10 A 125/2020 – 138

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Ing. Viery Horčicové a soudců JUDr. Jaromíra Klepše a JUDr. Vladimíra Gabriela Navrátila v právní věci žalobce: Mgr. L. H. sídlem X. proti žalovanému: Ministerstvo zdravotnictví sídlem Palackého náměstí 375/4, 128 01 Praha 2 v řízení o žalobě proti rozhodnutí ministra zdravotnictví ze dne 15. 9. 2020, č. j. MZDR 38623/2020–3/PRO, takto:

Výrok

I. Rozhodnutí ministra zdravotnictví ze dne 15. 9. 2020, č. j. MZDR 38623/2020–3/PRO se zrušuje a věc se vrací žalovanému k dalšímu řízení.

II. Žalovaný je povinen zaplatit žalobci do třiceti dnů od právní moci tohoto rozsudku náhradu nákladů řízení ve výši 3 000 Kč.

Odůvodnění

I. Předmět sporu

1. Žalobce se podanou žalobou domáhal přezkoumání v záhlaví uvedeného rozhodnutí ministra zdravotnictví, jímž byl zamítnut rozklad žalobce proti rozhodnutí žalovaného ze dne 14. 8. 2020, č. j. MZDR 30354/2020–6/MIN/KAN (dále jen „prvostupňové rozhodnutí“) a prvostupňové rozhodnutí potvrzeno.

2. Prvostupňovým rozhodnutím žalovaný podle § 15 odst. 1 ve spojení s § 8a zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů (dále též „zákon o svobodném přístupu k informacím,“ „informační zákon“ nebo „InfZ“) částečně odmítl žalobcovu žádost o poskytnutí 1) smluv k nákupu testů používaných k ověření přítomnosti onemocnění SARS–CoV–2 u testované osoby, které uzavřel žalovaný, 2) certifikátu výrobku (testu) pořízeného žalovaným, prokazujícího možnost používání tohoto testu na území Evropské unie případně České republiky, a to k ověření přítomnosti onemocnění SARS–CoV–2 u testované osoby, v rozsahu označení a podpisu osob, které vystavily jednotlivé certifikáty.

II. Napadené rozhodnutí

3. Ministr zdravotnictví v napadeném rozhodnutí zrekapituloval obsah žalobcovy žádosti, dosavadní průběh řízení, výrok prvostupňového rozhodnutí a shrnul rozkladové námitky žalobce.

4. Ministr zdravotnictví uvedl, že žalobce v rozkladu proti prvostupňovému rozhodnutí namítal, že na údaje, jejichž poskytnutí bylo žalobci odmítnuto, nespadá výluka uvedená v § 8a zákona o svobodném přístupu k informacím. Osoby, které certifikáty vystavovaly, jednaly v rámci svého zaměstnání, nejedná se tedy o projev osobní povahy. Byl tak naplněn důvod zpracovávat, a tedy i poskytovat osobní údaje uvedených osob, neboť zcela jistě v rámci předsmluvních jednání byl tento údaj ze strany dodavatele testů žalovaným požadován. Žalovaný proto byl povinen žalobci tyto údaje poskytnout, neboť je zpracovával v souladu s čl. 6 nařízení Evropského Parlamentu a Rady (EU) 2016/679 ze dne 27. 4. 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“) a § 5 odst. 2 písm. b) a písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů. V případě, že zákonná definice zpracování osobních údajů nedopadá na vyloučené údaje, žalovaný zcela jistě uzavřel smlouvu s oprávněným subjektem údajů, aby je mohl zpracovávat pro účely, které jsou předmětem smlouvy, a certifikáty jsou zcela jistě součástí plnění. Podpis a jméno osoby nejsou osobním údajem, neboť nevedou k identifikaci jakékoliv osoby. Účel ochrany osobních údajů také nedopadá na úřední činnost osoby a vystavení certifikátu má prvky veřejnoprávního opatření. Žádnou z rozkladových námitek uplatněných žalobcem ministr zdravotnictví neshledal důvodnou.

5. Ministr zdravotnictví se v napadeném rozhodnutí ztotožnil se závěrem žalovaného, uvedeným v prvostupňovém rozhodnutí. V případě jména a příjmení osob vystavujících certifikáty a jejich podpisu se jedná o osobní údaje ve smyslu § 8a zákona o svobodném přístupu k informacím, neboť je lze podřadit pod definici osobních údajů dle čl. 4 odst. 1 GDPR. Kombinace jména, příjmení, podpisu a údajů o právnické osobě, za kterou tyto fyzické osoby jednaly, by totiž vedla k jejich identifikaci, proto se zcela jistě jedná o osobní údaj ve smyslu čl. 4 odst. 1 GDPR. Dále se ministr zdravotnictví vyjádřil k námitce žalobce, že se v případě těchto informací nejedná o projev osobní povahy. Pojem projev osobní povahy nelze ztotožňovat s pojmem osobní údaj. Osobním údajem dle definice uvedené v čl. 4 GDPR jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě, což je zajisté také údaj v podobě jména, příjmení a podpisu. Žalobce navíc požadoval poskytnutí osobních údajů fyzické osoby, která zastupovala právnickou osobu, jež vydala certifikát. Tuto situaci je potřeba odlišovat od situace, kdy konkrétní fyzická osoba jedná v rámci své podnikatelské činnosti. V takovém případě by zpravidla nebylo možné aplikovat ustanovení § 8a zákona o svobodném přístupu k informacím, jelikož by právo na informace převážilo zájem na ochraně osobních údajů. Nelze rovněž hovořit o tom, že v případě vystavení certifikátu jednala příslušná osoba v postavení úřední osoby. Ze všech těchto důvodů proto podle ministra zdravotnictví v daném případě převážil zájem na ochraně osobních údajů těchto osob nad žalobcovým právem na informace. Anonymizací osobních údajů bylo dosaženo cíle žalobce, jemuž byly poskytnuty požadované certifikáty. Má informaci o tom, která společnost certifikát vystavila. Ministr zdravotnictví rovněž neshledal poskytnutí žalobcem požadovaných údajů jako nezbytné s ohledem na plnění povinností vyplývajících z § 5 písm. a) zákona č. 110/2019 Sb., o zpracování osobních údajů (dále jen „zákon o zpracování osobních údajů“).

6. Ministr zdravotnictví se v napadeném rozhodnutí dále vyjádřil k žalobcově námitce, že v daném případě byl naplněn důvod zpracovávat, a tedy i poskytovat požadované osobní údaje osob. Podle čl. 6 GDPR lze osobní údaje zpracovávat, a tedy i poskytovat třetím osobám výlučně pouze ze zákonných důvodů a s ohledem na účel zpracování. Žalovaný nemá od příslušných subjektů souhlas s předáním jiné osobě a pro poskytnutí osobních údajů nejsou splněny ani další podmínky stanovené v čl. 6 odst. 1 GDPR. Žalobce se mýlí, dovozuje–li, že pokud povinný subjekt zpracovává určité osobní údaje, je povinen je automaticky i poskytovat. V takovémto případě by § 8a zákona o svobodném přístupu k informacím byl ve vztahu k osobním údajům obsoletní, jelikož by povinné subjekty musely vždy poskytnout veškeré údaje o určité osobě, pokud je zpracovávají. Jak vyplývá z čl. 5 odst. 1 GDPR, osobní údaje mohou být shromažďovány pouze pro určité a legitimní účely a nesmějí být zpracovány neslučitelným způsobem s těmito účely. Osobní údaje tedy mohou být zpracovávány pro různé účely, přičemž ke každému z nich je potřeba právní důvod tohoto zpracování.

III. Žaloba

7. Žalobce v podané žalobě zrekapituloval výrok napadeného rozhodnutí a uplatnil následující námitky.

8. Ministr zdravotnictví v napadeném rozhodnutí uvedl, že žalobcem požadované informace nemohly být žalobci poskytnuty, neboť kombinace jména, příjmení, podpisu fyzické osoby a údajů o právnické osobě, za kterou tato fyzická osoba jednala, by vedla k identifikaci této fyzické osoby a jedná se tak o osobní údaj ve smyslu čl. 4 odst. 1 GDPR. Ministr zdravotnictví však při svých úvahách patrně přehlédl čl. 14 preambule GDPR, v němž je mimo jiné uvedeno: „Toto nařízení se nevztahuje na zpracování osobních údajů právnických osob, a zejména podniků vytvořených jako právnické osoby, včetně názvu, právní formy a kontaktních údajů právnické osoby.“ Osobním údajem právnické osoby je nepochybně i údaj o tom, kdo je oprávněn jednat za jejího generálního ředitele, tedy zástupce generálního ředitele (v tomto případě Vice General Manager). Tvrzení ministra zdravotnictví, že fyzickou osobu Vice General Manager lze identifikovat podle jeho jména, příjmení a podpisu, je sice logické, avšak ministrovi zdravotnictví unikl cíl ochrany osobních údajů podle GDPR. Tímto cílem je nezasahovat do soukromého a rodinného života fyzických osob bez oprávněného zájmu. Je si tedy třeba položit otázku, zda poskytnutí informace o tom, že konkrétní osoba je zástupcem generálního ředitele farmaceutické společnosti, může nějak zasáhnout do soukromého a rodinného života této osoby. Žalobce je přesvědčen, že zcela určitě nikoli, neboť sama o sobě tato informace nemá žádnou vypovídající hodnotu o soukromém a rodinném životu konkrétní osoby.

9. Tvrzení ministra zdravotnictví o tom, že podpis zástupce generálního ředitele (Vice General Manager) na certifikátu testu je projevem osobní povahy, je pak nutno zcela odmítnout, neboť tato osoba nejednala ze sebe, ale za společnost. Jednala tedy za právnickou osobu, která vystavila konkrétní certifikát k označenému testu výrobku. Certifikát testu je přitom označen značkou CE podle nařízení Evropského parlamentu a Rady (ES) č. 765/2008 ze dne 9. 7. 2008, kterým se stanoví požadavky na akreditaci a dozor nad trhem týkající se uvádění výrobků na trh a kterým se zrušuje nařízení (EHS) č. 339/93 (dále jen „nařízení č. 765/2008“). Konkrétní certifikát testu tedy osvědčuje bezpečnost výrobku dodávaného na trh Evropské unie a zajišťuje dodržení harmonizačních předpisů Evropské unie. V daném případě se tudíž podle žalobce jedná o bezpečí a zdraví osob, a proto musí být najisto postaveno, že certifikát byl vydán k výrobku, který oprávněně nese označení CE. Jedná se o záruku bezpečnosti zdravotnického materiálu, který může mít přímo vliv na život a zdraví osob, neboť se používá při testování.

10. Podle žalobce tak ministr zdravotnictví založil napadené rozhodnutí na nesprávné aplikaci GDPR a opomněl aplikovat nařízení č. 765/2008.

11. Dále žalobce poukázal na nález Ústavního soudu ze dne 21. 3. 2017, sp. zn. IV ÚS 3208/16, v němž Ústavní soud mimo jiné uvedl následující: „povinností podle zákona se nelze bez dalšího zprostit odkazem na obsah smlouvy, na jejímž základě byla informace získána – jinými slovy, povinné subjekty musí smluvní dokumentaci se třetími osobami koncipovat tak, aby pokrývala jejich zákonné povinnosti na úseku přístupu k informacím.“ V této souvislosti dodal, že žalovaný ani ministr zdravotnictví neprovedli ve svých rozhodnutích test proporcionality a nezabývali se kolizí čl. 10 a čl. 17 Listiny základních práv a svobod. Také z tohoto důvodu jsou proto podle žalobce prvostupňové i napadené rozhodnutí nezákonná.

12. Podle žalobce si žalovaný ani ministr zdravotnictví patrně neuvědomili, že dle čl. 2 preambule k GDPR: „Cílem tohoto nařízení je přispět k dotvoření prostoru svobody, bezpečnosti a práva a hospodářské unie, k hospodářskému a sociálnímu pokroku, k posílení a sblížení ekonomik v rámci vnitřního trhu a k dobrým životním podmínkám fyzických osob.“ Cílem je tedy zamezit tomu, aby nebyl vytvořen v Evropské unii prostor nesvobody, nebezpečnosti a bezpráví na základě pochybně certifikovaných výrobků ohrožujících tyto hodnoty. Přitom právě bez možnosti ověření pravosti a správnosti certifikátu výrobku je důvěra v takový výrobek uváděný na trh Evropské unie velmi oslabena.

13. Dále žalobce uvedl, že žalovaný stejně jako ministr zdravotnictví zvolili pro svá rozhodnutí obecný paušalizující přístup, v důsledku čehož jednaly označené správní orgány v rozporu se závěry vyplývajícími z nálezu Ústavního soudu ze dne 30. 3. 2010, sp. zn. Pl. ÚS 2/10.

14. Žalovaný stejně jako ministr zdravotnictví také porušili žalobcova procesní práva, neboť mu před vydáním svých rozhodnutí neumožnili seznámit se s podklady pro jejich vydání. Tyto podklady přitom pocházely z vlastní úřední činnosti žalovaného, který je měl nepochybně k dispozici při sjednávání smluv s dodavateli testů.

15. Žalobce dále uvedl, že napadené rozhodnutí trpí nezákonností také z toho důvodu, že zcela účelovým výkladem rozhodných skutečností a právních předpisů bylo překlenuto porušení právních předpisů ze strany žalovaného, který rozhodoval v prvém stupni. Napadené rozhodnutí je podle žalobce nezákonné rovněž z toho důvodu, že v důsledku odepření žalobcových procesních práv bylo porušeno právo žalobce na spravedlivý proces, bylo rovněž porušeno žalobcovo právo na řádné odůvodnění napadeného rozhodnutí a právo na přístup k nestrannému orgánu, který by žalobcovu věc rozhodl podle zákona.

16. V závěru podané žaloby žalobce navrhl, aby soud napadené i prvostupňové rozhodnutí zrušil a uložil žalovanému, aby ve lhůtě do 15 dnů od doručení zrušujícího rozsudku vydal žalobci certifikáty se všemi údaji, tedy obsahující i jméno a podpis osoby, která certifikát vyhotovila.

IV. Vyjádření žalovaného

17. Žalovaný ve vyjádření k žalobě navrhl, aby soud žalobu jako nedůvodnou zamítl. V úvodu svého vyjádření žalovaný nejprve shrnul skutkový stav věci a průběh správního řízení před žalovaným a ministrem zdravotnictví.

18. K námitce žalobce, že přehlédl čl. 14 preambule GDPR a že mu uniká cíl ochrany osobních údajů dle tohoto nařízení, žalovaný uvedl, že v případě žalobcem požadovaných informací se nejedná o osobní údaj týkající se právnické osoby, ale o osobní údaje (jméno, příjmení a podpis) konkrétní fyzické osoby. Žalovaný nemá od těchto subjektů souhlas s předáním jejich osobních údajů jiné osobě a ani nejsou splněny další podmínky stanovené v čl. 6 odst. 1 GDPR, což bylo zákonným důvodem pro částečné odmítnutí žalobcovy žádosti v souladu s § 8a zákona č. 106/1999 Sb. Žalovaný má za to, že tímto rozhodnutím současně žalobci nijak neomezil obsah poskytované informace, jelikož mu byly poskytnuty požadované certifikáty a včetně informace o tom, která společnost je vystavila 19. K námitce žalobce, že podpis zástupce generálního ředitele na certifikátu není projevem osobní povahy, neboť tato osoba jednala za právnickou osobu, a ne za sebe, žalovaný uvedl, že on ani ministr zdravotnictví ve svých rozhodnutích netvrdili, že tento podpis je projevem osobní povahy. V napadeném rozhodnutí pouze ministr zdravotnictví reagoval na žalobcovu rozkladovou námitku, že v případě podpisu se nejedná o projev osobní povahy, a to tak, že v něm uvedl, že pojem projev osobní povahy není totožný s pojmem osobní údaje. Žalobcova žádost však byla částečně odmítnuta s odkazem na ochranu osobních údajů, ne na ochranu projevů osobní povahy.

20. K námitce žalobce, kde vytýká žalovanému opomenutí skutečnosti, že certifikát testu je označen značkou CE podle nařízení č. 765/2008 a toto nařízení při svém rozhodování neaplikoval, žalovaný uvedl, že tuto námitku považuje za irelevantní. Žalobcova žádost byla částečně odmítnuta v té části, která se týkala osobních údajů, na jejichž ochranu dopadá pak GDPR a zákon o zpracování osobních údajů, nikoliv nařízení č. 765/2008.

21. K odkazu žalobce na závěry vyplývající z nálezu Ústavního soudu sp. zn. IV ÚS 3208/16, že povinností dle zákona o svobodném přístupu k informacím se nelze bez dalšího zprostit odkazem na obsah smlouvy, na jejímž základě byla informace získána, žalovaný poukázal na skutkovou odlišnost případu. Žalobce ve své žádosti o informace specifikoval, že požaduje poskytnutí certifikátů. Žalovaný při vyřizování žádosti neodkázal žalobce pouze na jejich obsah, ale právě naopak mu požadované certifikáty poskytl. Pouze u nich začernil osobní údaje osoby certifikát vystavující.

22. K námitce žalobce, že při rozhodování o odmítnutí poskytnutí požadovaných informací nebyl proveden test proporcionality a nebyla posouzena kolize čl. 10 a čl. 17 Listiny základních práv a svobod, žalovaný uvedl, že v daném případě nebylo možno podle § 8a zákona o svobodném přístupu k informacím požadované údaje poskytnout, neboť GDPR i zákon o zpracování osobních údajů jejich poskytnutí neumožňuje. Ministr zdravotnictví navíc ve svém rozhodnutí uvedl, že anonymizací osobních údajů bylo dosaženo cíle žalobce, kterému byly poskytnuty požadované certifikáty a má informaci o tom, která společnost certifikát vystavila.

23. K námitce žalobce, že přehlédl čl. 2 GDPR, dle něhož má nařízení zabránit tomu, aby byl vytvořen v Evropské unii prostor nesvobody, nebezpečnosti a bezpráví v důsledku uvedení pochybně certifikovaných výrobků na vnitřní trh, žalovaný uvedl, že účelem GDPR je pouze a jen ochrana osobních údajů a stanovení společných pravidel a zásad s jejich nakládáním. Účelem GDPR není, jak se domnívá žalobce, ověření pravosti a správnosti certifikátů a zamezení vytvoření prostoru nesvobody, nebezpečnosti a bezpráví na základě pochybně certifikovaných výrobků.

24. K námitce žalobce, že žalovaný stejně jako ministr zdravotnictví zvolili pro svá rozhodnutí obecný paušalizující přístup a postupovali tak v rozporu s nálezem Ústavního soudu sp. zn. Pl. ÚS 2/10, žalovaný uvedl, že rozhodně se nedá hovořit o tom, že takovým způsobem postupovali. O takový postup by se jednalo, pokud by žalobci bylo zcela odmítnuto poskytnutí požadovaných certifikátů. Žalobci však certifikáty poskytnuty byly, pouze v nich byly začerněny osobní údaje. Žalobcem odkazovaný nález Ústavního soudu se navíc týká naprosto odlišné situace, kdy Ústavní soud zrušil část ustanovení zákona o svobodném přístupu k informacím z toho důvodu, že obsahovalo absolutní paušální zákaz poskytovat na základě žádosti podle tohoto zákona nepravomocné rozsudky. Sám Ústavní soud však uvedl, že § 8a zákona o svobodném přístupu k informacím je jedním z příkladů, kdy norma naplňuje a garantuje požadavek minimalizace zásahu do základního práva či svobody, neboť toto ustanovení paušálně neodmítá poskytnutí informace s odkazem na ochranu osobních údajů, ale uvádí, že se tyto informace poskytnou jen v souladu s právními předpisy, upravujícími jejich ochranu.

25. K námitce žalobce, že v řízení byla porušena jeho procesní práva, jelikož mu nebylo umožněno seznámit se s podklady pro vydání rozhodnutí, žalovaný uvedl, že předmětem řízení byla žádost o poskytnutí informací. Zákon o svobodném přístupu k informacím nepředpokládá, že by byl žadatel seznamován s podklady pro rozhodnutí ve smyslu § 36 odst. 3 správního řádu, neboť podkladem pro rozhodnutí o žádosti o informace zpravidla vždy je právě toliko požadovaná informace. Seznamování účastníků řízení s takovým podkladem pro rozhodnutí by popřelo smysl právní úpravy práva na informace, neboť aplikace takovéhoto procesního postupu by znamenala, že účastník s požadovanou informací bude povinně seznámen dříve, než bude rozhodnuto, zda mu taková informace vůbec poskytnuta být může. Z ustanovení § 20 odst. 4 zákona o svobodném přístupu k informacím vyplývá omezené použití správního řádu, přičemž ten se použije v zásadě až na vydání rozhodnutí o odmítnutí žádosti nebo na odvolací přezkum. V průběhu rozkladového řízení však žádné nové podklady pro vydání rozhodnutí pořizovány nebyly.

26. Proti námitce žalobce týkající se účelového výkladu rozhodných skutečností a nezákonnosti vydaných rozhodnutí se žalovaný vyjádřil v tom smyslu, že žalobce žádal poskytnout certifikáty výrobku a tyto mu byly poskytnuty. Z důvodu ochrany osobních údajů pak byly začerněny osobní údaje osoby, která certifikát vystavila, protože poskytnutím těchto údajů by se žalovaný dopustil porušení GDPR. Dále žalovaný uvedl, že prvostupňové i napadené rozhodnutí obsahují veškeré zákonem stanovené náležitosti, důvody výroku rozhodnutí, úvahy, kterými se správní orgány řídily při hodnocení výkladu právních předpisů a rovněž v nich byly vypořádány všechny námitky uplatněné žalobcem.

27. K námitce žalobce, že napadené rozhodnutí je nezákonné, neboť bylo porušeno právo žalobce na spravedlivý proces, právo na řádné odůvodnění rozhodnutí a právo na přístup k nestrannému orgánu, který věc rozhodne podle zákona, žalovaný uvedl, že žádná procesní práva žalobce porušena nebyla, rozhodnutí byla řádně odůvodněna a rozhodováno bylo nestranně a orgánem, který k tomu byl povolán.

V. Další vyjádření žalobce a žalovaného

28. Žalobce na vyjádření žalovaného reagoval replikou ze dne 15. 12. 2020, v níž se ohradil proti tvrzení žalovaného o tom, že osobním údajem fyzické osoby jednající za právnickou osobu je její jméno, příjmení a podpis. Jedná se dle jeho názoru o absolutní překrucování jednání vůči třetím osobám. Je naopak důvodné odhalit její identitu, neboť patrně způsobila omyl na straně žalovaného, a je třeba, aby se každý dozvěděl o osobě, která neoprávněně připojila své jméno a podpis na osvědčení o certifikaci k výrobku, čímž vystavila neurčitý počet osob nebezpečí újmy na životu a zdraví.

29. Dále žalobce uvedl, že žalovaný zaměňuje pojmy osobní údaj a projev osobní povahy. Je vyloučeno, aby podpis byl osobním údajem, neboť nijak neidentifikuje jeho tvůrce. Z připojeného podpisu nelze dovodit žádných osobních poměrů osoby, která jej učinila. Jméno, příjmení a podpis nemohou nikdy zasáhnout do soukromí osoby, pokud jedná za jiného. Příslušná fyzická osoba jednala v rámci svého povolání či profese a není proto možné, aby byla na základě pouhé nemožnosti ověřit identitu a projev fyzické osoby vyloučena odpovědnost konkrétní právnické osoby.

30. Žalobce dále uvedl, že jeho námitka vztahující se k přehlédnutí skutečnosti, že certifikát testu je označen značkou CE podle nařízení č. 765/2008 a toto nařízení opomněl při svém rozhodování aplikovat, je naprosto relevantní, neboť žalobce zjistil, že některé z testů neměly příslušné certifikáty. Z toho, jak žalovaný přistoupil k vyřízení žalobcovy žádosti, tak nelze vyloučit, že žalovaný uvedl do oběhu testy bez certifikace a nyní hodlá svým postupem, kdy žalobci odmítl poskytnout požadované informace, zakrýt svou protiprávní činnost.

31. Dále žalobce uvedl, že tvrzení žalovaného ohledně absence podkladů pro vydání rozhodnutí v rámci řízení o rozkladu může být pravdivé. Avšak z napadeného rozhodnutí nevyplývá, z jakého skutkového stavu ministr zdravotnictví vycházel, a je tedy přípustná možnost existence podkladů, které nebyly žalobci předloženy. Podle žalobce je nesprávné také tvrzení žalovaného, že v odvolacím řízení podle zákona o svobodném přístupu k informacím nelze aplikovat ustanovení § 36 odst. 3 správního řádu, neboť na použití správního řádu v tomto řízení odkazuje § 180 odst. 1 správního řádu. Bez ohledu na to se pak v tomto řízení aplikuje § 4 odst. 4 správního řádu, dle něhož je správní orgán povinen umožnit dotčeným osobám uplatnit jejich práva, a to včetně možnosti seznámit se skutkovým stavem zjištěným správním orgánem.

32. V závěru repliky žalobce zdůraznil účel jeho žádosti. Ten spočíval v požadavku na poskytnutí certifikátu výrobku. Žalovaný mu však zpřístupnil pouze obsah certifikátu, neboť certifikát bez uvedení jména osoby, která jej vystavila, a jejího podpisu, je pouze listinou bez jakékoli vážnosti. Především ale jakákoli certifikační společnost má vždy povinnost osvědčit rozhodné skutečnosti, a to na základě dotazu příjemce certifikátu nebo osoby, která si chce ověřit jeho pravost. Je proto naprosto nepředstavitelné, aby certifikační společnost tajila způsob vydání certifikátu s tím, že jej nelze použít vůči třetím osobám z důvodu ochrany osobních údajů. Na základě uvedeného výkladu by pak přestala jakákoli certifikace dávat smysl a každý mohl vytavit certifikát bez odpovědnosti.

33. V podání ze dne 22. 1. 2021 žalobce poukázal na skutečnost, že mu žalovaný jako přílohu sdělení ze dne 21. 1. 2021, č. j. MZDR 56830/2020–10/MIN/KAN poskytl certifikáty, které obsahovaly i jméno, příjmení a podpis osoby, která je vystavila.

34. Žalovaný se k replice žalobce vyjádřil podáním ze dne 27. 9. 2022. Žalovaný trvá na to, že podpis jednající osoby je osobním údajem, neboť jeho prostřednictvím je možné přímo nebo nepřímo identifikovat fyzickou osobu. Podstatou osobního údaje je jeho spojitost s fyzickou osobou, což bezesporu je údaj o jménu a příjmení této fyzické osoby a její podpis, bez ohledu na to, zda jedná za právnickou osobu. Žalovaný dále znovu uvedl, že pro posouzení otázky, zda měly být žalobci poskytnuty certifikáty včetně osobních údajů, byla relevantní ustanovení zákona o svobodném přístupu k informacím, GDPR a zákon o zpracování osobních údajů. Právní úprava, která se týká vydávání certifikátů, je irrelevantní. Žalobce požadoval poskytnutí certifikátů a jejich kopie také obdržel. Dále žalovaný zopakoval, že v průběhu rozkladového řízení nebyly pořizovány žádné podklady pro vydání rozhodnutí a zákon o svobodném přístupu k informacím nepředpokládá, že by žadatel byl seznamován s poklady pro vydání rozhodnutí v řízení na prvním stupni, když podkladem pro jeho vydání je zpravidla vždy právě požadovaná informace. V této souvislosti žalovaný opět odkázal na § 20 odst. 4 zákona o svobodném přístupu k informacím, který stanovuje rozsah použití správního řádu při postupu podle zákona o svobodném přístupu k informacím a z něhož tak vyplývá nemožnost aplikace § 180 správního řádu, na který poukazoval žalobce.

35. Žalobce se k podání žalovaného vyjádřil v podání ze dne 10. 10. 2022, v němž setrval na své dosavadní argumentaci a dále rozsáhle polemizoval s argumentací žalovaného. Žalovaný na žalobcovo podání reagoval podáním ze dne 3. 11. 2022, v němž reagoval pouze na žalobcovu námitku, že součástí pokladů pro vydání rozhodnutí musel být alespoň návrh rozkladové komise. Žalovaný v této souvislosti poukázal na rozsudek Nejvyššího správního soudu ze dne 21. října 2004, č. j. 2 A 11/2002–227, v němž tento soud vyslovil závěr, že návrh rozkladové komise nelze považovat za podklad pro vydání rozhodnutí. Žalovaný se k tomuto podání vyjádřil podáním ze dne 9. 11. 2022, v němž uvedl, že závěry rozsudku Nejvyššího správního soudu č. j. 2 A 11/2002–227 nelze v daném případě aplikovat, neboť se nevztahují ke stávající právní úpravě správního řízení.

36. Žalobce ani žalovaný se již ve věci dále nevyjádřili.

VI. Posouzení věci Městským soudem v Praze

37. Městský soud přezkoumal napadené rozhodnutí v rozsahu žalobních bodů, kterými je vázán (§ 75 odst. 2 s. ř. s.), včetně řízení, které jeho vydání předcházelo. Při přezkoumání tohoto rozhodnutí městský soud vycházel ze skutkového a právního stavu, který tu byl v době rozhodování správního orgánu (§ 75 odst. 1 s. ř. s.).

38. K projednání věci soud nařídil jednání, v rámci něhož účastníci setrvali na svých stanoviscích vyjádřených v písemných podáních. Žalobce navrhl, aby soud vyzval žalovaného ke sdělení, zdali vyzval osoby, které předmětné dokumenty podepisovali, zdali souhlasí se zveřejněním osobních údajů. Soud návrh zamítl, jelikož otázka vyžádaní si souhlasu těchto osob s ohledem na závěry zrušujícího rozsudku NSS není relevantní. Žalobce soudu rovněž předložil k nahlédnutí kopii rozhodnutí žalovaného, jímž mělo být prvostupňové rozhodnutí zrušeno. Žalovaný u jednání uvedl, že si této skutečnosti není vědom a nemá to, jak ověřit. Soud otázku existence zrušení prvostupňového rozhodnutí uzavřel s tím, že existuje druhostupňové rozhodnutí, o čemž není mezi účastníky sporu, proto případné zrušení prvostupňového rozhodnutí nemá v daném případě vliv na rozhodnutí soudu o žalobě proti napadenému rozhodnutí.

39. Soud ve věci rozhoduje podruhé poté, co Nejvyšší správní soud rozsudkem ze dne 20.06.2025, č. j. 10 As 102/2023–90, rozhodnutí soudu ze dne 19.04.2023, č. j. 10 A 125/2020–78 (dále též „první rozhodnutí“), zrušil a věc mu vrátil k dalšímu řízení.

40. Žaloba je důvodná. a.) Skutkový stav a řízení před NSS, předběžná otázka Soudnímu dvoru Evropské unie (dále též „SDEU“)

41. Z obsahu správního spisu zjistil soud následující skutečnosti podstatné pro rozhodnutí ve věci.

42. Prostřednictvím žádosti ze dne 23. 07. 2020 žalobce požádal žalovaného o poskytnutí následujících informací dle zákona o svobodném přístupu k informacím: a) „Smlouvy k nákupu testů používaných k ověření přítomnosti onemocnění SARS–CoV–2 u testované osoby, které uzavřel povinný subjekt.“ b) „Certifikát výrobku (testu) pořízeného povinným subjektem, prokazující možnost používání tohoto testu na území Evropské unie případně České republiky, a to k ověření přítomnosti onemocnění SARS–CoV–2 u testované osoby.“ 43. Žalovaný žádost vyřídil sdělením ze dne 29. 7. 2020, č. j. MZDR 30354/2020–3/MIN/KAN. K informacím požadovaným žalobcem pod písmenem a) žádosti sdělil, že veškeré smlouvy k nákupu testů uzavřené žalovaným jsou zveřejněny v registru smluv a lze je vyhledat prostřednictvím internetových odkazů uvedených ve sdělení č. j. MZDR 30354/2020–3/MIN/KAN. K informacím požadovaným žalobcem pod písmenem b) žádosti žalovaný uvedl, že certifikáty testů pořízených žalovaným prokazujících možnost použití na území Evropské unie, případně České republiky, zasílá žalobci jako přílohu sdělení č. j. MZDR 30354/2020–3/MIN/KAN.

44. Jako přílohy sdělení č. j. MZDR 30354/2020–3/MIN/KAN žalovaný zaslal žalobci: 2 x Prohlášení o shodě výrobce Hangzhou Testsea Biotechnology Co., Ltd., týkající se výrobku SARS–CoV2 (COVID–19) IgG/IgM Test Cassette (Whole Blood/Serum/Plasma), Prohlášení o shodě výrobce Safecare Biotech (Hangzhou) Co., Ltd., týkající se výrobku COVID–19 IgG/IgM Rapid Test Kit (Whole Blood/serum/plasma) Cassette (NCO–4022), Prohlášení o shodě výrobce InTec PRODUCTS, INC., týkající se výrobků Rapid SARS–CoV–2 Antibody (IgG/IgM) Test Kit a Rapid SARS–CoV–2 Antibody Test Kit, 2 x Prohlášení o shodě výrobce Biopanda Reagents Ltd., týkající se výrobku COVID–19 Rapid Test Kit (RAPG–COV), 2 x Prohlášení o shodě výrobce BEIJING WANTAI BIOLOGICAL PHARMACY ENTERPRISE CO. LTD., týkající se výrobků Wantai SARS–CoV–2 Ab ELISA Kit, Wantai SARS–CoV–2 IgM ELISA Kit, Wantai SARS–CoV–2 RT–PCR ELISA Kit a Wantai SARS–CoV–2 Ab Rapid Test Kit, Prohlášení o shodě výrobce Shanghai Zj Bio–Tech Co., Ltd., týkající se výrobku Novel Coronavirus (2019–nCov) Real Time Multiplex RT–PCR Kit (Detection for 3 Genes), deklarující, že v prohlášeních uvedené výrobky splňují požadavky Směrnice Evropského parlamentu a Rady 98/79/ES ze dne 27. 10. 1998 o diagnostických zdravotnických prostředcích in vitro (dále jen „směrnice 98/79/ES“), Osvědčení o notifikaci in vitro diagnostického zdravotnického prostředku výrobce Shanghai Zj Bio–Tech Co., Ltd., vystavené Obelis s. a., Certifikát systému managementu kvality výrobce Hangzhou Testsea Biotechnology Co., Ltd., vystavený TÜV SÜD Product Service GmbH, Certifikát systému managementu kvality výrobce Zhuhai Livzon Diagnostic Inc., vystavený TÜV SÜD Product Service GmbH. Ve všech těchto listinách poskytnutých žalobci byl anonymizován (začerněn) podpis osoby, listinu vystavila a s výjimkou prohlášení o shodě výrobce Shanghai Zj Bio–Tech Co., Ltd. také její jméno.

45. Proti postupu žalovaného při vyřizování žádosti ze dne 23. 07. 2020 podal žalobce stížnost ze dne 07. 08. 2020, v níž namítal, že žalovaný anonymizoval (znečitelnil) u každého certifikátu jméno a podpis osoby, která jej vystavila, aniž by v této části rozhodl o odmítnutí poskytnutí informace žalobci.

46. Prvostupňovým rozhodnutím žalovaný žalobcovu žádost částečně odmítl, a to v rozsahu označení a podpisu osob, které vystavily jednotlivé certifikáty, neboť dospěl k závěru, že se jedná o osobní údaje ve smyslu čl. 6 GDPR a jejich poskytnutí žalobci by bylo v rozporu s § 8a zákona o svobodném přístupu k informacím.

47. Proti prvostupňovému rozhodnutí podal žalobce rozklad ze dne 25. 08. 2020. V rozkladu žalobce namítal, že na informace, které žalovaný odmítl žalobci poskytnout, se § 8a zákona o svobodném přístupu k informacím nevztahuje, neboť osoby, které vystavily jednotlivé certifikáty, jednaly v rámci svého povolání při plnění smlouvy, jejímž předmětem byl prodej testů žalovanému. Proto se nejedná o projev osobní povahy, ale plnění povinností při pracovní činnosti. Dále žalobce namítal, že u žalovaného je dán důvod ke zpracování osobních údajů osob vystavujících jednotlivé certifikáty, a to podle čl. 6 GDRP a § 5 odst. 2 písm. b) a e) zákona o ochraně osobních údajů a je tedy i dán důvod jejich osobní údaje v podobě jména a podpisu poskytovat. Žalobce rovněž namítal, že se žalovaný mýlí v tom, že podpis a jméno osoby jsou osobními údaji, neboť bez dalšího nevedou k identifikaci jakékoliv osoby.

48. Napadeným rozhodnutím žalovaný rozklad žalobce zamítl a prvostupňové rozhodnutí potvrdil.

49. Městský soud v rozsudku ze dne 19.04.2025, č. j. 10 A 125–2020–78, zrušil rozhodnutí ministra zdravotnictví o rozkladu, který podal žalobce. Nejvyšší správní soud rozhodnutí městského soudu ovšem rozsudkem ze dne 20.06.2025, č. j. 10 As 102/2023–90, zrušil a věc vrátil zdejšímu soudu k novému projednání.

50. V prvním rozsudku, kterým městský soud zrušil napadené rozhodnutí, vycházel tento z předpokladu, že jméno a příjmení fyzické osoby, její podpis, stejně jako další ze začerněných údajů, jsou „osobními údaji“ ve smyslu čl. 4 odst. 1 GDPR, a to přesto, že cílem žádosti žalobce o informace nebylo získat údaj o fyzické osobě jako takové, ale pouze ověřit jednání právnické osoby, za kterou jedná určitá fyzická osoba. Tento předpoklad byl, jak bude vysvětleno níže, správný.

51. Rozhodující byl však nesouhlas městského soudu se závěrem ministra, že pro poskytnutí vyžádaných informací není naplněn žádný z možných scénářů zákonného zpracování osobních údajů dotčených fyzických osob podle čl. 6 odst. 1 GDPR. Tento závěr považoval městský soud v prvním rozhodnutí přinejmenším za předčasný, neboť správní orgány se nepokusily získat souhlas dotčených subjektů údajů (fyzických osob jednajících jménem právnické osoby) ohledně poskytnutí předmětných osobních údajů žalobci ve smyslu čl. 6 odst. 1 písm. a) GDPR. Jednou z podmínek vyplývajících z čl. 6 odst. 1 GDPR, za nichž je možno osobní údaje poskytnout, je totiž souhlas dotčené osoby dle písm. a) tohoto ustanovení.

52. V tomto smyslu se zrušené rozhodnutí městského soudu odkazovalo na judikaturu NSS k poskytování informací podle InfZ, jmenovitě rozsudky ze dne 22.10.2014, č. j. 8 As 55/2012–62; ze dne 17.12.2014, č. j. 1 As 189/2014–50; ze dne 30.06.2015, č. j. 7 As 49/2015–57; ze dne 08.04.2020, č. j. 10 As 227/2018–41. Z této judikatury, mající počátek v poskytování informací o platech zaměstnanců ve veřejné sféře, která se poté rozvinula i na jiné typy informací o činnosti veřejné správy, plyne povinnost správních orgánů informovat bez zbytečného prodlení osoby, o jejichž osobní údaje se jedná, že povinný subjekt hodlá poskytnout informace, které se jich mohou dotknout. Tyto dotčené osoby potom mají právo se vyjádřit. Je pak na povinném subjektu, aby vyjádření reflektoval a vyvodil z něho důsledky.

53. Pokud takto žalovaný vůbec nepostupoval, měl městský soud ve svém prvním rozhodnutí za to, že souhlas vyžadovaný podle čl. 6 odst. 1 písm. a) GDPR nemohl ani obdržet. Toto procesní pochybení žalovaného a ministra mohlo mít vliv na zákonnost rozhodnutí. Před vydáním rozhodnutí o odmítnutí informace nejednali, byť jen s jedinou dotčenou osobou, nepřiznali jim ani postavení účastníků řízení podle § 27 odst. 2 správního řádu. Jelikož správní orgány nezjišťovaly, zda fyzické osoby, jichž se žádost o informace týká, případně s poskytnutím svých osobních údajů žalobci souhlasí, a přesto odmítly žalobci jejich osobní údaje poskytnout, městský soud rozsudkem ze dne 19.04.2023, č. j. 10 A 125/2020–78 dovodil nedostatečné zjištění skutkového stavu ze strany povinného subjektu i ministra zdravotnictví, a s odkazem na § 76 odst. 1 písm. c) s. ř. s. a § 76 odst. 1 písm. b) téhož zákona napadené rozhodnutí zrušil a věc vrátil žalovanému k dalšímu řízení.

54. Žalovaný podal dne 03.05.2023 proti rozhodnutí městského soudu ze dne 19.04.2023, č. j. 10 A 125/2020–78 kasační stížnost. V ní vznesl dvě námitky.

55. V první námitce stěžovatel zdůraznil, že městský soud přezkoumal rozhodnutí ministra nad rámec žalobcem uplatněných žalobních bodů a zrušil jej z důvodu, k němuž nebyl povinen, a tím pádem ani oprávněn, přihlédnout i bez námitky. Tvrzení, že správní orgány nejednaly s dotčenými osobami a nepřiznaly jim postavení účastníků řízení, žalobce nevznesl ani v průběhu správního řízení, ani v žalobě. Městský soud tak ve svém posouzení vykročil výrazně nad rámec rozsahu řádně uplatněných žalobních bodů. S touto námitkou se NSS neztotožnil. V podrobnostech lze odkázat na jeho rozsudek ze dne 20.06.2025, č. j. 10 As 102/2023–90, zejména na bod 14.

56. Druhá námitka spočívala ve věcném hledisku. Subjekty údajů nejsou účastníky řízení o žádosti o informace, přestože se jich požadované informace týkají. Byť je správní orgán může vyrozumět, pokud to uzná za vhodné, o žádné účastenství v řízení před správním orgánem se v tomto případě nejedná, a to ani analogicky. Z praktického hlediska je třeba podotknout, že se jedná o osoby působící na území Čínské lidové republiky a Spojeného království Velké Británie a Severního Irska. Stěžovatel nemá k dispozici kontakty na tyto fyzické osoby a požadavek městského soudu na jejich vyrozumění je tak v zásadě nesplnitelný.

57. S druhou kasační námitkou se již NSS ztotožnil a první rozhodnutí městského soudu zrušil. Stěžovatel namítal v této souvislosti zejm. nekorektní aplikaci judikatury NSS týkající se postavení dotčených osob při posuzování žádosti podle InfZ. Od doby, kdy NSS zajal svůj původní právní názor v rozsudku č. j. 8 As 55/2012–62, došlo totiž k přijetí jednotného a přednostně aplikovatelného unijního rámce v podobě GDPR. Ten totiž kromě účinné ochrany osobních údajů rovněž uznává transparentnost veřejné správy coby legitimní zájem. Tyto dva zájmy mohou být protichůdné a je třeba mezi nimi hledat rovnováhu.

58. NSS se v rozsudku ze dne 20.06.2025, č. j. 10 As 102/2023–90, kterým zrušil první rozhodnutí městského soudu a věc mu vrátil k dalšímu řízení, věnoval nejprve úpravě, která na danou problematiku dopadá. Vedle § 8a zákona o svobodném přístupu k informacím je to právě nařízení GDPR, na nějž zmíněné ustanovení InfZ v poznámkovém aparátu odkazuje. Tedy aby mohl povinný subjekt osobní údaje určité fyzické sooby poskytnout, musí být toto zpracování, jímž se dle definice v čl. 4 odst. 2 GDPR rozumí též zpřístupnění, v souladu s důvody (tituly) zpracování osobních údajů dle čl. 6 odst. 1 GDPR, jakož i dalších ustanovení předmětného nařízení.

59. NSS zdůrazňuje, že zákonnost zpracování, resp. její rámec, na který ustanovení § 8a InfZ dnes odkazuje, je obsažen především v čl. 6 odst. 1 GDPR, který předvídá, že zpracování osobních údajů bude zákonné, pokud je splněna jedna z následujících podmínek: „a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; (…) c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; (…) e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; (…).“ 60. Pro výklad těchto možností je nicméně podstatné, že zpracování dle písm. a) (tedy na základě souhlasu) a dle písm. c) a e) (zpracování veřejnoprávním správcem pro stanovené důvody) jsou odlišné situace. Jinak řečeno, pro zákonnost zpracování dle písm. c) či e) není žádné zjišťování souhlasu subjektů údajů zapotřebí. Naplnění podmínek plynoucích z GDPR a případné vnitrostátní legislativy, v souladu s odst. 2 a 3 čl. 6 GDPR, si správce osobních údajů posuzuje sám. GDPR žádný způsob „interakce“ se subjekty údajů v případě těchto titulů pro zpracování osobních údajů neupravuje. Nezná tedy ani českou judikaturou vytvořený požadavek o nutnosti informovat dotčené osoby o tom, že jejich osobní budou poskytnuty žadateli.

61. Tuto odlišnost, a především samostatnost jednotlivých titulů pro zákonné zpracování osobních údajů, je zapotřebí podtrhnout jako důležité východisko. Správce osobních údajů v podobě veřejnoprávního orgánu, který postupuje dle písm. e) anebo c) čl. 6 odst. 1 GDPR, tak není povinen žádat o souhlas subjekt údajů. Otázku naplnění autonomních podmínek GDPR pro zpracování osobních údajů si posuzuje samostatně a na vlastní odpovědnost. Ostatně kdyby tomu tak nebylo, jednotlivé tituly zpracování pod písmeny b) až f) by ztratily význam. Pro veškeré zpracování by pak bylo nezbytné vyžadovat souhlas subjektu údajů. Veškeré důvody/tituly by pak vlastně byly pokryty scénářem písm. a) čl. 6 odst. 1 GDPR.

62. Po předběžné poradě ovšem v projednávané věci vyvstaly u NSS pochybnosti ohledně korektního výkladu práva Unie, a proto dne 01.11.2023 vydal usnesení č. j. 10 As 102/2023–43, kterým řízení o kasační stížnosti přerušil a zároveň Soudnímu dvoru Evropské unie (dále též „SDEU“) předložil tyto předběžné otázky: 1) „Je zpřístupnění jména, příjmení, podpisu, a kontaktních údajů fyzické osoby coby jednatele či odpovědného zástupce právnické osoby, učiněné výlučně za účelem identifikace (osoby oprávněné jednat jménem určité) právnické osoby, přesto zpracováním „osobních údajů“ o dané fyzické osobě podle čl. 4 písm. 1) GDPR, tím pádem vstupující do působnosti GDPR?“ 2) „Může vnitrostátní právo, včetně ustálené judikatury soudní, podmínit aplikaci přímo použitelného unijního nařízení správním orgánem, konkrétně čl. 6 odst. 1 písm. c), případně e) GDPR, splněním dalších podmínek z textu nařízení samotného neplynoucích, nicméně úroveň ochrany subjektů osobních údajů vlastně rozšiřujících, konkrétně povinností orgánu veřejné moci subjekt údajů o podané žádosti o poskytnutí jeho osobních údajů třetí osobě předem informovat?“ Ke konkrétním důvodům předložení předběžné otázky lze v podrobnostech odkázat na usnesení NSS ze dne 01.11.2023, č. j. 10 As 102/2023–43.

63. SDEU na předběžné otázky odpověděl rozsudkem ze dne 03.04.2025, ve věci C 710/23, EU:C:2025:231 (dále též „odpověď SDEU“ či „rozsudek SDEU“), a to následujícím způsobem.

64. Na první předloženou otázku odpověděl tak, že čl. 4 body 1 a 2 GDPR musí být vykládán v tom smyslu, že poskytnutí jména, příjmení, podpisu a kontaktních údajů fyzické osoby zastupující právnickou osobu představuje zpracování osobních údajů. Okolnost, že jediným účelem tohoto poskytnutí je umožnit identifikaci fyzické osoby oprávněné jednat jménem této právnické osoby, je v tomto ohledu irelevantní. (pozn. – zvýrazněno městským soudem). V tomto ohledu tedy nedošlo ze strany povinných subjektů ani soudu k pochybení, byly–li údaje o fyzické osobě shledány údaji osobními, byť jsou požadovány v souvislosti s její činností v rámci právnické osoby. Tato žalobcem vznesená námitka tak není důvodná.

65. Na druhou předloženou otázku odpověděl SDEU následovně: Článek 6 odst. 1 písm. c) a e) nařízení 2016/679 ve spojení s článkem 86 tohoto nařízení musí být vykládán v tom smyslu, že nebrání vnitrostátní judikatuře ukládající správci, který je orgánem veřejné moci odpovědným za zajištění souladu mezi přístupem veřejnosti k úředním dokumentům a právem na ochranu osobních údajů, povinnost informovat a konzultovat dotčenou fyzickou osobu před poskytnutím úředních dokumentů obsahujících takové údaje, za předpokladu, že taková povinnost není nesplnitelná nebo nevyžaduje nepřiměřené úsilí, a tudíž neznamená nepřiměřené omezení práva veřejnosti na přístup k těmto dokumentům. (pozn. – zvýrazněno městským soudem)

66. V souvislosti s druhou otázkou SDEU zdůraznil význam čl. 86 GDPR, podtrhující důležitost přístupu veřejnosti k úředním dokumentům. Právo na ochranu osobních údajů totiž není právem absolutním, přístup veřejnosti k úředním dokumentům je zájmem veřejným a v neposlední řadě z judikatury plyne mimo jiné to, že zásada transparentnosti „umožňuje občanům blíže se účastnit rozhodovacího procesu a zaručuje, že správní orgány budou mít ve vztahu k občanům v demokratickém systému větší legitimitu, účinnost a odpovědnost (rozsudek ze dne 22. listopadu 2022, Luxembourg Business Registers, C–37/20 a C–601/20, EU:C:2022:912, bod 60 a citovaná judikatura).“ Z judikatury dále plyne, že členské státy jsou sice oprávněny modifikovat uplatňování pravidel GDPR, ovšem musí se tak dít v mezích stanovených nařízením, modifikace se nesmějí dotýkat jeho obsahu a cílů, a v souladu se zásadou proporcionality je třeba zachovat přiměřenost těchto požadavků.

67. Soudní dvůr dále upřesnil, že vnitrostátní právo, které zahrnuje i judikaturu soudní, může v souladu s odst. 2 a 3 čl. 6 GDPR stanovit další podmínky pro zpracování osobních údajů dle písm. c) a e), tedy veřejnoprávními správci při realizaci jejich zákonných úkolů, mezi které může spadat rovněž informování případně dotčených subjektů údajů (pozn. – zvýrazněno městským soudem). Podotkl ovšem, že „…by absolutní uplatňování uvedené povinnosti mohlo vést k nepřiměřenému omezení práva veřejnosti na přístup k úředním dokumentům. Lze si totiž představit, že z různých důvodů se informování nebo konzultace subjektu údajů mohou ukázat jako nemožné nebo vyžadující nepřiměřené úsilí. V takovém kontextu by poukazování na praktickou nemožnost informovat tento subjekt a konzultovat jej jako důvod pro systematické odmítání jakéhokoli poskytování informací, které se ho týkají, vedlo k tomu, že by byla vyloučena veškerá snaha o zajištění souladu dotčených zájmů, přestože je zajišťování jejich souladu výslovně stanoveno v článku 86 GDPR.“ 68. V poslední části rozsudku NSS ze dne 20.06.2025, č. j. 10 As 102/2023–90, kterým bylo zrušeno první rozhodnutí zdejšího soudu, se Nejvyšší správní soud věnuje obecným závěrům vyplývajícím z těchto zjištění.

69. Předně poukazuje na to, že SDEU ve svém rozsudku neupřesnil žádná kritéria (kvantitativní, kvalitativní, typová či jiná), kdy by konzultace subjektů údajů již vyžadovala „nepřiměřené úsilí“ a kdy se jedná stále ještě o „úsilí přiměřené“. V obecné rovině nicméně SDEU trval na nalezení rozumné rovnováhy mezi právem na ochranu osobních údajů na straně jedné, a zachování transparentnosti veřejné správy a přístupu veřejnosti k informacím veřejného zájmu na straně druhé.

70. Proto NSS připomíná, pro jaké typy údajů rozšířený senát NSS původním rozsudkem ze dne 22.10.2014, č. j. 8 As 55/2012–62 stanovil povinnost informovat subjekt údajů o skutečnosti, že povinný subjekt zvažuje poskytnutí požadované informace, a nabídnout dané třetí straně možnost vyjádřit se. Původně se jednalo o informace týkající se výše platu či odměn poskytovaných na základě pracovněprávního vztahu. NSS zobecňuje, že se typově jednalo o informace veřejnosti nepřístupné, důvěrnější povahy, u kterých by v každém případě docházelo k poměřování práva veřejnosti na informace na straně jedné, a ochrany soukromí dotčených osob na straně druhé. Východiskem posouzení rozšířeného senátu v dané věci bylo, že dle InfZ existují kromě povinného subjektu a žadatele rovněž další osoby, kterých se může poskytnutí vyžádané informace dotknout (v terminologii GDPR tedy subjekty osobních údajů, jejichž osobní údaje mají být zpracovány). S účastenstvím těchto osob nicméně InfZ nepočítal; naopak je výslovně vylučoval. Rozšířený senát přesto v bodě 108 dovodil, že: „z toho mimo jiné plyne i okruh osob, s nimiž povinný subjekt při poskytování informace jedná – je jím především žadatel, což plyne vcelku jednoznačně z celé procesní úpravy poskytování informací, která obecně nepředpokládá, že by v ní figuroval kdokoli jiný než žadatel a povinný subjekt. Ostatní osoby, které by mohly být poskytnutím informace dotčeny (např. osoby, kterých se poskytnutá informace týká a jež by mohly být dotčeny ve svém právu na informační sebeurčení), mají práva plynoucí ze základních zásad činnosti správních orgánů. V daném kontextu se na ně tedy vztahuje především ustanovení § 4 odst. 4 správního řádu, podle něhož správní orgán umožní dotčeným osobám uplatňovat jejich práva a oprávněné zájmy. Z uvedeného ustanovení vyplývá především povinnost povinného subjektu informovat bez zbytečného prodlení tyto osoby, že hodlá poskytnout informace, které se jich mohou dotknout, a právo potenciálně dotčených osob se k tomu vyjádřit. Je pak na povinném subjektu, aby případné vyjádření takových osob reflektoval a vyvodil z něho eventuálně důsledky pro svůj další postup. Komunikace mezi povinným subjektem a dotyčnou osobou má probíhat tak, aby zásadně nebylo ohroženo vyřízení žádosti o poskytnutí informace v zákonem stanovených lhůtách (§ 14 a 15 zákona o svobodném přístupu k informacím).“ (pozn. – zvýrazněno městským soudem).

71. S ohledem na nový legislativní kontext, který přináší GDPR, z toho dle NSS plynou dva důležité závěry.

72. Za prvé, povinnost informovat subjekt údajů na základě § 4 odst. 4 správního řádu zůstává v rovině poskytnutí možnosti vyjádřit se, aby mohl správní orgán/správce osobních údajů o jejich poskytnutí samostatně rozhodnout v rámci své vlastní úvahy v případě, kdy musí provádět vážení jednotlivých dotčených zájmů. Nejedná se nicméně o povinné dotazování se na udělení souhlasu subjektem údajů podle čl. 6 odst. 1 písm. a) GDPR, jak se mylně domníval městský soud“ (pozn. – zvýrazněno městským soudem). Městský soud tedy v prvním rozhodnutí pochybil, když zrušil napadené rozhodnutí proto, že žalovaný aktivně nezjišťoval souhlas dotčených osob s poskytnutím jejich osobních údajů žalobci, a přitom se odvolával na čl. 6 odst. 1 písm. a) GDPR. Tato podmínka není v kontextu InfZ, GDPR, ani judikatury NSS nezbytná. „Absence souhlasu nicméně, jak již bylo osvětleno výše, nezbavuje správce povinnosti samostatně posoudit zákonnost zpracování v podobě poskytnutí osobních údajů třetí straně dle písm. e) anebo c) čl. 6 odst. 1 GDPR. Lapidárně řečeno, správce se nemůže bránit převzetí vlastní odpovědnosti za vlastní rozhodnutí předvídané GDPR poukazem na to, že se mu nepodařilo získat souhlas subjektu údajů. Stejně tak nemůže být v rámci následného soudního přezkumu do získávání souhlasu dle písm. a) de facto nucen, pokud své rozhodnutí založí na autonomním posouzení podmínek písm. c) anebo e) čl. 6 odst. 1 GDPR, ať již s jakýmkoliv věcným závěrem.“ (rozsudek NSS ze dne 20.06.2025, č. j. 10 As 102/2023–90, pozn. zvýrazněno místním soudem).

73. Druhý závěr rozsudku NSS specifikuje, které subjekty je nutno při zpracování údajů podle čl. 6 odst. 1 GDPR informovat. „[P]ovinnost informovat subjekt údajů se týká pouze situací a osob, které by mohly být poskytnutím informace dotčeny (např. osoby, kterých se poskytnutá informace týká a jež by mohly být dotčeny ve svém právu na informační sebeurčení)“. Zde nabývá na významu typ informace a s ní spojená pravděpodobnost zásahu do osobní sféry subjektu údajů. Pokud je předmětem informačního dotazu informace, u které buď není patrné, jak by její zpřístupnění mohlo vůbec zasáhnout do osobní sféry dané fyzické osoby, anebo takový typ informace, u které s pravděpodobností hraničící s jistotou by případné vážení zájmů vyšlo vždy ve prospěch zpřístupnění dané informace, pak nelze mít za to, že by daná třetí osoba mohla být poskytnutím informace, jakkoliv výrazněji dotčena.“ 74. Tím se projednávaný případ odlišuje od judikatury, na kterou městský soud v prvním rozhodnutí odkazoval. U informací, jako jsou platy ve veřejné sféře (č. j. 8 As 55/2012–62), údaje ze smlouvy o závazku veřejné služby mezi dopravcem a státem vyžádané třetí osobou – konkurentem dopravce (č. j. 1 As 189/2014–50, obdobně č. j. 7 As 49/2015–57), či přístup k informacím ze smluv mezi Českými dráhami a třetím subjektem, které údajně obsahovaly obchodní tajemství (č. j. 10 As 227/2018–41), šlo o situace, kdy mohla být práva třetích osob skutečně dotčena. V takových případech je logické, aby si povinný subjekt vyžádal stanovisko těchto potenciálně dotčených třetích osob. Jedná se totiž o informace citlivé a důvěrné, informace osobního charakteru, které mohou zasáhnout soukromí konkrétní fyzické osoby.

75. V nyní projednávané věci jde o to, kdo za danou právnickou osobu jedná a jaké jsou jeho kontaktní údaje (email, telefon), což jsou typově informace, které běžně obchodní společnosti samy sdělují, a to jak dobrovolně, tak v případě unijních obchodních společností i povinně. NSS přirovnává situaci v projednávané věci k § 8a odst. 2, k němuž má být daná věc „soukromoprávní“ paralelou. „Zákonodárce v případě tohoto ustanovení vyšel z pochopitelného předpokladu, že pokud se daná informace týká úřední činnosti či funkčního zařazení daného zaměstnance veřejné správy, pak bude veřejný zájem na zpřístupnění této informace vždy dán. Kdo jedná za určitou obchodní společnost či kdo jejím jménem vystupoval pak vychází z podobné logiky, byť v rovině soukromoprávní, promítnuté do roviny jednání obchodních společností.“ Nejvyšší správní suoud zdůrazňuje, že v dané věci zůstává nejasné, a správní orgány to ve svých rozhodnutích nikterak neosvětlily, jak by tyto požadované informace mohly zasáhnout do osobní sféry dotčených fyzických osob. S tímto závěrem se městský soud ztotožňuje. Povinné subjekty neodůvodnily, v čem konkrétně spočívá tvrzený zásah do práv zástupců právnických osob. To mimo jiné vedlo městský soud k tomu, jak rozhodl.

76. Závěrem v rozsudku ze dne 20.06.2025, č. j. 10 As 102/2023–90, Nejvyšší správní soud poskytuje vodítko k tomu, jak podobné případy posuzovat: „Proto s výjimkou velice specifických případů, kdy by z nějakého důvodu nebylo možné zveřejnit, kdo za danou právnickou osobu běžně jedná či jednal, si nelze představit, že by v podobném typu případů mohl převážit soukromý zájem nad zájmem veřejným v podobě zpřístupnění informace, kdo vydal za danou právnickou osobu certifikát o shodě. Dovození existence podobných důvodů by v každém případě tížilo povinný subjekt, který by musel přesvědčivě a podrobně ve svém odmítavém rozhodnutí vysvětlit, z jakých konkrétních důvodů není možné zpřístupnit informaci o identitě fyzické osoby, která za danou právnickou osobu jednala. Povšechný odkaz na „ochranu osobních údajů“ fyzických osob jednajících jménem osoby právnické je v podobné situaci naprosto nepostačující“ (pozn. – zvýrazněno městským soudem).

77. Městský soud proto pochybil v tom, když v kontextu judikatury NSS automaticky podmínil aplikaci čl. 6 odst. 1 písm. a) GDPR nutností informovat dotčené osoby. Povinný subjekt postupoval v souladu se zákonem a judikaturou v tom smyslu, že souhlas nemá a nemusel jej vyžadovat. Dále městský soud pochybil, když de dle NSS poněkud mechanicky rozšířil vhodnost informovat dotčené osoby na typ informací/osobních údajů, jejichž poskytnutí třetím stranám se samo o sobě nemůže daného subjektu údajů s ohledem na jeho profesní činnost, jakkoliv dotknout. Takto extenzivní výklad není přípustný. b) Odmítnutí poskytnout osobní údaje o fyzických osobách, které jednaly za právnickou osobu vystavující certifikáty a s tím související nepřezkoumatelnost napadeného rozhodnutí 78. Žalobce namítal, že bylo porušeno jeho právo na řádné odůvodnění napadeného rozhodnutí.

79. V intencích rozsudku Nejvyššího správního soudu ze dne 20.06.2025, č. j 10 As 102/2023–90 a odpovědi SDEU na předběžnou otázku, jakož i na základě ustanovení § 110 odst. 4 s.ř.s., dle kterého je městský soud vázán výše vysloveným právním názorem NSS, dospěl soud v této věci k závěru, že tato námitka je důvodná.

80. Při přezkumu rozhodnutí vycházel soud zejména z této úpravy.

81. Podle § 8a odst. 1 InfZ informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje povinný subjekt poskytne jen v souladu s právními předpisy, upravujícími jejich ochranu. V poznámkovém aparátu přitom zákon odkazuje mimo jiné na nařízení GDPR.

82. Podle čl. 4 GDPR pro účely tohoto nařízení se rozumí: „osobními údaji“ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby (odst. 1); „zpracováním“ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení (odst. 2).

83. Podle čl. 6 odst. 1 GDPR zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů; b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů; c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje; d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce; f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě. První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.

84. Právě řešený případ má dvě roviny. Obě spočívají v aplikaci čl. 6 odst. 1 GDPR.

85. Podle písm. a) daného ustanovení se osobní údaje dotčených osob, zde fyzických osob, které jednaly za právnickou osobu, mohou poskytnout, dá–li k tomu tato osoba souhlas. Městský soud pochybil v tom, že svým prvním rozsudkem zavázal povinný subjekt k aktivnímu jednání s dotčenými osobami. Vycházel přitom z judikatury Nejvyššího správního soudu. Ten však v součinnosti s SDEU dospěl k závěru, že dotčené osoby není nutno za všech okolností informovat, či aktivně vyžadovat jejich souhlas. Ve smyslu odpovědi SDEU na předběžnou otázku by se v takovém případě totiž jednalo o povinnost, na kterou by bylo třeba vynaložit nepřiměřené úsilí. Tím by mj. došlo ke zdržení vyřízení žádosti a implicitně k omezení veřejnosti účastnit se věcí veřejných. K tomu lze odkázat na kasační stížnost podanou stěžovatelem, který v ní přímo uvádí, že „…byly anonymizovány osobní údaje osob, které nejsou přítomny na území České republiky, ale jedná se o osoby působící na území Velké Británie a Čínské lidové republiky. Správní orgány nemají k dispozici kontakty na tyto fyzické osoby, požadavek soudu na kontaktování dotčených osob je tak v podstatě nesplnitelný.“ Dle názoru soudu se v nyní projednávané věci jedná přesně o situaci, kterou zmiňuje SDEU – konzultování dotčených osob by představovalo nepřiměřené úsilí, resp. bylo by, s odkazem na vyjádření žalovaného, nesplnitelné. Městský soud tedy v tomto ohledu pochybil a správní orgán postupoval při aplikaci čl. 6 odst. 1 písm. a) správně, když informace s odkazem na absenci souhlasu dotčené osoby neposkytl, přičemž tento souhlas nemusel aktivně získávat.

86. Výše uvedené závěry jsou však aplikovatelné i pro ostatní podmínky poskytnutí informací dle čl. 6 odst. 1 GDPR. Povinné subjekty nemohou s odkazem na to, že se jim nepodařilo získat souhlas či informovat dotčené osoby, rezignovat na svou povinnost ověřit, zda lze informace poskytnout i podle jiného důvodu na základě čl. 6 odst.

1. Požadavek české judikatury o vhodnosti informovat dotčenou osobu, jejíž údaje se zveřejňují, o tomto zveřejnění, sice není v rozporu se smyslem a účelem čl. 6 odst. 1 GDPR, povinné subjekty se však nemohou schovávat za nemožnost konzultovat dané osoby a v důsledku toho neposoudit ostatní podmínky ke zveřejnění informací, v tomto případě zejm. čl. 6 odst. 1 písm. c) a e). Jak vyplývá z právního názoru NSS, kritérium české judikatury spočívající v konzultaci třetích osob není absolutně platné. To vše se umocňuje v situaci, kdy, jak NSS uvádí, je nejasné, jakým konkrétním způsobem by zveřejnění osobních údajů fyzických osob jednajících za právnické osoby ohrozilo jejich soukromí či jiné chráněné zájmy, neboť to správní orgány nijak neodůvodnily. Ani povinný subjekt, ani žalovaný ve svém rozhodnutí neobjasnili, z jakého důvodu nelze informace poskytnout podle ostatních ustanovení čl. 6 odst. 1 GDPR. Oba správní orgány pouze obecně odkázaly konstatovaly, že zde nejsou jiné důvody postupu dle čl. 6 (str. 4, poslední odstavec rozhodnutí ministra o rozkladu, resp. str. 2, předposlední odstavec prvostupňového rozhodnutí).

87. Při posuzování této věci je též třeba brát v úvahu právní názor NSS, dle kterého si lze v podobných případech stěží představit situaci, kdy převáží soukromý zájem nad zájmem veřejným v podobě práva na informace. NSS ovšem připouští, že i takové výjimečné případy mohou nastat. Ovšem nastanou–li, „[d]ovození existence podobných důvodů by v každém případě tížilo povinný subjekt, který by musel přesvědčivě a podrobně ve svém odmítavém rozhodnutí vysvětlit, z jakých konkrétních důvodů není možné zpřístupnit informaci o identitě fyzické osoby, která za danou právnickou osobu jednala.

88. Lze tak částečně shrnout, že povinný subjekt, ani ministr, se ve svých rozhodnutích vůbec nezabývali dalšími podmínkami zpracování osobních údajů, které jsou vyjádřeny v čl. 6 odst. 1 GDPR, obzvláště písm. c) e e). Pouhý odkaz na to, že „…poskytnutí osobních údajů nesplňuje ani další podmínky stanovené čl. 6 odst. 1 GDPR,“ rozhodně pro řádné odůvodnění rozhodnutí nepostačuje. Zvláště měli vysvětlit, jakým způsobem může zveřejnění osobních údajů o fyzických osobách jednajících jménem právnické osoby zasáhnout do soukromí těchto pověřených fyzických osob. To se ovšem v daném případě nestalo. V novém řízení nebude třeba aplikovat požadavek judikatury na konzultaci dotčených osob. Jednak je tento požadavek splnitelný pouze s nasazením nepřiměřeně velkého úsilí, a jednak nejde o jakkoli choulostivou informaci, která by byla způsobilá nepřiměřeně zasáhnout do osobní sféry těchto fyzických osob. Soud dodává, že každý z těchto důvodů obstojí samostatně. Pokud by při svém rozhodování přeci jen žalovaný dospěl k tomu, že jde o informaci choulostivou, neveřejnou, a způsobilou zasáhnout do práv dotčených osob, ani v takovém případě je konzultovat nemusí – tato procedura by představovala nepřiměřené úsilí a omezovala by právo veřejnosti na informace, a proto musí požadavek judikatury ustoupit. To vyplývá z odpovědi SDEU na předběžnou otázku.

89. S tím souvisí i další žalobní námitka spočívající v neprovedení testu proporcionality. V prvním rozhodnutí městský soud shledal, že ministr v daném případě toto pochybení povinného subjektu napravil, když konstatoval, že v daném případě zájem na ochraně osobních údajů převažuje nad právem na informace a že „anonymizací osobních údajů bylo dosaženo cíle žadatele, kterému byly poskytnuty požadované certifikáty, a má informaci o tom, která společnost certifikáty vystavila“ a že v tomto případě „shledal…, že zájem na ochraně osobních údajů převažuje nad právem na informace.“ (str. 4 napadeného rozhodnutí).

90. V kontextu rozsudku NSS ze dne 20.06.2025, č. j. 10 As 102/2023–90, jakož i v kontextu další judikatury (viz níže), je městský soud nucen svůj postoj přehodnotit. Z napadeného rozhodnutí je sice seznatelný náznak provedeného testu proporcionality, ovšem v návaznosti na nové skutečnosti se jeví nedostatečným. Podle názoru Nejvyššího správního soudu je těžko představitelné, že by zveřejnění osobních údajů fyzických osob, které jednaly jménem právnické osoby, bylo způsobilé zasáhnout negativně do právní sféry těchto osob. Správní orgán tak v dalším řízení bude především povinen definovat a jasně odůvodnit, v čem spatřuje možný zásah do práv dotčených osob. Pokud tento zásah bude shledán, může i tak dle NSS jen ve výjimečných případech v podobných věcech převážit zájem na ochranu osobnosti před právem na informace. Případy, kdy bude třeba i přes shledání možného zásahu informace neposkytnout, tak budou vzácné. Pokud žalovaný setrvá na svém stanovisku o částečném odmítnutí informace, bude muset pečlivě zásah do práv dotčených osob poměřit s právem na informace a transparentně objasnit, z jakých důvodů převážil v daném případě zájem na ochraně osobních údajů. To může přezkoumatelným způsobem učinit pouze za řádného použití testu proporcionality. V opačném případě je žalovaný povinen v dalším řízení informace poskytnout.

91. Nutnost provedení testu proporcionality i v případě obligatorních důvodů pro neposkytnutí informace lze vypozorovat z judikatury NSS i z nedávného rozhodnutí zdejšího senátu. V posledně jmenovaném rozhodnutí šlo o utajované informace ve státním zájmu, přesto nebyla shledána jednoznačná povinnost informace odepřít. Odmítnutí poskytnout informace i v případě obligatorních důvodů v InfZ (mezi něž § 8a patří) musí být ve specifických případech založeno na řádně provedeném tříkrokovém testu veřejného zájmu. (rozsudek Městského soudu v Praze ze dne 28.11.2025, č. j. 10 A 1/2023, jakož i rozsudek ze dne 16.12.2024, č. j. 3 As 227/2023). Pokud městský soud podmínil použití testu proporcionality i v případě utajovaných informací, tím spíše musí být použit i v nyní projednávané věci. Jedná se o legitimní a dle soudu nejvhodnější způsob, jak posoudit, zda existuje ona výjimečná situace, kdy převáží zájem na ochraně osobních údajů před právem na informace v případě, kdy samotná žádost o informace nesměřuje směrem ke konkrétní fyzické osobě, nýbrž cílem bylo pouze ověřit jednání právnické osoby.

92. Jak NSS v rozsudku, kterým zrušil první rozhodnutí zdejšího soudu, podotýká, „[d]ovození existence podobných důvodů (tedy převahy ochrany osobnosti nad právem na informace v tomto konkrétním případě – pozn. soudu) by v každém případě tížilo povinný subjekt, který by musel přesvědčivě a podrobně ve svém odmítavém rozhodnutí vysvětlit, z jakých konkrétních důvodů není možné zpřístupnit informaci o identitě fyzické osoby, která za danou právnickou osobu jednala.“ Tento názor je zcela v souladu se základními zásadami správního soudnictví, když z principu subsidiarity správního soudnictví plyne, že „[ř]ízení před správním soudem není pokračováním správního řízení. Soud nepokračuje ve správním řízení v "třetí instanci", nýbrž jen kontroluje, zda je rozhodnutí správního orgánu v souladu s právem a zda správní orgán v souladu s právními předpisy správně zjistil skutkové okolnosti relevantní pro rozhodnutí.“ (KÜHN, Z., KOCOUREK, T. a kol. Soudní řád správní: Komentář. [Systém ASPI]. Wolters Kluwer. ASPI_ID KO150_2002CZ. Dostupné z: www.aspi.cz. ISSN 2336517X.). Není tedy úkolem soudu, aby tyto dva v kolizi stojící zájmy poměřoval. Musí tak učinit správní orgány.

93. Se zohledněním závěrů NSS a SDEU tedy nezbývá než přisvědčit žalobci a napadené rozhodnutí pro nepřezkoumatelnost zrušit. b) Zbylé námitky 94. Úvodem soud předesílá, že zbylé žalobní námitky neshledal, podobně jako tomu bylo v jeho prvním rozsudku ze dne 19.04.2023, č. j. 10 A 125/2020, důvodnými. Proto bude ve zbytku ze svého prvního rozhodnutí vycházet.

95. Na okraj soud podotýká, že oproti prvnímu rozhodnutí shledal důvodnou ještě námitku o neprovedení testu proporcionality. Tento obrat však již soud osvětlil výše (body 89–91 tohoto rozsudku).

96. Žalobce dále namítal, že žalovaný a ministr zdravotnictví při rozhodování o žalobcově žádosti opomněli aplikovat nařízení č. 765/2008.

97. K této žalobcově námitce soud uvádí, že souhlasí s názorem žalovaného, který uvedl ve vyjádření k žalobě, že nařízení č. 765/2008 nebylo při vyřizování žalobcovy žádosti potřeba aplikovat. Nařízení č. 765/2008 upravuje pravidla pro provádění akreditace subjektů posuzování shody, stanovuje rámec dozoru nad trhem a pojednává o problematice označování výrobků značkou CE. Žádným způsobem se nedotýká ochrany osobních údajů ani poskytování informací dle zákona o svobodném přístupu k informacím. K jeho aplikaci tak v projednávaném případě, jehož předmětem bylo právě vyřizování žalobcovy žádosti podané dle zákona o svobodném přístupu k informacím a posuzování možnosti poskytnutí osobních údajů třetích osob a nikoliv posuzování bezpečnosti a nezávadnosti výrobků, proto neexistoval žádný důvod.

98. Tato žalobní námitka není důvodná.

99. Žalobce dále namítal, že žalovaný a ministr zdravotnictví při vyřizování žalobcovy žádosti jednali v rozporu se závěry vyplývajícími z nálezu Ústavního soudu sp. zn. Pl. ÚS 2/10.

100. Soud k této žalobcově námitce především uvádí, že žalobce ve své námitce nespecifikoval, jaké konkrétní závěry vyplývající z uvedeného nálezu žalovaný a ministr zdravotnictví nerespektovali. Soud proto může také pouze ve zcela obecné rovině konstatovat, že se ztotožňuje s argumentací žalovaného uvedenou ve vyjádření k žalobě, že nález Ústavního soudu sp. zn. Pl. ÚS 2/10 se žalobcova případu může dotýkat jen zcela okrajově. Tímto nálezem Ústavní soud zrušil část ustanovení zákona o svobodném přístupu k informacím týkající se poskytování informací o rozhodovací činnosti soudů z toho důvodu, že obsahovalo absolutní paušální zákaz poskytovat na základě žádosti podle tohoto zákona nepravomocné rozsudky.

101. Žalobci však nebylo odmítnuto poskytnutí osobních údajů fyzických osob, které požadoval s paušálním odkazem na příslušné ustanovení zákona o svobodném přístupu k informacím (§ 8a), které ani takový paušální zákaz nestanovuje. Tyto údaje nebyly žalobci poskytnuty proto, že žalovaný i ministr zdravotnictví dospěli k závěru, že tyto údaje nelze žalobci poskytnout, neboť není splněna žádná z podmínek stanovených v čl. 6 odst. 1 GDPR, kterými se jejich poskytování řídí. Takový postup, jak vyplývá z bodu 58 nálezu, sp. zn. Pl. ÚS 2/10 Ústavní soud protiústavním neshledal.

102. Tato žalobní námitka rovněž není důvodná.

103. Žalobce dále namítal, že byla porušena jeho práva, včetně práva na spravedlivý proces, neboť mu nebylo umožněno seznámit se podklady pro vydání rozhodnutí.

104. Soud ze žalovaným předloženého správního spisu ověřil, že jediným podkladem pro vydání prvostupňového i napadeného rozhodnutí byly kromě žalobcových podání, s kterými byl nepochybně seznámen, pouze listiny uvedené v bodě 44 tohoto rozsudku (prohlášení o shodě, osvědčení o notifikaci a certifikáty systému managementu kvality).

105. Z takového stavu věcí podle názoru soudu nebylo namístě, aby žalovaný před vydáním prvostupňového rozhodnutí žalobce vyzýval k seznámení se s poklady pro vydání rozhodnutí podle § 36 odst. 3 správního řádu. Proto, jak správně uvedl ve svém vyjádření žalovaný, by totiž seznamování účastníků řízení s takovým podkladem pro rozhodnutí zcela popřelo smysl právní úpravy práva na informace, neboť aplikace takovéhoto procesního postupu by znamenala, že žalobce by se požadovanými informacemi (osobními údaji třetích osob) mohl seznámit dříve, než by bylo žalovaným rozhodnuto, zda mu takové informace vůbec mohou být poskytnuty (srov. rozsudek Krajského soudu v Ostravě ze dne 20. 2. 2014, č. j. 22 A 225/2011 – 50).

106. Soud v této souvislosti pro úplnost podotýká, že souhlasí s žalovaným, že podkladem pro vydání rozhodnutí, k němuž by svědčilo žalobci právo se vyjádřit, skutečně není návrh rozkladové komise, neboť se o návrh, který ze shromážděných podkladů při skutkovém hodnocení i právním posouzení případu vychází. To platí i v případě, že se jedná o návrh dle stávající právní úpravy správního řízení, tedy podle § 152 odst. 3 správního řádu (srov. rozsudky Nejvyššího správního soudu ze dne 11. 8. 2015, č. j. 6 As 159/2014–52, bod 38, Nejvyššího správního soudu ze dne 22. 10. 2019, č. j. 6 Afs 273/2018–123, bod 72).

107. Ani tato žalobní námitka není důvodná.

VII. Závěr a rozhodnutí o nákladech řízení

108. Žalobce v podané žalobě především brojil proti závěru správních orgánů, které odmítly žalobci poskytnout část jím požadovaných informací v podobě jména, příjmení a podpisu osob, které vystavily listiny (prohlášení o shodě, osvědčení o notifikaci a certifikáty systému managementu kvality), jež byly žalobci poskytnuty na základě jeho žádosti dle zákona o svobodném přístupu k informacím. Jako odůvodnění povinné subjekty uvedly, že se jedná o osobní údaje těchto osob a pro jejich poskytnutí není splněna žádná z podmínek stanovených v čl. 6 odst. 1 GDPR. Soud o příslušné věci rozhodoval podruhé. V prvním rozhodnutí dospěl k závěru, že se správní orgány při rozhodování o odepření poskytnutí těchto údajů dopustily procesního pochybení, které mohlo mít vliv na zákonnost jejich rozhodnutí. Před vydáním rozhodnutí o částečném odmítnutí žádosti totiž vůbec nejednaly s kteroukoliv z osob, jejichž osobní údaje odmítly žalobci poskytnout a nepřiznaly jim postavení účastníků řízení podle § 27 odst. 2 správního řádu. Proti tomuto rozhodnutí byla podána žalovaným kasační stížnost, kterou NSS shledal důvodnou. Na základě předběžné otázky položené Soudnímu dvoru Evropské Unie dospěl k závěru, že judikaturní požadavek českého práva o konzultaci dotčených osob, jejichž údaje se mají zveřejnit, je sice přípustnou, ale nikoli nutnou podmínkou. Její nedodržení nezpůsobuje nezákonnost rozhodnutí. Při následném řízení vzal městský soud v potaz závěry, k nimž NSS, jakož i SDEU, dospěly. V případě žádosti o informace, která se týká právnické osoby a jejímž cílem je pouze ověřit, zda za právnickou osobu jednala fyzická osoba, se sice jedná o osobní údaje této fyzické osoby, zároveň je ale těžko představitelný jakýkoli zásah do jejích práv. Takové výjimečné situace sice mohou nastat, ovšem nastanou–li, povinný subjekt musí v odmítavém rozhodnutí řádně odůvodnit, proč v konkrétním případě převážil zájem na ochranu osobnosti před právem na informace. Bude–li potřeba tyto dva zájmy poměřovat, městský soud dospěl k závěru, že je nezbytné provést plnohodnotný test proporcionality.

109. V dalším řízení bude žalovaný zavázán právním názorem vyjádřeným v tomto rozsudku. Bude vycházet zejména z toho, že v tomto konkrétním případě není jeho povinností vyžadovat souhlas dotčených osob v kontextu čl. 6 odst. 1 písm. a) GDPR. Je postaveno najisto, že takový souhlas nemá a poskytnout osobní údaje na základě tohoto ustanovení skutečně není možné. To ale nevylučuje povinnost žalovaného, potažmo povinného subjektu, prověřit a řádně odůvodnit, zda není vhodné osobní údaje zveřejnit podle ustanovení písm. b) – f) čl. 6 odst. 1 GDPR, s důrazem na písm. c) a e). Žalovaný a povinný subjekt jsou povinni definovat, v čem přesně spočívá jimi tvrzený zásah do osobnostních práv fyzických osob. Pokud se toto podaří a žalovaný a povinný subjekt setrvají na svém názoru osobní údaje nezveřejnit, nelze automaticky učinit závěr o neposkytnutí informací. Následně bude třeba dva v kolizi stojící zájmy porovnat v řádně provedeném tříkrokovém testu proporcionality a přezkoumatelně uvést, proč ochrana osobnosti převážila nad právem na informace. Pouhý odkaz na zákonná ustanovení nestačí. Soud dodává, že konzultovat dotčené osoby, jichž se požadované informace týkají, opět v tomto případě není na místě, a to s odkazem na v tomto rozsudku uvedenou judikaturu NSS, jakož i odpověď SDEU. Nesplní–li správní orgány tyto požadavky, bude třeba informace poskytnout.

110. Další žalobcem uplatněné námitky soud důvodnými neshledal.

111. Z výše uvedených důvodů shledal soud naplnění podmínek pro zrušení napadeného rozhodnutí pro nepřezkoumatelnost pro nedostatek důvodů, a to podle § 76 odst. 1 písm. a) s. ř. s., a to bez jednání, přičemž podle § 78 odst. 4 s. ř. s. věc vrátil žalovanému k dalšímu řízení.

112. Soud rovněž podotýká, že nepřistoupil k postupu dle § 16 odst. 5 InfZ, tedy ke zrušení rozhodnutí správních orgánů obou stupňů a nařízení povinnému subjektu požadovanou informaci poskytnout. Jak vyplývá z rozsudku Nejvyššího správního soudu ze dne 24. 3. 2010, č. j. 1 As 8/2010–65, tento postup přichází zásadně v úvahu tehdy, je–li rozhodnutí o odepření informace přezkoumatelné. Výjimkou budou jen ty situace, kdy by správní orgán svévolně vydával nepřezkoumatelná rozhodnutí o odmítnutí žádosti s cílem vyhnout se aplikaci § 16 odst. 5 InfZ. Tytéž závěry obsahuje rovněž rozsudek sp. zn. A 2/2003–73, a dále rozsudky Nejvyššího správního soudu ze dne 28. 8. 2013, č. j. 1 As 73/2013–36, ze dne 28. 3. 2014, č. j. 5 As 75/2013–33, ze dne 2. 5. 2012, č. j. 1 As 42/2012–31, a ze dne 17. 2. 2011, č. j. 1 As 105/2010–73. Soud neshledal, že by rozhodnutí žalovaného bylo svévolné.

113. Výrok o nákladech řízení je odůvodněn ustanovením § 60 odst. 1 s. ř. s., dle nějž má právo na náhradu důvodně vynaložených nákladů ten účastník, který měl ve věci úspěch. V nyní projednávané věci byl plně úspěšný žalobce. Soud při jednání vyzval žalobce, aby specifikoval náklady řízení přesahující soudní poplatek, v soudem stanovené lhůtě 3 dbů, tak neučinil. Jeho náklady tvoří zaplacený soudní poplatek za podání žaloby ve výši 3 000 Kč, neboť v řízení nebyl žalobce zastoupen a soud z obsahu spisu nezjistil, že by žalobci vznikly jiné náklady řízení než uhrazený soudní poplatek. Soud nemohl žalobci jako nezastoupenému účastníkovi přiznat náhradu nákladů řízení stanovenou paušální částkou podle vyhlášky č. 254/2015 Sb., o stanovení výše paušální náhrady pro účely rozhodování o náhradě nákladů řízení v případech podle § 151 odst. 3 občanského soudního řádu a podle § 89a exekučního řádu, neboť musí vycházet z nákladů, jejichž vynaložení účastník soudu prokáže (§ 57 odst. 1 s. ř. s.). Použití § 151 odst. 3 o. s. ř. je totiž v řízení podle soudního řádu správního vyloučeno a stejně tak nejsou na toto řízení přenositelné důvody nálezu pléna Ústavního soudu ze dne 7. 10. 2014, sp. zn. Pl. ÚS 39/13 (srov. rozsudek Nejvyššího správního soudu ze dne 25. 8. 2015, č. j. 6 As 135/2015–79).