Uložení pokuty za správní delikt

Úřad pro ochranu osobních údajů (dále jen „ÚOOÚ“) vydal dne 27. 4. 2016 rozhodnutí č. j. SPR-2298/10-56, kterým byla Ministerstvu školství, mládeže a tělovýchovy (dále jen „Ministerstvo“) uložena pokuta ve výši 200 000 Kč za správní delikt dle § 45 odst. 1 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Deliktu se Ministerstvo mělo dopustit tím, že „v rozporu s § 9 zákona o ochraně osobních údajů jakožto správce osobních údajů žáků a studentů od roku 2006 nejméně do začátku roku 2010 v rámci činnosti jím zřízeného Ústavu pro informace ve vzdělávání zpracovávalo citlivé údaje vypovídající o druhu zdravotního postižení, druhu dalšího zdravotního postižení a příznaku souběžného postižení více vadami, a to v roce 2007 u přibližně 700 studentů středních škol a vyšších odborných škol, v roce 2008 přibližně 68 000 žáků základních škol a dalších studentů (studentů středních škol, vyšších odborných škol a konzervatoří) a v roce 2009 přibližně 38 000 žáků základních škol a dalších studentů (studentů středních škol, vyšších odborných škol a konzervatoří)“.

Toto rozhodnutí bylo následně předsedkyní ÚOOÚ potvrzeno (tj. byl zamítnut rozklad), kdy v odůvodnění svého rozhodnutí předsedkyně konstatovala, že Ministerstvo „zpracovávalo osobní a citlivé údaje ve smyslu § 4 písm. e) zákona o ochraně osobních údajů, přičemž ke zpracování citlivých údajů vypovídajících o druhu zdravotního postižení, druhu dalšího zdravotního postižení a příznaku souběžného postižení více vadami Ministerstvo nedoložilo souhlas subjektů údajů a ani nenaplnilo některý z dalších právních titulů dle § 9 písm. b) až i) tohoto zákona“. V této souvislosti se ÚOOÚ vyjádřil i k tomu, jak by se mělo nahlížet na možnost anonymizace osobních údajů. Ministerstvo podle ÚOOÚ shromažďovalo osobní údaje ve formě dvou souborů, přičemž „bez vynaložení mimořádných prostředků či úsilí“ bylo možné získat rodné číslo jako identifikátor z jednoho souboru a další osobní údaje z druhého souboru. O anonymizaci se tedy v tomto případě jednat nemohlo.

Ministerstvo následně podalo proti rozhodnutí ÚOOÚ žalobu, v níž mimo jiné namítlo, že „skutková podstata správního deliktu dle § 45 odst. 1 písm. e) zákona o ochraně osobních údajů předpokládá aktivní jednání účastníka (tj. zpracování citlivých údajů).“ Ministerstvo odmítlo názor ÚOOÚ, že by se v jejich případě jednalo o zpracování osobních údajů. Tuto skutečnost mělo potvrzovat, že dle tvrzení Ministerstva nebyl k dispozici „takový soubor, který by umožňoval identifikovat konkrétní subjekty“, pročež nebyla splněna podmínka dle § 4 písm. a) zákona o ochraně osobních údajů, že subjekt údajů se považuje za určený nebo určitelný, jestliže ho lze přímo či nepřímo identifikovat. Dále Ministerstvo nesouhlasilo s ukládáním pokut jedním správním úřadem druhému správnímu úřadu, neboť ve své podstatě jde pouze o „přelévání“ či „přesouvání“ finančních prostředků v rámci majetku státu.

Městský soud v Praze rozsudkem[4] žalobu zamítl. Dospěl k závěru, že Ministerstvo údaje „zpracovávalo ve smyslu § 4 písm. e) zákona o ochraně osobních údajů. V posuzovaném případě nebyl  podle soudu naplněn předpoklad předávání čistě anonymních údajů, neboť „zakódování“ údajů v druhém souboru dat prostřednictvím jedinečného osobního kódu při vypuštění údaje o rodném číslu v tomto souboru dat nebylo způsobilé zabránit tomu, aby s ohledem na shodu v parametrech v obou předávaných souborech údajů kterákoli osoba bez větších nesnází identifikovala pomocí porovnání údajů uvedených pod překrývajícími se parametry subjekt údajů prostřednictvím rodného čísla, jež bylo předáváno v rámci prvního souboru dat“.

Ministerstvo napadlo výše uvedený rozsudek kasační stížností, kde mimo jiné namítlo, že Městský soud v Praze „nesprávně posoudil možnost uložení sankce stěžovateli, kdy pozdější právní úprava zavedená zákonem o zpracování osobních údajů a obecným nařízením (GDPR)[5], neumožňuje uložit sankci za správní trest orgánu veřejné moci (§ 62 odst. 5 zákona č. 110/2019 Sb., o zpracování osobních údajů [dále jen „zákon o zpracování osobních údajů“] ve spojení s čl. 83 odst. 7 GDPR).“ ÚOOÚ k této kasační námitce uvedl, že „institut upuštění od potrestání dle § 62 odst. 5 zákona o zpracování osobních údajů, jež se na [Ministerstvo] jako orgán veřejné moci vztahuje, lze jen obtížně považovat za podstatnou změnu trestní politiky státu, jak ji má čl. 40 odst. 6 věty druhé Listiny základních práv a svobod na mysli. Pokuta uložená státnímu orgánu totiž není sankcí v materiální slova smyslu, již jen proto, že státní orgán nepociťuje takovou pokutu jako vlastní majetkovou újmu. Výše uvedené ustanovení tak nelze chápat jako materiální změnu trestní politiky státu v pravém slova smyslu, jež by byla legitimně provázána se změnou postoje zákonodárce k postihu předmětného jednání v rámci správního trestání, jež je podstatou ústavněprávní regulace obsažené v čl. 40 odst. 6 Listiny. Formální změnu, kterou přinesl § 62 odst. 5 zákona o zpracování osobních údajů, je nutno chápat jako specifické technické opatření, jež mělo zabránit samoúčelnému „přesouvání“ finančních prostředků v rámci majetku státu“.

Nejvyšší správní soud: nerovnost má racionální odůvodnění

K tomuto Nejvyšší správní soud („NSS“) v odůvodnění svého rozsudku uvedl, že „zásada použití příznivější právní úpravy obsažená v čl. 40 odst. 6 Listiny základních práv a svobod a provedená v § 7 odst. 1 zákona č. 200/1990 Sb., o přestupcích dále jen („zákon o přestupcích“) nedopadá na správní trest ukládaný státním orgánům. Pakliže [ÚOOÚ] tvrdí, že pokud by pokuta ukládaná státnímu orgánu byla vykládána materiálně jako trestní sankce, založilo by to manifestní nerovnost subjektů před zákonem, nenachází pro toto tvrzení NSS oporu v citovaném ustanovení Listiny základních práv a svobod ani v rozhodovací praxi soudu. Jak již konstatoval rozšířený senát NSS: „Rozhoduje-li krajský soud ve správním soudnictví o žalobě proti rozhodnutí správního orgánu, kterým bylo rozhodnuto o vině a trestu za správní delikt v situaci, kdy zákon, kterého bylo použito, byl po právní moci správního rozhodnutí změněn nebo zrušen, je povinen přihlédnout k zásadě vyjádřené ve větě druhé čl. 40 odst. 6 Listiny základních práv a svobod, podle níž se trestnost činu posoudí a trest ukládá podle právní úpravy, která nabyla účinnosti poté, kdy byl trestný čin spáchán, je-li to pro pachatele příznivější“ (rozsudek rozšířeného senátu NSS ze dne 16. 11. 2016, č. j. 5 As 104/2013 – 46, č. 3528/2017 Sb. NSS)“.

„Pokud [ÚOOÚ] tvrdí, že by aplikace zásady použití příznivější právní úpravy na projednávaný případ založila nerovnost mezi subjekty, Nejvyšší správní soud zastává názor, že nerovnost by naopak vyvstala v případě, kdy by zásada použití příznivějšího trestu nebyla vůči státnímu orgánu, jakožto orgánu moci veřejné, aplikována, aniž by tato neaplikace měla podklad v zákoně.“

Podle NSS lze sice usoudit, že v souvislosti s ukládáním sankcí podle zákona o zpracování osobních údajů může dojít k nerovnosti mezi orgány veřejné moci a ostatními subjekty, nepovažuje však tento stav za neakceptovatelný. Konstatuje, že se jedná „o výkon diskrece zákonodárce, pro který lze najít racionální odůvodnění (veřejné subjekty zpravidla nedisponují vlastním majetkem, nýbrž jsou financovány z veřejných rozpočtů, přičemž výnos uložených pokut je opět příjmem veřejných rozpočtů). Obdobně ostatně zákonodárce vyloučil trestněprávní odpovědnost státu a územních samosprávných celků dle § 6 odst. 1 zákona č. 418/2011 Sb., o trestní odpovědnosti právnických osob a řízení proti nim. GDPR pak výslovně umožňuje takové vyloučení ukládání sankcí veřejným osobám“.

Správní trestání

Komentářová literatura k § 62 odst. 5 zákona o zpracování osobních údajů konstatuje, že toto ustanovení „vychází z čl. 83 odst. 8 Nařízení a stanovuje, že v národním právním řádu je porušení ustanovení o ochraně osobních údajů přestupkem, čímž je vytvořen pomyslný můstek mezi přímo aplikovatelným Nařízením a národními předpisy z oblasti správního trestání ve smyslu čl. 83 odst. 8 Nařízení. V oblasti správního trestání se tedy uplatní přestupkový zákon potažmo správní řád a soudní řád správní, které zaručují dodržení procesních záruk a ochranu práva na spravedlivý proces dotčených subjektů.“[6]

Správní trestání vychází ze zákona č. 250/2016 Sb., o odpovědnosti za přestupky a řízení o nich (přestupkový zákon), ve znění pozdějších předpisů, který obsahuje obecnou úpravu ukládání správních trestů a celého přestupkového řízení. Ustanovení § 35 přestupkového zákona počítá s celkem pěti možnými druhy správních trestů. Kromě pokuty se jedná dále o napomenutí, zákaz činnosti, propadnutí věci nebo náhradní hodnoty a zveřejnění rozhodnutí o přestupku. Z těchto druhů správních trestů se přitom při trestání orgánů veřejné moci jako zjevně přiléhavé jeví zejména možnost trestu ve formě napomenutí nebo stanovení povinnosti zveřejnit rozhodnutí o přestupku. Napomenutí přitom lze podle přestupkového zákona uložit za jakýkoliv přestupek. Udělit napomenutí jako druh nápravné pravomoci přitom zakotvuje rovněž čl. 58 odst. 2 písm. b) obecného nařízení. Co se týče trestu zveřejnění rozhodnutí o přestupku, tento trest lze uložit pouze pokud tuto možnost stanoví zákon.

Závěr:

Je zřejmé, že ohledně aplikace institutu upuštění od potrestání podle § 62 odst. 5 zákona o zpracování osobních údajů v případě orgánů veřejné moci nepanují z pohledu NSS zásadní pochyby. V případě, že sankce za spáchání přestupku podle tohoto zákona nebo podle GDPR má být uložena orgánu veřejné moci, úřad od uložení trestu upustí. Výše uvedený rozsudek potvrzuje, že tento institut se použije i na přestupky spáchané a řízení zahájená ještě za doby účinnosti dnes již zrušeného zákona o ochraně osobních údajů.

Přestože lze pochopit důvody, proč by nebylo efektivní ukládat orgánům veřejné moci pokuty jinými orgány veřejné moci, lze způsob, jakým zákonodárce tuto výjimku provedl, považovat za ne zcela vhodný. Aktuální znění § 62 odst. 5 zákona o zpracování osobních údajů totiž nepřipouští uložení žádného druhu správního trestu pro orgány veřejné moci, není teda vyloučeno pouze uložení pokuty.

Lze považovat za nevyužitou příležitost, že zákonodárce neprovázal tuto výjimku s již platnou a účinnou právní úpravou přestupkového řízení a nepřipustil alespoň možnost uložit správní trest ve formě napomenutí nebo uložení povinnosti zveřejnit rozhodnutí o přestupku. Stanovení odlišných trestů mimo uložení pokuty přitom připouští i čl. 84 obecného nařízení, podle kterého vedle pokuty členské státy stanoví pravidla pro jiné sankce, jež se mají ukládat za porušení tohoto nařízení, zejména za porušení, na něž se nevztahují správní pokuty podle čl. 83, přičemž „tyto sankce musí být účinné, přiměřené a odrazující.“

Výše popsané vyloučení uložení správních trestů však neznamená, že by byl dnes ÚOOÚ vůči orgánům veřejné moci zcela bezzubý. Podle § 60 zákona o zpracování osobních údajů dojde-li k porušení povinnosti stanovené zákonem nebo uložené na jeho základě při zpracování osobních údajů podle hlavy II nebo III nebo podle nařízení Evropského parlamentu a Rady (EU) 2016/679, může stále ÚOOÚ uložit opatření k odstranění zjištěných nedostatků a stanovit dotčenému subjektu přiměřenou lhůtu pro jejich odstranění a dále všechny pravomoci uvedené v článku 58 GDPR.