6 A 83/2023– 63

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedy JUDr. Ladislava Hejtmánka a soudkyň JUDr. Naděždy Treschlové a JUDr. Hany Kadaňové ve věci žalobce: Ministerstvo vnitra, se sídlem Nad Štolou 963/3, Praha 7, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Pplk. Sochora 727/27, Praha 7, v řízení o žalobě proti rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 12. 4. 2023, č.j. UOOU–02569/22–21, takto:

Výrok

I. Žaloba se zamítá.

II. Žádný z účastníků nemá právo na náhradu nákladů řízení.

Odůvodnění

1. Žalobce se žalobou podanou u Městského soudu v Praze domáhal přezkoumání a zrušení rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 12. 4. 2023, č.j. UOOU–02569/22–21 (dále jen „napadené rozhodnutí“), jímž byl zamítnut rozklad žalobce proti rozhodnutí žalovaného ze dne 6. 1. 2023, č.j. UOOU–02569/22–13 (dále též „prvostupňové rozhodnutí“), a toto rozhodnutí bylo potvrzeno. Prvostupňovým rozhodnutím byl ve výroku I. žalobce shledán vinným, že Policie České republiky (dále jen „Policie“) jako spravující orgán podle ustanovení § 24 odst. 3 zákona č. 110/2019 Sb., o zpracování osobních údajů, ve znění pozdějších předpisů (dále jen „zákon č. 110/2019 Sb.“), v souvislosti s provozem aplikace Karanténa využívané při namátkových kontrolách v období od 1. 4. 2021 do 8. 3. 2022 shromáždila osobní údaje 2.110.084 osob, jimž byla v rámci opatření proti šíření onemocnění COVID–19 nařízena izolace, a to v rozsahu: jména a příjmení, datum narození, rodné číslo, označení, že je daná osoba v izolaci, datum počátku a konce izolace a adresa pro výkon izolace, tj. v rozporu s ustanovením § 79 odst. 3 zákona č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů (dále jen „zákon o Policii“) shromažďovala údaje o zdravotním stavu osob bez vztahu k šetření konkrétního trestného činu nebo přestupku, nebo poskytování ochrany osoby, a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. a) zákona č. 110/2019 Sb. Dále byl žalobce ve výroku II. shledán vinným, že Policie jako spravující orgán nezveřejnila v předmětném období účel zpracování osobních údajů, jimž byla v rámci opatření proti šíření onemocnění COVID–19 nařízena izolace, zpracovávaných prostřednictvím aplikace Karanténa, čímž porušila ustanovení § 27 písm. c) zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. d) téhož zákona. Ve výroku III. prvostupňového rozhodnutí byl žalobce shledán vinným, že Policie jako spravující orgán ve vztahu k připravovanému zpracování osobních údajů osob, jimž byla v rámci opatření proti šíření onemocnění COVID–19 nařízena izolace, které mělo být prováděno prostřednictvím aplikace Karanténa, nevypracovala nejpozději 31. 3. 2021 posouzení vlivu tohoto zpracování na ochranu osobních údajů, přestože bylo pravděpodobné, že připravované zpracování povede vzhledem k jeho povaze, rozsahu a účelu k vysokému riziku neoprávněnému zásahu do práv a svobod subjektů údajů, čímž porušila ustanovení § 37 zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. k) téhož zákona. Ve výroku IV. prvostupňového rozhodnutí byl žalobce shledán vinným, že Policie jako spravující orgán ve vztahu k připravovanému zpracování osobních údajů osob, jimž byla v rámci opatření proti šíření onemocnění COVID–19 nařízena izolace, které mělo být prováděno prostřednictvím aplikace Karanténa, v níž byly do 31. 3. 2021 evidovány pouze osoby s nařízenou karanténou, nepodala nejpozději dne 31. 3. 2021 žalovanému žádost o projednání tohoto opatření, čímž porušila ustanovení § 38 odst. 1 písm. b) zákona č. 110/2019 Sb., a tím spáchal přestupek podle ustanovení § 63 odst. 1 písm. l) téhož zákona. Ve výroku V. pak byla žalobci podle ustanovení § 63 odst. 3 zákona č. 110/2019 Sb. uložena pokuta ve výši 975.000 Kč.

2. V úvodní části žaloby označené „Vymezení předmětu řízení“ žalobce namítal nepřezkoumatelnost, nesprávnost a nezákonnost napadeného rozhodnutí. Namítal, že Policie nejednala podle směrnice Evropského parlamentu a Rady (EU) 2016/680 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (dále jen „Směrnice LED“ – Law Enforcment Directive), jak tvrdil žalovaný. Hlavním účelem činnosti Policie bylo totiž pouze poskytnout součinnost resortu zdravotnictví, resp. krajským hygienickým stanicím, ve stejném rozsahu jejich oprávnění. Policie tak nepůsobila jako orgán činný v trestním řízení. I kdyby se o postup podle této směrnice jednalo, tak dle žalobce zde není dána dozorová působnost žalovaného. Rovněž pak namítal nesrozumitelný postup žalovaného a porušení zásad rovnosti, předvídatelnosti a férovosti, jakož i opomenutí řady námitek žalobce.

3. V další části žaloby označené „Chronologie věci“ žalobce uvedl, že v prvním příkazu ze dne 12. 7. 2021, č.j. UOOU–03112/21–3, žalovaný podřadil zpracování osobních údajů ze strany Policie úpravě GDPR. Zároveň však žalovaný požadoval zdržet se zpracování údajů o karanténě a uzavření spisů, ačkoliv i uzavírání spisů či likvidace osobních údajů je jejich zpracování. Namítal, že žalovaný přikázal zdržet se zpracování osobních údajů na straně Policie coby příjemce údajů, ale nezaměřil svou pozornost na resorty práce a zdravotnictví, které osobní údaje Policii předávaly, ač dle logiky žalovaného tyto tak vůbec činit neměly, ale pokračovaly v tom. Dále odkázal na věc projednávanou u Nejvyššího správního soudu (dále jen „NSS“) pod sp.zn. 6 As 32/2023, ve které stejně jako zde žalovaný zahájil sankční řízení příkazem, jímž deklaroval vinu a upustil od potrestání, ač neuložil žádnou povinnost, resp. nic nepřikázal, což žalobce považuje za vadný úkon. Dále žalobce podotkl, že řízení v této části nebylo dodnes explicitně ukončeno. Dále žalobce poukázal na druhý příkaz ze dne 13. 12. 2021, č.j. UOOU–05143/21–3, kterým bylo Policii přikázáno požádat o projednání dopadů zpracování, byť již bylo patrné, že brzy dojde k ukončení provozu aplikace Karanténa, jakož že i pandemie v dohledné době skončí. Tak se ostatně i stalo. Dále uvedl, že žalobce na sklonku roku 2021 na základě neformální dohody s žalovaným nepodal proti tomuto příkazu odpor, na druhé straně však označil za protimluv, že je někomu přikázáno o něco požádat, neboť žádost je projevem svobodné vůle. Žalobce namítal, že je otázkou, proč žalovaný žádal projednání dopadů zpracování, resp. kontinuálně usiloval o další precizaci zpracování, ač dané zpracování dle žalovaného vůbec nemělo být prováděno a mělo být pro nezákonnost ukončeno. Dále žalobce odkázal na třetí příkaz ze dne 29. 7. 2022, č.j. UOOU–02569/22–4, jímž bylo zahájeno řízení ukončené žalobou napadeným rozhodnutím. Zde pak žalovaný dovodil, že nebylo postupováno dle GDPR, ale dle LED. Toto řízení pak bylo zahájeno za situace, kdy již bylo definitivně zřejmé, že pandemie končí a provoz aplikace je ukončen. Závěrem tohoto bodu žalobce připomněl, že Policie jednala na pokyn Ústředního krizového štábu (srov. usnesení ze dne 16. 3. 2020), resp. tehdejšího vedení Ministerstva zdravotnictví.

4. Ve třetí části žaloby označené „Nezákonnost a nepřezkoumatelnost“ žalobce předně namítal, že postup žalovaného je nekonzistentní, jelikož na počátku řízení tvrdil, že žalobce postupuje podle GDPR a řízení skončil tím, že postupuje podle LED, ačkoliv se jednalo o stále stejnou otázku (tj. kontrola dodržování protiepidemických opatření). Znovu namítl, že veškeré činnosti Policie při zpracování osobních údajů v aplikaci Karanténa byly realizovány v rámci plnění povinnosti k součinnosti, tedy na žádost jiného orgánu veřejné moci. Aktivity Policie, ani krajských hygienických stanic pak dle žalobce nelze podřadit působnosti Směrnice LED. Namítal rovněž, že se nejednalo o závažné porušení zákona, neboť žalovaný shledal potřebu efektivně zasáhnout proti údajně nezákonnému postupu Policie až tehdy, kdy už bylo zřejmé, že dalšího pokračování ve zpracovávání osobních údajů nebude třeba. Zároveň žalobce poukázal na mimořádnost celé situace, objevující se cca jednou za 100 let, na níž se nelze dost dobře připravit. Dále podotkl, že snaha umožnit postup ve veřejném zájmu je pochopitelně rozumná, ovšem totéž jednání nemůže být zároveň v souladu i v nesouladu s veřejným zájmem; ostatně i poválečné tribunály v druhé polovině 40. let minulého století zohledňovaly výjimečnost situace. Uvedl, že Policie neměla možnost situaci v rozhodném časovém období reálně ovlivnit tak, aby ona sama, a tím méně jiné orgány veřejné správy, postupovaly diametrálně odlišně. Tím spíše, že postup a činnosti Policie byly reaktivní. Znovu pak namítal, že se zde žalovaný zaměřil (oproti své dřívější správní praxi) na příjemce osobních údajů, nikoliv na jejich původce. Žalovaný tak dle žalobce mimo jiné porušil ustanovení § 2 odst. 4 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „správní řád“). Upozornil na to, že žalovaný nechal nepořádek a „šlendrián“ v nakládání s citlivými osobními údaji na straně resortu zdravotnictví bez povšimnutí, ale soustředil se pouze na žalobce, který se snažil vnést do věci alespoň nějaký řád a garantovat ochranu osobních údajů. Dále namítal, že domněnky žalovaného stran způsobů komunikace v počátečních i pozdějších stádiích pandemie nemohou činit spolehlivý podklad pro trestní rozhodnutí (zásada materiální pravdy, in dubio pro reo). Sporná je pak dle žalobce i jeho způsobilost být zde subjektem přestupku, kterou žalovaný opřel o stanovisko pléna Nejvyššího soudu ze dne 22. 1. 1997, sp.zn. Plsn 2/96, jež se týká řízení ve věcech služebního poměru a které bylo vydáno za zcela jiné právní úpravy. Závěrem tohoto bodu namítl, že není patrné, že by se žalovaný řídil ustanovením § 141 odst. 1 správního řádu a ustanoveními § 41 odst. 1 a § 88 odst. 1 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, ve znění pozdějších předpisů (dále jen „zákon č. 250/2016 Sb.“).

5. V poslední části žaloby nazvané „Podrobné vysvětlení tří (možných) režimů zpracování osobních údajů“ žalobce uvedl, že zatímco směrnice 95/46/ES, kterou dříve prováděl zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění do 24. 4. 2019, byla nahrazena GDPR, tak na evropské úrovni vznikla i Směrnice LED, která platí pro potírání trestné činnosti. Z důvodu aplikace evropských předpisů tak v ČR vznikly 3 režimy ochrany osobních údajů: 1) přímá aplikace GDPR, spolu s pravidly stanovenými hlavou II části první zákona č. 110/2019 Sb.; 2) režim stanovený Směrnicí LED a jejími vnitrostátními transpozičními předpisy; 3) oblast, na kterou se právo EU nevztahuje [srov. čl. 2 odst. 2 písm. a) GDPR] – jedná se zejména o národní bezpečnost a obranu státu. Tuto poslední oblast upravuje hlava IV části první zákona č. 110/2019 Sb., která se vztahuje na činnost zpravodajských služeb, ale také na činnost ozbrojených sil, krizové řízení a ochranu utajovaných skutečností. Dle žalobce je v daném případě aplikovatelný spíše režim GDPR, neboť dle důvodové zprávy k zákonu č. 110/2019 Sb. kontrolní činnost žalovaného, včetně ukládání pokut za přestupky, spadá do působnosti GDPR, kam spadají i úkoly Policie, které nemají přímou souvislost s prevencí a potíráním kriminality. Žalobce namítl, že v režimu GDPR však nelze uložit pokutu ani jiný trest (srov. ustanovení § 62 odst. 5 zákona č. 110/2019 Sb.). V úvahu by pak ještě dle žalobce připadal názor, beroucí jako východisko úpravu krizového řízení, neboť pandemie byla ohrožením národní bezpečnosti. Cesta aplikace LED je tak dle žalobce nejméně přiléhavá.

6. Z uvedených důvodů žalobce navrhoval, aby soud zrušil jak žalobou napadené rozhodnutí, tak rozhodnutí prvostupňové.

7. Žalovaný v písemném vyjádření k žalobě navrhoval její zamítnutí s tím, že v podrobnostech odkázal na odůvodnění žalobou napadeného rozhodnutí. K námitce, že se Policie nejednala podle Směrnice LED, žalovaný připomněl ustanovení § 79 odst. 3 zákona o Policii s tím, že provozování aplikace Karanténa zahrnovalo i zpracování osobních údajů o zdravotním stavu, přičemž tato měla být využívána pro namátkové kontroly osob, a to v režimu standardních kontrol prováděných Policií. Dle žalovaného se tak nejednalo o pouhou součinnost s jiným správním orgánem. Na základě těchto kontrol totiž eventuálně mohlo být zahájeno trestní řízení pro podezření ze spáchání trestného činu šířené nakažlivé lidské nemoci podle ustanovení § 152 či § 153 zákona č. 40/2009 Sb., trestní zákoník, ve znění pozdějších předpisů, protože onemocnění COVID–19 bylo v té době zařazeno na seznam takových trestněprávně významných nemocí. Kromě namátkových kontrol pak probíhaly i kontroly cílené, prováděné v součinnosti s příslušnými krajskými hygienickými stanicemi – při těchto kontrolách ale byly využívány údaje zpracovávané hygieniky, nikoliv údaje čerpané z aplikace Karanténa. Dále uvedl, že v průběhu správního řízení bylo zjištěno, že porušení nařízení izolace, zjištěné Policií v rámci zmíněných standardních kontrol, bylo předáváno službě kriminální policie k šetření podezření ze spáchání trestného činu, zatímco zjištěná porušení karanténních opatření byla oznamována příslušné krajského hygienické stanici jako podklad pro správní trestání. Osobní údaje týkající se izolace tak sloužily prioritně k plnění úkolů Policie vymezených v ustanovení § 24 odst. 1 zákona č. 110/2019 Sb. Zároveň však primárním účelem kontrol nebylo šetření konkrétního trestného činu nebo přestupku, což dle žalovaného představuje zjevné překročení oprávnění vyplývajícího z ustanovení § 79 odst. 3 zákona o Policii, neboť ten neumožňuje plošné shromažďování údajů předem bez vztahu k šetření konkrétního případu.

8. Závažnost je pak dle žalovaného umocněna tím, že Policie k tomuto účelu vytvořila a využívala evidenci, jejíž vznik v resortu žalobce není ani zákonem předpokládán. Dle žalovaného pak nelze přenášet odpovědnost za porušení zákonných podmínek pro předmětné zpracování osobních údajů na jiné orgány veřejné správy. Z hlediska skutkového stavu zde žalovaný odkázal na bod III. písm. e) usnesení Ústředního krizového štábu ze dne 16. 3. 2020, jímž se náměstkovi ministra práce a sociálních věcí a hlavní hygieničce ČR ukládá „vytvořit evidenci osob v karanténě za účelem kontroly ze strany Policie ČR.“ Tento úkol nijak nezmocňuje Policii ani k vedení aplikace Karanténa zahrnující zpracování osobních údajů osob, jímž byla nařízena karanténa, natož těch, kterým byla nařízena izolace. Tento bod nasvědčuje pouze případnému vytvoření evidence, jejímž správcem by bylo Ministerstvo práce a sociálních věcí, resp. orgány hygienické správy, a která by byla Policii zpřístupněna (v souladu s ustanovením § 66 odst. 1 zákona o Policii). Tento bod však zjevně nekoresponduje s reálně nastalým stavem. S odkazem na ustanovení § 69 odst. 2 zákona č. 258/2000 Sb., o ochraně veřejného zdraví, ve znění pozdějších předpisů, žalovaný uvedl, že nebylo doloženo, že by kterýkoli orgán veřejné moci Policii požádal o vedení předmětné aplikace, naopak z dopisu policejního prezidenta ze dne 12. 3. 2020, č.j. PPR–11069–1/ČJ–2020–990100, je zřejmé, že iniciativa pro zpracování osobních údajů v rámci aplikace Karanténa Policií, jejíž součástí byly od 1. 4. 2021 i údaje o osobách, jímž byla nařízena izolace, vzešla právě od Policie. Uvedené závěry pak podporuje i vlastní argumentace žalobce uplatňována původně v rámci řízení vedeného pod sp.zn. UOOU–03112/21 (srov. zejména přílohu č. 8 vyjádření žalobce ze dne 16. 8. 2021, č.j. MV–112550/8/OBP–2021). Dále žalovaný uvedl, že žádná supervize (jak bylo původně zamýšleno) nebyla ze strany orgánů ochrany veřejného zdraví nad kontrolami Policie s využitím aplikace Karanténa prováděna.

9. Žalovaný tak dospěl k závěru, že Policie byla spravujícím orgánem aplikace Karanténa v části obsahující údaje o osobách v izolaci. Pro úplnost žalovaný dodal, že pokud by byly řádně plněny povinnosti vyplývající z ustanovení § 37 a § 38 odst. 1 zákona č. 110/2019 Sb. (srov. výroky III. a IV. prvostupňového rozhodnutí), pak by pravděpodobně bylo zamezeno porušení ustanovení § 79 odst. 3 zákona o Policii (srov. výrok I. prvostupňového rozhodnutí), které bylo vyhodnoceno jako nejzávažnější, neboť by bylo bývalo možné nastavit parametry zpracování předmětných osobních údajů způsobem souladným se zákonem. Dle žalovaného pak lze pojmově vyloučit, že by naplňování těchto účelů primárně sloužila potřebám obranných a bezpečnostních složek státu (hlava IV zákona č. 110/2019 Sb.), jak dovodil žalobce. Na tuto oblast se pak skutečně dozorová pravomoc žalovaného nevztahuje. Dále uvedl, že žalobcem citovaná důvodová zpráva k ustanovením § 41 až 47 zákona č. 110/2019 Sb. sice skutečně připouští, že by Hlavu IV tohoto zákona bylo možno aplikovat i na zpracování, u nichž je to odůvodněno podmínkami, ve kterých probíhají (např. zpracování za krizového stavu, při požáru apod.), nicméně Policie osobní údaje zpracovávala ve strukturované podobě. Navíc epidemie onemocnění COVID–19 vypukla v březnu 2020, zatímco předmětné zpracování týkající se osob s nařízenou izolací bylo zahájeno až v dubnu 2021, což dle žalovaného eliminuje faktor časové tísně a do značné míry i mimořádné situace. Dále žalovaný upozornil na to, že extenzivní výklad žalobce je velmi nebezpečný i s ohledem na principy právního státu (požadavek nezávislé kontroly výkonu veřejné moci), kdy se žalobce snaží zpracování obrovského množství osobních údajů vyvést zcela mimo standardní dozorový režim, přičemž současně v legislativním procesu paralelně zablokoval dosažení jakékoli podrobnější úpravy tohoto zpracování. Uzavřel, že plně respektoval závažnost této mimořádná situace, jak se odrazilo v jeho rozhodovací praxi i nyní ve výši uložené pokuty (cca 10 % z možného maxima).

10. K námitkám týkajícím se dílčích pochybení žalovaného ohledně přestupkového řízení žalovaný uvedl, že ani specifické okolnosti vyplývající z pandemie COVID–149 nemohou kohokoli opravňovat k jednání flagrantně porušujícímu právní řád. Má–li být určitá činnost prováděna ve prospěch veřejného zájmu, pak nelze dle žalovaného připustit, aby zároveň byl nepřípustným způsobem potlačen veřejný zájem v jiném segmentu (zde veřejný zájem na přiměřenou ochranu soukromí, resp. osobních údajů). Napadené rozhodnutí tak je dle žalovaného v souladu s veřejným zájmem a odpovídá okolnostem případu.

11. K námitce zpochybňující způsobilost žalobce být subjektem předmětného přestupku žalovaný uvedl, že předmětné stanovisko pléna Nejvyššího soudu i nadále reflektuje postavení Policie, které není přiznána právní subjektivita/osobnost. Toto stanovisko je pak stále využíváno i ze strany soudů (srov. rozsudky Městského soudu v Praze ze dne 14. 9. 2010, č.j. 6 Ca 179/2007–78 a ze dne 26. 11. 2015, č.j. 5A 321/2011–57).

12. K druhému příkazu ze dne 13. 12. 2021, č.j. UOOU–05143/21–3 uvedl, že tento byl vydán v době, kdy docházelo k opětovnému nárůstu počtu osob s prokázaným onemocněním COVID–19 (např. v listopadu 2021 evidováno 406.398 osob) a situace tedy nenasvědčovala blížícímu se konci epidemie a souvisejících opatření. Předmětná žádost ze strany Policii by pak nebyla projevem dobré vůle, jak se domníval žalobce, ale plněním zákonné povinnosti dle ustanovení § 38 odst. 1 zákona č. 110/2019 Sb. Dále uvedl, že žalobce sice nepodal proti tomuto příkazu odpor, nicméně uložené opatření bylo z jeho strany, resp. ze strany Policie splněno natolik formálně, že skutečného účelu projednání ve smyslu ustanovení § 38 odst. 4 zákona č. 110/2019 Sb. nemohlo být dosaženo. Dále připomněl, že kontrola ve věci zpracování osobních údajů osob, jimž byla nařízena karanténa, byla zahájena dne 9. 3. 2021 a ukončena protokolem o kontrole ze dne 20. 5. 2021, č.j. UOOU–00581/21–24, na nějž pak navazoval právě první příkaz ze dne 12. 7. 2021, č.j. UOOU–03112/21–3. Nelze tak tvrdit, že se žalovaný začal věcí zabývat až tehdy, kdy začalo být pravděpodobné, že provoz aplikace bude již brzy ukončen.

13. K námitce žalobce ohledně zahájení sankčního řízení příkazem, jímž je deklarována vina, přičemž se upouští od trestu, aniž by se cokoli přikazovalo, žalovaný odkázal na ustanovení § 62 odst. 5 zákona č. 110/2019 Sb., z jehož dikce je zřejmé, že toto nezakotvilo jakoukoli procesní imunitu týkající se vyslovení viny ohledně spáchání přestupku anebo jinou exempci v rámci přestupkového řízení; toto pouze nařizuje upustit od uložení správního trestu. Ustanovení § 90 odst. 1 zákona č. 250/2016 Sb. pak dle žalovaného nevylučuje upuštění od správního trestu ve smyslu ustanovení § 62 odst. 5 zákona č. 110/2019 Sb., neboť neobsahuje uložení povinnosti (trestu) jako nutnou podmínku pro použití institutu příkazu v přestupkovém řízení.

14. K žalobcem odkazovanému obligatornímu spojení věci žalovaný uvedl, že toto z důvodu odlišné právní úpravy, resp. účelu a právního titulu pro zpracování osobních údajů, i sankčního režimu, není případné. V přestupkovém řízení, které vyústilo v napadená rozhodnutí, jde o zpracování osobních údajů o nařízených izolacích, tj. zpracování prováděné v režimu Hlavy III zákona č. 110/2019 Sb. za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, zatímco další žalobcem odkazovaná řízení se týkají zpracování v režimu Hlavy II tohoto zákona, tj. zpracování podléhající nařízení GDPR. I pokud by bylo vedení společného řízení na místě, tak to dle judikatury nezpůsobuje vadu řízení dopadající na zákonnost rozhodnutí, je–li v navazujících rozhodnutích respektována absorpční zásada (srov. rozsudek NSS ve věci sp.zn. 1 As 255/2017).

15. Žalobce podal k vyjádření žalovaného repliku, ve které uvedl, že výklad žalovaného vede k vyloučení možnosti Policie poskytovat součinnost orgánům veřejné správy, pokud tyto mají jiný okruh pravomocí, než sama Policie. Policie zde však nejednala jako orgán činný v trestním řízení. Žalovaný pak dále opomněl rozpor mezi postupem, kdy určité zpracování považuje za nezákonné, ale zároveň k němu po několik let přihlíží a kultivuje je. Dle žalobce tak nedává smysl, pokud žalovaný ten který typ zpracování aprobuje, proč takový postup nakonec prohlásí za nelegální. Mimo jiné tím pak vzbuzuje legitimní očekávání, že jde o zpracování přípustné. Dále žalobce označil za účelovou změnu praxe žalovaného, který se doposud zaměřil na tvrzeně nelegální zpřístupňování osobních údajů, aby se najednou přeorientoval na jejich příjemce. Závěrem žalobce podotkl, že pokud žalovaný nevedl (či neměl vést) společné řízení, pak není zřejmé, jak věc zahájenou prvním „společným“ příkazem ukončil. Resp. ani není zřejmé, proč, nepovažuje–li žalovaný vedení společného řízení za případné, tak sám činil. K problematice procesních pochybení žalovaného žalobce doplnil, že tento obviněné z přestupku, podají–li odpor proti příkazu, nijak neinformuje o jejich procesních právech. K otázce dokazování pak žalobce doplnil, že vyšetřující orgán má povinnost sám zjistit stav věci, resp. prokázat vinu „nade vší rozumnou pochybnost“, nikoliv jen spoléhat na listinné důkazy, zcela opomíjet výslechy svědků coby přímých aktérů skutku a stav věci si domýšlet.

16. Žalovaný podal k replice žalobce dupliku, ve které k tvrzení žalobce ohledně aprobace nezákonného zpracování osobních údajů uvedl, že kontrolu zpracování osobních údajů osob s nařízenou karanténou zahájil dne 9. 3. 2021 a návazně na ni zahájil správní řízení ve vztahu ke zjištěným nedostatkům. Dále konstatoval, že spolupráce Policie a dalších orgánů veřejné moci musí probíhat v souladu s právním řádem. Tato nebyla nijak zmocněna k vedení aplikace Karanténa, nicméně si lze představit situaci, kdy by předmětná evidence, jejímž správcem by bylo Ministerstvo práce a sociálních věcí, resp. orgány hygienické správy, byla Policii zpřístupněna dle ustanovení § 66 odst. 1 zákona o Policii. Takovýto postup by byl dle žalovaného jak v souladu s právními předpisy, tak i s formulací úkolu uloženého dne 16. 3. 2020 Ústředním krizovým štábem náměstkovi ministra práce a sociálních věcí a hlavní hygieničce ČR. Reálný stav však byl odlišný. Dále uvedl, že Policie jako bezpečnostní sbor s oprávněním vyžadovat součinnost od ostatních orgánů a osob pak musí znát a respektovat rozsah svých vlastních oprávnění a kompetencí a při své činnosti z něj nevybočovat; požaduje–li tedy Policie součinnost od orgánů státní správy, pak musí být ona sama garantem toho, že se její požadavek vztahuje výhradně k činnosti, k níž je oprávněna. Pokud ovšem své oprávnění v rámci vzneseného požadavku na součinnost překročí, pak se nemůže dle žalovaného následně hájit tím, že se jednalo o pochybení toho, kdo jí osobní údaje poskytl. Právě z toho důvodu žalovaný zahájil řízení se žalobcem, nikoliv s jinými orgány veřejné správy.

17. K otázce ukončení řízení ve věci týkající se zpracování osobních údajů s nařízenou karanténou prováděného rovněž prostřednictvím aplikace Karanténa žalovaný uvedl, že dané zpracování osobních údajů se realizovalo v režimu nařízení GDPR. Uvedené řízení o podezření ze spáchání přestupků podle ustanovení § 62 odst. 1 písm. b) a c) zákona č. 110/2019 Sb. navazuje na provedenou kontrolu ve věci zpracování údajů osob s nařízenou karanténou (ukončenou protokolem o kontrole ze dne 20. 5. 2021). Toto řízení stále probíhá, přičemž aktuálně byl žalobce v jeho rámci vyrozuměn o ukončení shromažďování podkladů rozhodnutí a vyzván k uplatnění práva vyjádřit se před vydáním rozhodnutí k jeho podkladům. K tvrzení žalobce, že žalovaný měl v rámci zjištění skutkového stavu vyslýchat svědky, žalovaný uvedl, že považoval listinné podklady pro rozhodnutí za dostatečné. Nadto žalobce v průběhu řízení tento postup (výslech svědků) ani nenavrhl. Ohledně žalobcem popisovaného postupu žalovaného pro případ podání odporu pak žalovaný odkázal na rozsudek zdejšího soudu ze dne 4. 1. 2023, č.j. 8A 16/2020–40. O procesních právech byl žalobce poučen jednak v rámci příkazu a jednak ve výzvě k seznámení se s poklady rozhodnutí.

18. Při ústním jednání před soudem konaném dne 20. 6. 2024 setrvali účastníci řízení na svých dříve uplatněných argumentech.

19. Z obsahu spisového materiálu předloženého žalovaným správním orgánem vyplynuly následující, pro rozhodnutí ve věci samé, podstatné skutečnosti:

20. Příkazem ze dne 29. 7. 2022, č.j. UOOU–02569/22–4, byl žalobce uznán vinným ze spáchání přestupků podle ustanovení § 63 odst. 1 písm. a), d), k) a l) zákona č. 110/2019 Sb., za což mu byla uložena pokuta ve výši 975.000 Kč. Dne 5. 8. 2022 podal žalobce odpor.

21. Podkladem pro zahájení tohoto řízení se stal spisový materiál vedený pod sp.zn. UOOU–00581/21, shromážděný v průběhu kontroly provedené žalovaným u Policie, zaměřené na zpracování osobních údajů v rámci opatření proti šíření onemocnění COVID–19 prováděné v režimu nařízení GDPR a v režimu zákona č. 110/2019 Sb.; dále spisový materiál shromážděný v rámci správního řízení vedeného s žalobcem pod sp.zn. UOOU–03112/21 pro podezření ze spáchání přestupku podle ustanovení § 62 odst. 1 zákona č. 110/2019 Sb. a o uložení opatření k odstranění nedostatků podle ustanovení § 60 téhož zákona ohledně zpracování osobních údajů týkajících se subjektů údajů, jimž byla nařízena karanténa v souvislosti s potíráním pandemie onemocnění COVID–19 prováděného Policií; a spisový materiál shromážděný v rámci správního řízení vedeného s žalobcem pod sp.zn. UOOU–05143/21 o uložení opatření k odstranění nedostatků ve smyslu ustanovení § 60 zákona č. 110/2019 Sb.

22. Prvostupňovým rozhodnutím ze dne 6. 1. 2023, č.j. UOOU–02569/22–13, byl žalobce ve výroku I. shledán vinným z přestupku podle ustanovení § 63 odst. 1 písm. a) zákona č. 110/2019 Sb. pro porušení ustanovení § 79 odst. 3 zákona o Policii; ve výroku II. byl shledán vinným z přestupku podle ustanovení § 63 odst. 1 písm. d) zákona č. 110/2019 Sb. pro porušení ustanovení § 27 písm. c) téhož zákona; ve výroku III. byl shledán vinným z přestupku podle ustanovení § 63 odst. 1 písm. k) zákona č. 110/2019 Sb. pro porušení ustanovení § 37 téhož zákona; ve výroku IV. byl shledán vinným z přestupku podle ustanovení § 63 odst. 1 písm. l) zákona č. 110/2019 Sb. pro porušení ustanovení § 38 odst. 1 téhož zákona; a ve výroku V. mu byla podle ustanovení § 63 odst. 3 zákona č. 110/2019 Sb. uložena pokuta ve výši 975.000 Kč.

23. Žalobce podal proti tomuto rozhodnutí dne 20. 1. 2023 rozklad, který dne 1. 2. 2023 doplnil. V rozkladu žalobce uváděl obdobné námitky a argumenty jako v podané žalobě.

24. Žalobou napadeným rozhodnutím ze dne 12. 4. 2023, č.j. UOOU–02569/22–21, byl rozklad žalobce zamítnut a prvostupňové rozhodnutí bylo potvrzeno.

25. V odůvodnění tohoto rozhodnutí žalovaný uvedl, že provozování aplikace Karanténa zahrnovalo i zpracování osobních údajů o zdravotním stavu, resp. o onemocnění COVID–19, přičemž tato aplikace měla být využívána pro namátkové kontroly osob. Na jejich základě sice eventuálně mohlo být zahájeno trestní nebo přestupkové řízení, nicméně dle žalovaného primárním účelem nebylo šetření konkrétního trestného činu nebo přestupku, a tudíž se jednalo o zjevné překročení oprávnění vyplývajícího z ustanovení § 79 odst. 3 zákona o Policii. Žalovaný dále odkázal na bod III. písm. c) usnesení Ústředního krizového štábu ze dne 16. 3. 2020, který Policii nijak nezmocňuje k vedení aplikace Karanténa zahrnující zpracování údajů osob, jimž byla nařízena izolace z důvodu onemocnění COVID–19. Tento bod pouze nasvědčuje tomu, aby vytvořená evidence, jejímž správcem by bylo Ministerstvo práce a sociálních věcí, resp. orgány hygienické správy, byla Policii zpřístupněna, a to v souladu s ustanovením § 66 odst. 1 zákona o Policii, což dle žalovaného zjevně nekoresponduje s reálně nastalým stavem, tj. vytvořením evidence, jejímž spravujícím orgánem byla Policie. Dle žalovaného pak nebylo doloženo, že by kterýkoliv orgán veřejné moci požádal Policii o vedení předmětné aplikace, a proto na tyto orgány nelze přenášet odpovědnost, jak činil žalobce. Žalovaný dále odkázal na dopis policejního prezidenta ze dne 12. 3. 2020, ze kterého vyplývá, že iniciativa vzešla právě od Policie. Připomněl, že ani mimořádné okolnosti vyplývající z pandemie onemocnění COVID–19 nemohou nikoho opravňovat k arbitrárnímu jednání porušujícímu právní řád, a to v rozporu s veřejným zájmem na přiměřenou ochranu soukromí. Žalovaný tak prvostupňové rozhodnutí shledal v souladu s veřejným zájmem i jako odpovídající okolnostem daného případu, jak ukládá ustanovení § 2 odst. 4 správního řádu.

26. Dále žalovaný v odůvodnění uvedl, že předmětné zpracování osobních údajů je nutno podřadit pod Hlavu III zákona č. 110/2019 Sb., jelikož prostřednictvím tohoto zpracování Policie plnila svoje úkoly vymezené v ustanovení § 24 odst. 1 tohoto zákona, když např. porušení izolace zakládalo podmínky k trestnímu stíhání. Při plnění tohoto úkolu však došlo, vzhledem k plošnému shromažďování osobních údajů, ke zjevnému a nepřípustnému překročení limitace představované ustanovením § 79 odst. 3 zákona o Policii. Dle žalovaného pak na tomto nemůže nic změnit ani to, že předmětné údaje byly pořizovány v režimu nařízení GDPR.

27. Žalovaný k příkazu ze dne 13. 12. 2021, č.j. UOOU–05143/21–3, uvedl, že tento byl vydán za situace, kdy docházelo k opětovnému nárůstu počtu osob s prokázaným onemocněním COVID–19 a situace tedy nenasvědčovala blížícímu se konci epidemie a souvisejících opatření. Kontrola ve věci zpracování údajů osob, jimž byla nařízena karanténa v souvislosti s onemocněním COVID–19 byla zahájena dne 9. 3. 2021 a ukončena protokolem o kontrole ze dne 20. 5. 2021. Žalovaný se tedy věcí nezačal zabývat až tehdy, kdy začalo být pravděpodobné, že provoz aplikace bude již brzy ukončen.

28. Městský soud v Praze na základě žaloby, v rozsahu žalobních bodů, kterými je vázán (ustanovení § 75 odst. 2 s. ř. s.), přezkoumal napadené rozhodnutí, včetně řízení, které jeho vydání předcházelo. Při přezkoumání rozhodnutí soud vycházel ze skutkového a právního stavu, který tu byl v době rozhodování správního orgánu (ustanovení § 75 odst. 1 s. ř. s.) a dospěl k závěru, že žaloba nebyla podána důvodně.

29. Soud považuje nejprve za vhodné uvést, že je toho názoru, že žalobci se v napadeném rozhodnutí dostalo dostatečné a srozumitelné odpovědi na veškeré jeho výhrady. Vzhledem k tomu, že není smyslem soudního přezkumu stále dokola podrobně opakovat již jednou vyřčené a pouze tak žalobci poskytnout „jinou“ či „lepší“ odpověď na jeho námitky, městský soud v plném rozsahu odkazuje na odůvodnění napadeného rozhodnutí, které považuje za řádné a věcně správné a se kterým se ztotožňuje a bere jej za své. K tomu lze ještě uvést (obdobně, jako to platí pro odvolací orgán a vypořádání odvolacích námitek), že povinnost posoudit všechny žalobní námitky neznamená, že správní soud je povinen reagovat na každou z dílčí argumentace a tu obsáhle vyvrátit, jeho úkolem je vypořádat se s obsahem a smyslem žalobní argumentace (viz rozsudek Nejvyššího správního soudu ze dne 3. 4. 2014, č.j. 7 As 126/2013–19).

30. Podle ustanovení § 24 zákona č. 110/2019 Sb.: „(1) Nestanoví–li zákon jinak, ustanovení této hlavy se použijí při zpracování osobních údajů, které je nezbytné pro plnění úkolu a výkon veřejné moci spravujícího orgánu stanovených jinými zákony za účelem předcházení, vyhledávání a odhalování trestné činnosti, stíhání trestných činů, výkonu trestů a ochranných opatření, zajišťování bezpečnosti České republiky nebo zajišťování veřejného pořádku a vnitřní bezpečnosti, včetně pátrání po osobách a věcech. (2) Pro účely této hlavy se použije čl. 4 body 1 až 6, 8, 9, 12 až 15 a 26 nařízení Evropského parlamentu a Rady (EU) 2016/679 obdobně. (3) Spravujícím orgánem se rozumí orgán veřejné moci příslušný k plnění úkolu uvedeného v odstavci 1, který není zpravodajskou službou nebo obecní policií. (4) Ustanovení této hlavy se použijí na zpracování osobních údajů, které jsou nebo mají být zařazeny do evidence, nebo pokud toto zpracování probíhá zcela nebo částečně automatizovaně.“

31. Podle ustanovení § 27 téhož zákona: „Spravující orgán zveřejní způsobem umožňujícím dálkový přístup informace o a) svém názvu a kontaktních údajích, b) kontaktních údajích pověřence pro ochranu osobních údajů (dále jen "pověřenec"), c) účelu zpracování osobních údajů, d) právu podat stížnost k Úřadu a kontaktních údajích Úřadu a e) právu na přístup k osobním údajům, jejich opravu, omezení zpracování nebo výmaz.“

32. Podle ustanovení § 37 téhož zákona: „Je–li pravděpodobné, že určitý druh připravovaného zpracování osobních údajů povede vzhledem k jeho povaze, rozsahu, okolnostem nebo účelu k vysokému riziku neoprávněného zásahu do práv a svobod subjektů údajů, vypracuje spravující orgán posouzení vlivu takového zpracování na ochranu osobních údajů, které obsahuje alespoň a) obecný popis připravovaného zpracování osobních údajů a jeho operací, b) posouzení rizika neoprávněného zásahu do práv a svobod subjektů údajů a c) plánovaná opatření a vhodné záruky ke zmenšení rizika podle písmene b) a splnění povinností podle této hlavy.“

33. Podle ustanovení § 38 odst. 1 téhož zákona: „Má–li připravovaným zpracováním osobních údajů vzniknout nová evidence, spravující orgán podá Úřadu žádost o projednání takového zpracování, pokud a) z posouzení podle § 37 vyplývá vysoké riziko neoprávněného zásahu do práv a svobod subjektů údajů, nebo b) druh zpracování osobních údajů, s přihlédnutím k využití nových technologií nebo postupů, vede k vysokému riziku zásahu do práv a svobod subjektů údajů.“

34. Podle ustanovení § 63 odst. 1 téhož zákona: „Právnická osoba se dopustí přestupku tím, že při zpracování osobních údajů: a) v rozporu s § 25 odst. 1 písm. a) nestanoví účel zpracování osobních údajů nebo stanoveným účelem zpracování osobních údajů poruší povinnost nebo překročí oprávnění vyplývající z jiného zákona, (…) d) v rozporu s § 27 neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem, (…) k) v rozporu s § 37 neprovede posouzení vlivu na ochranu osobních údajů, l) v rozporu s § 38 odst. 1 nepožádá Úřad o projednání připravovaného zpracování osobních údajů, (…)“

35. Podle ustanovení § 62 odst. 5 téhož zákona: „Úřad upustí od uložení správního trestu také tehdy, jde–li o správce a zpracovatele uvedené v čl. 83 odst. 7 nařízení Evropského parlamentu a Rady (EU) 2016/679.“

36. Podle ustanovení § 79 odst. 3 zákona o Policii: „Shromažďovat údaje o rasovém nebo etnickém původu, náboženském, filosofickém nebo politickém přesvědčení, členství v odborové organizaci, zdravotním stavu, sexuálním chování nebo sexuální orientaci lze pouze tehdy, je–li to nezbytné pro účely šetření konkrétního trestného činu nebo přestupku, nebo při poskytování ochrany osob.“

37. Podle ustanovení § 66 odst. 1 téhož zákona: „Policie může v rozsahu potřebném pro plnění konkrétního úkolu žádat od správce evidence nebo zpracovatele poskytnutí informací z evidence provozované na základě jiného právního předpisu. Správce evidence nebo zpracovatel poskytne informace bezplatně, nestanoví–li jiný právní předpis jinak. Správce evidence nebo zpracovatel jsou povinni žádosti bez zbytečného odkladu vyhovět, nestanoví–li jiný právní předpis pro poskytnutí informací policii jiný režim.“

38. Podle ustanovení § 69 odst. 2 zákona o ochraně veřejného zdraví: „Mimořádná opatření podle odstavce 1 nařídí v nezbytně nutném rozsahu a rozhodne o jejich ukončení příslušný orgán ochrany veřejného zdraví. Pokud je to nezbytné k realizaci opatření na ochranu veřejného zdraví, vyžádá si poskytovatel zdravotních služeb nebo orgán ochrany veřejného zdraví součinnost Policie České republiky. Místní příslušnost orgánu ochrany veřejného zdraví se řídí místem výskytu infekčního onemocnění. Odvolání proti rozhodnutí příslušného orgánu ochrany veřejného zdraví nemá odkladný účinek. Osoby jsou povinny se mimořádnému opatření podřídit.“

39. Žalobce uplatnil několik žalobních námitek, soud se jako první zabýval námitkou zpochybňující jeho způsobilost být subjektem přestupku, což je jeden z nezbytných znaků přestupku. Žalovaný v této souvislosti vycházel ze stanoviska plána Nejvyššího soudu ze dne 22. 1. 1997, sp.zn. Plsn 2/96, které není dle žalobce na daný případ přiléhavé.

40. Nejvyšší soud vyslovil v tomto stanovisko následující právní věty: „I. Policie České republiky není právnickou osobou a zákon jí nepřiznává ani způsobilost být účastníkem řízení před soudem. Způsobilost mít práva a povinnosti, jakož i způsobilost být účastníkem řízení, má ve věcech týkajících se Policie České republiky stát, tj. Česká republika. II. Jménem České republiky jedná (činí právní úkony) ve věcech týkajících se Policie České republiky státní orgán, jehož se věc týká. Tímto orgánem jsou v záležitostech souvisejících se služebním poměrem policistů (s výjimkou policistů povolaných k plnění úkolů v Ministerstvu vnitra nebo v jiných orgánech, institucích a právnických osobách) Policejní prezidium České republiky (s výjimkou vyšetřovatelů policie) a příslušné útvary Policie České republiky v ostatních záležitostech je tímto orgánem Ministerstvo vnitra. III. Před soudem za Českou republiku jedná ve věci týkající se Policie České republiky zaměstnanec nebo policista pověřený Ministerstvem vnitra, Policejním prezidiem České republiky, popřípadě příslušným útvarem Policie České republiky, podle toho, kterého z těchto orgánů se věc týká. Uvedené orgány mohou pověřit jednáním za stát též zaměstnance nebo policistu působícího u jiného orgánu, popřípadě i zaměstnance jiného státního orgánu.“

41. Totožnou žalobní námitku již zdejší soud vypořádal v rozsudku ze dne 14. 9. 2010, č.j. 6 Ca 179/2007–78, kde mimo jiné uvedl, že „Policii České republiky však nelze považovat za právnickou osobu a protože jde (§ 1 odst. 1 zákona č. 283/1991 Sb.) o ozbrojený bezpečnostní sbor České republiky [pozn. soudu: nyní platí ustanovení § 1 zákona o Policii], nemůže být nositelem způsobilosti mít práva a povinnosti ve věcech týkajících se policie nikdo jiný než stát, tedy Česká republika (§ 21 občanského zákoníku).“ Protože v dané věci subjektem předmětných přestupků dle ustanovení § 63 odst. 1 písm. a), d), k) a l) zákona č. 110/2019 Sb. může být pouze právnická osoba, která se jich dopustí při zpracování osobních údajů (tj. jako zpracovatel), je zřejmé, že v předmětném případě je subjektem takového přestupku, který byl spáchán jednáním Policie České republiky, Česká republika, která tak je pasivně legitimována. Za Policii České republiky potom na základě zákona č. 219/2000 Sb., o majetku České republiky a jejím vystupování v právních vztazích, ve znění pozdějších předpisů, vystupuje v odpovědnostním právním vztahu Ministerstvo vnitra České republiky.

42. Zdejší soud pak v dalším rozsudku ze dne 26. 11. 2015, č.j. 5A 321/2011–57, dospěl k závěru, že „[v]zhledem k tomu, že Policie České republiky není nadána právní osobností a nemůže být osobou odpovědnou za spáchání správního deliktu ve smyslu zákona o ochraně osobních údajů (pozn. soudu: zákona č. 101/2000 Sb., o ochraně osobních údajů), jedná jménem České republiky Ministerstvo vnitra, které je současně subjektem předmětného správního deliktu.“

43. Tuto žalobní námitku tak soud neshledal důvodnou, neboť ve svém důsledku by přijmutí této argumentace žalobce znamenalo, že by v obdobných případech absentoval odpovědný subjekt, což jistě nebylo záměrem zákonodárce.

44. Soud se dále zabýval námitkami žalobce uplatněnými vůči jednotlivým příkazům (srov. bod [3] tohoto rozsudku). Na tomto místě již soud nepovažuje za nutné rekapitulovat chronologii věci, neboť ta je oběma účastníkům řízení velmi podrobně známá. Oba účastníci řízení se však částečně ve své argumentaci vznesené v řízení před soudem mýlí.

45. Žalobce se mýlí v tom, že by žalovaný jeho nezákonné zpracování osobních údajů od počátku řízení aproboval. V daném případě je totiž třeba důsledně odlišovat pojmy izolace a karanténa, neboť žalobce byl žalobou napadeným rozhodnutím potrestán za přestupky v souvislosti se zpracováním osobních údajů osob, jimž byla nařízena izolace (nikoli karanténa), v aplikaci Karanténa. Zatímco karanténa se nařizuje, resp. nařizovala zdravým fyzickým osobám (tj. osobám bez příznaků), které byly během inkubační doby ve styku s nakaženou osobou (v tzv. „blízkém kontaktu“), a to s cílem zabránit dalšímu přenosu infekčního onemocnění, tak izolace byla nařizována osobám s potvrzeným infekčním onemocněním (např. na základě pozitivního výsledku testu), a to s cílem oddělení nemocných či prokázaně nakažených od zdravých osob, resp. s cílem zabránit dalšímu šíření infekce.

46. První příkaz ze dne 12. 7. 2021 se totiž sice týkal aplikace Karanténa, ale toliko ve vztahu ke zpracování osobních údajů osob, jimž byla nařízena karanténa. Podřadil–li tento režim zpracování (tj. ve vztahu k osobám v karanténě) žalovaný pod režim nařízení GDPR, nemohl dle soudu v žalobci jakkoli vzbudit legitimní očekávání, že i zpracovávání osobních údajů osob v izolaci (byť prostřednictvím stejné aplikace Karanténa) bude rovněž podřazeno pod stejný režim a nikoliv pod režim směrnice LED.

47. Na druhou stranu žalovaný pochybil v tom, že tímto příkazem shledal žalobce vinným z několika z přestupků dle ustanovení § 62 odst. 1 písm. b) a c) zákona č. 110/2019 Sb. (srov. výroky II. 1. a 2.), avšak zároveň výrokem II. 3. upustil podle ustanovení § 62 odst. 5 téhož zákona od uložení správního trestu. Jak totiž uvedl NSS v nedávném rozsudku ze dne 26. 3. 2024, č.j. 6 As 32/2023–40, tak „správní řád ani zákon č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, neumožňuje upustit od potrestání příkazem (§ 90 zákona o odpovědnosti za přestupky a řízení o nich.)“ V podrobnostech soud na tento rozsudek NSS odkazuje a dále uvádí, že již jen z tohoto důvodu je nutné první příkaz ze dne 12. 7. 2021 považovat za rozporný se zákonem, a to nejen v rozporu s ustanovením § 90 odst. 1 věta druhá zákona č. 250/2016 Sb., ale i s ustanovením § 150 odst. 1 věta první správního řádu. V daném případě se však nejedná dle soudu o natolik závažnou vadu, která by tento příkaz činila nicotným (tj. od počátku neexistentním). Nadto je třeba zdůraznit, že podáním odporu proti tomuto příkazu byla zrušena jeho funkce coby nepravomocného rozhodnutí, zůstaly mu však zachovány účinky coby alternativy k oznámení zahájení řízení (srov. rozsudky NSS ze dne 23. 12. 2015, č.j. 2 As 216/2015–44, ze dne 16. 4. 2021, č.j. 5 As 306/2020–27 či ze dne 5. 4. 2023, č.j. 4 As 67/2023–27). Především je však nutno zdůraznit, že tento příkaz se týkal řízení o přestupcích týkajících se zpracovávání osobních údajů osob s nařízenou karanténou, nikoli s nařízenou izolací. Těchto osobních údajů se totiž explicitně týkal až třetí příkaz ze dne 29. 7. 2022.

48. Co se týče dalších povinností uložených prvním příkazem ze dne 12. 7. 2021 (srov. jeho výrok I.) a druhým příkazem ze dne 13. 12. 2021, tak soud uvádí, že podle obecné úpravy ustanovení § 150 odst. 1 věta první správního řádu platí, že „v řízení z moci úřední a ve sporném řízení lze uložit povinnost formou písemného příkazu.“ Žalobci tedy byly v těchto příkazech specifikované povinnosti uloženy v souladu se zákonem.

49. K argumentaci žalobce, že druhý příkaz ze dne 13. 12. 2021 byl vydán v době, kdy již bylo patrné, že brzy dojde k ukončení provozu aplikace Karanténa, a to z důvodu konce pandemie, soud uvádí, že tento příkaz byl dle žalovaného vydán v době, kdy docházelo k opětovnému nárůstu počtu osob s prokázaným onemocněním COVID–19 a situace tedy nenasvědčovala blížícímu se konci pandemie. Soud v této souvislosti připomíná, že kontrola ve věci zpracování osobních údajů, jimž byla nařízena karanténa, byla zahájena již dne 9. 3. 2021. Ukončena pak byla protokolem o kontrole ze dne 20. 5. 2021, na který poté navázal první příkaz ze dne 12. 7. 2021. Byť se tedy jednalo o kontrolu ve vztahu k osobním údajům osob, jimž byla nařízena karanténa, tak na základě této kontroly a další pozdějších zjištění, nabyl žalovaný podezření ze spáchání předmětných přestupků ve vztahu k osobním údajům osob, jimž byla nařízena izolace, a proto dne 29. 7. 2022 vydal třetí příkaz, který se vztahoval pouze ke zpracování těchto osobních údajů.

50. Je zjevné, že tento příkaz byl vydán za situace, kdy již bylo zřejmé, že pandemie končí, nicméně tato skutečnost neznamená, že s koncem pandemie skončila i přestupková odpovědnost žalobce. Za situace, kdy zcela zjevně neuplynuly ve vztahu k předmětným přestupkům promlčecí lhůty, žalovaný nepochybil, pokud řízení o odpovědnosti žalobce za přestupky dle ustanovení § 63 odst. a), d), k) a l) zákona č. 110/2019 Sb. zahájil až příkazem ze dne 29. 7. 2022.

51. K související námitce žalobce, že žalovaný obviněné z přestupku, podají–li odpor proti příkazu, nijak neinformuje o jejich procesních právech, soud uvádí, že takto formulovaná námitka není ve správním soudnictví přípustná, neboť v řízení před správními soudy se lze domáhat ochrany toliko ve své věci, jež byla předmětem nyní žalobou napadeného rozhodnutí, a nikoli v jiných blíže nespecifikovaných věcech.

52. Před samotným meritorním posouzením soud ještě považoval za vhodné zabývat se další procesní námitkou žalobce, a to námitkou, že žalovaný pochybil, pokud nespojil přestupkové řízení týkající se zpracování osobních údajů o nařízených izolací s řízením týkajícím se zpracování osobních údajů o nařízených karanténách.

53. Podle ustanovení § 140 odst. 1 správního řádu: „Správní orgán může na požádání účastníka nebo z moci úřední usnesením spojit různá řízení, k nimž je příslušný, pokud se týkají téhož předmětu řízení nebo spolu jinak věcně souvisejí anebo se týkají týchž účastníků, nebrání–li tomu povaha věci, účel řízení anebo ochrana práv nebo oprávněných zájmů účastníků. Spojit řízení lze i v průběhu řízení za předpokladu, že tím nevznikne nebezpečí újmy některému z účastníků.“

54. Podle ustanovení § 88 odst. 1 zákona č. 250/2016 Sb.: „Pokud se podezřelý dopustil více přestupků, jejichž skutková podstata se týká porušení právních povinností vyskytujících se ve stejné oblasti veřejné správy, a k jejich projednání je příslušný týž správní orgán, projednají se ve společném řízení.“

55. Jak přiléhavě popsal žalovaný, tak v přestupkovém řízení, které vyústilo ve vydání žalobou napadeného rozhodnutí, šlo o zpracování osobních údajů prováděné v režimu Hlavy III zákona č. 110/2019 Sb. za účelem předcházení, vyhledávání nebo odhalování trestné činnosti, zatímco druhé řízení (týkají se nařízených karantén) se týká zpracování osobních údajů v režimu Hlavy II zákona č. 110/2019 Sb., tj. zpracování podléhající nařízení GDPR. Nicméně skutečnost, že jedná o dva režimy zpracování osobních údajů, nemůže dle soudu prolomit ustanovení § 88 odst. 1 zákona č. 250/2016 Sb., které klíčovou okolnost rozhodnou pro obligatorní vedení společného řízení spatřuje v tom, že se přestupky vyskytují ve stejné oblasti veřejné správy, což je v daném případě bezesporu naplněno.

56. Dle soudu tak bylo v daném případě vedení společného řízení na místě, a to i mimo jiné z toho důvodu, že základem pro nyní žalobou napadené rozhodnutí, resp. pro řízení předcházející jeho vydání se stal spisový materiál shromážděný v dříve zahájených řízeních týkajících se osobních údajů osob s nařízenou karanténou (srov. bod [21] tohoto rozsudku). Nicméně tato vada dle soudu nezpůsobuje nezákonnost nyní vydaného rozhodnutí. Je tomu tak proto, že k nezákonnosti by mohlo dojít pouze tehdy, byly–li by přestupky projednány v samostatných řízeních a u v pořadí druhého (či dalšího) rozhodnutí by nebyla dodržena absorpční zásada zakotvená v ustanovení § 41 zákona č. 250/2016 Sb. pro ukládání trestu za souběh přestupku. Jelikož v daném případě se jedná o první rozhodnutí žalovaného týkající se aplikace Karanténa, tak se nemohl tohoto pochybení nyní dopustit. Jak podotkl žalovaný, tak řízení ve věci týkající se zpracování osobních údajů osob s nařízenou karanténou ještě nebylo ukončeno.

57. Co se týče meritorního posouzení věci, tak soud dospěl k závěru, že předmětné zpracování osobních údajů je nutné podřadit pod režim Hlavy III zákona č. 110/2019 Sb., neboť osobní údaj osob s nařízenou izolací sloužily primárně k plnění úkolů Policii za účelem předcházení, vyhledávání a odhalování trestné činnosti atd., jak stanoví ustanovení § 24 odst. 1 zákona č. 110/2019 Sb. V řízení totiž bylo zjištěno, že porušení izolace (byť v několika málo případech) mělo trestněprávní konsekvence.

58. Při plnění těchto úkolů je však Policie omezena ustanovením § 79 odst. 3 zákona o Policii, které umožňuje shromažďovat údaje o zdravotním stavu pouze tehdy, je–li to nezbytné pro účely šetření konkrétního trestného činu nebo přestupku. Pro plošné zpracování (shromažďování) osobních údajů týkající se zdravotních stavu neměla a nemá Policie zákonné oprávnění. Skutečnost, že se jednalo o plošné shromažďování osobních údajů, vyplývá jednak z pouhého počtu zpracovaných osobních údajů (pozn. soudu: jednalo se o údaje celkem 2.110.084 osob za období od 1. 4. 2021 do 8. 3. 2022), který de facto vylučuje, aby se jednalo o šetření konkrétního trestného činu či přestupku, a jednak z toho, že Policie tyto údaje využívala při namátkových, standardních kontrolách, které ze své povahy nesměřují k šetření konkrétního trestného činu či přestupku.

59. Žalovaným bylo totiž v řízení zjištěno, že kromě namátkových kontrol probíhaly v daném období i kontroly cílené, které byly prováděné v součinnosti s příslušnými krajskými hygienickými stanicemi při využití údajů zpracovaných hygieniky, nikoliv při využití údajů čerpaných z aplikace Karanténa. Rovněž pak bylo zjištěno, že porušení nařízení izolace, zjištěné Policií v rámci namátkových kontrol bylo předáváno službě kriminální policie k šetření podezření ze spáchání trestného činu, naproti tomu zjištěná porušení karantény byla oznamována příslušné krajské hygienické stanici jako podklad pro správní trestání. Dle soudu je tak nepochybné, že osobní údaje o zdravotním stavu osob (o nařízené izolaci) zpracovávané v aplikace Karanténa tak sloužily primárně k plnění úkolů Policie vymezených v ustanovení § 24 odst. 1 zákona č. 110/2019 Sb., a nikoli k plnění součinnosti Policie s jiným orgány, jak namítal žalobce.

60. Ve shodě s žalovaným má soud za to, že Policie byla spravujícím orgánem aplikace Karanténa, kterou sama vytvořila. V této souvislosti soud považuje za nejdůležitější důkaz dopis Policejního prezidenta ze dne 12. 3. 2020, z něhož jasně vyplývá iniciativa Policie ke zřízení předmětné evidence. Tento dopis byl adresován ústřednímu řediteli ČSSZ a náměstkovi pro legislativu a právo Ministerstva zdravotnictví. Policejní prezident zde deklaroval připravenost Policie ČR pod vedením (supervizí) orgánů ochrany veřejného zdraví provádět úkony směřující k realizaci opatření na ochranu veřejného zdraví, včetně kontroly. Tím policejní prezident odůvodnil svůj závěr, že příslušníci Policie ČR se musí v nezbytném rozsahu seznamovat s osobními údaji osob, vůči nimž by měla být kontrola vykonána. Následně policejní prezident vyzval oslovené subjekty k poskytování strukturovaných dat o osobách, jimž byla nařízena karanténa s pravidelnou týdenní aktualizací, což dle svých slov činí „v návaznosti na vyhlášená mimořádná opatření na základě pravomoci Policie ČR dané ustanovením § 69 odst. 2 zákona o ochraně veřejného zdraví.“ Ustanovení § 69 odst. 2 zákona o ochraně veřejného zdraví podmiňuje úlohu Policie ČR při realizaci mimořádných opatření vyžádáním této součinnost ze strany poskytovatele zdravotních služeb nebo orgánu ochrany veřejného zdraví. V daném případě však nebylo prokázáno, že by policejní prezident při své výzvě k poskytnutí strukturovaných osobních údajů vycházel z jakékoli výzvy k součinnosti ze strany Ministerstva zdravotnictví či Ministerstva práce a sociálních věcí.

61. Soud dále považuje za nutné odkázat na bod III. písm. e) usnesení Ústředního krizového štábu ze dne 16. 3. 2020, dle kterého bylo náměstkovi ministra práce a sociálních věcí a hlavní hygieničce ČR uloženo vytvořit evidenci osob v karanténě za účelem kontroly ze strany Policie ČR. Tento bod tedy Policii nijak nezmocňuje k vedení aplikace Karanténa, pouze svědčí o tom, že vytvořená evidence, jejímž správcem by bylo buď Ministerstvo práce a sociálních věcí nebo orgány hygienické správy, byla Policii zpřístupněna. Jak správně podotkl žalovaný, takové zpřístupnění by bylo realizováno prostřednictvím ustanovení § 66 odst. 1 zákona o Policii. Zjištěný reálný stav je však v rozporu s tímto usnesením Ústředního krizového štábu.

62. Ostatně i žalovaný uváděl, že postup, kdy by správcem evidence bylo Ministerstvo práce a sociálních věcí, resp. orgány hygienické správy, a tato byla následně zpřístupněna Policii dle ustanovení § 66 odst. 1 zákona o Policii, by byl jak v souladu s právními předpisy, tak i s formulací předmětného úkolu dle bodu III. písm. e) usnesení Ústředního krizového štábu ze dne 16. 3. 2020.

63. Soud dále uvádí, že Policie ČR je oprávněna vyžadovat si součinnost od ostatních orgánů a osob, nicméně toto oprávnění je limitováno rozsahem vlastních oprávnění a kompetencí Policie. Jinými slovy, požadovala–li Policie součinnost od jiných orgánů státní správy za účelem vytvoření plošné evidence osob v karanténě a posléze v izolaci, pak Policie své zákonné oprávnění překročila. Za takové situace soudu nepřijde vhodné bránit se tím, že se jedná o pochybení toho, kdo Policii osobní údaje poskytl. Jelikož iniciativa ke zpracování osobních údajů o zdravotním stavu osob vzešla od Policie, tak soudu přijde v pořádku, pokud bylo řízení zahájeno se žalobcem, nikoliv s jinými orgány státní správy.

64. Co se týče úvah žalobce ohledně toho, pod jaký režim spadalo v daném případě zpracování předmětných osobních údajů, tak soud předně uvádí, že vztahu k osobním údajům osob s nařízenou izolací žalovaný na počátku řízení nevyslovil závěr, že se jedná o režim dle nařízení GDPR, neboť tento závěr žalovaný učinil toliko k osobním údajům osob s nařízenou karanténou, což soud (a ostatně ani žalobce) nijak nezpochybňuje.

65. Je pravdou, že na oblast upravenou Hlavou IV zákona č. 110/2019 Sb. (Ochrana osobních údajů při zajišťování obranných a bezpečnostních zájmů České republiky) se skutečně dozorová pravomoc žalovaného nevztahuje, nicméně dle názoru soudu se o daný případ nejedná, neboť Policie předmětné osobní údaje zpracovávala jednak ve strukturované podobě a jednak až od dubna 2021 (zatímco pandemie vypukla v březnu 2020), což dle soudu vylučuje faktor časové tísně. Hovoří–li tedy důvodová zpráva k této hlavě zákona č. 110/2019 Sb., že je možnost tuto aplikovat i na zpracování, u nichž je to odůvodněno podmínkami, ve kterých probíhají, pak dle soudu tyto mimořádné podmínky nebyly ze zmíněných důvodů dány.

66. K argumentaci žalobce, že se nejednalo o závažné porušení zákona, soud uvádí, že „nezávažnost“ přestupku nelze dovozovat z toho, že žalovaný shledal potřebu efektivně zasáhnout proti nezákonnému jednání Policie až tehdy, kdy se pandemie chýlila ke konci. Naopak závažnost v daném případě je dána především tím, že došlo k zásahu do práva 2.110.084 osob na to, aby jejich osobní údaje o zdravotním stavu nebyly shromažďovány mimo případy, kdy to zákon výslovně stanoví, resp. umožňuje.

67. Mimořádnost celé situace (pandemie onemocnění COVID–19) soud nijak nezpochybňuje, což nečinil ani žalovaný, neboť pokutu uložil ve výši cca 10 % z možného maxima, čímž mimořádnost nastalé situace dle soudu dostatečně reflektoval.

68. Soud dále nezpochybňuje ani to, že postup Policie byl reaktivní, což byl ostatně postup všech státní dotčených orgánů veřejné správy. Nicméně v postupu žalovaného soud neshledal pochybení spočívající v tom, že by žalovaný porušil ustanovení § 2 odst. 4 správního řádu, neboť Policie byla zpracovatelem předmětných osobních údajů, které si sama od dotčených orgánů vyžádala (nelze ji tedy sice formálně vzato označit za „původce“ údajů, ale ani za pouhého „pasivního příjemce“ údajů), či že by jako podklad pro své rozhodnutí vzal pouhé domněnky, jak namítal žalobce.

69. V replice pak žalobce ještě namítal, že žalovaný ke zjištění skutkového stavu, resp. k prokázání viny žalobce, nevyužil veškeré důkazní prostředky (např. výslechy svědků). Soud k této námitce uvádí, že jednak žalobce v průběhu řízení tento postup (výslechy) svědků ani nenavrhl a že jednak považuje ve shodě s žalovaným listinné podklady pro rozhodnutí založené ve spisu za dostatečné pro vyslovení závěru, že se žalobce předmětných přestupků na úseku ochrany osobních údajů dopustil.

70. Ze všech shora uvedených důvodů proto soud neshledal žalobu důvodnou a podle ustanovení § 78 odst. 7 s. ř. s. žalobu zamítl.

71. Výrok o nákladech řízení je odůvodněn ustanovení § 60 odst. 1 s. ř. s., neboť žalobce nebyl ve sporu úspěšný a žalovanému žádné náklady v řízení nevznikly.