18 A 23/2024 – 56

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedy Martina Lachmanna a soudců Jana Ferfeckého a Martina Bobáka ve věci žalobce: Y. K. bytem X zastoupený advokátem JUDr. Milanem Štembergem sídlem Cyrila Boudy 1444, 272 01 Kladno proti žalovanému: Vrchní státní zastupitelství v Praze sídlem nám. Hrdinů 1300/11, 140 65 Praha 4 o žalobě proti rozhodnutí žalovaného ze dne 15. 2. 2024, č. j. 9 SPR 162/2023–25 takto:

Výrok

I. Rozhodnutí žalovaného ze dne 15. 2. 2024, č. j. 9 SPR 162/2023–25, se ruší a věc se vrací žalovanému k dalšímu řízení.

II. Žalovaný je povinen zaplatit žalobci na náhradě nákladů řízení částku 15 342 Kč, a to do jednoho měsíce od právní moci tohoto rozsudku k rukám zástupce žalobce.

Odůvodnění

I. Vymezení věci

1. Žalobce se na žalovaného obrátil se žádostí z 8. 12. 2023, doplněnou (upřesněnou) dne 5. 1. 2024, jíž se s odkazem na čl. 14 směrnice 2016/680[1] a § 28 odst. 1 zákona č. 110/2019 Sb., o zpracování osobních údajů (ZOÚ), domáhal sdělení informace o všech zpracováních svých osobních údajů, ke kterým došlo či dochází u Policie ČR od 8. 7. 2017 do 5. 1. 2024, pokud se tak stalo či děje na základě souhlasu, svolení, pokynu či podnětu žalovaného.

2. Na tuto žádost reagoval žalovaný sdělením o nevyhovění žádosti, specifikovaným v záhlaví tohoto rozsudku (napadené rozhodnutí). Nevyhovění žádosti žalovaný odůvodnil § 28 odst. 2 písm. a) ZOÚ, neboť žádost svým zaměřením jako celek spadá do kategorie žádostí, u nichž by vyhovění mohlo ohrozit plnění úkolů v oblasti předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. Tak je tomu bez ohledu na skutečnost, zda žalovaný osobní údaje žalobce zpracovává, zpracovával v minulosti či vůbec nezpracovával.

II. Žaloba

3. Žalobce vychází z toho, že se o něj od léta 2017 zajímají policejní orgány různých zemí, přičemž má za to, že jeho osobní údaje musely být předmětem zpracování i Policie ČR a v důsledku toho i orgány státních zastupitelství. Žalobce je přesvědčen, že byl v období od 8. 7. 2017 do 2. 8. 2017 českou policií na českém území sledován a následně přeshraničně sledován/pronásledován do cizího státu. Právě informace o zpracování s tím souvisejících osobních údajů mu měl žalovaný poskytnout. Žalobce vznesl celkem čtyři námitkové okruhy.

4. V prvé řadě namítal, že napadené rozhodnutí je formulováno mimořádně vyhýbavě a neurčitě. Žalobce rozumí tomu, že právní úprava v jistých případech správci osobních údajů umožňuje na dotaz subjektu údajů reagovat způsobem, ze kterého nelze zjistit ani to, zda jsou osobní údaje zpracovávány, či nikoliv; jedná se nicméně o výjimku, a výjimky ve prospěch veřejné moci je třeba vždy vykládat restriktivně a s ohledem na účel daného ustanovení. V posuzované věci je smyslem této zákonné výjimky nepochybně ochrana účelu trestního řízení. Zde se nicméně jedná o úkony trestního řízení z roku 2017, a tedy jejich „vyzrazení“ v roce 2024 jistě nemůže nijak ohrozit jejich účel. Postup žalovaného tudíž nebyl přiměřený.

5. Žalovaný nadto podle něj (druhý žalobní bod) postupoval v rozporu s čl. 14 směrnice 2016/680, jakož i § 28 odst. 1 ZOÚ, které hovoří o povinnosti informovat subjekt údajů pravdivě a úplně, zda jsou či nejsou jeho osobní údaje zpracovávány, případně za jakým účelem. Této povinnosti není správce osobních údajů povinen dostát jen v případech specifikovaných v § 28 odst. 2 ZOÚ, kterých se nicméně ani jeden ze žalovaných v napadeném rozhodnutí nedovolává (pozn. žalobce hovoří o žalovaném někdy v jednotném, někdy v množném čísle; viz též dále). Proto se tyto výluky nyní neuplatní. Žalobce dále zdůraznil, že ve Velké Británii i v Belgii jsou vedeny jeho osobní údaje (tj. byl k tíži žalobce zaveden záznam o sledování), jehož původ je v České republice. Žalovaní tak musí (museli) zpracovávat osobní údaje žalobce, a tudíž porušili svou povinnost žalobce o této skutečnosti informovat (resp. jej informovali zcela nedostatečně). K tomu doplnil, že v souladu s manuálem Rady Evropské unie o přeshraničních operacích z 11. 9. 2017 je příslušným orgánem pro předmětné zpracování a sdílení informací týkajících se přeshraničních operací Policejní prezidium. Všechny úkony ve věci vyžadují buď předchozí souhlas státního zastupitelství, anebo soudu na návrh státního zastupitelství. S ohledem na skutečnost, že všechny události se staly v Praze a Policejní prezidium sídlí v Praze, je jednoznačné, že jeden ze žalovaných se musel věci účastnit a mít o ní informace.

6. Za třetí žalobce zdůraznil, že žalovaný je správcem osobních údajů, jež zadává do Centrální evidence stíhaných osob (CESO) a zároveň povoluje či navrhuje provádění opatření v trestním řízení. Tíží jej tak i povinnost dle čl. 15 odst. 1 GDPR[2], které nedostál.

7. Čtvrtý žalobní bod se pak týkal otázky možného obrácení důkazního břemene tak, aby důkazní povinnost tížila žalované. Pokud totiž žalobce ví a prokazuje, že byl sledován a že tedy byly jeho osobní údaje zpracovávány, tyto pochybnosti by měly být žalovaným rozptýleny. V opačném případě by byl žalobce ve skutečnosti nucen prokázat zpracovávání svých osobních údajů, aby od žalovaného získal doklad o zpracovávání těchto údajů – namísto toho, aby bylo důkazní břemeno rozloženo mezi strany rovnoměrně. K tomu žalobce odkázal na judikaturu Ústavního soudu a Evropského soudu pro lidská práva k otázce rovnosti zbraní.

8. Žalobce navrhl zrušení napadeného rozhodnutí.

III. Vyjádření žalovaného

9. Žalovaný odkázal na odůvodnění napadeného rozhodnutí. Dále předeslal, že námitky do značné míry směřují vůči relevantní právní úpravě, která i dle slov samotného žalobce v jistých případech správci osobních údajů umožňuje reagovat tak, jak učinil žalovaný. Nyní posuzovaná žádost představuje až „učebnicový“ případ, kdy je namístě takový postup užít. Státní zastupitelství (žalovaný) je nezastupitelným orgánem, který se zásadním způsobem podílí na vyhledávání, odhalování, vyšetřování a stíhání trestné činnosti. Důsledná ochrana zásadně neveřejné činnosti státního zastupitelství (resp. informací o této činnosti) je tedy nutným předpokladem pro to, aby žalovaný mohl řádně plnit své úkoly svěřené mu zákonem, mj. účinně působit proti trestné činnosti, vč. organizovaných zločineckých skupin, vykazujících značnou míru dlouhodobého, sofistikovaného a plánovaného jednání s cílem zabránit odhalení, resp. řádnému vyšetřování.

10. Relevantní právní úpravu dopadající na zpracovávání osobních údajů orgány činnými v trestním řízení označil žalovaný za racionální, její účel je souladný se základními principy činnosti těchto orgánů a nepředstavuje žádnou „výjimku ve prospěch veřejné moci“, neboť je naopak nezbytným předpokladem k tomu, aby tyto orgány mohly v demokratickém právním státu plnit své zákonem vymezené úkoly. Z žaloby navíc vyplývá, že v dané věci nemá jít jen o činnost českých orgánů, ale též o ochranu mezinárodní justiční spolupráce a plnění mezinárodních závazků České republiky. Za takové situace lze tedy jen stěží aplikovat „zásadu přiměřenosti“ způsobem, který nastiňuje žalobce, a sdělit mu „alespoň nějaké informace“. I tím by totiž docházelo k průlomům do zásady neveřejnosti činnosti orgánů činných v trestním řízení. Nelze uvést konkrétní odpověď, ale ani věcně komentovat (potvrzovat či vyvracet) jím uváděné skutečnosti, popřípadě to, zda vyzrazení úkonů trestního řízení z roku 2017 může či nemůže v současné době ohrozit účel trestního řízení.

11. K námitkám poukazujícím na nedodržení povinnosti dle čl. 14 směrnice č. 2016/680 a § 28 odst. 1 ZOÚ žalovaný poukázal na nesrozumitelnost žalobní argumentace – jednak proto, že ve věci je jen jeden žalovaný subjekt, který navíc opřel rozhodovací důvod právě o žadatelem citované ustanovení (tedy o § 28 odst. 2 ZOÚ) a žádosti nevyhověl ani zčásti. Daná pasáž zřejmě v žalobě „zbyla“ z jiné žaloby, patrně vedené pod sp. zn. 3 A 96/2021.

12. Žalovaný odmítl i nedodržení povinnosti podle čl. 15 odst. 1 GDPR. Jak již žalobci dříve vysvětlil v právě citované věci zdejší soud i NSS (rozsudek z 9. 11. 2023, č. j. 3 As 288/2022 – 37), GDPR se na předmětnou materii nepoužije.

13. Argumentací ohledně rozložení důkazního břemene se pak žalobce snaží ve spojení s námitkami domáhajícími se přiměřeného postupu žalovaného získat „alespoň nějakých informací“. Žalovaného ovšem nemůže tížit důkazní břemeno ohledně požadavku na potvrzení či vyvrácení předpokladů zpracování osobních údajů, neboť i touto formou by byly takové informace fakticky poskytovány. K rozdělení důkazního břemene v soudním řízení, potažmo požadavku na rovnost zbraní, se ostatně již také v uvedeném rozsudku vyjádřil NSS. Žalobcem citovaná judikatura se nadto vůbec netýká režimu soudního řádu správního, tím méně materie zpracovávání osobních údajů ze strany orgánů činných v trestním řízení.

IV. Replika žalobce

14. Žalobce ve své replice předeslal, že argumentace ochranou veřejného zájmu neodůvodňuje plné odepření práv žalobce. Z postoje žalovaného je zřejmé, že s právními nástroji, které žalobci přiznává právní řád, systémově nesouhlasí; nadto si jen vypůjčuje odůvodnění z jiných nesouvisejících věcí. Podle žalobce nebyl veřejný zájem dostatečně konkretizován a prokázán, vyloučení jakýchkoliv informací neodpovídá ani požadavkům čl. 13 odst. 3 směrnice 2016/680. Žádost měla být posouzena individuálně.

15. Účinná vymahatelnost práva není a priori v rozporu se zájmem na transparentnosti nakládání s osobními údaji, naopak unijní i ústavní právní rámec transparentnost předpokládá, což žalobce doprovodil hojnou citací judikatury. Žalovaný měl prokázat příčinnou souvislost mezi zveřejněním a konkrétním poškozením cílů vymáhání práva, tím spíše pokud situace žalobce trvá od r. 2017. Žalobce poukázal i na to, že čl. 15 odst. 3 směrnice předpokládá i nepřímý přístup prostřednictvím orgánu dozoru, což žalovaný nijak nezvážil; odmítl též postupovat dle § 14 odst. 5 písm. d) zákona č. 106/1999 Sb. Plošné odmítnutí jakéhokoliv informování neodpovídá požadavku proporcionality, požadavku na řádné odůvodnění a ani liteře a duchu zákona a příslušné směrnice. Žalovaný zneužívá závazků mezinárodní spolupráce; svým postupem znemožňuje účinnou soudní kontrolu a možnost nápravy chybných postupů orgánů činných v trestním řízení.

V. Posouzení věci Městským soudem v Praze

16. Městský soud v Praze ověřil, že žaloba byla podána včas, osobou k tomu oprávněnou, a jedná se o žalobu přípustnou, splňující nezbytné formální náležitosti. Pro úplnost dodává, že písemná informace o vyřízení žádosti o přístup k osobním údajům poskytnutá podle § 30 odst. 4 ZOÚ, je rozhodnutím ve smyslu § 65 odst. 1 s. ř. s. Právní řád rovněž neupravuje řádné opravné prostředky ve smyslu § 5 ve spojení s § 68 písm. a) s. ř. s. (rozsudek NSS z 18. 11. 2020, č. j. 4 Azs 246/2020 – 27, č. 4113/2021 Sb. NSS).

17. Napadené rozhodnutí soud přezkoumal na základě skutkového a právního stavu v době jeho vydání a v mezích uplatněných žalobních bodů (§ 75 odst. 1 a 2 s. ř. s.), jakož i z pohledu vad, k nimž je povinen přihlížet z úřední povinnosti. Dospěl k závěru, že žaloba je důvodná.

18. Soud rozhodl v souladu s § 51 odst. 1 s. ř. s. mimo ústní jednání, účastníci řízení s takovým postupem výslovně souhlasili; byly ostatně splněny i podmínky pro postup dle § 76 odst. 1 s. ř. s. Soud neshledal ani potřebu provádět dokazování, skutkové okolnosti věci byly mezi stranami nesporné, vlastní žádost a napadené rozhodnutí měl soud k dispozici stejně jako obě strany. Ke zbývajícímu obsahu předloženého spisového materiálu, který byl na žádost žalovaného vyloučen z nahlížení, soud přistupoval s vědomím, že nahrazuje případné námitky žalobce (v podrobnostech viz dále).

19. Tento spor souvisí se snahou žalobce domoci se po policejních orgánech, potažmo orgánech činných v trestním řízení, informací o tom, zda byl v České republice v roce 2017 sledován a zda byla případná s tím spojená zjištění předána do Velké Británie, potažmo Belgie, a o jaká zjištění šlo. Zjevně se tedy jedná o případné zpracování osobních údajů za účelem prevence, vyšetřování, odhalování či stíhání trestných činů ve smyslu směrnice 2016/680. Ve vnitrostátním právu byla směrnice promítnuta do ZOÚ, konkrétně úpravou obsaženou v jeho hlavě III. Ačkoli si zákon z legislativně technických důvodů vypůjčuje (prostřednictvím odkazu) i některé definice z nařízení GDPR, je v ostatním právní úprava obsažená v hlavě III zcela samostatná.

20. ZOÚ zakládá právo fyzické osoby (jako subjektu, jehož osobní údaje mohou být v souvislosti s prevencí, vyšetřováním, odhalováním či stíháním trestných činů zpracovávány) požádat o sdělení, zda spravující orgán zpracovává její osobní údaje a pokud ano, o jejich předání a sdělení dalších doprovodných informací, jako jsou např. účel zpracování, právní titul ke zpracování, zdroj údajů (§ 28). Dále existuje právo fyzické osoby požádat o opravu nebo doplnění jejích osobních údajů či o jejich výmaz (§ 29). Uvedené žádosti vyřizuje spravující orgán postupem dle § 30 téhož zákona, tedy písemnou odůvodněnou informací poskytnutou v zákonné lhůtě šedesáti dnů.

21. Správní soudy se věcmi žalobce zabývaly již několikrát. Pro širší kontext lze odkázat například na shrnutí případu ze strany Ústavního soudu (usnesení z 13. 3. 2024, sp. zn. IV. ÚS 134/24). Žalobce nejprve v r. 2020 podal ve věci sledování trestní oznámení, později se různými způsoby snažil zjistit, zda Policie ČR nezpracovává v souvislosti s domnělým sledováním jeho osobní údaje. Obrátil se na Policejní prezidium, snažil se již získat informace i o případném zpracování žalobcových osobních údajů policií z CESO (vůči Nejvyššímu státnímu zastupitelství).

22. Žádostí vůči Policejnímu prezidiu se zdejší soud zabýval v rozsudku z 25. 10. 2022, č. j. 3 A 96/2021 – 88. V něm popsal, že Policie ČR žalobci sdělila, že eviduje osobní údaje v souvislosti s podáním oznámení žalobce, které se týkalo nebezpečného pronásledování, a v souvislosti s jeho dalšími žádostmi; žádné další údaje o žalobci nejsou zpracovávány. Soud následně zkoumal i předložené listinné důkazy, vč. sdělení Úřadu komisaře pro informace či e–mailovou komunikaci o změnách a průběhu právního zastoupení žalobce v Belgii. Soud uzavřel, že z provedených důkazů nevyplývá, že by měly být zahraničními organizacemi či státními orgány zpracovávány osobní údaje žalobce, současně ze spisového materiálu ani z předložených důkazů předložených žalobcem nevyplývá, že by mělo docházet ke sledování či pronásledování žalobce dle čl. 40 a násl. Úmluvy k provedení Schengenské dohody ze dne 14. 6. 1985 či jiných právních předpisů. Soud uzavřel, že nic nenasvědčuje tomu, že by Policejní prezidium některé informace zatajilo či úmyslně neposkytlo. Tyto závěry potvrdil i NSS, jenž svým rozsudkem z 9. 11. 2023, č. j. 3 As 288/2022 – 37, zamítl kasační stížnost žalobce, a konečně se jimi zabýval ve výše citovaném usnesení i Ústavní soud.

23. Pokud jde o evidenci CESO, žalobce se obrátil na Nejvyšší státní zastupitelství, jakožto správce této evidence podle § 12i odst. 3 zákona č. 283/1993 Sb., o státním zastupitelství, ve znění pozdějších předpisů (zákon o státním zastupitelství). Následně se obrátil na Krajský soud v Brně, který jeho žalobu zamítl rozsudkem z 7. 9. 2022, č. j. 31 A 118/2021 – 61. Zdůraznil, že CESO je neveřejnou databází, do které dle § 12 odst. 4 zákona o státním zastupitelství mají přístup pouze taxativně vyjmenované subjekty. Z tohoto důvodu netíží žalovaného povinnost vyhovět žádosti žalobce a sdělit mu jím požadované osobní údaje. Nadto se na jeho žádost neuplatní GDPR, použila by se toliko úprava v ZOÚ (implementující směrnici č. 2016/680), nicméně žádosti nebylo možné vyhovět již jen na základě zákona o státním zastupitelství. I zde již kasační stížnost žalobce zamítl NSS. Ten upřesnil, že povinnost poskytnout informace netížila Nejvyšší státní zastupitelství již z toho důvodu, že to osobní údaje specifikované žalobcem vůbec nezpracovává. V CESO jsou evidovány „toliko“ údaje ze spisů vedených soudy a státními zastupitelstvími, nikoli vedených policií. Žalobce měl kromě toho zaměňovat pojmy správce a spravující orgán. Skutečnost, že žalovaný je správcem CESO a zabezpečuje provoz tohoto systému, neznamená, že je zároveň spravujícím orgánem zavázaným plnit povinnosti plynoucí z § 28 ZOÚ. Tím by žalovaný byl toliko ve vztahu k osobním údajům vkládaným a spravovaným jím samotným. Ve vztahu k takovým případným osobním údajům vystupují v postavení spravujícího orgánu státní zastupitelství, jež údaje do CESO vkládají (rozsudek NSS z 25. 10. 2023, č. j. 6 As 227/2022 – 43).

24. Patrně v návaznosti na tyto závěry se žalobce obrátil i na jednotlivá v Praze sídlící státní zastupitelství, vč. žalovaného (proto nejspíše ono pluralitní označování žalovaného), a proti jejich závěrům brojil žalobami podanými u zdejšího soudu (mimo nynější věci např. žaloba proti Obvodnímu státnímu zastupitelství pro Prahu 1, vedená pod sp. zn. 17 A 65/2024, a další, v nichž obvodní státní zastupitelství žalobci sdělila, že jeho osobní údaje nezpracovávají, popřípadě jen v souvislosti s vlastní žádostí). V návaznosti na to je vhodné podotknout, že žalobce zjevně žádá o sdělení všechny v úvahu přicházející orgány spíše, než aby měl konkrétní podezření o zpracování svých osobních údajů. To ovšem dotázané orgány nezbavuje povinnosti na dotaz žadatele (žalobce) reagovat v souladu s § 28 a násl. ZOÚ.

25. Nynější žalovaný žalobce v napadeném rozhodnutí upozornil na § 28 odst. 2 a 3 ZOÚ s tím, že spravující orgán může v odůvodněných případech informovat žadatele shodně jako ty, jejichž osobní údaje nezpracovává, ač taková odpověď nemusí odpovídat objektivní realitě. Žalobce se přitom dle žalovaného nedomáhá obecného zjištění (potvrzení), zda vůbec a v kladném případě jaké údaje jsou o něm žalovaným zpracovávány, nýbrž se cíleně domáhá sdělení jen těch údajů, které jsou dle jeho přesvědčení evidované v CESO v souvislosti s presumovaným postupem žalovaného ve vztahu k postupu policejního orgánu. Do CESO se ovšem v souladu s § 12i odst. 3 zákona o státním zastupitelství vkládají údaje právě za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky, veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. Evidence CESO je neveřejná, přístup do ní mají státní zastupitelství pouze pro potřeby výkonu své působnosti, ostatní orgány činné v trestním řízení pak pouze pro účely trestního řízení. Zaměření žádosti na sdělení osobních údajů zpracovávaných v souvislosti se specifickými úkony jako sledování, pronásledování, použití agenta, zpravodajské techniky či odposlechu a další v celém vymezeném rozsahu spadá do kategorie osobních údajů zpracovávaných za účelem podle § 28 odst. 2 písm. a) ZOÚ. Takto zaměřené žádosti zákon neumožňuje ani zčásti vyhovět; nelze ani konkretizovat možný právní důvod, pro který by měly být takové osobní údaje zpracovány, resp. zadávány do CESO. Jakákoli konkretizace právního důvodu by totiž byla způsobilá žadateli napovědět, zda mohly být jeho osobní údaje zpracovávány. Žalovaný konečně též zdůraznil, že není oprávněn k vyřízení té části žádosti, která se vztahuje k Policii ČR, neboť není spravujícím orgánem osobních údajů žadatele zpracovávaných policií.

26. Soud prozatím mohl (kromě základního východiska o omezení informování subjektů údajů v případech stanovených zákonem, viz dále) aprobovat jen posledně uvedený závěr, týkající se údajů Policie ČR. Ten vychází z toho, že se žalobce svou žádostí z 8. 12. 2023 tázal primárně na údaje zpracovávané policií. V tomto směru již ovšem NSS vysvětlil, že ty se v CESO neevidují. Žalovaný nemůže logicky ani jinak podávat informace o zpracování údajů zcela jiným orgánem – v této části tak nemůže být o zákonnosti reakce žalovaného pochyb.

27. Žalobce však současně svou žádost podával vůči žalovanému v postavení správce osobních údajů zpracovávaných v průběhu trestního řízení a zadávaných do evidence CESO, a to v návaznosti na jeho aktivitu/ingerenci – konkrétně se jednalo o informace o všech osobních údajích žalobce a všech případech jejich zpracování, k nimž došlo u Policie ČR, pokud se tak dělo na základě souhlasu, svolení, pokynu či podnětu žalovaného v období 8. 7. 2017 – 2. 8. 2017. Podáním z 5. 1. 2024 pak upřesnil označení spravujícího orgánu (žalovaného).

28. Má–li jít o zpracování údajů ze strany žalovaného, ten by optikou citovaných závěrů šestého senátu NSS potenciálně mohl vystupovat v postavení spravujícího orgánu, jenž údaje žalobce spravuje, resp. zpracovává, popřípadě tak činil v minulosti. V souladu s § 28 odst. 1 ZOÚ tudíž byl obecně povinen žalobce o případném zpracování jeho osobních údajů informovat a sdělit mu v daném ustanovení předpokládané skutečnosti. To žalovaný ani nezpochybňoval, odvolal se však na výjimku stanovenou v § 28 odst. 2 ZOÚ (v tomto ohledu tvrzení žalobce, podle nichž se daného ustanovení žalovaný nedovolává, vyznívají nesmyslně, patrně v žalobě skutečně zůstala nedopatřením prostým překopírováním z jiných podání).

29. V souladu s uvedenou výjimkou spravující orgán žádosti subjektu údajů nevyhoví, popřípadě vyhoví pouze částečně, pokud by vyhověním došlo k ohrožení mj. plnění úkolů v oblasti předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. Třetí odstavec pak stanoví, že pokud by vyhověním žádosti nebo sdělením o nevyhovění žádosti, včetně odůvodnění, došlo k ohrožení uvedených zájmů, spravující orgán informuje subjekt údajů stejně jako ty žadatele, jejichž osobní údaje nezpracovává.

30. Citovaná úprava poskytování informací má svůj předobraz v čl. 14 směrnice 2016/680, vlastní omezení informování subjektu údajů pak v jejím čl.

15. Podle odstavce prvého tohoto článku mohou členské státy přijmout legislativní opatření, která přístup subjektů údajů k informacím úplně nebo částečně omezují v takovém rozsahu a na takovou dobu, jak je to v demokratické společnosti s náležitým přihlédnutím k základním právům a oprávněným zájmům dotčené fyzické osoby nutné a přiměřené, s cílem mj. zabránit maření úředních nebo právních šetření, vyšetřování nebo postupů, zabránit nepříznivému ovlivňování prevence, odhalování, vyšetřování či stíhání trestných činů nebo výkonu trestů či chránit veřejnou bezpečnost. V souladu s čl. 15 odst. 3 směrnice musí ovšem členské státy zajistit informování subjektu údajů o jakémkoli odmítnutí nebo omezení přístupu a o důvodech tohoto odmítnutí nebo omezení. Tyto informace není třeba uvádět, pokud by jejich poskytnutí ohrožovalo některý z uvedených účelů. Subjekt údajů musí být dále informován o možnosti podat stížnost u dozorového úřadu nebo (alternativně) žádat soudní ochranu. Spravující orgán dle tohoto článku zdokumentuje věcné či právní důvody, na nichž se rozhodnutí zakládá; ty zpřístupní dozorovým úřadům.

31. Z úpravy § 28 ZOÚ a čl. 14 a 15 směrnice 2016/680 se dle soudu podává těchto několik základních východisek.

32. V prvé řadě platí, že i v režimu směrnice, potažmo českého ZOÚ (tj. zpracování osobních údajů za účelem prevence, odhalování a vyšetřování trestných činů a dalších „bezpečnostních“ důvodů), se subjekty údajů o zpracování zásadně informují. To ostatně konvenuje i explicitnímu požadavku čl. 8 odst. 2 in fine Listiny základních práv EU, dle něhož má každý právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu. Poukázat lze i na bod 43 odůvodnění dotčené směrnice, dle kterého má fyzická osoba právo na přístup ke shromážděným osobním údajům, které se jí týkají, a měla by moci toto právo snadno a v přiměřených odstupech uplatňovat, aby byla o jejich zpracování informována a mohla si ověřit jeho zákonnost. Jinými slovy, právní úprava nepředpokládá, že by subjekt údajů neměl být informován jen na základě toho, že jsou jeho osobní údaje zpracovávány pro výše stanovené účely.

33. Současně nemůže být pochyb (a nezpochybňuje to ani žalobce), že právní úprava vymezuje případy, kdy se informace o zpracování osobních údajů žadateli neposkytnou, popřípadě se mu dokonce sdělí, že se o něm žádné údaje nezpracovávají, byť to objektivně není pravdou. Bod 44 odůvodnění směrnice toto rozvádí s tím, že členské státy mají mít možnost přijmout legislativní opatření, aby poskytnutí informací subjektům údajů odložily, omezily či od něj upustily v takovém rozsahu a po takovou dobu, jak je to nutné a přiměřené, za účelem ochrany stanovených veřejných zájmů či práv druhých.

34. V obecné rovině tak postup žalovaného oporu v právní úpravě nepochybně má. Za určitých okolností je jistě legitimní neuvádět do odůvodnění správního rozhodnutí ani žádné podrobnosti, jež by stanovené veřejné zájmy ohrožovaly. Tento postup ovšem představuje výjimku, měl by být tedy aplikován spíše zdrženlivě. Nelze například paušálně říci, že se žadateli neposkytnou žádné informace o zpracování jeho osobních údajů ze strany orgánů činných v trestním řízení, tj. že ty automaticky spadají pod důvody vymezené v § 28 odst. 2 písm. a) ZOÚ, resp. čl. 15 odst. 3 směrnice. Již citovaný bod 44 odůvodnění poměrně ilustrativně předpokládá, že spravující orgán by měl omezení informování posoudit na základě konkrétního a individuálního přezkumu každého případu; dle bodu 45 odůvodnění pak musí být odmítnutí nebo omezení informování sděleno písemně a mělo by zásadně obsahovat věcné nebo právní důvody, které k danému rozhodnutí vedly (to ovšem není bezvýjimečné).

35. Z předmětné úpravy dále vyplývá, že postup spravujícího orgánu (tedy i naplnění stanovených důvodů omezení přístupu) podléhá možnému dozoru ze strany dozorového úřadu (potažmo justičních dozorových orgánů v případě soudů a státních zastupitelství; srov. § 30 odst. 5 ZOÚ ve spojení s § 122d zákona č. 6/2002 Sb., o soudech a soudcích, resp. § 12l odst. 1 zákona o státním zastupitelství), nebo soudnímu přezkumu ze strany správních soudů. Ty musí být schopny důvody pro neposkytnutí informací dle § 28 odst. 2 ZOÚ ověřit a aprobovat, ať už na základě odůvodnění rozhodnutí spravujícího orgánu, popřípadě samy na základě předloženého spisového materiálu, není–li možné důvody žadateli vůbec sdělit.

36. Tyto závěry podle zdejšího soudu podporuje i relevantní judikatura Soudního dvora Evropské unie (SDEU). Ten se v rozsudku z 16. 11. 2023, Ligue des droits humains, věc C–333/22, zabýval výkladem úzce související úpravy čl. 17 odst. 3 směrnice 2016/680, vztahujícího se k režimu tzv. nepřímého přístupu k osobním údajům (a následného soudního přezkumu výstupu dozorového úřadu). Jednak potvrdil, že citované ustanovení umožňuje členským státům omezit v určitých případech odůvodnění rozhodnutí dozorového úřadu, který se může výjimečně redukovat jen na konstatování, že provedl veškerá nezbytná ověření nebo přezkum (obdobně tedy jistě může omezit odůvodnění nepodání informací i sám spravující orgán). SDEU k tomu ovšem zdůraznil, že ustanovení vnitrostátního práva by měla respektovat podstatu práva na účinnou soudní ochranu a spočívat na vážení cílů veřejného zájmu, které odůvodňují omezení těchto informací, jakož i základních práv a oprávněných zájmů osoby, při dodržení zásad nezbytnosti a proporcionality – podobně jako při úpravě omezení stanovených v čl. 13 odst. 3, čl. 15 odst. 3 a čl. 16 odst. 4 uvedené směrnice. Jeho závěry jsou proto přenositelné právě i na výklad čl. 15 odst. 3 směrnice rozhodný v projednávané věci [v kontextu tamějšího případu SDEU dovodil, že informování subjektu údajů podle okolností může (musí) jít i nad rámec minimálních informací stanovených v čl. 17 odst. 3, dozorovému úřadu by ovšem měl být poskytnut určitý prostor pro uvážení].

37. SDEU pokračoval, že je na členských státech, aby v rámci své procesní autonomie přijaly opatření nezbytná k tomu, aby v souladu s čl. 53 odst. 1 dané směrnice zajistily účinný soudní přezkum existence a opodstatněnosti důvodů, které odůvodňovaly omezení poskytnutí informací (v souladu s bodem 86 odůvodnění směrnice by měly vykonávat soudní pravomoc v plném rozsahu, která by měla zahrnovat pravomoc řešit všechny skutkové a právní otázky, které jsou pro jimi projednávaný spor relevantní). Soud by měl mít k dispozici procesněprávní pravidla, které umožňují skloubit legitimní úvahy, týkající se cílů veřejného zájmu uvedených mj. v čl. 15 odst. 3 směrnice, a nutnost poskytnout jednotlivcům možnost využít procesních práv.

38. Zdejší soud opakuje, že nevidí důvod, proč by tyto závěry neměly být obdobně použitelné i na přímý soudní přezkum postupu spravujícího orgánu, jako je tomu v nynější věci. Poukázat lze i na stanovisko generální advokátky L. Mediny k citované věci C–333/22. Ta v souvislosti s rozdílností cíle obrany proti postupu dozorového úřadu a samotného správce zmínila, že účelem žaloby proti rozhodnutí správce o omezení práva subjektu údajů je dosáhnout soudního přezkumu otázky, zda byl mj. čl. 15 odst. 3 směrnice 2016/680 uplatněn správně (zatímco účelem žaloby proti dozorovému úřadu je ověření, zda úřad správně provedl svůj úkol spočívající v kontrole postupu zpracování). Soud jinými slovy musí v případě přímého přezkumu sám vyhodnotit, zda je odepření/omezení informování přiměřené legitimním cílům předpokládaným příslušnou právní úpravou. V souladu s výše uvedeným to jistě neznamená, že soud úvahu spravujícího orgánu zcela nahradí, aniž by zohlednil oprávněné obavy spravujícího orgánu, musí být ovšem přinejmenším schopen identifikovat jeho případné excesy.

39. V každém případě je tedy úkolem soudu ověřit, zda zákonný důvod, o něž odepření přístupu spravující orgán opírá, skutečně odpovídá realitě. Není–li přitom možné žadatele (žalobce) seznámit s důvody takového postupu či mu umožnit plný přístup ke všem podkladům odůvodňujícím omezení jeho přístupu ani v soudním řízení, role soudu dále roste. Nemůže se držet jen v mezích žalobních bodů, naopak musí „suplovat“ aktivitu účastníka řízení a přezkoumá relevanci utajovaných (nezpřístupněných) informací ze všech hledisek, která se vzhledem k povaze věci jeví důležitými. Přezkoumatelnost rozhodnutí je jinými slovy zajištěna tím, že správní soud musí mít neomezený přístup k podkladům rozhodnutí (viz rozsudky NSS z 14. 12. 2023, č. j. 4 Azs 283/2023 – 27, a z 19. 3. 2024, č. j. 1 As 13/2024 – 38, které se týkaly žádostí cizinců dle § 28 odst. 1 ZOÚ, pokud jde o údaje v evidenci nežádoucích osob, kdy byly podklady vedeny v utajené části správního spisu).

40. V daném kontextu je přitom nerozhodné, zda žalovaný vedl stricto sensu správní spis ve smyslu § 17 správního řádu, potažmo zda se jím předkládané podklady či jejich část formálně nacházejí v režimu § 17 odst. 3 téhož zákona. V každém případě byl spis založen (a veden pod sp. zn. 9 Spr 2/2023), postup žalovaného byl jinými slovy písemně zachycen a tato ucelená dokumentace byla soudu předložena (mělo by ostatně zčásti jít i o dokumentaci předpokládanou § 28 odst. 4 ZOÚ, potažmo čl. 15 odst. 4 směrnice). Ač se zde nejedná přímo o výkon trestní působnosti žalovaného, vzhledem k jím tvrzeným dotčeným zájmům přitom soud akceptoval interní povahu takové dokumentace a potenciální ohrožení těchto zájmů zpřístupněním spisu, vč. interních pokynů či poznámek, žalobci (předcházející postup žalovaného by tím mohl pozbýt smyslu). Spis proto vyloučil z nahlížení. To ovšem neznamená, že obsah spisu nemusel optikou citovaných judikaturních závěrů NSS přezkoumat.

41. Výše uvedená východiska naopak nutně předpokládají, že alespoň soud musí mít k dispozici podklady svědčící o tom, zda byly údaje žadatele spravujícím orgánem zpracovávány, či nikoli, a v jaké souvislosti tomu bylo – v čem je případné zpracování takových údajů relevantní z pohledu chráněných zájmů, o něž spravující orgán odepření či omezení informování opírá. Nic z toho dosavadní podklady neobsahují, žalovaný v tomto ohledu ničeho nezjišťoval – nezjišťoval tak skutkový stav, z něhož při vydání napadeného rozhodnutí vycházel a svůj postup tak sám neměl řádně podložen. Dosavadní podklady žalovaného proto jednoduše neumožňují soudu postup žalovaného řádně přezkoumat a již proto nemohlo jeho rozhodnutí optikou připomínaného právního závěru SDEU, který je z vyložených důvodů závazný i pro výklad § 28 ZOÚ, obstát.

42. Bez náležitého obsahu spisového materiálu by soud mohl postup žalovaného aprobovat jedině pro samotnou povahu požadovaných údajů. Žalobce požadoval informace o možném zpracování svých osobních údajů spojených se sledováním své osoby, přeshraničním pronásledováním, použitím agenta, odposlechu apod. Nemůže být tedy pochyb, že se jedná o možné úkony trestního řízení (popřípadě právní pomoci dle § 47 zákona č. 104/2013 Sb., o mezinárodní justiční spolupráci ve věcech trestních), nadto úkony zpravidla prováděné utajeně, se zaměřením na spíše závažnější, latentní a mnohdy organizovanou trestnou činnost. To z nich (a v souvislosti s nimi zpracovávaných údajů) ovšem ještě zvláštní kategorii nečiní.

43. Z výše uvedeného vyplývá, že plošné nezpřístupnění informací o zpracování údajů (potenciálně) zpracovávaných v souvislosti s trestním řízením nemůže obstát (ustanovení § 28 odst. 1 ZOÚ či čl. 14 směrnice 2016/680 by neměly žádného smyslu). U přípravného řízení trestního, resp. poskytování právní pomoci v souvislosti s ním, je jistě na místě větší obezřetnost; představená právní úprava ostatně sama v souladu s dříve uvedeným pamatuje na potřebu efektivně ochránit veřejný zájem na účinném prověřování podezření z trestné činnosti. To podle soudu zahrnuje i možnost v odůvodněných případech zabránit v souladu s ustanoveními směrnice a ZOÚ tomu, aby se o existenci takového prověřování žadatelé dozvěděli; mimo jiných si lze totiž dobře představit, že postavy z kriminálního prostředí by mohly mít zájem touto cestou zjistit, zda se o ně orgány činné v trestním řízení „zajímají“. Ani zde by ovšem neměl být žadatelům přístup k jejich údajům odmítán plošně a paušálně, především však bez adekvátního skutkového základu svědčícího pro naplnění směrnicí a ZOÚ stanovených podmínek, přezkoumatelného soudem.

44. Předně, směrnice 2016/680 členským státům umožňuje v čl. 15 odst. 2 určit kategorie zpracování, na něž se mohou plně nebo částečně vztahovat výjimky z informování. Z pohledu soudu ovšem český zákonodárce takové kategorie nestanovil; vymezil toliko důvody, kdy pro ohrožení či ochranu stanovených zájmů dojde k omezení přístupu ve smyslu čl. 15 odst. 1 směrnice. Soud přitom nepřehlíží neveřejnou povahu trestního řízení, vyplývající už z § 8a a násl. trestního řádu, stejně tak povinnost mlčenlivosti státních zástupců dle § 25 odst. 1 zákona o státním zastupitelství. Tato ustanovení však nepředstavují oporu pro plošný závěr o neposkytování údajů zpracovávaných v souvislosti s postupem v trestním řízení, popřípadě jednotlivými úkony v rámci něj či v rámci mezinárodní právní pomoci. Informování je vyloučeno jen v případě, pokud by ohrozilo zákonem stanovené zájmy.

45. Tento pohled dle soudu podporuje i pohled generální advokátky L. Mediny, která v odůvodnění svého stanoviska k výše citované věci mimo jiné zdůraznila, že možnost omezení práv subjektů údajů na informace a na přístup by neměla být plošná. Odvolávala se zde i na závěry Pracovní skupiny pro ochranu osobních údajů zřízené podle článku 29 ve stanovisku k některým klíčovým otázkám směrnice o prosazování práva (EU 2016/680) z 29. 11. 2017, č. 17/CS WP 258. V něm se na str. 20 uvádí, že pokud se členské státy rozhodnou povolit možnost, aby správci plně omezili právo na přístup k informacím, je možné, že subjektu údajů nebudou sděleny žádné informace. V dané souvislosti ovšem stanovisko připomíná, že je nutné výjimku použít pouze tehdy, je–li to v každém jednotlivém případě naprosto nezbytné a přiměřené, a že by se neměly používat „plošné“ výjimky.[3]

46. S odkazem na judikaturu SDEU pracovní skupina identifikovala základní pravidlo, že informace by měly být poskytnuty, jakmile již nemohou ohrozit probíhající vyšetřování (např. rozsudek SDEU z 21. 12. 2016 ve věcech Tele2 Sverige a Watson a další, C 203/15 a C 698/15, bod 121). V kontextu nynější věci (žalobce žádal i údaje v souvislosti s nasazením odposlechu a sledování komunikačního provozu) soud nemohl přehlédnout, že v tomto duchu např. i trestní řád v § 88 odst. 8 předpokládá po pravomocném skončení věci informování osob, které byly odposlouchávány. Obdobnou optiku lze nepochybně aplikovat i v případě postupu dle § 28 ZOÚ. Pro soud by mělo být ve světle shora připomenutých závěrů SDEU ve věci Ligue des droits humains ověřitelné, zda nějaké „vyšetřování“, jež by mohlo být ohroženo, probíhá, případně, zda probíhalo a lze důvodně předpokládat, že by (znovu) probíhat mohlo. V této souvislosti přitom není bez relevance, že se žalobce primárně netáže na aktuální zpracování svých osobních údajů (v souvislosti s možným aktuálním prověřováním), ale zaměřuje se na události staré 7 let. To sice neznamená, že by informování žalobce nebylo způsobilé chráněné zájmy ohrozit, jen to však dále podtrhuje závěr soudu, že apriorní omezení informování o zpracování údajů v souvislosti s úkony trestního řízení nemá, přinejmenším v nynější věci, jasnou zákonnou oporu a vyžaduje naopak náležitou individualizaci a dostatečný skutkový podklad (byť jen v žalobci nezpřístupněných podkladech), jehož posouzení soudem je s to zajistit onu ze strany SDEU akcentovanou podstatu práva na účinnou soudní ochranu. Žádný takový podklad ovšem spis žalovaného neobsahuje.

47. Konečně ani vlastní povaha evidence CESO automaticky nevylučuje informování o zpracování osobních údajů, jež jsou v ní zaznamenány. Soud si je vědom skutečnosti, že § 12i odst. 3 zákona o státním zastupitelství výslovně uvádí, že v CESO jsou zpracovávány údaje za účelem předcházení, vyhledávání a odhalování trestné činnosti a stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky, veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. Stejně tak si je vědom neveřejnosti této evidence a úzkého vymezení orgánů do ní oprávněných přistupovat (§ 12i odst. 4 uvedeného zákona). Je však nutné odlišit přístup do evidence na straně jedné a informování o zpracování osobních údajů do takové evidence zapisovaných na straně druhé. Nehledě na to, že samotná neveřejnost ještě o povaze CESO nutně ničeho nevypovídá – neveřejnou povahu má převážná část činnosti veřejné správy, zčásti i soudů, když údaje ze soudního či správního řízení, resp. soudních a správních spisů, nejsou mimo veřejná jednání běžně přístupné veřejnosti.

48. Žalobce v nynější věci neusiloval o přístup do CESO, na žalovaného se neobracel jako na správce této evidence, ale jako na správce údajů, které se do ní zapisují. V tom se také podle soudu tato věc odlišuje od případu řešeného Krajským soudem v Brně v již citovaném rozsudku sp. zn. 31 A 118/2021. Tam se žalobce dotazoval Nejvyššího státního zastupitelství jako správce CESO na údaje v ní vedené, na což jistě nárok nemá (nemá právo na přístup do evidence). Nyní se ovšem dotazuje žalovaného na zpracování osobních údajů, jež se do CESO podle něj zapisují. Žalovaný tak o jejich případném zpracování musí mít informace i jinak, zpracovával–li je a do CESO zaevidoval (samotný § 12i odst. 3 říká, že se údaje do CESO zadávají ze spisů státního zastupitelství). Pouze ze skutečnosti, že se údaje o konkrétních úkonech trestního řízení (či mezinárodní právní pomoci) vedou v CESO, nelze s ohledem na výše uvedené dovozovat, že by jejich zpřístupněním došlo k ohrožení stanovených chráněných zájmů.

49. Lze tedy uzavřít, že ani odůvodnění napadeného rozhodnutí, ani obsah předloženého spisu prozatím soudu neumožňují definitivně posoudit, zda žalovaný postupoval v souladu s právní úpravou (čl. 14 a 15 směrnice 2016/680 a § 28 ZOÚ), potažmo zda postupoval přiměřeným způsobem (první a druhý žalobní bod). Nyní lze toliko konstatovat, že není pochyb, že právní úprava neinformování subjektu údajů za stanovených podmínek umožňuje a že žalovaný jednoznačně uplatnil právě takový postup, tj. dle § 28 odst. 2 ZOÚ a čl. 15 odst. 3 směrnice. Tento postup musí být ovšem před soudem schopen obhájit, což se prozatím ze shora vyložených důvodů nestalo.

50. Pokud jde o zbývající žalobní námitky, k nesmyslnému odkazu na čl. 15 odst. 1 GDPR již žalobci NSS v rozsudku sp. zn. 3 As 288/2022 vysvětlil, že se GDPR se na předmětnou materii nepoužije [viz též čl. 2 odst. 2 písm. d) GDPR]. Právě proto se ostatně nyní uplatní směrnice 2016/680 a vnitrostátní úprava § 28 ZOÚ, jíž se soud výše zabývá. Otázka rozložení důkazního břemene, jakož i průkaznost žalobcem předložených listin, již byla také zdejším soudem, NSS i Ústavním soudem adresována ve shora citovaných rozhodnutích. V nynější věci je zkoumání dané problematiky přinejmenším předčasné, žalovaný netvrdil, že informace objektivně nezpracovával, neměl tudíž co prokazovat, resp. vyvracet. Z uvedených důvodů soud o provedení žalobcem předložených listin (sdělení Úřadu komisaře pro informace či e–mailovou komunikaci o změnách a průběhu právního zastoupení žalobce v Belgii) ani neuvažoval.

VI. Závěr a náklady řízení

51. Na základě shora uvedených skutečností soudu nezbylo, než žalobci vyhovět a napadené rozhodnutí podle § 78 odst. 1 ve spojení s § 76 odst. 1 písm. b) s. ř. s. zrušit. Současně soud v souladu s § 78 odst. 4 s. ř. s. rozhodl o vrácení věci žalovanému, který bude vysloveným právním názorem soudu vázán (§ 78 odst. 5 s. ř. s.). Především tedy doplní spisový materiál o relevantní podklady, na základě nichž bude moci soud jeho postup řádně přezkoumat.

52. Výrok II o náhradě nákladů řízení je odůvodněn § 60 odst. 1 s. ř. s., podle kterého má úspěšný účastník řízení právo na náhradu nákladů. Žalobce byl ve věci úspěšný, má tedy nárok jednak na náhradu uhrazeného soudního poplatku za žalobu (3 000 Kč) a dále na náhradu nákladů právního zastoupení. Konkrétně jde o odměnu za 3 úkony právní služby [§ 11 písm. a) a d) vyhlášky č. 177/1996 Sb., ve znění do 31. 12. 2024 (AT), tj. převzetí zastoupení, písemné podání k soudu – žaloba a replika z 2. 12. 2024] v částce 3 100 Kč za jeden úkon, celkem 9 300 Kč [§ 7, § 9 odst. 4 písm. d) AT] a náhradě hotových výdajů za 3 úkony v částce 300 Kč za jeden úkon, celkem 900 Kč (§ 13 odst. 4 téže vyhlášky). Zástupce žalobce osvědčil, že je plátcem DPH, a proto se částka odměny právního zastoupení (10 200 Kč) dále zvyšuje o hodnotu příslušné sazby (2 142 Kč). Žalovaný je tedy povinen zaplatit žalobci společně s náhradou soudního poplatku k rukám jeho zástupce celkem 15 342 Kč.