8 A 16/2020– 40

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedy JUDr. Slavomíra Nováka a soudkyň Mgr. Jany Jurečkové a Mgr. Andrey Veselé ve věci žalobce proti žalovanému Ministerstvo vnitra České republiky, sídlem Nad Štolou 963/3, 170 34 Praha 7 Úřad pro ochranu osobních údajů sídlem Pplk. Sochora 27, 170 00 Praha 7 o žalobě proti rozhodnutí žalovaného ze dne 5. prosince 2019, č. j. UOOU–09383/18–17, takto:

Výrok

I. Žaloba se zamítá.

II. Žádný z účastníků nemá právo na náhradu nákladů řízení.

Odůvodnění

I. Základ sporu

1. Ministerstvo vnitra se podanou žalobou domáhalo zrušení rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů (dále jen „Úřad“) ze dne 5. 12. 2019, kterým byl zamítnut rozklad žalobce a potvrzeno rozhodnutí Úřadu pro ochranu osobních údajů ze dne 7. 8. 2019, č. j. UOOU–09383/18–8, jímž byl žalobce uznán vinným ze spáchání přestupku 1. podle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., tedy porušila některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679, a to tím, že ke dni 4. července 2018 uchovávala v souvislosti se zasláním „Žádosti o založení státního zaměstnance – cizince bez možnosti ztotožnění podle registru obyvatel – do rejstříku státních zaměstnanců a přidělení evidenčního čísla“ ve 144 případech osobní údaje uvedené v kopiích osobních dokladů, minimálně v rozsahu fotografie a případně podpis držitele dokladu, a to a) v rozporu s účelem, k němuž byly shromážděny, tedy za účelem ověření totožnosti subjektu údajů, čímž porušila povinnost stanovenou v čl. 5 odst. 1 písm. b) nařízení (EU) 2016/679, b) bez relevantního právního titulu, čímž porušila povinnost stanovenou v čl. 6 odst. 1 nařízení 2016/679, 2. a dále podle § 62 odst. 1 písm. a) zákona č. 101/2000 Sb., tedy porušila některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II, a to tím, že v době nejméně od 1. července 2015 do 7. srpna 2018 v ISoSS nevedla záznamy o přístupech oprávněných zaměstnanců služebních úřadů do tohoto systému, tedy záznamy, které umožní určit, kdo k údajům konkrétního subjektu údajů přistoupil, a za jakým účelem, čímž porušila povinnost stanovenou v čl. 32 odst. 1 nařízení (EU) 2016/679.

2. Úřad současně podle § 62 odst. 5 zákona č. 110/2019 Sb. upustil od uložení správního trestu a dále žalobci podle § 95 odst. 1 zákona č. 250/2016 Sb. uložil povinnost nahradit náklady řízení ve výši 1.000 Kč.

II. Obsah žaloby a vyjádření žalovaného

3. Žalobce v podané žalobě především vznesl námitku proti tomu, jakým způsobem bylo zahájeno řízení o přestupku. Stalo se tak formou „příkazu“, jímž je deklarována vina, aniž by jím byla ukládána jakákoliv povinnost.

4. Žalobce odmítl výklad Úřadu, že jde o zvláštní případ, a proto je i zvláštním způsobem rozhodováno. Bez ohledu na kvality senátního pozměňovacího návrhu je třeba respektovat právní rámec, v němž má být rozhodováno.

5. Pokud hodlá úřad rozhodovat příkazem, je limitován § 150 odst. 1 správního řádu, který připouští toliko uložení povinnosti, a dále ustanovením § 90 odst. 1 zákona o odpovědnosti za přestupky a řízení o nich, kde je obsažen taxativní výčet možností pro rozhodnutí příkazem. V předchozí i aktuální úpravě platí, že v příkazním řízení na místě lze rozhodnout jen několika málo způsoby, nikoliv však způsobem, který zvolil Úřad, v příkazním řízení s možností podání odporu je už více variant, i zde jsou ale způsoby rozhodování limitované, a plný rozsah všech možností lze využít až v nezkráceném standardním řízení.

6. V rámci oznámení o zahájení řízení (pokud by byl „příkaz“ za ně považován) měl správní orgán povinnost poučit účastníka o jeho právech, což se nestalo nejen ve fázi vydání příkazu, ale ani později v řízení, jak je standardem v případě podání odporu proti příkazu.

7. Na tom nic nemění ani skutečnost, že na straně Ministerstva vnitra lze oprávněně očekávat vyšší míru znalosti procesních pravidel, protože podobný postup stran „zahájení“ či pokračování v řízení nelze aprobovat jako standard spravedlivého procesu, který svědčí i právnickým osobám či orgánům státu.

8. Pokud by pak měl být „příkaz“ upouštějící od trestu považován za řádný způsob zahájení řízení, měl by obsahovat alespoň dostatečně určité vymezení věci, resp. skutku, který je označen za přestupek. Nedostatky vykazuje jak samotný „příkaz“, jímž mělo být řízení zahájeno, tak i rozhodnutí prvního stupně, aprobované posléze i rozhodnutím druhého stupně.

9. Dále žalobce namítal, že výrok typu „obviněný porušil některou ze zásad a nesplnil některé povinnosti dle hlavy II zákona, a proto se odsuzuje…“ by se ani v rámci správního trestání vůbec neměl objevit. Právo na spravedlivý proces a právo na obhajobu svědčí každému účastníkovi řízení bez rozdílu, a ani v případě řízení vedeného s jiným orgánem veřejné moci nelze aprobovat postup, kdy si má obviněný sám vybrat či odhadnout, čeho se vlastně dopustil.

10. Zde žalobce odkázal na rozhodnutí Vrchního soudu v Praze, 9 To 72/02, [R 31/2006 tr.], a dále Vrchního soudu v Olomouci, 1 To 66/2000, [R 39/2001 tr.], k náležitostem usnesení o zahájení trestního stíhání, anebo rozh. O 391/2004, s tím, že v usnesení o zahájení trestního stíhání musí být konkrétním způsobem vyjádřeno, v jakých skutečnostech je spatřováno naplnění všech znaků skutkové podstaty trestného činu, včetně subjektivní stránky. Nesplňuje–li usnesení o zahájení trestního stíhání tyto náležitosti, odporuje trestní stíhání obviněného ústavní zásadě stíhání jen ze zákonných důvodů a právu obviněného na obhajobu, což je závažná procesní vada.

11. Rozhodnutí vydané v prvním stupni je oproti příkazu již konkrétnější, ovšem je to až rozhodnutí, ze kterého se obviněný dozvídá podrobnější, jakkoliv stále „sběrnou“, kvalifikaci, což rovněž nelze považovat za postup souladný s principy spravedlivého procesu.

12. Zde žalobce odkázal na rozsudek NSS ze dne 7.4.2006, č.j. 6 As 23/2005 – 66, podle něhož je nezbytné, aby ten, komu je ukládán trest, neměl žádnou pochybnost o tom, jakými jednáními naplnil skutkovou podstatu deliktu, o jaký delikt se jedná a na základě jakých pravidel je mu ukládána sankce; pokud pak ohledně výše sankce existuje možnost správní úvahy, je povinností správního orgánu vyrovnat se v odůvodnění s podmínkami, které pro úvahu zákon stanoví.

13. Ohledně námitek, že některé specifikace výroku příkazu či předmětu řízení byly provedeny v odůvodnění, žalobce odkázal na povinnost uvést všechny náležitosti výroku rozhodnutí ve výroku rozhodnutí. Ten jediný působí právní účinky, deklaruje se jím vina a ukládají povinnosti. Ani z odůvodnění nadto nelze přesně seznat, která „zásada“ či který „článek“ nebo která část „hlavy II“ nebyla respektována. K uvedenému žalobce odkázal na bohatou recentní judikaturu, která jednoznačně odmítla praxi uvádění rozhodných skutečností až v odůvodnění (viz Vrchní soud v Praze, 3 To 105/93, [R 43/1994 tr.], k náležitostem výroku rozsudku, Nejvyšší soud, 11 Tz 129/2001, [R 41/2002 tr.], ke skutku a jeho popisu, k témuž i NS 18/2002–T 436, a Ústavní soud, II. ÚS 83/04, [195/2005 USn.] k právu obžalovaného na spravedlivý proces, nebo III. ÚS 554/03, k náležitostem výroku usnesení o zahájení trestního stíhání.)

14. Podle žalobce byly zcela nevhodné a nepřípadné i komentáře Úřadu, uvedené mj. v závěru odůvodnění rozhodnutí obou stupňů v odůvodnění, jenž poukazy žalobce na základní principy trestního práva a spravedlivého procesu označil za „bizarní“.

15. Dále žalobce uvedl, že z článku 83 odst. 4 GDPR, ani z § 62 zákona o zpracování osobních údajů neplyne, že by měl Úřad např. povinnost označovat porušení GDPR tak obecným způsobem, jak činí. Čl. 84 odst. 4 GDPR nepochybně umožňuje jednoznačně identifikovat ustanovení, které mělo být porušeno. To, že právem stanovené záruky spravedlivého procesu a účinné soudní ochrany při ukládání pokut, resp. při jakémkoli uplatňování pravomocí dozorového orgánu, zůstávají nedotčeny, se pak výslovně zdůrazňuje v čl. 83 odst. 8, resp. v čl. 58 odst. 4 GDPR.

16. Konečně žalobce namítl, že ať již bylo řízení řádně zahájené, byť „příkazem“ neukládajícím žádnou povinnost, anebo nikoliv, považuje za porušení zásady legitimního očekávání, pokud Úřad nejdříve uzavře kontrolu s tím, že netřeba dalších opatření, poté zahájí řízení o uložení nápravných opatření, které následně autoremedurou zase zastaví, následně informuje veřejnou tiskovou zprávou všechny orgány a osoby, včetně MV, že neuložil opatření k nápravě a od uložení pokuty upustil (za situace, kdy conditio sine qua non uložení trestu je výrok o vině), aby zhruba půl roku poté zahájil správní řízení trestní a obviněného přes výše uvedené kroky (zejména tiskovou zprávu z 25. 1. 2019, viz výše) následně uznal i vinným. Takový postup je svévolný a nepředvídatelný, přinejmenším pak zmatený a chybný, a konec konců nezákonný.

17. V části IV. žaloby pak žalobce obsáhle koncipoval své námitky ohledně rozporu s hmotným právem.

18. V závěru žaloby pak žalobce navrhl, aby soud zrušil jak napadené rozhodnutí předsedkyně Úřadu pro ochranu osobních údajů ze dne 5. 12. 2019, tak jemu předcházející rozhodnutí Úřadu ze dne 7. 8. 2019.

19. Žalovaný Úřad ve svém vyjádření k žalobě nejprve zkonstatoval, z jakého přestupku (přestupků) byl žalobce uznán vinným, a uvedl, že s ohledem na ustanovení § 62 odst. 5 zákona č. 110/2019 Sb. (dále jen „zákon o zpracování osobních údajů“) bylo upuštěno od uložení správního trestu. Dle žalovaného bylo pro upuštění od uložení správního trestu klíčové, že žalobce sám je státním orgánem, což možnosti správního trestání značně zplošťuje. Navíc lze mít jisté pochybnosti, jak vlastně může uložený správní trest zasáhnout do práv žalobce. Na druhé straně je žalovaný toho názoru, že i prostý výrok o vině má svůj význam pro kultivaci právního prostředí.

20. Žalovaný se poté krátce vyjadřuje k žalobě jako celku, kdy konstatuje, že žalobce uvádí jednak irelevantní skutečnosti anebo v zásadě opakuje stejné argumenty, které již uvedl v rozkladu, resp. v rámci předchozích řízení a se kterými se žalovaný již náležitě vypořádal a na tato vypořádání tudíž primárně odkazuje.

21. K námitce žalobce stran procesních vad příslušného řízení a zejména zahájení řízení formou příkazu žalovaný uvádí, že ustanovení § 62 odst. 5 zákona o zpracování osobních údajů nezakotvilo jakoukoliv procesní imunitu týkající se vyslovení viny ohledně spáchání přestupku anebo jinou exempci v rámci přestupkového řízení; toto pouze nařizuje upustit od uložení správního trestu. Pokud tedy nastaly okolnosti pro vedení přestupkového řízení, evidentně není, podle názoru žalovaného, vyloučen postup dle § 90 odst. 1 zákona č. 250/2016 Sb. (dále jen „přestupkového zákona“) umožňující o přestupku rozhodnout příkazem.

22. Žalovaný v této souvislosti podotýká, že věc byla dostatečně skutkově objasněna již v rámci kontroly, a to včetně otázky nápravy stavu. Připustil, že šlo o řešení „novátorské“, ale nikoliv o exces. Navíc, i pokud by kdyby bylo vydání předmětného příkazu shledáno vadným, bylo by nutno mít řízení za zahájené na základě oznámení žalovaného čj. UOOU–09383/18–5 ze dne 3. července 2019, jelikož toto oznámení splňuje náležitosti uvedené v § 46 odst. 1 zákona č. 500/2004 Sb., přičemž podle § 46 odst. 3 zákona č. 500/2004 Sb. může být oznámení o zahájení řízení spojeno s jiným úkonem v řízení.

23. Pokud jde o tvrzené porušení principu legitimního očekávání, žalovaný uvedl, že předmětem této žaloby je řízení o přestupku vedené pod sp. zn. UOOU–09383/18 a nikoli předchozí řízení o uložení nápravných opatření nebo předchozí kontrola. Nadto vydání tiskové zprávy žalovaného ze dne 25. ledna 2019 v žádném případě nebylo úkonem správního řízení. Navíc se žalovaný domnívá, že žádné jeho kroky neměly a nemohly být žalobcem interpretovány tak, že by snad mohl mít právem chráněnou důvěru žalobce ve skutečnost, že řízení o přestupku nebude vedeno.

24. Další námitkou žalobce bylo, že nebyl dostatečně poučen o svých právech a že nebyl dostatečně vymezen skutek, který je označen za přestupek. K tomu žalovaný uvádí, že v rozhodnutí správního orgánu I. stupně byly formulovány jednotlivé výroky tak, aby bylo zcela zjevné, jaká ustanovení byla předmětným jednáním porušena.

25. K námitce ohledně konkrétnosti výroků pak lze pouze uvést, že specifikace porušení, která jsou žalobci kladena za vinu, byla popsána ve výrokových částech, jak příkazu, tak rozhodnutí správního orgánu I. stupně, a následně blíže rozvedena v odůvodněních. V této souvislosti připomíná i rozsudek Městského soudu v Praze sp. zn. 5 A 142/2015 ze dne 15. listopadu 2018, kde se v bodu 23. odůvodnění, a to v návaznosti na usnesení rozšířeného senátu Nejvyššího správního soudu sp. zn. 2 As 34/2006 ze dne 15. ledna 2008, uvádí: „Postačí proto, že skutek je vymezen takovými znaky, které jej společně se zasazením do konkrétního místního a časového rámce bez pochybností odliší od jiného podobného jednání." 26. Námitku, že žalobce byl nedostatečně poučen o svých právech, tedy žalovaný zcela odmítl, přičemž poukázal i na to, že žalobce realizoval své právo nahlížet do správního spisu.

27. Pokud jde o argumentaci žalobce, podle níž se žádného pochybení nedopustil, předmětné jednání nedosahovalo vysokého stupně závažnosti a žalovaný se měl v odůvodnění odkazovat na politické proklamace spíše než na právní úpravu, k tomu žalovaný uvádí, že shledává argumentaci žalobce jako velmi rozpornou, jelikož z jedné strany provedl opatření k nápravě závadného stavu, nicméně zároveň jakékoli porušení svých povinností odmítá. Úvahy žalobce pak odmítá jako nepodložené spekulace, byť nedostatky adaptační úpravy jsou podle něj zjevné.

28. Dále žalovaný uvedl, že pokud žalobce v žalobě poukázal na několik právních titulů, jež mu dle jeho názoru umožňují praktikovat dosavadní postup ztotožňování cizinců, bylo by sice obecně možno toto akceptovat, nicméně z konkrétního pohledu je nutno připomenout, že příslušná s tím korespondující právní povinnost je vymezena ustanoveními §§ 180 – 183 zákona č. 234/2014 Sb., přičemž žalobce jakožto orgán státní moci tuto může vykonávat pouze v mezích stanovených zákonem a způsobem, který zákon stanoví (viz čl. 2 Listiny základních práv a svobod a čl. 2 Ústavy České republiky). Výše uvedená ustanovení zákona č. 234/2014 Sb. ovšem předmětné zpracovávání osobních údajů žalobci neukládají. Totéž se týká i připomenuté povinnosti dle § 48 odst. 2 zákona č. 234/2014 Sb., která je uložena výhradně orgánům činným v trestním řízení, a nikoli žalobci. Předmětné osobní údaje pak zjevně nebyly zpracovávány v režimu zákona č. 499/2004 Sb., o archivnictví a spisové službě, což vyvrací tvrzení ohledně zpracování pro archivní účely.

29. Navíc pokud by měly být uchovávané údaje v budoucnu dle argumentace žalobce nějak využity, muselo by docházet k jejich průběžné aktualizaci, což se nedělo.

30. Stran logování, které měl dle žalobce žalovaný vyžadovat proto, že vycházel ze zrušené právní úpravy, přičemž žalobce nastavil přiměřená, rizikům odpovídající opatření k ochraně osobních údajů, takže k žádnému zneužití osobních údajů nedošlo a ani nemohlo dojít, žalovaný uvádí, že v době, kdy se měl žalobce dopustit přestupku, se na něj povinnost logování nepochybně vztahovala.

31. Žalovaný by sice mohl připustit, že nová úprava by mohla pro žalobce představovat příznivější právní úpravu, zároveň však dle jeho názoru žalobce neuvedl žádný relevantní důvod, který by zpochybnil potřebu logování. Žalovaný pak došel k názoru, že je zde dána vysoká míra rizikovosti.

32. Obecně pak žalovaný zastává názor, že logování přístupů k osobním údajům je i po zrušení zákona č. 101/2000 Sb. jedním z nejzákladnějších prvků jejich zabezpečení, a to i s preventivní působností, a musí proto být vnímáno jako zcela běžná součást automatizovaného zpracovávání, resp. běžná součást technických a organizačních opatření pro zajištění důvěrnosti a integrity zpracovávaných osobních údajů, jak ukládá čl. 5 odst. 1 písm. f) a čl. 32 obecného nařízení.

33. Z výše uvedených důvodů se žalovaný domníval, že žaloba je nedůvodná a navrhl její zamítnutí.

III. Posouzení žaloby

34. Městský soud v Praze přezkoumal žalobou napadené rozhodnutí, jakož i řízení, které jeho vydání předcházelo, a dospěl k závěru, že žaloba nebyla podána důvodně.

35. Soud se nejprve zabýval žalobními námitkami procesní povahy, jak je žalobce prezentoval v části III. žaloby.

36. Především soud neshledal důvodnou výtku ohledně toho, že řízení o přestupku bylo zahájeno příkazem ze dne 26. 6. 2019, č. j. UOOU–09383/18–3, jenž byl v rozporu se zákonem proto, že jím nebyla žalobci uložena žádná povinnost, resp. sankce, a tento příkaz neobsahoval ani poučení žalobce o jeho procesních právech, ani dostatečně určité vymezení věci.

37. Podle ust. § 150 odst. 1 správního řádu povinnost v řízení z moci úřední a ve sporném řízení lze uložit formou písemného příkazu. Příkaz může správní orgán vydat, považuje–li skutkové zjištění za dostatečné; vydání příkazu může být prvním úkonem v řízení. Není–li vydání příkazu prvním úkonem v řízení, nemusí příkaz obsahovat odůvodnění.

38. Podle ust. § 150 odst. 3 správního řádu proti příkazu může ten, jemuž se povinnost ukládá, podat odpor ve lhůtě 8 dnů ode dne oznámení příkazu. Podáním odporu se příkaz ruší a řízení pokračuje; to neplatí, byl–li podán nepřípustný nebo opožděný odpor. Správní orgán vyrozumí podatele o podání nepřípustného nebo opožděného odporu. Lhůty pro vydání rozhodnutí začínají znovu běžet dnem podání odporu. Zpětvzetí odporu není přípustné. Odpor se podává u správního orgánu, který příkaz vydal. Příkaz, proti němuž nebyl podán odpor, se stává pravomocným a vykonatelným rozhodnutím.

39. Podle ust. § 90 odst. 1 zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich, ve znění pozdějších předpisů, správní orgán může o přestupku rozhodnout příkazem. Příkazem lze uložit správní trest napomenutí, pokuty, zákazu činnosti, nebo propadnutí věci nebo náhradní hodnoty.

40. Z prvně citované normy je zřejmé, že příkaz může být prvním úkonem v řízení, takže vydáním příkazu ze dne 26. 6. 2019 bylo řízení o přestupku bezesporu zahájeno.

41. Výrok příkazu pak obsahuje dostatečně určité popisy jednání žalobce, jež žalovaný kvalifikoval jako přestupky: 1. … ke dni 4. července 2018 uchovávala v souvislosti se zasláním „Žádosti o založení státního zaměstnance – cizince bez možnosti ztotožnění podle registru obyvatel – do rejstříku státních zaměstnanců a přidělení evidenčního čísla“ ve 144 případech osobní údaje uvedené v kopiích osobních dokladů, minimálně v rozsahu fotografie, případně podpis a otisk prstu držitele dokladu… 2. …v době nejméně od 1. července 2015 do 7. srpna 2018 v ISoSS nevedla záznamy o přístupech oprávněných zaměstnanců služebních úřadů do tohoto systému, tedy záznamy, které umožní určit, kdo k údajům konkrétního subjektu údajů přistoupil, a za jakým účelem… 42. Soud konstatuje, že tímto příkazem byl žalobce zpraven jednak o tom, že se s ním vede řízení o přestupku a jednak o tom, jakých jeho jednání se toto řízení týká.

43. Pokud jde o poučení o procesních právech žalobce, obsahuje příkaz právě takové poučení, jaké je v tomto stádiu řízení na místě – tedy o tom, že proti příkazu lze do 8 dnů od doručení podat u Úřadu odpor, kterým se příkaz ruší a řízení pokračuje.

44. Jestliže vydaný příkaz byl prvním úkonem v řízení (v souladu s ust. § 150 odst. 1 správního řádu) a současně mohl potenciálně být i posledním úkonem v řízení, je z logiky věci vyloučeno, aby obsahoval poučení účastníka řízení o jeho procesních právech. Pokud by totiž účastník takový příkaz akceptoval, řízení by tím skončilo a pojem „procesní práva“ by pro takto ukončené řízení neměl smysl.

45. Žalobce byl tedy zcela v souladu se zákonem poučen právě o tom, že má právo proti příkazu uplatnit odpor, jenž by měl za následek pokračování v řízení.

46. Jak je ve věci zřejmé, žalobce takový odpor uplatnil a následně byl sdělením Úřadu ze dne 3. 7. 2019, č. j. UOOU–09383/18–5, vyrozuměn o tom, že příkaz byl zrušen, že v řízení se pokračuje a že podle názoru Úřadu jsou shromážděny dostatečné podklady pro vydání rozhodnutí. Současně byl žalobce poučen o svých procesních právech, jmenovitě o právu podle § 36 správního řádu navrhovat důkazy, činit jiné návrhy, vyjádřit v řízení své stanovisko a vyjádřit se k podkladům rozhodnutí, o právu podle § 38 správního řádu nahlížet do spisu, o právu být informován o totožnosti oprávněné úřední osoby podle § 15 odst. 4 správního řádu a konečně o právu podle § 80 odst. 2 zákona č. 250/2016 Sb. žádat o nařízení ústního jednání. Rovněž byl žalobce zpraven o tom, že Úřad předpokládá vydání rozhodnutí po 19. července 2019.

47. Jelikož toto sdělení bylo žalobci doručeno do jeho datové schránky dne 3. 7. 2019, nezbylo soudu než konstatovat, že se žalobce mýlí, má–li za to, že nebyl řádně poučen o svých procesních právech. Žalobní námitka v tomto směru tedy není důvodná.

48. Pro úplnost soud reaguje i na žalobcovy výhrady vůči příkazu ze dne 26. 6. 2019. Především je zřejmé, že byl–li tento příkaz v důsledku uplatnění odporu proti němu zrušen (viz ust. § 150 odst. 1 správního řádu), pak nadále nemá žádné hmotněprávní účinky, a žalobní námitky směřující vůči jeho výroku či odůvodnění nelze vypořádat, neboť směřují proti aktu, neexistujícímu již v okamžiku podání žaloby.

49. Jediný účinek, který poté, co žalobce uplatnil odpor proti němu, zůstal příkazu zachován, byl efekt zahájení řízení. V této věci soud konstatuje, že nenašel žádný důvod k tomu, aby byl tento účinek příkazu ze dne 26. 6. 2019 zpochybněn či anulován.

50. Soud má za to, že účinek zahájení řízení by byl vyloučen pouze v případě, pokud by příkaz trpěl vadami, jež by jej činily nicotným aktem. O takový případ však v projednávané věci nejde, žádnou vadou způsobující nicotnost příkaz netrpí.

51. Vadou příkazu není ani to, že jím nebyla žalobci uložena žádná povinnost. Soud nesdílí názor žalobce, že příkazem lze rozhodnout jen tehdy, pokud jím je ukládána některá sankce vymezená v ust. § 90 odst. 1 zákona č. 250/2016 Sb., tedy správní trest napomenutí, pokuty, zákazu činnosti, nebo propadnutí věci nebo náhradní hodnoty.

52. Tuto žalobcovu interpretaci citované normy nepovažuje soud za správnou. Účelem této normy je pouze a právě vymezit, resp. omezit, rozsah druhu sankcí, které za přestupek lze uložit příkazem. Jestliže podle ust. § 35 písm. a) až e) zákona č. 250/2016 Sb. je obecně sankcí napomenutí, pokuta, zákaz činnosti, propadnutí věci nebo náhradní hodnoty a zveřejnění rozhodnutí o přestupku, pak ust. § 90 odst. 1 cit. zákona nedovoluje, aby příkazem bylo uloženo zveřejnění rozhodnutí o přestupku. Nijak z něj ale nevyplývá, že by příkazem nebylo možno rozhodnout o upuštění od uložení správního trestu, neboť to není sankcí.

53. Městský soud tedy uzavírá s tím, že žalovaný nepochybil, jestliže o odpovědnosti žalobce za přestupek rozhodl dne 26. 6. 2019 příkazem, jenž byl současně prvním úkonem v řízení, které jím tak bylo zahájeno, a jestliže tímto příkazem konstatoval vinu žalobce, a současně s odkazem na ust. § 62 odst. 5 zákona č. 110/2019 Sb. upustil od uložení správního trestu.

54. Jelikož žalobce uplatnil proti tomuto příkazu odpor, byl tím příkaz zrušen a žalovaný pokračoval v řízení, přičemž prvním jeho následným úkonem bylo poučení žalobce o jeho procesních právech.

55. Konečně, žalobce vznesl námitku ohledně porušení zásady legitimního očekávání, když Úřad nejdříve uzavřel kontrolu s tím, že netřeba dalších opatření, poté zahájil řízení o uložení nápravných opatření, které následně autoremedurou zase zastavil, následně informoval veřejnou tiskovou zprávou všechny orgány a osoby, včetně MV, že neuložil opatření k nápravě a od uložení pokuty upustil, aby následně zahájil řízení o přestupku.

56. Zde nezbývá než konstatovat, že žalobce směšuje několik právních institutů.

57. Předmětem žaloby je rozhodnutí, jímž bylo ukončeno řízení o přestupku. Naproti tomu v řízení zahájeném příkazem Úřadu č. j. UOOU–09356/18–6, proti němuž podal žalobce dne 31. 10. 2018 odpor, po němž následovalo rozhodnutí Úřadu č. j. UOOU–09356/18–9, ze dne 21. 11. 2018 a konečně rozhodnutí Úřadu č. j. UOOU–09356/18–11 ze dne 2. 1. 2019, se rozhodovalo právě a jen o uložení nápravných opatření, a tato citovaná rozhodnutí tak s otázkou odpovědnosti žalobce za přestupky nijak nesouvisejí. Pro posouzení zákonnosti napadeného rozhodnutí ze dne 5. 12. 2019 je tedy zcela irelevantní přezkoumávat citované úkony Úřadu.

58. Rovněž zcela bezpodstatnou je pak záležitost tiskové zprávy Úřadu ze dne 25. 1. 2019, v níž mělo být uvedeno, že žalobce závadný stav napravil, Úřad neuložil opatření k nápravě a od uložení pokuty upustil.

59. Žádné z těchto sdělení nemá vliv na zákonnost řízení o přestupku, jež je předmětem přezkumu soudem. Jednak proto, že se týká právě opatření k nápravě, a jednak proto, že i kdyby se některé vztahovalo k záležitosti postihu žalobce za přestupek, pak zveřejnění takové zprávy neznamená nic na způsob překážky zahájeného řízení (litispendence) nebo dokonce překážky věci pravomocně rozhodnuté (res iudicata). Tisková zpráva tedy neměla a ani nemohla mít žádný vliv na oprávnění, resp. povinnost Úřadu zahájit řízení o přestupku. Souhrnně je nutno konstatovat, že pokud nebylo ve věci přestupku žalobce již dříve rozhodnuto a pokud neuplynuly zákonem stanovené lhůty pro zahájení řízení o přestupku, žalovanému nic nebránilo v tom, aby takové řízení zahájil, a to včetně toho, že mohl změnit své dosavadní stanovisko ohledně přestupkové odpovědnosti žalobce. Žalobce tedy sice mohl v důsledku dřívějšího postupu Úřadu nabýt přesvědčení, že jeho záležitost byla uzavřena bez vyvození odpovědnosti za přestupek, nicméně žádný z úkonů Úřadu nezaložil jakoukoliv právní překážku pro pozdější zahájení řízení o přestupku.

60. Žalobní námitky proti procesním vadám tedy soud neshledal důvodnými.

61. Dále žalobce vytýkal neurčitost a nekonkrétnost výroku příkazu, resp. rozhodnutí vydaného v I. stupni, kdy zejména brojil proti formulaci „obviněný porušil některou ze zásad a nesplnil některé povinnosti dle hlavy II zákona, a proto se odsuzuje…“, a poukázal na to, že až v odůvodnění prvostupňového rozhodnutí se obviněný dozvídá podrobnější, jakkoliv stále „sběrnou“, kvalifikaci.

62. Ani tuto námitku soud neshledal důvodnou.

63. Jak vyloženo výše, příkaz ze dne 26. 6. 2019 nebyl předmětem přezkumu soudu, neboť byl okamžikem podání odporu proti němu zrušen a ve věci bylo vedeno běžné správní řízení, zakončené rozhodnutím.

64. Pokud jde o formulaci výroku rozhodnutí správního orgánu I. stupně, soud konstatuje, že obsahuje ty náležitosti, které z hlediska srozumitelnosti a konkrétnosti musí mít, tedy popis jednání, v němž je spatřován přestupek, a jeho právní kvalifikace, tedy údaj o tom, porušení jaké povinnosti, resp. normy je v tom spatřováno.

65. Soud nezbývá než konstatovat, že výrok rozhodnutí I. stupně obsahuje jak popis obou sankcionovaných jednání, tak jejich právní kvalifikaci, tedy v části 1. závěr o porušení povinnosti podle čl. 5 odst. 1 písm. b) a čl. 6 odst. 1 Nařízení 2016/679, resp. v části 2. závěr o porušení povinnosti podle článku 32 odst. 1 Nařízení 2016/679.

66. Pokud pak jde o tvrzení o porušení některých ze základních zásad, použitá jak v části 1., tak v části 2. výroku tohoto rozhodnutí, je zřejmé, že se jedná o citaci normy, definující příslušný přestupek.

67. Podle ust. § 62 odst. 1 písm. b) zákona č. 110/2019 Sb. správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 nařízení Evropského parlamentu a Rady (EU) 2016/679.

68. Podle ust. § 62 odst. 1 písm. a) citovaného zákona správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že poruší některou z povinností podle čl. 8, 11, 25 až 39, 42 až 49 nařízení Evropského parlamentu a Rady (EU) 2016/679 nebo hlavy II.

69. Je tedy zřejmé, že v obou případech se jedná o prostou citaci normy, podle které bylo rozhodováno, a v níž je příslušný přestupek definován. Uvést odkaz na právní ustanovení, podle nichž bylo rozhodováno, je pak povinností správního orgánu podle ust. § 68 odst. 2 správního řádu.

70. Jediným pochybením je v části 2. výroku nesprávně uvedený odkaz na zákon č. 101/2000 Sb., když je nesporné, že oba přestupky jsou definovány zákonem č. 110/2019 Sb. Tato vada však neměla vliv na zákonnost rozhodnutí, neboť se jedná o zjevnou chybu v psaní.

71. Dále se městský soud zabýval námitkami, jež žalobce formuloval v části IV. žaloby, označené jako Rozpor s hmotným právem.

72. Soud zde vycházel z toho, že Úřad ve dnech 20. 3. 2018 až 7. 8. 2018 provedl u žalobce kontrolu systému ISoSS, která byla ukončena protokolem o kontrole č. j. UOOU–03173/18–28 ze dne 7. 8. 2018.

73. V uvedeném protokolu, jmenovitě v jeho části II. Kontrolní zjištění, oddílu A. Zjištěný stav věci, pododdíl A.2, je konstatováno, že výjimku ze standardního systému evidence státního zaměstnance prostřednictvím ztotožnění přes registr obyvatel tvoří cizinci, kteří nejsou vedeni v ROB, ani v informačním systému cizinců, a musí být zapsáni do ISoSS bez ztotožnění v ROB. Tito cizinci jsou evidováni na základě žádosti, kterou služební úřad zašle do datové schránky sekce pro státní službu spolu s kopií dokladu totožnosti a souhlasem osoby s provedením kopie dokladu, jímž byla ověřena totožnost. Po ověření, že tuto osobu nelze ztotožnit standardním způsobem prostřednictvím ROB, je cizinec zaevidován v prostředí SAP GUI ISoSS. Žádosti jsou uloženy v Ginis ve spise jako neveřejné dokumenty.

74. Žalobce ve vyjádření ze dne 19. 6. 2018 tuto praxi potvrdil a vyložil, proč je podle jeho názoru nezbytná z důvodu zabezpečení důvěryhodnosti a správnosti postupů služebních úřadů při evidenci dat a správě údajů v systému ISoSS. V následujících vyjádření pak žalobce uvedl, že tuto praxi změnil, přičemž dne 4. 7. 2018 sdělil, že od data 22. 6. 2018 by již nemělo docházet k tomu, aby služební úřady žádaly cizince o poskytnutí kopií osobních dokladů s vlastním souhlasem.

75. V části II. protokolu o kontrole, oddíle B. Porovnání zjištěného stavu věci s relevantním ustanovením právního předpisu, Kontrolní zjištění č. 4, žalovaný k tomu konstatoval, že Kontrolovaná osoba shromažďovala prostřednictvím ISoSS, v souladu s uživatelskou příručkou Rejstřík státních zaměstnanců, prostřednictvím formuláře umístěného na portálu pro přihlašování (formulář žádost o Založení státního zaměstnance – cizince bez možnosti ztotožnění podle registru obyvatel – do rejstříku státních zaměstnanců a přidělení evidenčního čísla) kopie osobního dokladu prokazujícího totožnost státního zaměstnance – cizího státního příslušníka, který žádá o přijetí do státní služby a který není evidováni v Registru obyvatel (ROB), a to za účelem zamezení existujícího rizika, že by v rozhodnutí o přijetí do státní služby mohly být některé údaje uvedeny chybně (např. správně uvedené jméno, příjmení, adresa apod.) a za účelem ověření státního občanství cizince. Kontrolovaná osoba tímto shromažďovala osobní údaje uvedené na kopiích dokladů ověřujících totožnost žadatele – cizího státního příslušníka, minimálně v rozsahu jméno, příjmení, datum narození, adresa, fotografie, číslo dokladu, platnost dokladu a autoritu, která dokument vydala, případně další údaje. Kontrolou bylo zjištěno, že Kontrolovaná osoba shromažďovala osobní údaje, které jsou na kopiích osobních dokladů uvedeny za účelem ověření totožnosti jejich držitele v rámci zachování principů dobré správy., zabezpečení důvěryhodnosti a správnosti postupů služebních úřadů při evidenci dat a správě údajů v systému ISoSS. Dále bylo zjištěno, že Kontrolovaná osoba vyžadovala prostřednictvím pověřených zástupců od žadatelů vyjádření jejich souhlasu dle návodu, uvedeném přímo na formuláři „k žádosti je třeba vždy přiložit kopii dokladu prokazujícího totožnost státního zaměstnance, o jehož zápis do Rejstříku státních zaměstnanců služební úřad žádá. Kopie dokladu musí být státním zaměstnancem vlastnoručně podepsána a dále musí obsahovat vlastnoruční text vyjadřující souhlas státního zaměstnance s provedením kopie dokladu, jimž byla ověřena jeho totožnost". Jako právní titul pro zpracování osobních údajů shromážděných prostřednictvím zasílaných kopií dokumentů ověřujících totožnost žadatele nelze aplikovat povinnosti dle zákona č. 328/1999 Sb., o občanských průkazech, resp. zákona č. 329/1999 Sb., o cestovních dokladech, neboť tyto povinnosti se vztahují na státní občany České republiky a proto je nezbytné použít obecnou právní úpravu, kterou je ustanovení § 5 odst. 2 zákona č. 101/2000 Sb., přičemž souhlas získaný výše popsaným způsobem nemá náležitosti stanovené v § 4 písm. n), tedy není svobodným a vědomým projevem vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Na zpracování osobních údajů, které jsou nutné pro identifikaci osoby cizince za účelem jejího vedení v ISoSS lze aplikovat oprávnění zpracovávat osobní údaje, jestliže správce provádí zpracování nezbytné pro dodržení právní povinnosti správce ve smyslu § 5 odst. 1 písm. a) zákona č. 101/2000 Sb. tedy zpracovávat osobní údaje bez souhlasu subjektu údajů. Kontrolovaná osoba však tím, že i nadále po ověření dokladů ověřujících totožnost žadatele– cizího státního příslušníka, uchovává osobní údaje uvedené na těchto kopiích, minimálně v rozsahu fotografie, případně podpisu, případně otisk prstu držitele dokladu, zpracovává tyto údaje, prostřednictvím kopie osobního dokladu v rozporu s povinností stanovenou § 5 odst. 1 písm. f) zákona č. 101/2000 Sb., neboť tyto údaje uvedené na kopii dokladu zpracovává kontrolovaná osoba v rozporu s účelem, k němuž byly shromážděny, tedy za účelem ověření totožnosti osoby. Přičemž souhlas s pořízením fotokopie dokladu nemá náležitosti souhlasu ve smyslu § 4 písm. n) zákona č. 101/2000 Sb., jak uvedeno výše.“ 76. Tyto skutečnosti žalovaný vyhodnotil s tím, že: Kontrolovaná osoba, shromažďuje v ISoSS osobní údaje žadatelů, cizích státních příslušníků, za účelem ověření jejich totožnosti v rámci zachování principů dobré správy bez možnosti jejich ztotožnění v ROB, zabezpečení důvěryhodnosti a správnosti postupů služebních úřadů při evidenci dat a správě údajů v systému ISoSS v souladu s ustanovením či 6 odst. 1 písm. f) Nařízení, dle kterého je také zpracování nezbytné pro účely oprávněných zájmů správce či třetí strany, přičemž toto zpracování nezasahuje významně do jejich základních práv a svobodu subjektů údajů. Kontrolovaná osoba uchovává osobní údaje žadatelů, cizích státních příslušníků, uvedených na kopiích dokumentů ověřujících totožnost žadatele – cizího státního příslušníka, minimálně v rozsahu fotografie, případně podpis, případně otisk prstu v rozporu s povinností stanovenou v čl. 5 odst. 1 písm. b) Nařízení, dle kterého mohou být osobní údaje shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný a dále článku 6 odst. 1 písm. c) Nařízení, dle kterého je zpracování zákonné, pouze pokud zpracování nezbytné pro splnění právní povinnosti, která se na správce vztahuje. Kontrolovaná osoba porušila povinnost stanovenou čí, 5 odst. 1 písm. b) a čl. 6 odst. 1 písm. c) Nařízení.“ 77. Soud vyhodnotil tuto věc takto:

78. Podle ust. článku 5 odst. 1 písm. b) Nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) Osobní údaje musí být shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely („účelové omezení“).

79. Podle ustanovení článku 6 odst. 1 písm. c) Nařízení 2016/679 zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje.

80. Úřad v odůvodnění rozhodnutí I. stupně uvedl, že žalobce zpracovával osobní údaje v ISoSS na základě právní povinnosti, kterou mu ukládá § 180 zákona č. 234/2014 Sb.; jedná se tedy o zpracování založené v obecnosti na právním titulu obsaženém v čl. 6 odst. 1 písm. c) nařízení (EU) 2016/679.

81. Pokud však jde o uchovávání kopií dokladů za účelem ověření totožnosti, Úřad dospěl k závěru, že ministerstvo takovou právní povinnost nemá. Přitom shromažďovalo v souvislosti s vyřizováním žádostí podávaných prostřednictvím příslušného formuláře kopie osobních dokladů s osobními údaji minimálně v rozsahu jméno, příjmení, datum narození, adresa, fotografie, číslo dokladu, platnost dokladu a autorita, která dokument vydala, případně další údaje, a účelem tohoto postupu bylo podle žalobce zajistit správnost a důvěryhodnost údajů, které byly v žádostech uvedeny.

82. Žalovaný zde odmítl názor žalobce, že by se jednalo o postup v souladu s čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679, podle kterého je také zpracování nezbytné pro účely oprávněných zájmů správce či třetí strany, přičemž toto zpracování nezasahuje významně do základních práv a svobod subjektů údajů. Úřad poukázal na to, že podle čl. 6 odst. 1 pododst. 2 nařízení (EU) 2016/679 se první pododstavec písm. f) netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů, takže právní titul, který žalobce uvedl, proto nelze na prováděné zpracování použít.

83. Úřad připustil, že by se však mohlo jednat o postup podle čl. 6 odst. 1 písm. e) uvedeného nařízení, tj. zpracování nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen, nicméně, jak vyplývá ze zjištěných okolností, v tomto případě zcela zjevně nebyla splněna podmínka nezbytnosti takového zpracování.

84. Podle Úřadu jediným dalším možným právním titulem pro toto zpracování by mohl být souhlas subjektu údajů, avšak souhlas získaný způsobem, jenž zvolil žalobce, nemá náležitosti stanovené v čl. 4 bodu 11 nařízení (EU) 2016/679, tedy není svobodným a jednoznačným projevem vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů.

85. Městský soud po přezkoumání věci dospěl k závěru, že nezbývá, než se s touto argumentací Úřadu, kterou následně v napadeném rozhodnutí převzala i předsedkyně Úřadu, zcela ztotožnit.

86. Žalobce v žalobě sice v této věci argumentoval obsáhle, nicméně nepřesvědčivě.

87. To se týká především jeho obecných úvah o účelu a smyslu přijetí GDPR, a rovněž tak spekulací o výkladu slova „nezbytný“ na str. 12 žaloby. Soud v těchto žalobcových úvahách shledává pouze snahu o relativizaci své odpovědnosti bez věcného opodstatnění.

88. Pokud pak jde o tvrzení, že žalobce musel předmětné údaje uchovávat i pro pozdější možnou potřebu identifikace státního zaměstnance – cizince, a to s odkazem na § 48 zákona č. 234/2014 Sb., o státní službě, ve znění pozdějších předpisů, nezbývá než shodně s konstatováním Úřadu trvat na tom, že citovaný zákon žalobci žádnou takovou povinnost neukládá.

89. Žalobce své zmocnění k uchovávání předmětných údajů tedy nedoložil odkazem na konkrétní právní normu, a to ani v průběhu správního řízení, ani v podané žalobě, a pouze je konstruuje na základě vlastního výkladu zákona o státní službě a tvrzené povinnosti Ministerstva vnitra vůči Policii České republiky v postavení orgánu činného v trestním řízení.

90. Městský soud tedy tyto své úvahy uzavřel s tím, že žalobce by mohl uchovávat předmětné údaje ohledně cizinců, žádajících o přijetí do státní služby, jen tehdy, pokud by k tomu byl zmocněn konkrétní právní normou. Jelikož taková právní norma neexistuje, nezbylo než konstatovat, že závěry žalovaného o odpovědnosti žalobce za přestupek, tak jak jsou koncipovány ve výroku rozhodnutí I. stupně pod bodem 1. písm. a) a b), jsou v souladu se zákonem.

91. Pro úplnost zde soud konstatuje, že neshledal důvodnou ani žalobní námitku, v níž žalobce tvrdil, že v průběhu správního řízení neuplatnil všechny argumenty, jimiž by mohl podpořit svůj názor, že k vytýkanému zacházení s osobními údaji měl zákonný důvod, a to z toho důvodu, že nemohl předvídat všechny případné námitky Úřadu a že tedy neměl možnost se k explicitně vyjádřenému podezření vyjádřit.

92. Soud tuto námitku odmítá s tím, že již z protokolu o kontrole ze dne 7. 8. 2018, ale nejpozději z příkazu ze dne 26. 6. 2019, bylo žalobci zřejmé, co je mu kladeno za vinu a mohl tedy podle toho koncipovat svou protiargumentaci. Skutečnost, že vytýkané zacházení s osobními údaji žalobce neodůvodnil odkazem na konkrétní právní normu, není dána tím, že by žalobci něco bránilo takovou normu uvést, ale to, že taková norma neexistuje.

93. Dále byl žalobce shledán vinným z přestupku, spočívajícím v tom, že v konkrétní době v ISoSS nevedl záznamy o přístupech oprávněných zaměstnanců služebních úřadů do tohoto systému, tedy záznamy, které umožní určit, nikdo k údajům konkrétního subjektu údajů přistoupil a za jakým účelem.

94. Skutková zjištění k této záležitosti jsou zachycena v protokolu o kontrole ze dne 7. 8. 2018 na straně 50 až 54, na které soud v podstatné míře odkazuje.

95. Z protokolu vyplývá, že kontrolovaná funkcionalita systému žalobce byla testována v rámci kontrolního úkonu dne 14. července 2018, kdy kontrolující realizovali prohlídku evidence v ISoSS zaměstnance odboru kontroly Úřadu pro ochranu osobních údajů Mgr. V. D. (na základě jeho souhlasu) za přítomnosti zaměstnance Úřadu Mgr. R. P., vedoucího oddělení vnitřních věcí Úřadu.

96. Výsledkem bylo zjištění, že žalobce v rámci provozu informačního systému ISoSS má instalovanou aplikaci, jejímž prostřednictvím jsou ukládány záznamy o přístupech do systému (logování), avšak že použité prostředky pro logování (nástroje pro prohlížení/analýzu logování) neumožňují získat informace o tom, kdo k údajům konkrétního subjektu údajů přistoupil, a za jakým účelem.

97. Žalobce k tomu v podání ze dne 4. 7. 2018 uvedl, že „Na základě upřesnění požadavku na doložení logů přístupů k osobě zaměstnance Úřadu pro ochranu osobních údajů s JUDr. M. J. dne 3. července 2018 sdělujeme, že tento typ přístupů není zatím logován. Implementace logování nahlížení na zaměstnance vedené v Rejstříku státních zaměstnanců je předmětem právě probíhajícího projektu Zvýšení bezpečnosti EKIS a ISoSS".

98. Žalovaný tuto situaci vyhodnotil s tím, že se jedná o porušení povinností žalobce uložené mu jako správci osobních údajů dle čl. 30 a čl. 32 Nařízení.

99. Podle článku 30 odst. 1 písm. g) Nařízení 2016/679 Každý správce a jeho případný zástupce vede záznamy o činnostech zpracování, za něž odpovídá. Tyto záznamy obsahují všechny tyto informace: je–li to možné, obecný popis technických a organizačních bezpečnostních opatření uvedených v čl. 32 odst. 1.

100. Podle článku 32 odst. 1 Nařízení 2016/679 S přihlédnutím ke stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i k různě pravděpodobným a různě závažným rizikům pro práva a svobody fyzických osob, provedou správce a zpracovatel vhodná technická a organizační opatření, aby zajistili úroveň zabezpečení odpovídající danému riziku, případně včetně: a) pseudonymizace a šifrování osobních údajů; b) schopnosti zajistit neustálou důvěrnost, integritu, dostupnost a odolnost systémů a služeb zpracování; c) schopnosti obnovit dostupnost osobních údajů a přístup k nim včas v případě fyzických či technických incidentů; d) procesu pravidelného testování, posuzování a hodnocení účinnosti zavedených technických a organizačních opatření pro zajištění bezpečnosti zpracování.

101. Podle článku 32 odst. 2 Nařízení 2016/679 Při posuzování vhodné úrovně bezpečnosti se zohlední zejména rizika, která představuje zpracování, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených nebo jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim.

102. Podle článku 32 odst. 3 Nařízení 2016/679 Jedním z prvků, jimiž lze doložit soulad s požadavky stanovenými v odstavci 1 tohoto článku, je dodržování schváleného kodexu chování uvedeného v článku 40 nebo uplatňování schváleného mechanismu pro vydávání osvědčení uvedeného v článku 42.

103. Podle článku 32 odst. 4 Nařízení 2016/679 Správce a zpracovatel přijmou opatření pro zajištění toho, aby jakákoliv fyzická osoba, která jedná z pověření správce nebo zpracovatele a má přístup k osobním údajům, zpracovávala tyto osobní údaje pouze na pokyn správce, pokud jí jejich zpracování již neukládá právo Unie nebo členského státu.

104. V odůvodnění rozhodnutí I. stupně tuto záležitost Úřad uzavřel s tím, že „v průběhu kontroly bylo bez pochybností prokázáno, že nejsou logovány přístupy oprávněných zaměstnanců služebních úřadů, tedy záznamy, které umožní určit, kdo k údajům konkrétního subjektu údajů přistoupil a za jakým účelem. Ministerstvo přitom skutečnost, že k tomuto logování nedochází, sdělilo Úřadu až na základě jeho přímého dotazu, který provedl v návaznosti na ověření skutečné existence logování tím, že oprávněný zaměstnanec Úřadu přistupoval k osobním údajům jednoho z dalších zaměstnanců Úřadu. Výrok je tudíž zcela přesný a vystihující zjištěné porušení právních předpisů, když popisuje skupinu osob, jejíž přístupy nejsou logovány, a následek tohoto chybějícího logování (tj. nemožnost zjistit, kdo a za jakým účelem k údajům přistoupil). Správní orgán v něm v žádném případě nekonstatuje, že nedochází v rámci ISoSS k žádnému logování.“ 105. Soud konstatuje, že tyto závěry jsou v souladu se zjištěními provedenými Úřadem, když právní kvalifikaci skutkových zjištění jím provedenou shledal soud přiléhavou.

106. Žalobní námitky v této věci, tak jak je žalobce prezentoval na stranách 17 až 20 žaloby, soud neshledal důvodnými. Jednak sám žalobce tam připustil, že logování je jen částečné, neboť v některých případech – podle žalobcova uvážení – neprobíhalo. K dalším tvrzením pak soud souhrnně uvádí, že se jedná o argumentaci relativizující nutnost zajistit logování vždy, resp. zpochybňující závažnost její absence. Žalobce se snažil zmírnit či anulovat význam či závažnost zjištěných porušení norem podle Nařízení 2016/679 jak s poukazem na okruh osob, které mají do systému přístup, resp. na okruh údajů, v systému zpracovávaných, tak i provedením vlastního hodnocení rizik neoprávněného nakládání s těmito údaji, případně vyjádřením pochybností o tom, zda logování skutečně vždy snižuje riziko zneužití či neoprávněného zpracování osobních údajů.

107. Nic z toho však podle názoru soudu nemůže zpochybnit jak věcnou správnost skutkových zjištění, která v rámci kontroly provedl žalovaný, tak ani právní kvalifikaci, kterou Úřad použil a z níž dovodil odpovědnost žalobce za předmětné přestupky.

IV. Závěr a rozhodnutí o nákladech řízení

108. Městský soud v Praze tedy uzavřel své úvahy s tím, že žádná ze žalobních námitek nebyla vznesena důvodně, a žalobu proto podle ust. § 78 odst. 7 soudního řádu správního zamítl.

109. Výrok o náhradě nákladů řízení je odůvodněn podle ust. § 60 odst. 1 soudního řádu správního, když žalobce úspěch ve věci neměl a žalovanému žádné náklady nad rámec jeho úřední činnosti nevznikly.

Poučení

I. Základ sporu II. Obsah žaloby a vyjádření žalovaného III. Posouzení žaloby IV. Závěr a rozhodnutí o nákladech řízení