9 A 1/2011 - 93

Rubrum

Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Naděždy Řehákové a soudců JUDr. Ivanky Havlíkové a Mgr. Martina Kříže v právní věci žalobce: Ministerstvo školství, mládeže a tělovýchovy se sídlem Karmelitská 7, Praha 1 – Malá Strana, IČ: 00022985, proti žalovanému: Úřad pro ochranu osobních údajů se sídlem Pplk. Sochora 27, Praha 7 o žalobě proti rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 1. 11. 2010, zn. SPR-2298/10-22, takto:

Výrok

I. Rozhodnutí Úřadu pro ochranu osobních údajů ze dne 1. 11. 2010, zn. SPR-2298/10-22 se zrušuje a věc se vrací žalovanému k dalšímu řízení.

II. Žádný z účastníků nemá právo na náhradu nákladů řízení.

Odůvodnění

I. Předmět řízení a vymezení sporu Žalobce se podanou žalobou domáhal přezkoumání rozhodnutí předsedy Úřadu pro ochranu osobních údajů uvedeného v záhlaví tohoto rozsudku, jímž byl zamítnut rozklad žalobce proti rozhodnutí Úřadu pro ochranu osobních údajů ze dne 30. 6. 2010, zn. SPR- 2298/10-15. Prvostupňovým rozhodnutím Úřadu byla žalobci jako správci osobních údajů dětí, žáků a studentů, shromažďovaných dle § 28 odst. 5 zákona č. 561/2004 Sb., o předškolním, základním, středním, vyšším odborném a jiném vzdělávání (školský zákon) ve znění pozdějších předpisů, uložena pokuta ve výši 800 000 Kč za porušení povinností stanovených v § 5 odst. 1 písm. f), § 5 odst. 1 písm. e) a § 9 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen zákon o ochraně osobních údajů), kterými měl žalobce spáchat správní delikt podle ust. § 45 odst. 1 písm. c), d) a e) citovaného zákona. Správního deliktu se měl dopustit tím, že prostřednictvím jím zřízeného Ústavu pro informace ve vzdělávání při sdružování osobních údajů dětí, žáků a studentů zpracovával od roku 2006 osobní údaje přibližně 1 400 000 dětí, žáků a studentů způsobem vedoucím k vytvoření časové řady, vypovídající o studijním životě subjektů údajů, uchovával osobní údaje po celou dobu od jejich shromáždění, tj. po dobu delší než je doba nezbytná ke statistickému účelu jejich zpracování, což je doba maximálně v délce jednoho roku, a dále zpracovával citlivé údaje vypovídající o druhu zdravotního postižení, druhu dalšího zdravotního postižení a příznaku souběžného postižení více vadami, přinejmenším u 72 854 žáků základních škol a dalších dětí a studentů a to bez zákonného podkladu nebo jejich souhlasu. V řízení před správními orgány obou stupňů vznikl mezi účastníky řízení spor o zákonnost rozhodnutí v důsledku námitek žalobce, že správní orgány zasáhly závažně do kompetence žalobce, neboť předmětné zpracování osobních údajů je nezbytné pro mapování průchodnosti vzdělávací soustavy a i pro úkoly v oblasti její celkové analýzy a tvorby koncepce, přičemž správními orgány vyložený skutkový stav je založen na nesprávném výkladu práva. II. Skutkový stav a jeho vyhodnocení správním orgánem I. stupně Správní orgán I. stupně v rámci provedené kontroly zjistil, že v databázi Ústavu pro informace ve vzdělávání jsou pro žalobce shromažďovány osobní údaje dětí, žáků a studentů základních škol, středních škol, konzervatoří a vyšších odborných škol a také citlivé údaje žáků se speciálními vzdělávajícími potřebami z důvodu zdravotního postižení. Tyto údaje jsou v databázi uchovávány po celou dobu studia subjektu údajů, minimálně tedy po dobu 9 až 13 let. Tyto údaje nejsou účinně anonymizovány, neboť žalobce pouze zakóduje rodné číslo jednostranným algoritmem, přičemž kódování je pokaždé stejné. Do databáze jsou každoročně přidávány další údaje, které jsou přiřazovány ke konkrétním subjektům údajů. V databázi jsou vedeny další identifikační i popisné osobní údaje, např. data narození, státní občanství, kód obce žáka, předchozí vzdělávání a další údaje. V případě předávání citlivých dat o žácích se speciálními potřebami je struktura dat stejná, pouze místo rodného čísla je uveden jednoznačný identifikační kód žáka určený školou a dále jsou vedena data o zdravotním postižení. Osobní údaje žáka se speciálními vzdělávacími potřebami jsou tedy předávány 2x, jednou pod rodným číslem, podruhé pod jednoznačným identifikátorem. Obdobná struktura dat je předávána i dalšími školami ve vztahu k jejich studentům. Uvedený skutkový stav správní orgán I. stupně vyhodnotil tak, že žalobce jako správce osobních údajů disponuje databází, která byť neobsahuje rodná čísla žáků a studentů přímo, informace zde obsažené lze přiřadit ke konkrétní osobě, neboť žalobce disponuje i původními soubory, která tento identifikátor obsahují, a je mu znám princip kódování rodných čísel. Správní orgán I. stupně s odkazem na zákon č. 89/1995 Sb., o státní statistické službě dovodil, že vytvořením agregovaných (statistických) dat je naplněn účel zpracování osobních údajů dle § 28 odst. 5 školského zákona a tedy, že tvorba časových řad, tj. uchovávání osobních údajů v databázi již představuje jiný účel, ke kterému však účastník řízení nedisponuje právním titulem. Povinnosti žalobce, které by bylo nutné plnit způsobem vytváření časových řad a uchováváním osobních údajů správní orgán I. stupně neshledal. V tomto jednání správní orgán spatřoval rozpor s ust. § 5 odst. 1 písm. f) zákona č. 101/2000 Sb. Dobu, po kterou žalobce osobní údaje v databázi uchovával a která představuje celou dobu běžného trvání vzdělávacího programu, tj. 9-13 let správní orgán 1. stupně vyhodnotil jako odporující požadavkům § 5 odst. 1 písm. e) citovaného zákona, neboť za dobu nezbytnou pro naplnění účelu zpracování osobních údajů dle § 28 odst. 5 školského zákona je nutno rozumět dobu potřebnou k vytvoření statistických dat, což je doba v délce maximálně 1 roku. Správní orgán také shledal porušení ust. § 9 zákona č. 101/2000 Sb. v jednání, jímž žalobce zpracovával i citlivé údaje podle § 4 písm. b) citovaného zákona (druh zdravotního postižení a příznak dalšího zdravotního postižení), přičemž konstatoval, že tím, že oba soubory, jeden s rodným číslem bez citlivých údajů a jeden s jiným jedinečným identifikátorem a s citlivými údaji je možné propojit a tak přiřadit citlivý údaj ke konkrétní osobě. Shledal proto, že žalobce zpracovával citlivé údaje, ačkoliv mu pro takové zpracování nesvědčil žádný z právních titulů dle § 9 citovaného zákona. Žalobce v řízení před správním orgánem argumentoval k zahájení správního řízení ve věci správního deliktu ve svém vyjádření ze dne 28. 5. 2010 s výhradou, že Úřad interpretuje oprávnění žalobce sdružovat osobní údaje podle § 28 odst. 5 školského zákona jen pro statistické účely, ačkoliv zákon hovoří o sdružování těchto údajů k plnění dalších povinností uložených zákonem, mezi které náleží i podrobný a mnohostranný přehled o vzdělávací soustavě. Pro tyto účely žalobce potřebuje individuální údaje jako vstupní data a vytváření časové řady pro účely statistické. Ve prospěch tvorby statistických dat z osobních údajů shromážděných za další období než 1 rok hovoří i dikce ustanovení § 28 odst. 5 školského zákona a důvodová zpráva ke školskému zákonu, která tvorbu časových řad výslovně předjímá, neboť stanoví, že data školní matriky umožní generovat nejen náležité podklady pro potřeby aktuálního financování, ale postupně umožní i získání velmi důležitých časových řad pro hodnocení vývoje. Žalobce proto namítal, že zpracovává tzv. časové řady nikoliv v rozporu s jejich účelem, ale pro účel mapování průchodnosti celkové analýzy a koncepce vzdělávací soustavy. Namítal závažný zásah do jeho kompetence a v důsledku toho reálné riziko znemožnění řádného plnění úkolů žalobce. Poukázal na individuální údaje jako zdroje přípravy statických údajů s tím, že nemá žádný zájem na sledování vzdělávací dráhy úspěchu a neúspěchu konkrétních určitelných jednotlivců. Správní orgán I. stupně při posouzení činnosti žalobce vycházel i ze statistického účelu zpracování dat uvedeného v § 28 odst. 5 školského zákona, který sám žalobce ve svém vyjádření definoval jako hodnocení vývoje vzdělávací soustavy a jeho usměrňování, mimo jiné tvorbou prováděcích právních předpisů a přípravou vládních návrhů zákona, získávání podkladů pro poskytování prostředků státního rozpočtu na činnost škol a školských zařízení, získávání podkladů pro výroční zprávy o stavu a rozvoji vzdělávací soustavy, získávání podkladů pro tvorbu dlouholetých záměrů vzdělávání a rozvoje vzdělávacích soustav v České republice a dlouhodobých záměrů u vzdělávání a rozvoje vzdělávacích soustav v kraji. Vycházel z ust. § 4 písm. a) zákona č. 101/2000 Sb., podle něhož se osobním údajem rozumí jakákoliv informace, týkající se určeného nebo určitelného subjektu údajů a tím je subjekt, který lze přímo ale i nepřímo identifikovat na základě čísla, kódu nebo jednoho či více prvků specifických pro jeho sociální identitu. Správní orgán posoudil, že o osobní údaj jde tam, kde je potenciální možnost zjištění identity subjektu údajů, tedy kdy správce může vytvořit přímou vazbu mezi informací a konkrétní fyzickou osobou. Tento vztah se vytváří převážně pomocí přesného identifikátoru nebo pomocí několika jiných údajů, které umožňují identifikaci fyzické osoby, tedy nikoliv pouze omezeným náhledem, ale zjištěním dalších možností správce subjekt údajů identifikovat. V případě, kdy má správce údajů v držení soubor identifikující subjekty údajů, nemůže být žádný jiný soubor umožňující propojení a soubor s identifikátory subjektu údajů považován za anonymní, a to ani v případech, když by zpracovávaný soubor přímou identifikaci subjekt údajů neobsahoval. V dané věci byla anonymizace osobních údajů dětí, žáků a studentů prováděna tak, že jednostranným algoritmem bylo zakódováno rodné číslo, aby nebylo možné na první pohled rozpoznat, o kterého žáka se jedná. Kódování bylo ovšem stále stejné tak, aby bylo možno každý rok přidávat další informace ke konkrétnímu subjektu údajů. Subjekt údajů tedy byl veden stále pod stejným jedinečným agentovým identifikátorem, což může vést k určení, o jaké dítě se konkrétně jedná. Z povahy věci se tedy nemohlo jednat o údaje anonymní. Správní orgán I. stupně dále dovodil, že tyto v uvedeném smyslu neanonymizované údaje žalobce zpracovával dle § 28 odst. 5 školského zákona pro jiný účel než účel statistický, neboť tyto údaje nebyly statistickou informací ve smyslu § 2 písm. g) zákona č. 89/1995 Sb., neboť nevznikly agregací individuálních údajů, tj. vytvořením agregovaných vstupních dat pro jejich následné statistické využití. Šlo o další jiný účel zpracování osobních údajů ve smyslu ust. § 4 písm. e) zákona č. 101/2000 Sb., který nelze podřadit, ani pod statistický účel, ani pod plnění dalších právních povinností stanovených zákonem, neboť zákonem není žalobci uloženo vytváření časových řad v podobě neanonymizovaných údajů. K takovému zpracování osobních údajů je zapotřební dle § 5 odst. 1 písm. f) ve spojení s § 5 odst. 2 zapotřebí souhlasu subjektu údajů. Správní orgán neshledal, že by vytváření časových řad bylo možné považovat za zpracování nezbytné ke splnění právní povinnosti ve smyslu § 5 odst. 2 písm. a) zákona č. 101/2000 Sb., tedy že by šlo o výjimku z povinnosti disponovat souhlasem subjektu údajů. Vzhledem k plnění zákonné povinnosti, neboť není zvláštní právní předpis, který by výslovně stanovil povinnost, buď výslovně, nebo implicitně nutně zpracovávat osobní údaje vytvářením časových řad, údajů a informací o žácích a studentech. Správní orgán I. stupně dospěl k závěru, že žalobce zpracovával neanonymizované osobní údaje dětí, žáků a studentů způsobem, při kterém vytvářel časovou řadu vypovídající o studijním životě subjektů údajů s cílem zpracovávat celkovou analýzu a koncepci školní vzdělávací soustavy, čímž porušil povinnost stanovenou v § 5 odst. 1 písm. f) zákona č. 101/2000 Sb., tedy povinnost zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Správní orgán I. stupně uložil žalobci sankci dále za porušení ust. § 5 odst. 1 písm. e) zákona č. 101/2000 Sb., spočívající v porušení povinnosti uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Uvedl, že z hlediska účelu dle ust. § 28 odst. 5 školského zákona, které předpokládá sdružování osobních údajů pro statistické účely, je doba uchovávání neanonymizovaných osobních údajů po dobu 2 až 13 let nepřiměřeně dlouhá. Za dobu nezbytnou pro statistický účel je třeba považovat dobu potřebnou k vytvoření agregovaných dat, což je nejvýše 1 rok nebo spíše doba kratší. Oproti tomu však žalobce postupuje tak, že uchovává data v neanonymizované podobě od okamžiku jejich shromáždění každoročně od roku 2006. Správní orgán uložil žalobci sankci také za jednání, jímž žalobce shromažďoval citlivé údaje o zdravotním stavu subjektů údajů rovněž v neanonymizované podobě, neboť i při evidenci těchto dat v souboru, kde rodné číslo bylo nahrazeno zvláštním kódem žáka, bylo možné při znalosti souboru prvého velmi snadno vztáhnout tato data ke konkrétní fyzické osobě. Žalobce nedisponoval souhlasem subjektu údajů dle § 9 písm. a) zákona č. 101/2000 Sb., tedy jednal v rozporu s tímto ustanovením. Správní orgán I. stupně vnímal shromažďování a zpracování osobních údajů žalobcem jako zásah do práva na ochranu soukromého života ve smyslu čl. 10 Listiny základních práv a svobod, čl. 8 Úmluvy o ochraně lidských práv a základních svobod a dále v rozporu s normami Evropského práva dovodil, že při absenci výslovného zákonného zmocnění žalobce k tvorbě časových řad, vypovídajících o studijním životu subjektu údajů, je třeba vykládat zmocnění v ust. § 28 odst. 5 školského zákona ke statistickým účelům a především odkaz na jiné právní povinnosti co nejúžeji, tedy jako oprávněni k bezodkladnému vytvoření statistických informací, tj. agregovaných dat. Oproti tomu shledává za mnohem významnější veřejný zájem a právo každého na ochranu soukromého života. Ust. § 28 odst. 5 školského zákona, z nichž žalobce v rámci svých kompetencí a povinností dovozuje oprávnění zpracovávat osobní údaje bez souhlasu subjektu údajů, by bylo právním titulem pro zakládání časových řad o studijních poměrech subjektů údajů jedině v případě, kdyby stanovovalo jednoznačný účel zpracování a rozsah zpracovávaných údajů. Správní orgán I. stupně při uložení pokuty přihlédl k tomu, že žalobce je ústředním orgánem státní správy a jako takový svévolně rozšířil své zákonem stanovené kompetence, což odůvodňuje posouzení jednání žalobce hodnotit jako velmi závažné porušení všech uvedených ústavních norem a zákona č. 101/2000 Sb. Jako přitěžující okolnost správní orgán I. stupně hodnotil značný počet subjektů údajů, kterých se nezákonné zpracování osobních údajů týkalo, včetně počtu dětí, jichž se týkalo nezákonné zpracování citlivých údajů, které požívají vyšší právní ochrany. Jako polehčující okolnost shledal správní orgán I. stupně skutečnost, že se neprokázalo zneužití protiprávně zpracovávaných a uchovávaných osobních údajů. III. Rozhodnutí předsedy Úřadu pro ochranu osobních údajů o rozkladu žalobce Žalovaný se v napadeném rozhodnutí vypořádával s námitkami rozkladu. Žalobce v rozkladu namítal, že tvorba časových řad je metodou, která má zajistit přiřazení informací ke konkrétnímu subjektu údajů, aniž by tento musel být identifikován. Nejde o zájem na sledování vzdělávací dráhy jednotlivců a kódování rodného čísla považuje za účinné opatření k ochraně osobních údajů. Namítal, že statistický účel zpracování osobních údajů je dle zákonného zmocnění v § 28 odst. 5 školského zákona dlouhodobějšího charakteru a není nutné ho splnit agregací dat okamžitě po jejich shromáždění, resp. do jednoho roku od shromáždění dat. Redukci statistických účelů na jednorázové výroční zpracování považuje žalobce za nepodloženou úvahu. Argumentoval nehospodárností vytvoření množství výstupu pokrývajících možné budoucí otázky, které se mohou ukázat jako nepotřebné, resp. nepokrývající budoucí nepředvídatelná zadání. Tvorba časových řad není samotným účelem zpracování osobních údajů, ale nezbytným východiskem pro tvorbu statistik, tj. je součástí statistických procesů. K posouzení zpracování citlivých údajů žalobce namítl nedostatečné zjištění, v kolika případech a za jakých podmínek došlo k propojení údajů žáků s informacemi o zdravotním postižení. Namítal absenci důkazů ohledně obtížnosti propojení datových souborů a ohrazuje se proti posouzení zpracování citlivých údajů jako přitěžující okolnosti při stanovení výše pokuty. Žalobce v rozkladu namítal, že pasivní povinnost subjektu údajů strpět zpracování osobních údajů tvorbou časových řad a uchováváním osobních údajů v databázi až po dobu 30 let je dostatečně určitá a předvídatelná s odkazem na ust. § 28 odst. 5 školského zákona. Namítal nepřiměřenou výši uložené pokuty a uplatnil zánik odpovědnosti za správní delikt s tím, že úřadu již bylo do roku 2007 známo, jak žalobce se soubory osobních údajů nakládá, neboť žalovaný předkládal své připomínky k návrhům novely vyhlášky č. 364/2005 Sb., v nichž napadal vytvoření centralizované databáze. Žalovaný námitkám podaného rozkladu nepřisvědčil. Ztotožnil se se závěry správního orgánu I. stupně v tom, že žalobce v databázi zpracovává nikoliv statistické, tj. anonymizované, ale osobní a citlivé údaje při mechanismu kódování, kdy lze informace ohledně subjektu údajů vždy přiřadit ke konkrétní osobě. Takové přiřazení je ostatně nezbytným předpokladem posuzované činnosti žalobce, tj. vytváření časových řad, kdy i žalobce sám připouští, že aktuální informaci přiřazuje vždy ke konkrétnímu subjektu údajů. Tento způsob zpracování a shromažďování osobních údajů nemá oporu ve školském zákoně nebo v jiném relevantním právním předpise, který by blíže upravoval podmínky pro zpracování osobních údajů. Posuzovaná činnost žalobce se tak řídí přímo zákonem č. 101/2000 Sb., přičemž k výkladu a aplikaci jeho jednotlivých ustanovení je žalovaný nepochybně plně kompetentní. Žalovaný se dále ztotožnil i se způsobem jakým správní orgán I. stupně vypořádal námitky žalobce uplatněné v jeho vyjádření ke kontrolnímu zjištění. Neakceptoval argumentaci žalobce, že neměl v úmyslu sledovat studijní život každého žáka a studenta s tím, že takový úmysl není znakem skutkové podstaty správního deliktu, nicméně je relevantní, že shromážděné údaje takovou činnost umožňují, ačkoliv sledování individuální studijní dráhy není předvídáno žádným právním předpisem. Žalovaný nepřijal ani argumentaci žalobce, že statistický účel je dlouhodobějšího charakteru a není nutné provádět agregaci dat okamžitě po jejich shromáždění. Blanketní odkaz obsažený v § 28 odst. 5 školského zákona nepovažoval za zákonné zmocnění pro takové zpracovávání osobních údajů. Povinnost správce osobních údajů je tedy v právu vyjádřena pouze obecně nebo je vymezen toliko sledovaný cíl bez výslovného zakotvení rozsahu a formy zpracování osobních údajů. Žalovaný přisvědčil tomu, že právní předpisy neupravují lhůtu, po kterou by mohl žalobce údaje uchovávat, takže platí ust. § 5 odst. 1 písm. e) zákona č. 101/2000 Sb., dle kterého lze osobní údaje uchovávat pouze po dobu nezbytně nutnou k naplnění účelu shromažďování údajů. Žalovaný je přesvědčen, že k vytvoření statistických dat musí ve skutečnosti postačovat doba výrazně kratší, než doba jednoho roku, z níž vycházel správní orgán I. stupně. Úřad přitom netvrdí, že žalobce má ihned vytvořit konkrétní statistické výstupy, ale že shromážděné osobní údaje má v co nejkratší lhůtě anonymizovat. Takové údaje pak může kdykoliv využít k tvorbě dalších potřebných statistik a výstupů. Skutečnost, že se v budoucnu může vyskytnout otázka, kterou nebude možné na základě statistických dat zodpovědět, neopravňuje žalobce k tomu, aby na místo statistických dat uchovával údaje osobní. K námitce žalobce, že tvorba časových řad není sama o sobě účelem zpracování, ale součástí statistických procesů, žalovaný nepopírá, že by tvorba časových řad nebyla prostředkem k naplnění tohoto účelu, ale konstatuje, že k realizaci sledování průchodnosti systému nebo pro tvorbu koncepcí a analýz není nezbytné zpracování osobních údajů ve formě časových řad. Uchovávání osobních údajů v původní podobě nelze zahrnout pod statistické procesy bez zákonného zmocnění uchovávat a dále zpracovávat shromážděné osobní údaje. Dle žalovaného není důvodná námitka, že se úřad nezabýval tím, v kolika případech a za jakých podmínek došlo k propojení údajů žáků s informacemi o zdravotním postižení. Žalovaný uvedl, že spojení souboru je možné v každém případě, z důvodu znalosti způsobu kódování rodného čísla. Není podstatné, zda a v kolika případech žalobce oba soubory skutečně propojil, ale to, že tuto možnost nepochybně má a protože žalobce zpracovává citlivé údaje, pak tato skutečnost s ohledem na citlivý charakter údajů má vliv na hodnocení této skutečnosti jako přitěžující. Žalovaný odmítl odkaz žalobce na předvídatelnost povinnosti subjektu údajů strpět zpracování osobních údajů, kterou žalobce dovozuje z ust. § 28 odst. 5 školského zákona ve spojení s prováděcí vyhláškou č. 364/2005 Sb. Strpět takovou povinnost lze pouze na základě dostatečně určité a předvídatelné právní normy o síle zákona, nepostačí k tomu podzákonný předpis. Na to příslušné prováděcí vyhlášky obvykle vydává přímo státní orgán, který má být v pozici správce osobních údajů, a proto bez jednoznačného zákonného zmocnění s vymezením aspoň základních parametrů zpracování osobních údajů pak hrozí situace, kdy tento orgán upraví prováděcí předpis tak, aby odpovídal jeho výkladu zákona. Žalovaný proto trvá na co nejkonkrétnějším vymezení oprávnění ke zpracování osobních údajů přímo v zákoně, neboť v souladu se Směrnicí Evropského parlamentu a Rady 95/46/ES nepovažuje za přijatelné, aby vágní ustanovení zákona, jehož naplnění je možné i prostřednictvím anonymních dat, konkretizoval podzákonný předpis způsobem, který představuje zásah do práv chráněných zákonem č. 101/2000 Sb. Žalovaný se dále ohradil proti některým námitkám žalobce, týkajícím se způsobu odůvodnění rozhodnutí správního orgánu I. stupně, nadsazujícím závažnost protiprávního jednání žalobce. K výši uložené pokuty uvedl, že tato byla zcela jasně odůvodněna a to nikoliv pouze počtem dotčených subjektů, ale také s ohledem na spáchání více správních deliktů, charakter osobních údajů a na dobu trvání protiprávního stavu. Současně bylo zohledněno, že se doposud neprokázalo další zneužití protiprávně zpracovávaných a uchovávaných osobních údajů. Výše pokuty odpovídá závažnosti deliktů, tj. tomu, kdy státní orgán svévolně rozšířil své zákonem stanovené kompetence a provádí zpracování osobních a citlivých údajů přesahující zákonné zmocnění, tj. v rozporu s článkem 2 odst. 3 Ústavy České republiky a článek 2 odst. 2 Listiny základních práv a svobod a také v rozporu s ústavně garantovaným právem na ochranu soukromých a osobních údajů vyjádřeným v článku 10 odst. 3 Listiny. K námitce o zániku odpovědnosti za spáchané správní delikty žalovaný uvedl, že z jeho iniciativy v legislativním procesu k novele vyhlášky nelze dovozovat to, že věděl o správním deliktu žalobce. Nadto upozornil, že se jedná o správní delikty trvající, v jejichž případě subjektivní lhůta počíná běžet až ukončením protiprávního stavu. Z uvedených důvodů žalovaný rozhodl tak, jak je uvedeno ve výroku napadeného rozhodnutí. IV. Žaloba Žalobce v podané žalobě namítal nezákonnost rozhodnutí žalovaného v návaznosti na nezákonné rozhodnutí správního orgánu I. stupně z důvodu nesprávného právního posouzení věcné otázky shromažďování, zpracovávání a uchovávání osobních údajů a v souvislosti s tím i nepřezkoumatelnost rozhodnutí z důvodu nedostatečného vypořádání argumentace žalobce k podstatě sporu. Žalobce poukázal na podstatu námitek uplatněných ve správním řízení, totiž že není vázán povinností anonymizovat individuální údaje do 1 roku od jejich shromáždění, neboť pro legitimní a legální účely je jejich zpracování dlouhodobějšího charakteru. V tomto směru žalobce považuje závěr žalovaného, že neshledal zákonný podklad pro zpracování osobních údajů po dobu delší než 1 roku, pouze za mechanicky opakovaný a založený na účelové dezinterpretaci rozkladových námitek žalobce. Žalobce namítá, že si žalovaný upravuje jeho vyjádření o tom, že nemá v úmyslu sledovat vzdělávací dráhu jednotlivce a že zpracování údajů po delší dobu nepotřebuje, a na základě těchto dezinterpretovaných vyjádření pak odvádí pozornost od stěžejního argumentu žalobce, tj. od existence zákonného podkladu pro shromažďování těchto údajů. Žalovaný ke shromažďování osobních údajů žalobcem požaduje prokázání „nezbytnosti“ osobní údaje shromažďovat a zpracovávat, avšak věcné posouzení, zda je taková nezbytnost na straně žalobce dána, v rozhodnutí absentuje. Žalobce se ohrazuje proti spekulaci žalovaného, že nezbytná doba pro uchovávání osobních údajů nepřesáhne 1 rok, tedy interval do dalšího získání osobních údajů. Žalobce namítá, že žalovaný neprokázal, že roční doba zpracovávání osobních údajů je zcela postačující, ačkoliv prokázání této hypotézy je nezbytnou podmínkou správního rozhodnutí. Žalobce namítá, že žalovaný staví svojí argumentaci na zcela nepodloženém závěru, že žalobce je výslovně odkázán na využití statistických, tj. anonymních údajů, přičemž nereaguje na rozkladovou námitku žalobce, že statistickému účelu ve smyslu ust. § 2 písm. f) zákona č. 89/1995 Sb. je nutné podřadit také uchovávání individuálních údajů pro účely pozdějšího statistického zpracování. V tom je klíčová otázka maximální doby jejich uchovávání, kterou však žalovaný v této souvislosti neřeší. Žalobce tak postrádá zcela vypořádání námitek k odkazu na citovaný zákon. Žalobce dále vytýkal, že žalovaný nevypořádal námitky, jimiž žalobce odkazoval na své povinnosti, které má dle § 28 odst. 5 školského zákona, a to poté, kdy před vydáním správního rozhodnutí v I. stupni tyto své povinnosti příkladmo a konkrétně vyjmenoval v námitkách. Žalovaný ve své argumentaci v napadeném rozhodnutí pak vyvolává dojem, že žalobce se odvolává toliko na blanketní ustanovení § 28 odst. 5 školského zákona. Přestože tak žalobce učinil a odkázal na konkrétní právní ustanovení, má za to, že zjišťování a posuzování obsahu právních ustanovení bylo věcí žalovaného, který vedl správní řízení a má prokázat znalost práva. Žalobce se ohrazuje proti závěru, že konečné posouzení toho, zda jsou pro plnění takové povinnosti nezbytné osobní údaje či nikoliv, přísluší žalovanému a nikoliv správci osobních údajů. Žalobce v podané žalobě setrvává i na své námitce nehospodárnosti požadavku žalovaného na vytváření enormního množství statistických výstupů, neboť jde o extrémní náročnost a nesplnitelnost postupu spočívajícího ve vytváření anonymních výstupů ve všech kombinacích, jejichž užití by v budoucnu mohlo přicházet v úvahu. Představa žalovaného tak postrádá praktický rozměr a je dokladem toho, že žalovaný nemá potřebné odborné znalosti pro posouzení věci a neprokazuje ani schopnost si tyto znalosti osvojit. Žalobce se domnívá, že žalovaný ve svém výkladu práva kalkuluje s reálným rozložením rizika v případě jeho pochybení, neboť žalobci reálně hrozí, že nebude schopen dále plnit úkoly v oblasti analýzy a koncepce vzdělávací soustavy a naopak žalovaný nečelí srovnatelnému riziku a není motivován k tomu, aby si opatřil dostatečné odborné znalosti. Proto žalovaný vypořádal námitku žalobce o zahrnutí uchovávání osobních údajů pod statistické účely velmi vágně. Uchovávání osobních údajů je podřaditelné statistickým účelům a proto tento statistický účel mohou být uchovávána data již anonymizovaná, tak i individuální. Potom je opodstatněná úvahu o zvláštním zákoně zmocnění k uchovávání individuálních dat, které žalovaný odmítá. Žalobce nesouhlasí se způsobem vypořádání námitky žalobce oproti závěru žalovaného, že došlo k propojení údajů žáků s informacemi o zdravotním postižení. V tomto směru není odůvodněn závěr žalovaného o množství citlivých údajů, týkajících se přinejmenším 72 854 žáků, a dále sankcionované možnosti propojení těchto údajů ve vedených souborech dokonce hodnotí nikoliv jako příznivější závěr pro žalobce, ale jako okolnost přitěžující. Žalovaný dále nebere jako polehčující okolnost v potaz kvalifikované zabezpečení osobních údajů, včetně citlivých údajů, proti zneužití. Žalobce tvrdí, že míra obtížnosti, s jakou lze zjistit jednotlivé fyzické osoby, není znakem skutkové podstaty deliktu, je však významná pro posouzení jeho závažnosti. Žalobce namítá klamavost a nepřijatelnost způsobu vypořádání jeho námitek způsobem, kdy je žalovaným aprobováno, že správní orgán I. stupně při posuzování právního základu pro sdružování osobních údajů používá nadsázek a úvah, které jsou nepřípustné a nevhodné při správním trestání. Žalobce dále namítá vady řízení. Vady řízení spatřuje: a) V délce trvání řízení o rozkladu 4 měsíce. Poukazuje na to, že lhůta k vydání správního rozhodnutí činí 30 dnů, v případě zvlášť složitém 60 dnů. Tato lhůta se však dle Nejvyššího správního soudu v řízení o rozkladu neuplatní, neboť rozklad pojmově postrádá devolutivní účinek a k posunu na vyšší instanci dochází jen v rámci organizační struktury jednoho a téhož správního orgánu. V dané věci jen od jednání rozkladové komise do podpisu napadeného rozhodnutí uplynulo jeden a půl měsíce. Žalobce tento postup považuje za kuriózní ve srovnání s tím, že tentýž úřad v rozhodnutí v prvním stupni zamítl návrh žalobce na přerušení řízení s odůvodněním, že výchovná funkce sankce předpokládá její bezprostřední dopad. b) V absenci odůvodněného stanoviska rozkladové komise. Žalobce poukazuje na stručný výpis z jednání z rozkladové komise předsedy Úřadu pro ochranu osobních údajů ze dne 16. 9. 2010 s tím, že návrhem na rozhodnutí podle § 152 odst. 3 správního řádu je třeba rozumět výhradně odůvodněný návrh. Tento odůvodněný návrh v dané věci absentuje. V závěru žaloby žalobce poukazuje na porušení principu nestrannosti, zejména s ohledem na častý prvek příliš obecného, popřípadě i chybného vypořádání námitek a dezinterpretace námitek žalobce. Napadenému rozhodnutí vytýká jeho ryze apologetický ráz, resp. zřejmou absenci zájmu na objektivním přezkoumání žalobcovy věci. Žalobce má za nevyvážené hodnocení přitěžujících a polehčujících okolností při posuzování správního deliktu u zpracování citlivých údajů. Jako přitěžující okolnost hodnotí žalovaný počet účastníků vzdělávání, ačkoliv tento počet dostatečně nedoložil, a naopak vůbec nepřihlíží k vysokému stupni zabezpečení osobních, citlivých údajů. Žalobce k zásahu do svých kompetencí upřesňuje, že tento zásah dovozuje z nezákonnosti uložení sankce žalobci za předmětná jednání, nikoliv ze sankcionování jako takového. Z uvedených důvodů žalobce navrhuje, aby soud zrušil napadené rozhodnutí žalovaného, jakož i rozhodnutí správního orgánu I. stupně a věc vrátil žalovanému k dalšímu řízení. V. Vyjádření žalovaného Žalovaný ve svém vyjádření k podané žalobě setrval na závěrech svého rozhodnutí s tím, že jsou dostatečně podložené a odůvodněné a poukazuje na to, že žalobce v podané žalobě neuvádí žádné věcné argumenty anebo alespoň částečně relevantní právní argumenty, které by svědčily o nesprávnosti závěrů žalovaného. Omezuje se toliko na napadání žalovaného s odkazem na nedostatečnou znalost právní úpravy, na nedostatky v oblasti interpretace a aplikace právních předpisů a využívá svou žalobu jako prostředek, jehož smyslem je polemizovat a upozorňovat na domnělou nekompetentnost za situace, kdy není schopen předložit žádný věcný argument či právní názor, který by jeho tvrzení potvrzoval. Žalovaný uvádí, že závěry, které správní orgán I. stupně přijal po provedené kontrole, stejně tak jako důkazní prostředky v rámci kontroly získané, jsou vždy jen jedním z podkladů pro rozhodnutí ve správním řízení. Pokud bylo žalobci po provedené kontrole uloženo anonymizovat osobní údaje v centrální matrice po dobu nezbytně nutnou a toto rozhodnutí bylo předmětem přezkumu před Městským soudem v Praze, který v této části přiznal žalobě proti rozhodnutí odkladný účinek, nemá tento postup požadovanou relevanci a účinek pro řízení o uložení správní sankce. K námitce žalobce o uchovávání shromážděných dat po dobu delší než 1 roku žalovaný uvádí, že byť z platné právní úpravy explicitně žádná konkrétní lhůta nevyplývá, žalovaný na základě zjištěného stavu věci dospěl na základě správního uvážení k závěru, že maximálně přípustná je lhůta v délce 1 roku a pro jakékoliv další uchovávání nemá žalobce žádné zákonné zmocnění. Vycházel přitom z ust. § 5 odst. 1 písm. e) zákona č. 101/2000 Sb., tj. z povinnosti šetřit osobnost fyzické osoby a ze zásady nezbytnosti účelu, který žalobce svým zpracováním osobních dat sledoval. Pro žalobce jako orgánu veřejné moci platí limity vyjádřené článkem 2 odst. 2 Listiny základních práv a svobod a zásady vyjádřené článkem 2 odst. 4 Ústavy, resp. článkem 2 odst. 3 a článkem 4 odst. 1 a 4 Listiny základních práv a svobod, podle kterých jsou soukromé osoby chráněny, a povinností ji mohou být ukládány toliko na základě zákona a v jeho mezích. Pro uchovávání dat v rozsahu, jak je prováděl žalobce, zde chybí zákonné zmocnění a odkaz na vyhlášku není namístě. Žalovaný na základě ústavně konformních a explicitně vyřčených kritérií provedl správní uvážení ve vztahu k době uchovávání a toto své správní uvážení odůvodňuje i ve smyslu dikce § 4 odst. 1 návrhu nového občanského zákoníku, který napovídá tomu, že by žalobce jako svéprávná osoba měl rozhodnutí žalovaného porozumět. K námitce žalobce, že v důsledku postupu žalovaného žalobce nebude moci plnit své úkoly, žalovaný poznamenává, že během řízení neshledal a ani žalobce v žalobě konkrétně netvrdí, o které úkoly by se mělo jednat. K žalobní námitce o způsobu vypořádání výše sankce žalovaný vychází z polemiky o odborné fundovanosti žalovaného a uvádí, že významu této námitky nerozumí. Své vyjádření uzavírá zdůrazněním povinnosti žalobce zabezpečit zpracovávána data dle § 13 a násl. zákona č. 101/2000 Sb. a pokud tato povinnost není ze strany správce údajů plněna, naplňuje všechny znaky správního deliktu (v širším smyslu) podle § 44 odst. 2 písm. h), resp. § 45 odst. 1 písm. h) zákona č. 101/2000 Sb. Žalovaný si není vědom, že by tomu, kdo spáchal uvedený správní delikt, bylo možné přičíst v jeho prospěch skutečnost, že by nespáchání dalšího správního deliktu bylo možné hodnotit ve prospěch pachatele. Ve prospěch lze pachateli správního deliktu přičíst pouze takovou skutečnost, která objektivně snižuje závažnost jeho jednání. Žalovaný je přesvědčen, že napadená rozhodnutí jsou správná, řádně odůvodněná a z těchto důvodů navrhuje, aby soud podanou žalobu jako nedůvodnou zamítl. VI. Replika žalobce Žalobce v následné replice považuje vyjádření žalovaného za zkreslující žalobní argumentaci a za urážlivé a tvrdí, že dle svého názoru předložil dostatek věcných argumentů k posouzení věci, dokáže rozeznat povahu a relevanci soudních procesů vedených o přezkoumání rozhodnutí o námitkách proti protokolu a rozhodnutí o uložení správní sankce a poukazuje na to, že v této věci podává standardně koncipovanou správní žalobu, již napadá nezákonnost a vady řízení. Má za to, že vyjádření žalovaného, byť reprodukuje obecné postuláty výkonu veřejné moci a v tomto je v zásadě správné, je pro danou věc bez vypovídací hodnoty. Žalobce vyvrací tvrzení žalovaného, že by v řízení neoznačil konkrétní úkoly, o nichž opírá potřebnou delší dobu zpracování osobních údajů. Žalobce ve svém rozkladu namítal, že nepostačuje posouzení správním orgánem, že k plnění úkolů ust. § 28 odst. 5 školského zákona postačují agregované údaje. Tato námitka však nebyla vypořádána. Kromě toho žalobce odkazoval také na vyhlášku 364/2005 Sb., ale i na jiná ustanovení zákona a řadu zcela konkrétních odkazů, např. na § 3 odst. 1 a 2, § 9 odst. 1, § 10 odst. 1, § 160-163, § 169-171 školského zákona, a to učinil již v námitkách ze dne 5. 1. 2010 podaných proti kontrolnímu protokolu. Polemizuje s tím, že by z hlediska výše pokuty považoval za polehčující okolnost samotné dodržování právní povinností, nýbrž poukazoval na vysokou technickou úroveň zabezpečení osobních dat, která již polehčující okolnost zakládat může. VII. Posouzení věci Městským soudem Městský soud v Praze přezkoumal napadené rozhodnutí, jakož i řízení, které předcházelo jeho vydání, podle § 65 a násl. zákona č. 150/2002 Sb. soudního řádu správního (dále jen s.ř.s.) v mezích žalobních bodů. Žaloba je důvodná. Při přezkoumání zákonnosti napadeného rozhodnutí soud jako relevantní považuje jedině otázku naplnění zákonných znaků skutkové podstaty správního deliktu a zákonných hledisek pro uložení pokuty. Soud zcela odhlíží od toho, že polemika účastníků řízení jak ze strany žalovaného v napadeném rozhodnutí a ve vyjádření k žalobě, tak ze strany žalobce v podané žalobě i v replice obsahuje sled argumentů a vzájemného napadání, které zcela nekoncepčně, nesystematicky a spíše chaoticky oba používají k obhajobě svých závěrů. Soud tedy nepřihlížel k nadsázkám používaným v rozhodnutí žalovaného, ale ani k rozdrobování smyslu vět a k nevěcnému analytickému rozboru jednotlivých pasáží z odůvodnění napadeného rozhodnutí žalobcem, nýbrž vycházel z argumentů obou účastníků řízení a vzal za podstatná ta tvrzení, která se týkají zjištěných skutečností, skutkového stavu a právního posouzení věci. V souzené věci byla žalobci uložena sankce za správní delikt dle § 45 odst. 1 písm. c), d) a e) zákona o ochraně osobních údajů ve znění platném v rozhodné době, spočívající v tom, že žalobce: shromažďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu (§ 45 odst. 1 písm. c) cit. zákona) uchovává osobní údaje po dobu delší než nezbytnou k účelu zpracování (§ 45 odst. 1 písm. d) cit. zákona) a zpracovává osobní údaje bez souhlasu subjektu údajů mimo případy uvedené v zákoně (§ 45 odst. 1 písm. e) cit. zákona) Správní delikt dle ust. § 45 odst. 1 písm. c) zákona dopadá na jednání v rozporu s ust. § 5 odst. 1 písm. f) cit. zákona. Podle § 5 odst. 1 písm. f) cit. zákona o ochraně osobních údajů správce je povinen zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas, Správní delikt dle ust. § 45 odst. 1 písm. d) cit. zákona dopadá na jednání v rozporu s ust. § 5 odst. 1 písm. e) cit. zákona. Podle § 5 odst. 1 písm. e) zákona o ochraně osobních údajů správce je povinen uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné, Správní delikt dle ust. § 45 odst. 1 písm. e) cit. zákona dopadá na jednání v rozporu s § 9 cit. zákona. Podle § 9 zákona o ochraně osobních údajů citlivé údaje je možné zpracovávat, jen jestliže a) subjekt údajů dal ke zpracování výslovný souhlas. Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Existenci souhlasu subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování. Správce je povinen předem subjekt údajů poučit o jeho právech podle § 12 a 21, b) je to nezbytné v zájmu zachování života nebo zdraví subjektu údajů nebo jiné osoby nebo odvrácení bezprostředního závažného nebezpečí hrozícího jejich majetku, pokud není možno jeho souhlas získat zejména z důvodů fyzické, duševní či právní nezpůsobilosti, v případě, že je nezvěstný nebo z jiných podobných důvodů. Správce musí ukončit zpracování údajů, jakmile pominou uvedené důvody, a údaje musí zlikvidovat, ledaže by subjekt údajů dal k dalšímu zpracování souhlas, c) se jedná o zpracování při zajišťování zdravotní péče, ochrany veřejného zdraví, zdravotního pojištění a výkon státní správy v oblasti zdravotnictví podle zvláštního zákona15) nebo se jedná o posuzování zdravotního stavu v jiných případech stanovených zvláštním zákonem,15a) d) je zpracování nezbytné pro dodržení povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti, stanovené zvláštním zákonem, 16) e) jde o zpracování, které sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti občanského sdružení, nadace nebo jiné právnické osoby nevýdělečné povahy (dále jen "sdružení"), a které se týká pouze členů sdružení nebo osob, se kterými je sdružení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdružení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů, f) se jedná o údaje podle zvláštního zákona nezbytné pro provádění nemocenského pojištění, důchodového pojištění (zabezpečení), státní sociální podpory a dalších státních sociálních dávek, sociálních služeb, sociální péče, pomoci v hmotné nouzi, a sociálně-právní ochrany dětí, a při zajištění ochrany těchto údajů v souladu se zákonem, g) se zpracování týká osobních údajů zveřejněných subjektem údajů, h) je zpracování nezbytné pro zajištění a uplatnění právních nároků, ch) jsou zpracovány výlučně pro účely archivnictví podle zvláštního zákona, nebo i) se jedná o zpracování podle zvláštních zákonů při předcházení, vyhledávání, odhalování trestné činnosti, stíhání trestných činů a pátrání po osobách. Při posouzení jednání žalobce dle citované právní úpravy soud vyšel z nesporného zjištění a z výsledku kontrolního protokolu, že žalobce od r. 2006 do doby kontroly zpracovával a uchovával osobní údaje a informace o žácích a studentech vytvářením časových řad, umožňujících uchovávat osobní data po dobu vzdělávacího programu, tj. po dobu 9-13 let v databázi, která byť neobsahuje rodná čísla žáků a studentů, tedy jediné a přímé identifikátory osobních údajů, umožňuje ze shromážděných údajů konkretizovat určitou osobu žáka či studenta vzhledem ke způsobu kódování a identifikace rodných čísel. Tento způsob zpracování a uchování dat byl proto shledán žalovaným způsobem neanonymizovaným, způsobujícím možnost nakládat s osobními údaji žáků a studentů bez souhlasu těchto subjektů údajů. Kromě uvedeného způsobu správy dat, tedy neanonymizovaného způsobu zpracování dat o žácích a studentech, umožňujícího nepřímou, zprostředkovanou identifikaci subjektu údajů, je rovněž mezi účastníky řízení nesporné zjištění, že ke zpracování uvedených dat nebyl dán souhlas subjektu údajů. Uvedená zjištění však nepostihují naplnění všech znaků výše uvedených skutkových podstat správního deliktu, za které byl žalobce veden k sankční odpovědnosti, a jednání žalobce nebylo podle těchto znaků konkrétně hodnoceno. Ustanovení § 5 odst. 1 písm. f) cit. zákona umožňuje zpracovávat osobní údaje bez souhlasu subjektu údajů a bez výslovného dalšího požadavku na ochranu údajů (anonymizace) jen pro případ, je-li to v souladu s účelem, k němuž byly shromážděny. Pro jiný účel je k tomu zapotřebí předchozího souhlasu subjektu údajů. To znamená, že pro naplnění skutkové podstaty správního deliktu musí být ještě nade vší pochybnost prokázáno, že zpracovával-li žalobce neanonymizované osobní údaje žáků a studentů bez předchozího souhlasu subjektu údajů, nečinil tak v souladu s účelem, pro který byly shromážděny. Z uvedených důvodů je pro naplnění skutkové podstaty správního deliktu podle § 45 odst. 1 písm. c) zákona o ochraně osobních údajů ve spojení s ust. § 5 odst. 1 písm. f) cit. Zákona nezbytné prokázat protiprávní jednání žalobce rovněž z hlediska účelu, pro který byly údaje shromážděny, což v podstatě znamená postavit najisto, pro jaký účel a na základě jaké své povinnosti žalobce v rámci své působnosti jako orgánu státní správy údaje o žácích a studentech shromažďuje a zpracovává. Pro naplnění skutkové podstaty správního deliktu dle § 45 odst. 1 písm. d) cit. zákona ve spojení s ust. § 5 odst. 1 písm. e) zákona o ochraně osobních údajů je nezbytné prokázat dobu, která je nezbytná k účelu jejich zpracování, neboť teprve až po uplynutí takové doby, kdy lze osobní údaje uchovávat pro další účely (statistické, vědecké, pro účely archivnictví), zákon pro tyto účely (tj. statistické, vědecké, pro účely archivnictví) požaduje dbát práva na ochranu před neoprávněným zasahováním do soukromého, což znamená anonymizovat údaje tak, jak požaduje žalovaný. Pro naplnění skutkové podstaty správního deliktu dle § 45 odst. 1 písm. e) cit. zákona ve spojení s ust. § 9 zákona postačovalo prokázat, že žalobce zpracovává citlivé údaje o žácích a studentech (tj. údaje o jejich zdravotním postižení bez souhlasu těchto subjektů údajů) a že pro takové zpracování nejsou dány výjimky dle § 9 písm. b) – i) cit. zákona. K průkazu této skutečnosti žalobce v řízení nic nenamítal. Na základě uvedeného soud přisvědčuje žalobci v jeho námitkách nesprávného a neúplného právního posouzení jednání žalobce z hlediska uvedených skutkových podstat správního deliktu, tj. podřazení dílčích jednání žalobce podle ust. § 45 odst. 1 písm. c) a d) ve spojení s § 5 odst. 1 písm. f) a e) zákona o ochraně osobních údajů. Žalovaný zredukoval své posouzení na popis způsobu shromažďování, zpracovávání a uchovávání informací a vysvětlení toho, jak tento způsob umožňuje identifikaci žáků a studentů, aniž by se dostatečně zabýval dalšími znaky správního deliktu – tj. účelu zpracovávání a uchovávání údajů a prokázáním doby nezbytně nutné k účelu zpracování dat bez jejich anonymizace. Žalobce ve svém vyjádření k podkladům rozhodnutí ze dne 18. 5. 2010, zapracovávajícím i jeho námitky proti obsahu kontrolního protokolu, namítal nesprávný výklad práva, tj. dopad sankčních ustanovení na případ žalobce jako orgánu veřejné správy oprávněného shromažďovat osobní údaje podle § 28 odst. 5 zákona č. 561/2004 Sb. s tím, že žalovaný se zákonnými povinnostmi žalobce dle tohoto zákona nezabýval a svoje posouzení zredukoval toliko na povinnosti žalobce pro účely statistické, tj. pro ty účely, k nimž je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého života, což právě znamená anonymizovat údaje. Přestože žalobce namítal, že jeho povinnosti pro účely statistické i jiné dle školského zákona se vzájemně prolínají, žalovaný se těmito tvrzeními z hlediska správního trestání blíže nezabýval. V součinnosti se žalobcem dostatečně nevyjasnil, jaké má žalobce povinnosti dle školského zákona, jaké úkoly státní správy a jaká metodika vede žalobce k vytváření časových řad pro účely sledování vývoje žáků a studentů v rámci vzdělávací soustavy, zda je toto sledování nezbytné a po jakou dobu a zda plnění takových úkolů a žalobcem aplikované postupy mají zákonný podklad. Spor mezi účastníky v řízení o správním deliktu vznikl také v důsledku nesprávného náhledu žalovaného na prokazování skutkových znaků správního deliktu. Žalovaný v dané věci rozhodoval v oblasti správního trestání. Trestnost správních deliktů se řídí obdobnými principy jako trestnost trestných činů, tedy především zásadou materiální pravdy. Naplnění zásady materiální pravdy vyžaduje, aby skutková stránka věci byla zjištěna dostatečně ve vztahu k řádnému posouzení a uplatnění zejména zásad legality (zákonnosti), přiměřenosti a předvídatelnosti rozhodnutí správních orgánů. Pouze v takovém případě je možno považovat skutkový stav za dostatečně zjištěný. Zvláštní důraz na důkladné zjištění skutkového stavu je pak třeba klást v rámci řízení o uložení pokuty za správní delikt, zahajovaného z úřední povinnosti (ex officio), jako jedné ze základních forem správního trestání. Je třeba poukázat na významnou úlohu zásady vyšetřovací (vyhledávací) ve smyslu ustanovení § 50 odst. 3 věty druhé správního řádu, podle něhož v řízení, v němž má být z moci úřední uložena povinnost, je správní orgán povinen i bez návrhu zjistit všechny rozhodné okolnosti svědčící ve prospěch i neprospěch toho, komu má být povinnost uložena (srov. např. rozsudek Nejvyššího správního soudu sp. zn. 8 As 5/2009) Ve správním trestání bylo na žalovaném, aby v rámci působnosti žalobce jako orgánu veřejné správy zjistil oprávnění a povinnosti žalobce vyplývající z citovaných právních předpisů, vyjasnil, jaké údaje z dokumentace či matrik škol a školských zařízení je žalobce povinen shromažďovat, v jaké podobě a po jak dlouhou dobu podléhají zpracování a uchovávání, jaké povinnosti se dle zákona o ochraně osobních údajů (skutkových podstat v ust. § 5 odst. 1 písm. f) a e) cit. zákona) k jednotlivým typům údajů vztahují a zda je skutečně dán zákonný podklad pro představu a požadavek žalovaného na anonymizaci údajů po dobu 1 roku, ne-li, jak žalovaný v rozhodnutí uvádí po dobu kratší. Žalobce s odkazem na znění ust. § 28 odst. 5 školského zákona a na důvodovou zprávu, výslovně hovořící o vytváření časových řad pro hodnocení vývoje, v nichž vidí plnění jiných svých povinností, než jen pro účely statistické, s nimiž je spojena nezbytnost provádět agregaci osobních údajů, tvrdil, že tato jeho činnost má oporu v § 28 odst. 5 školského zákona. Oproti tomu žalovaný je toho názoru, že způsob, kterým žalobce zpracovával údaje tak, že vytvářel časové řady, není pokryt zákonným zmocněním v ust. § 28 odst. 5 školského zákona, přičemž vycházel z toho, že v tomto ustanovení jsou povinnosti žalobce vyjádřeny pouze obecně toliko sledovaným cílem bez zakotvení rozsahu a formy zpracovávání osobních údajů. Žalovaný shodně se správním orgánem 1. stupně sice nepopírá, že by zpracování osobních údajů tvorbou časových řad nebylo prostředkem k naplnění účelu – sledování průchodnosti školského systému, tvorby koncepcí a analýz, jimiž žalobce obhajuje plnění svých zákonných povinností, nicméně na druhé straně tvrdí, že k takovému účelu není nezbytné zpracovávat osobní údaje prostřednictvím vytváření časových řad umožňujících identifikaci subjektu údajů. Toto své tvrzení o působnosti žalobce a jeho povinnostech dle školského zákona však žalovaný neposoudil v úplnosti dle příslušné právní úpravy na věc dopadající a neprokázal, že žalobce v rozsahu a způsobem, který byl kontrolním protokolem zjištěn, postupoval nad rámec svých zákonných povinností. Podle § 28 odst. 5 školského zákona ministerstvo, popřípadě jím zřízená organizace, sdružuje pro statistické účely a plnění dalších povinností podle tohoto zákona údaje z dokumentace škol a školských zařízení a ze školních matrik s výjimkou údajů uvedených v odstavci 2 písm. g) a i) a odstavci 3 písm. c) a f); údaje uvedené v odstavci 2 písm. f) a odstavci 3 písm. d) se sdružují v anonymizované podobě. Právnické osoby vykonávající činnost škol a školských zařízení předávají tyto údaje ministerstvu, popřípadě jím zřízené organizaci. Právnické osoby vykonávající činnost škol a školských zařízení, které nezřizuje ministerstvo, předávají tyto údaje v podobě statistických informací také krajskému úřadu, v případě škol a školských zařízení zřizovaných obcí nebo svazkem obcí také obecnímu úřadu obce s rozšířenou působností. Podle § 28 odst. 6 školského zákona ministerstvo stanoví prováděcím právním předpisem podmínky, rozsah, formu a způsob vedení dokumentace škol a školských zařízení a školní matriky a rozsah, formu, způsob a termíny předávání údajů z dokumentace škol a školských zařízení a školní matriky příslušnému orgánu státní správy ve školství a ministerstvu, popřípadě jím zřízené organizaci. Citovaná právní úprava umožňuje sdružování údajů pro statistické a jiné účely a rozlišuje sdružování některých údajů (o zdravotním postižení) v anonymizované podobě. Dále rozlišuje předávání údajů v podobě statistických informací právnickými osobami, vykonávajícími činnost škol a školských zařízení, které nezřizuje ministerstvo a předávání údajů ostatními právnickými osobami vykonávajícími činnost škol a školských zařízení, případně i v jiné podobě. Rozsah, formu, způsob a termíny předávání údajů dle zákonného zmocnění ust. § 28 odst. 6 školského zákona upravuje vyhláška č. 364/2005 Sb., o vedení dokumentace škol a školských zařízení a školní matriky a o předávání údajů z dokumentace škol a školských zařízení a ze školní matriky (dále jen vyhláška o dokumentaci škol). Tato vyhláška v ust. § 3a zakotvuje povinnost anonymizace osobních údajů zpracovávaných podle této vyhlášky, jakmile pomine účel, pro který byly shromážděny, nejpozději však po uplynutí 30 let od jejich prvého zpracování. Vyhláška dále rozlišuje údaje týkající se žáků, studentů a uchazečů o přijetí ke vzdělávání jako „individuální“ údaje a dále údaje vzniklé agregací (tj. připojením, přičleněním, případně shrnutím údajů) jako údaje „agregované“ (§ 3 vyhlášky) včetně způsobu jejich předávání (přílohy 1 a 2 vyhlášky). Anonymizace údajů požadovaná žalovaným je tedy částečně stanovena v § 28 odst. 5 školského zákona a je rovněž upravena prováděcí vyhláškou, vycházející ze zákonného podkladu, jímž je ust. § 28 odst. 5 školského zákona. Tyto předpisy jsou zvláštními předpisy o shromažďování a dokumentaci údajů v oblasti školství, které doplňuje obecná úprava daná zákonem o ochraně osobních údajů příkazem anonymizace dle § 5 odst. 1 písm. e) pro určité účely (statistické, vědecké, archivní) po pominutí účelu jejich zpracování. Obecné podmínky ochrany osobních údajů, vycházející ze zákona o ochraně osobních údajů je tedy třeba vykládat a aplikovat ve spojení s úpravou nakládání s osobními údaji v dokumentaci škol, nikoliv samostatně a odtrženě, bez vyjasnění účelu zpracování. Účel zpracování je sjednocujícím hlediskem dle obou zákonů pro posouzení, jaké údaje a po jak dlouhou dobu měl žalobce zpracovávat a uchovávat. Žalovaný v dané věci neposoudil protiprávnost jednání žalobce z hlediska citované právní úpravy školského zákona ve spojení se skutkovou podstatou správních deliktů dle zákona o ochraně osobních údajů. Neposoudil, jaké údaje má žalobce v rámci své působnosti dle školského zákona a vyhlášky o dokumentaci škol sdružovat jako individuální a po jak dlouhou dobu a následně jako agregované a jak nakládání s těmito údaji dle vyhlášky naplňuje každou ze skutkových podstat správního deliktu dle zákona o ochraně osobních údajů, za které byl žalobce sankčně postižen. Žalovaný rezignoval na důkladné posouzení oprávnění a povinností žalobce dle předpisů o dokumentaci škol, ačkoliv žalobce jak v „Odpovědi Ministerstva školství, mládeže a tělovýchovy na dotazy inspektorky Úřadu…“ z června 2009 (došlé žalovanému Úřadu dne 23. 6. 2009), tak ve „Zdůvodnění nutnosti anonymizování údajů ze školních matrik a dokumentace škol vedených v centrální databázi po dobu delší než jeden rok“ vysvětloval účel a důvody vedení individuálních údajů o žácích za delší časové období. Z napadeného rozhodnutí dokonce vyplývá, že se žalovaný účelem zpracování osobních údajů pro účely vzdělávací soustavy odmítl zabývat s poukazem na to, že jedině relevantní je ochrana zásahu do soukromí garantovaná v síle zákona (zákon č. 101/2002 Sb.), a nepostačí podzákonný předpis. Žalovaný si však neuvědomil, že vyhláška o dokumentaci škol byla vydána na podkladě zákona pro to, aby konkrétněji vymezila nakládání s osobními údaji pro účel stanovený v ust. § 28 odst. 5 školského zákona. To znamená, že jiný (než statistický) účel zpracování osobních údajů není pouze obecně vyjádřen v ust. § 28 odst. 5 školského zákona, ale je pro záměry ustanovení § 28 odst. 5 školského zákona promítnut do postupů uvedených ve vyhlášce o dokumentaci škol. Bylo proto na žalovaném, aby posoudil soulad těchto předpisů a proporcionalitu zájmů chráněných právními předpisy z oblasti školství ve srovnání s ochranou poskytovanou zákonem o ochraně osobních údajů, a to nikoliv jen z pohledu právní úpravy v síle zákona oproti podzákonnému předpisu, ale dle zásadního a sjednocujícího kritéria, jímž je účel zpracování osobních údajů. Žalovaný svůj odstup od citované vyhlášky zdůvodnil také hypotézou o tom, že tuto vyhlášku vydává tentýž státní orgán, který má být v pozici správce údajů s tím, že ten si upraví prováděcí právní předpis tak, aby odpovídal jeho výkladu zákona. Žalovaný nezdůvodnil, v čem citovaná naplňuje tuto hypotézu, v čem se příčí školskému zákonu a zákonu o ochraně osobních údajů a ani tak učinit nemohl, pokud sám nepostavil na jisto, že účel, jemuž mělo jednání žalobce, vyhodnocené žalovaným jako protiprávní, sloužit, je nezákonný, je libovůlí žalobce a nesleduje legitimní cíl. To žalovaný neučinil, a přestože měl k dispozici dostatek argumentů žalobce o jeho činnosti a způsobu zpracování individuálních údajů po určitou dobu, obsažené v odpovědích a vysvětleních ke kontrolním zjištěním, s těmito vyjádřeními se vypořádal toliko formálně popřením existence zákonného zmocnění a neprověřil působnost žalobce, legitimnost a význam cílů, jimž měla kontrolovaná činnost žalobce sloužit. Neporovnal, zda pro předmětnou činnost žalobce existuje dostatečný veřejný zájem vedle zájmu na ochranu soukromí a neposoudil, zda, je-li takový zájem v zákoně vyjádřen, může jeho naplňování vést ke správnímu trestání žalobce. Přestože žalovaný rozhodoval v oblasti správního trestání, také nekvalifikoval, jakým jednáním a jak odpovídajícím jednotlivým znakům skutkových podstat, se žalobce dopustil porušení jednotlivých ustanovení zákona naplňujících skutkové podstaty správního deliktu dle § 5 odst. 1 písm. f) a e). Ačkoliv jde o správní trestání a v zákoně o ochraně osobních údajů je jen obecně stanovena lhůta pro uchování osobních údajů dle § 5 odst. 1 písm. e) jako doba nezbytná k účelu jejich zpracování, žalovaný, aniž by zjistil účel zpracování, sám správním uvážením stanovil jako přípustnou dobu pro uchovávání osobních údajů dobu 1 roku, přičemž v napadeném rozhodnutí uvažoval i o době kratší. Zákon o ochraně osobních údajů přitom v ust. § 4 písm. e), f) a g), zmiňuje systematické shromažďování za účelem jejich uložení a uchovávání v podobě, která je umožňuje dále zpracovávat, tedy předpokládá existenci údajů po nějakou dobu a jejich dispozice pro určitý účel. Jestliže žalovaný tento účel nezjistil, nemohl sám pro účely správního trestání jen odhadovat dobu nezbytně nutnou pro uchovávání předmětných osobních údajů a za takové situace neměl podmínky pro správní uvážení o době 1 roku či době kratší jako době nezbytně nutné pro uchovávání dat. V daném případě tedy nebylo zjištěno a přezkoumatelným způsobem odůvodněno, jaká nejdelší lhůta pro zpracovávání osobních údajů v neanonymizované podobě je nezbytná pro plnění zákonem stanovených povinností žalobce. I k tomu bylo zapotřebí podrobnějšího a konkrétnějšího posouzení účelu shromažďování, zpracovávání a uchovávání osobních údajů žalobcem, tedy činnosti žalobce na úseku státní správy ve školství. V návaznosti na uvedené, soud přisvědčuje žalobci v tom, že je to žalovaný, kdo má prokazovat protiprávnost jednání žalobce, neboť žalovaný vedl sankční řízení a o sankci za správní delikt mohl rozhodnout jen při důkladném zvážení naplnění všech znaků správního deliktu a nade vší pochybnost o protiprávnosti jednání žalobce. Je proto důvodná žalobní námitka, že zjišťování a skutkových okolností a posuzování právních ustanovení bylo povinností žalovaného a že konečné posouzení toho, zda zpracovávání a uchovávání osobních údajů bylo v souladu s účelem, k němuž byly shromážděny, příslušelo Úřadu. Na základě shora uvedených skutečností Městský soud v Praze zrušil napadené rozhodnutí pro nezákonnost, spočívající v nesprávném a neúplném skutkovém a právním posouzení věci z hlediska jednotlivých skutkových podstat správního deliktu a pro nepřezkoumatelnost, spočívající v nedostatku odůvodnění rozhodnutí z hlediska výchozího a společného znaku významného pro posouzení protiprávní činnosti žalobce, jímž je účel shromažďování, zpracovávání a uchovávání osobních údajů v činnosti žalobcem zřízeného Ústavu pro informace ve vzdělávání. Oproti uvedenému soud nepřisvědčil žalobním námitkám, týkajícím se nehospodárnosti požadavku žalovaného na vytváření enormního množství statistických výstupů ani poukazu žalobce na nepřiměřenost rizika, které nese žalobce oproti žalovanému při plnění úkolů státní správy a zásahu do jeho kompetence. Žalovaný je státním orgánem, vykonávajícím dohled nad dodržováním předpisů o ochraně osobních údajů, a žalobce jako správce údajů je povinen dodržovat podmínky stanovené právními předpisy, týkajícími se ochrany osobních údajů. Takto vymezené úkoly obou státních orgánů nemohou být nad rámec zákona modifikovány jinými hledisky, jako je např. žalobcem namítaná nehospodárnost zpracovávání údajů v podobě požadované žalovaným, apod. Na garanci právní jistoty dané úkoly žalovaného a povinnostmi žalobce v oblasti ochrany osobních údajů nemá vliv ani menší čí větší riziko každého z nich při vybočení z plnění úkolů orgánů veřejné moci. Uvedenými námitkami žalobce tak směřuje mimo rámec relevantního posouzení skutkových podstat správních deliktů. Soud neshledal důvodnými ani žalobní námitky, napadající vady rozkladového řízení. Ze žalobní námitky vytýkající délku řízení o rozkladu 4 měsíce, soud nevyvozuje žádné důvody, které by samy o sobě vyvolaly nezbytnost napadené rozhodnutí zrušit. Lhůty pro vydání rozhodnutí stanovené v zákoně č. 500/2004 Sb., správního řádu jsou lhůtami pořádkovými a jejich nedodržení nemá účinky prekluze vedení sankčního řízení. Nadto správní řád obsahuje ustanovení o ochraně proti nečinnosti a proti nečinnosti správního orgánu se lze rovněž bránit správní žalobou na ochranu proti nečinnosti správního orgánu rozhodujícího v meritu věci. Tato opatření nebyla v dané věci zapotřebí, žalovaný rozhodnutí o rozkladu vydal a toto rozhodnutí bylo v souzené věci přezkoumáno. Výhrada nedostatku odůvodnění návrhu rozkladové komise na rozhodnutí o rozkladu je žalobcem vyslovena na základě pouhého výkladu zákona žalobcem. Zákon výslovně odůvodnění návrhu nepožaduje, i když takové odůvodnění se jeví vhodným pro přesvědčivost rozhodnutí. Z tohoto důvodu není uvedená námitka pádná a s ohledem na důvod zrušení napadeného rozhodnutí soudem ani právně relevantní. Z důvodů zrušení napadeného rozhodnutí soudem pro účely nového posouzení jednání žalobce z hlediska jednotlivých skutkových podstat správního deliktu se soud již nezabýval námitkami směřujícími do úvahy o výši uložené pokuty z hlediska polehčujících a přitěžujících okolností u zpracování citlivých údajů. Porušení povinnosti při zpracování citlivých údajů je jedním z dílčích jednání, závislým na metodice časových řad, za které byl žalobce postižen, a proto i zohlednění polehčujících i přitěžujících okolností při zpracování citlivých údajů musí v dalším řízení souviset s novým posouzením jednání žalobce. VIII. Závěr Na základě shora uvedených důvodů Městský soud v Praze napadené rozhodnutí zrušil dle § 78 odst. 1 s.ř.s. a dle § 78 odst. 4 s.ř.s. věc vrátil žalovanému k dalšímu řízení. Soud rozhodoval ve věci bez nařízení jednání za splnění podmínek ust. § 51 s.ř.s., neboť účastníci řízení nevyjádřili svůj nesouhlas s projednáním věci bez nařízení jednání. Výrok o nákladech řízení je odůvodněn ustanovením § 60 odst. 1 s.ř.s. Žalobce měl ve věci úspěch, avšak náklady mu v souvislosti s řízením u soudu nevznikly a podle § 11 odst. 1 písm. a) zákona č. 549/1991 Sb., o soudních poplatcích byl osvobozen od úhrady soudního poplatku.

Poučení