k informačnímu systému eRecept coby systému kritické infrastruktury porušil a událost musela být mj. v režimu zákona o kybernetické bezpečnosti hlášena jako bezpečnostní incident. Bylo tedy souladu s pravidly pro zachování kybernetické bezpečnosti a užívání systému eRecept, pokud žalovaný žalobce s těmito pravidly znovu seznámil a vyžadoval od něj potvrzení, že je s nimi srozuměn.

64. Nezáleželo pak na žalovaném, zda snad svolí k obnovení přístupových údajů žalobce. Podle § 2 odst. 2 prováděcí vyhlášky totiž platí, že osoba uvedená v odstavci 1 písm. a) až c) získá od žalovaného přístupové údaje podle § 81a odst. 1 zákona o léčivech na základě své žádosti zaslané prostřednictvím elektronického formuláře zveřejněného na internetových stránkách žalovaného. Dokazováním bylo zjištěno, že informace, jak postupovat pro obnovení přístupových údajů a nepřetržitý přístup k rozhraní pro obnovení tohoto přístupu, jsou skutečně dostupné na webu www.epreskripce.cz (žalovaný provozní informace k systému sděluje prostřednictvím svých internetových stránek – viz § 81odst. 2 zákona o léčivech).

65. Postup k obnovení přístupu měl být pro samotného žalobce tedy předvídatelný již jen ze znalosti obecně závazných předpisů a webu žalovaného www.epreskripce.cz, coby základního informačního prostoru k systému eRecept. Byť jej na postup pro obnovení přístupu výslovně upozornil manažer kybernetické bezpečnosti, samotný proces obnovení přístupu nezáležel na povolení či na nějaké podmínce žalovaného a žalobce jej mohl provést sám kdykoliv i bez součinnosti se žalovaným. Jelikož žalovaný postup žalobci ozřejmil i přes jeho nesouhlas s poučením o nepřenosnosti údajů, podle názoru soudu nebylo tedy prokázáno, že by žalovaný nějak bránil žalobci v obnovení přístupu do systému.

V. Závěr a náklady řízení

66. Městský soud v Praze shledal, že zásah žalovaného proti žalobci, který spočíval ve zrušení přístupových údajů do informačního systému eRecept, byl učiněn v souladu s § 81a odst. 1 zákona o léčivech ve spojení s § 2 odst. 8 písm. c) vyhlášky č. 329/2019 Sb. V obnovení přístupu žalovaný žalobci poté nijak nebránil, čemuž svědčí to, že žalobce jej v souladu s § 81a odst. 1 zákona o léčivech ve spojení s § 2 odst. 2 vyhlášky č. 329/2019 Sb. obnovil na základě nové žádosti sám a ta byla online obratem vyřízena. Žalovaný tedy nejednal nezákonně, ani co se týče postupu k obnovení přístupu žalobce do systému eRecept.

67. Žaloba není důvodná, proto ji soud zamítl dle § 87 odst. 3 s. ř. s.

68. O nákladech řízení rozhodl soud podle § 60 odst. 1 s. ř. s. tak, že žádnému z účastníků nepřiznal jejich náhradu. Žalobce nebyl procesně úspěšný, náhrada nákladů řízení mu proto nepřísluší. Žalovaný byl ve věci plně úspěšný a byl zastupován advokátem. Žalovaný je poměrně velký správní orgán, který by měl být náležitě personálně vybaven. Spravování a provozování systému eRecept byla žalovanému svěřena zákonem již v roce 2019, jedná se tedy o standardní součást působnosti žalovaného a ten by tedy měl být schopen svůj postup hájit vlastními silami. Z procesního hlediska tak soud nepovažuje náklady na advokátní zastoupení za důvodně vynaložené. Soud proto žalovanému náhradu nákladů řízení nepřiznal. Za obvyklého běhu věcí by žalovanému náklady řízení nad rámec jeho běžné administrativní činnosti nevznikly.

69. Podle § 60 odst. 5 s. ř. s. má osoba zúčastněná na řízení právo na náhradu jen těch nákladů, které jí vznikly v souvislosti s plněním povinnosti, kterou jí soud uložil. Z důvodů zvláštního zřetele hodných může jí soud na návrh přiznat právo na náhradu dalších nákladů řízení. Městský soud osobě zúčastněné na řízení žádnou povinnost neuložil. Městský soud v Praze poté neshledal žádný důvod hodný zvláštního zřetele přiznat jí náhradu nákladů řízení. Osobě zúčastněné na řízení tak městský soud náhradu nákladů řízení nepřiznal (§60 odst. 5 s. ř. s.).

Poučení

I. Předmět věci II. Žaloba a další vyjádření III. Jednání ve věci IV. Posouzení věci Městským soudem v Praze V. Závěr a náklady řízení