ECLI:CZ:NSS:2003:7.A.58.2002
sp. zn. 7 A 58/2002 - 40
ROZSUDEK
Nejvyšší správní soud rozhodl v senátě složeném z předsedkyně JUDr. Elišky
Cihlářové a soudců JUDr. Radana Malíka a JUDr. Milana Kamlacha v právní věci žalobce
K. m. P., zastoupeného JUDr. Karlem Havlem, advokátem v Plzni, Martinská 8 proti
žalovanému Úřadu pro ochranu osobních údajů se sídlem v Praze 3, Havelkova 22,
zastoupenému JUDr. Martinem Vlčkem, CSc., advokátem v Praze 2, Anglická 4, v řízení
o přezkoumání rozhodnutí žalovaného ve věci uložení opatření podle zákona č. 101/2000 Sb.
ve znění pozdějších předpisů,
takto:
I. Rozhodnutí Úřadu pro ochranu osobních údajů ze dne 8. 4. 2002
č. j. 12/02/03/INSP-1/RP se zrušuje a věc se vrací žalovanému
k dalšímu řízení.
II. Žalovaný je povinen zaplatit žalobci na nákladech řízení částku 4 650,- Kč
do tří dnů od právní moci rozsudku k rukám JUDr. Karla Havla, Plzeň, Martinská 8.
Odůvodnění:
Žalobou podanou v zákonné lhůtě u Vrchního soudu v Praze se žalobce domáhal
zrušení rozhodnutí žalovaného ze dne 8. 4. 2002 č. j. 12/02/03/INSP-1/RP, kterým bylo
zamítnuto jeho odvolání a potvrzeno rozhodnutí správního orgánu I. stupně o námitkách
ze dne 31. 1. 2002 č. j. 12/02/03/INSP-1. V odůvodnění napadeného rozhodnutí žalovaný
uvedl, že při kontrole dodržování zákona č. 101/2000 Sb. ve znění pozdějších předpisů
(dále jen zákon o ochraně osobních údajů) byly zjištěny nedostatky, které byly vyjádřeny
v kontrolním protokolu. Jedním z nedostatků citovaným v kontrolním nálezu bylo to,
že žalobce jako správce nesplnil povinnost shromažďovat osobní údaje odpovídající pouze
stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Tuto povinnost
porušil tím, že zpracovává identifikační a kontaktní údaje zdrojových subjektů údajů
v rozsahu větším než nezbytně nutném. Porušení zákona o ochraně osobních údajů
je spatřováno v nedodržení ustanovení §5 odst. 1 písm. d) zákona o ochraně osobních údajů
a nikoliv, jak se zřejmě domnívá žalobce, v porušení odstavce 2 citovaného ustanovení.
Souhlas subjektu údajů je nástrojem pro zajištění legitimity zpracování osobních údajů,
nicméně nelze jím krýt případné porušování dalších povinností uložených správci zákonem.
Nejprve je podle žalovaného třeba posoudit, co je ve vztahu k zákonné definici osobním
údajem, zda je možno obecně definovat rozsah údajů vedoucích k identifikaci subjektu údajů
a zda všechny údaje zpracovávané žalobcem jsou objektivně nezbytně nutné k účelům,
jak je žalobce ve svém odvolání prezentoval. Definice pojmu „osobní údaj“ vychází
z mezinárodních pramenů, které tvoří standard a základní směrnice při ochraně osobních
údajů. Jedná se zejména o směrnici Evropského parlamentu a Rady 95/46/ES ze dne
24. 10. 1995 a Úmluvu č. 108 z 28. 1. 1981. Aby bylo možno jednoznačně říci, že nějaký údaj
či informace je osobním údajem, je třeba nejprve určit identitu určité fyzické osoby. Zákon
v tomto případě dává jen obecný návod, aniž by určoval, které údaje jsou ty, které mohou
fyzickou osobu jednoznačně identifikovat nebo identifikace bez vynaložení většího úsilí
dosáhnout. Z hlediska minimálního rozsahu nezbytného k tomu, aby fyzická osoba byla
dostatečně určena nepochybně stačí jméno, příjmení, adresa a datum narození,
nikoliv již rodné číslo, které svou konstrukcí obsahuje datum narození a určuje pohlaví.
Tyto údaje totiž obsahuje jak údaj o datu narození, tak jméno a příjmení. Rodné číslo
vzhledem ke svému charakteru osobního identifikátoru je možno používat v těch případech,
kdy právní předpisy jeho zpracování konkrétně předpokládají. V této souvislosti žalovaný
poukázal na ustanovení §79 odst. 1 větu první o. s. ř. Využívání školy a zpracovávání údajů
o ní jako nástroje či prostředku k případnému extralegálnímu vymáhání je v rozporu
s principy ochrany osobních údajů, a to tím spíše, že žalobce není vůbec oprávněn škole
sdělovat, že si její žáci nějaké knihy vypůjčili, resp. nevrátili knihy. Ochrana majetku je sice
plně v kompetenci žalobce, avšak pro provádění této ochrany nelze jít nad rámec porušení
soukromého a rodinného života subjektu údajů, tedy pomocí nadměrného shromažďování
osobních údajů. Argumentace žalobce Úmluvou o ochraně lidských práv a základních svobod,
resp. protokolem k ní, není podle žalovaného relevantní, protože ani rozsahem osobních údajů
nezbytných pro zpracování k deklarovaným účelům a uvedených v opatřeních k nápravě
nebude žalobce zkrácen na svých právech.
V podané žalobě vyjádřil žalobce domněnku, že bylo porušeno jeho právo na ochranu
majetku, které je zaručeno mj. článkem I. Dodatkového protokolu k Úmluvě o ochraně
lidských práv a základních svobod ze dne 20. 3. 1952, který Česká republika ratifikovala dne
20. 4. 1995, a proto je součástí ústavního pořádku České republiky. Žalobce poukázal na to,
že mezi ním a čtenářem je výlučně vztah soukromoprávní, který je realizován v souladu
s §659 a násl. o. z. jako smlouva o výpůjčce. Jestliže tedy čtenář odmítne poskytnout
požadované údaje, resp. nedá souhlas s jejich zpracováním, není žalobce povinen tuto
smlouvu uzavřít. V této souvislosti odkázal na nález Ústavního soudu ze dne 3. 1. 2000
sp. zn. IV. ÚS 387/99. Účelem zpracování osobních údajů není pouze identifikace
a kontaktování subjektů údajů, ale také v neposlední řadě ochrana majetku žalobce. Je tedy
zcela v kompetenci žalobce, jakým způsobem bude tuto ochranu zajišťovat, pokud nebude
dotčeno právo na ochranu soukromého a osobního života subjektu údajů. Zákon o ochraně
osobních údajů v žádném ze svých ustanovení nehovoří o rodném čísle jako o specifickém
osobním údaji, jehož ochrana, resp. evidence, je podřízena speciálnímu režimu. Z toho
vyplývá, že rodné číslo jako osobní údaj a jeho zpracování správcem podléhá stejnému
režimu jako ostatní osobní údaje, např. jméno, příjmení, datum narození. Při tvorbě zákona
o ochraně osobních údajů vycházel zákonodárce ze snahy ochránit fyzické osoby v souladu
s článkem 10 Listiny základních práv a svobod a žalobce se nedomnívá, že tím, že od svých
čtenářů požaduje uvedení rodného čísla a názvu školy, třídy a razítka (adresy) školy u dětí,
by z jeho strany docházelo k porušování citovaného článku.
Žalovaný ve svém vyjádření označil argumentaci žalobce, že je na zvážení čtenáře
jako subjektu smluvního vztahu jaký typ smlouvy pro konkrétní případ zvolí, jako nemístnou
především proto, že ani případný souhlas subjektu údajů nekonvaliduje porušování dalších
povinností správce osobních údajů uložených mu zákonem. Jestliže zákon o ochraně osobních
údajů vyžaduje, aby shromažďované údaje odpovídaly pouze stanovenému účelu a byly
v rozsahu nezbytném, je i v těchto případech třeba dodržet zákonný princip omezenosti
rozsahu zpracovávaných údajů ve vztahu k účelu zpracování, k němuž nepochybně postačí
získání jména, příjmení, data narození a bydliště čtenáře. Další argumentaci žalobce, že škola
je jediným účinným prostředkem, díky kterému se mu daří získat nevrácené tituly zpět,
označil žalovaný za velmi účelovou, neboť má zdánlivé opodstatnění ve své praktické stránce,
ale nemůže zdůvodnit porušování zákona na ochranu osobních údajů. Podle žalovaného
je při konkrétním možném střetu práva podle čl. 10 a čl. 11 Listiny základních práv a svobod
třeba hodnotit, zda skutečně žalobce ztrácí možnost ochrany svých práv k majetku, když bude
znát pouze údaje týkající se jména, příjmení, data narození a bydliště čtenáře. Připojování
a zpracování dalších údajů je podle žalovaného nadbytečné a svou podstatou v rozporu
se zákonem o ochraně osobních údajů. Nelze zaměňovat možnou, a žalobcem vyzdvihovanou,
„účelnost“ takového postupu za účel, k němuž mají být osobní údaje zpracovány
(§5 odst. 1 písm. e) zákona o ochraně osobních údajů), a proto navrhl zamítnutí žaloby.
V souladu s ustanovením §132 zák. č. 150/2002 Sb. (dále jen s. ř. s.), který nabyl
účinnosti dnem 1. 1. 2003, převzal neskončenou věc, v níž byla dána věcná příslušnost
Vrchního soudu v Praze, a řízení v ní dokončí Nejvyšší správní soud.
Podle ustanovení §130 odst. 1 s. ř. s. se řízení podle části páté hlavy druhé o. s. ř.
ve znění účinném před 1. 1. 2003, v nichž nebylo rozhodnuto do dne nabytí účinnosti tohoto
zákona, dokončí podle ustanovení části třetí hlavy druhé dílu prvního tohoto zákona. Účinky
procesních úkonů v těchto řízeních učiněných zůstávají zachovány a posoudí se přiměřeně
podle ustanovení tohoto zákona.
Nejvyšší správní soud přezkoumal napadené rozhodnutí žalovaného v souladu
s §75 s. ř. s. a dospěl k závěru, že žaloba je zčásti důvodná.
První ze žalobních bodů, v němž žalobce namítal, že bylo porušeno jeho právo
na ochranu majetku s odvoláním na článek I. Dodatkového protokolu k Úmluvě o ochraně
lidských práv a základních svobod ze dne 20. 3. 1952, neshledal Nejvyšší správní soud
důvodným. Podle citovaného článku má každá fyzická a právnická osoba právo pokojně
užívat svůj majetek a nikdo nemůže být zbaven svého majetku s výjimkou veřejného zájmu
a za podmínek, které stanoví zákon a obecné zásady mezinárodního práva. Opatření,
které bylo žalobci uloženo, tj. upravit přihlášky tak, aby zpracované osobní údaje čtenářů byly
v souladu s §5 odst. 1 písm. d) zákona o ochraně osobních údajů, nepředstavuje žádný zásah
do vlastnického práva žalobce, protože není ani zásahem do pokojného užívání jeho majetku
ani nemá za následek zbavení majetku. Odkaz žalobce v této souvislosti na to, že mezi ním
a čtenářem je výlučně vztah soukromoprávní, který je realizován v souladu
s §659 a násl. o. z. jako smlouva o výpůjčce a v návaznosti na to na nález Ústavního soudu
ze dne 3. 1. 2000 sp. zn. IV. ÚS 387/99, je ve vztahu k napadenému rozhodnutí právně
irelevantní.
Ve druhém žalobním bodě žalobce tvrdil, že tím, že od svých čtenářů požaduje
uvedení rodného čísla a u dětí také název školy, třídy a razítka (adresy) školy, z jeho strany
nedochází k porušování článku 10 Listiny základních práv a svobod, z něhož při tvorbě
zákona o ochraně osobních údajů vycházel zákonodárce. Citovaný článek v odst. 3 zaručuje
každému právo na ochranu před neoprávněným shromažďováním, zveřejňováním a jiným
zneužívání údajů o své osobě. V ustanovení §5 odst. 1 písm. d) zákona o ochraně osobních
údajů je správci uložena povinnost shromažďovat osobní údaje odpovídající pouze
stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Správcem
je pro účely citovaného zákona podle §4 písm. j) každý subjekt, který určuje účel
a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj a osobním
údajem je podle písm. a) citovaného ustanovení jakýkoliv údaj týkající se určeného
nebo určitelného subjektu údajů. V důvodové zprávě k citovanému zákonu je označen
za důležitý požadavek, který byl následně formulován v §5 odst. 1 písm. d) zákona o ochraně
osobních údajů, aby využití údajů bylo v souladu s účelem, pro který byly shromážděny s tím,
že praktickým důsledkem citovaného zákona by měla být do určité míry minimalizace
rozsahu shromažďovaných osobních údajů, zejména s ohledem na přiměřenost ve vztahu
k účelu, pro který jsou zpracovány. Při shromažďování osobních údajů správcem musí
splněny dvě podmínky. Jednak musí existovat jejich souvislost se stanoveným účelem
a jednak se tak musí dít jen v rozsahu, který je nezbytný pro naplnění stanoveného účelu.
V daném případě je tedy nutno posoudit, zda údaje označené žalovaným, tj. rodné číslo
čtenářů a název školy a třída, resp. razítko školy, u nezletilých čtenářů, byly shromažďovány
v rozporu s citovaným ustanovením či nikoliv. Podle §1 zákona č. 53/1959 Sb. ve znění
pozdějších předpisů je posláním knihoven přispívat k všestrannému vzdělání občanů a podle
§3 odst. 1 citovaného zákona knihovny shromažďují potřebnou literaturu a cílevědomě ji šíří
mezi obyvatelstvem, provádějí masovou práci s knihou mezi čtenáři a poskytují čtenářům
soustavnou a všestrannou pomoc při výběru a získávání literatury. Pro tyto účely je tedy
nepohybně nezbytné shromažďovat osobní údaje čtenářů, kteří služeb knihovny využívají.
Pro určení rozsahu nezbytného pro naplnění výše uvedeného účelu je rozhodující,
aby se jednalo o údaje, jimiž je fyzická osoba dostatečně určitě a trvale identifikována.
Základními identifikačními údaji fyzické osoby je nesporně jméno, příjmení, datum narození
a bydliště. Dalšími osobními údaji jsou daňové identifikační číslo, evidenční čísla průkazů,
které jsou ze zákona veřejnými listinami apod. U všech těchto údajů, s výjimkou data
narození, může docházet ke změnám, což může značně ztížit, popř. znemožnit, identifikaci
fyzické osoby. Součástí identifikačních údajů občanů České republiky je rodné číslo,
které je přiděleno po narození jako konstantní osobní údaj, a lze jej proto označit za osobní
údaj primární. Z tohoto osobního údaje lze zjistit datum narození a pohlaví fyzické osoby,
ale dále už ji nijak blíže nekonkretizuje. Základním předpisem ve vztahu k rodnému číslu
je zákon č. 133/2000 Sb., který však upravuje pouze přidělování rodného čísla a jeho použití
v evidenci obyvatelstva, nikoliv už jeho používání obecně. Původně bylo rodné číslo
zavedeno pro účely sociálního zabezpečení a účely statistické a teprve postupně došlo k jeho
podstatně širšímu užívání. I když tedy v sobě zahrnuje informace, které jsou zřejmá z data
narození a jména (pohlaví), lze prostřednictvím rodného čísla fyzickou osobu identifikovat
i po změně rodného čísla, k níž může dojít jen v taxativně stanovených případech (§17 odst. 2
zákona č. 133/2000 Sb.), což o ostatních osobních údajích, dojde-li k jejich změně, říci nelze.
Může totiž nastat situace, že dojde ke změnám ostatních osobních údajů, jež má žalobce
k dispozici, které mohou mít za následek nemožnost čtenáře identifikovat
(např. změna pohlaví nebo osvojení spojená se změnou bydliště), takže rodné číslo by bylo
jediným údajem, jehož prostřednictvím by bylo možno čtenáře, který nevrátil vypůjčené
knihy, zjistit. V tomto rozsahu považuje Nejvyšší správní soud uvedený žalobní bod
za důvodný. Odkaz žalovaného v této souvislosti na ustanovení §79 odst. 1 věta první o. s. ř.
považuje Nejvyšší správní soud za nepřípadný. Proto nelze dovodit, že rodné číslo je osobním
údajem, který žalobce shromažďuje mimo rozsah nezbytně nutný pro naplnění stanoveného
účelu. Jiná je však situace pokud jde o název školy, třídy a razítka (adresy) školy u nezletilých
čtenářů. V tomto směru je nutno označit uložené opatření za opodstatněné, protože z hlediska
účelu a s ohledem na osobní údaje, které žalobce o čtenářích shromažďuje, je zřejmé,
že zpracování názvu školy, její adresy a třídy není nezbytně nutné k naplnění účelu, pro který
žalobce osobní údaje shromažďuje, neboť tyto údaje jsou zpracovávány pro snazší dosažení
vrácení vypůjčených knih u méně zodpovědných čtenářů. Nezpracování názvu školy,
její adresy a třídy kteréhokoliv nezletilého čtenáře nebrání dosažení účelu stanoveného
žalobci zákonem č. 53/1959 Sb. ve znění pozdějších předpisů.
Z důvodů výše uvedených Nejvyšší správní soud podle ustanovení §78 odst. 1 s. ř. s.
napadené rozhodnutí pro nezákonnost zrušil a podle odst. 4 citovaného ustanovení věc vrátil
žalovanému k dalšímu řízení. V souladu s ustanovením §51 odst. 1 s. ř. s. rozhodl Nejvyšší
správní soud ve věci bez nařízení jednání.
Výrok o nákladech řízení se opírá o ustanovením §60 odst. 1 s. ř. s., když žalobci,
který měl ve věci úspěch, vznikly s tímto řízením náklady zaplacením soudního poplatku
v částce 1000,- Kč a odměny za právní zastoupení v částce 3 650,- Kč (3 500,- podle
§11 vyhl. č. 484/2000 Sb. a 2x 75,- Kč podle §13 odst. 3 vyhl. č. 177/1996 Sb. ve znění
pozdějších předpisů).
Poučení: Proti tomuto rozsudku nejsou opravné prostředky přípustné.
V Brně dne 22. října 2003
JUDr. Eliška Cihlářová
předsedkyně senátu