Objednat předplatné Zákony pro lidi PLUS
Přidej k oblíbeným

10 A 72/2013 - 86Rozsudek MSPH ze dne 08.03.2017

Prejudikatura

2 As 48/2013 - 110

1 As 113/2012 - 133

6 Ads 88/2006 - 159

Oprav. prostředek / ústav. stíž.
2 As 107/2017

přidejte vlastní popisek

10A 72/2013 - 86

ČESKÁ REPUBLIKA

ROZSUDEK

JMÉNEM REPUBLIKY

Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Ing. Viery Horčicové a soudců Mgr. Kamila Tojnera a Mgr. Jiřího Lifky v právní věci žalobce: SOLUS, zájmové sdružení právnických osob, sídlem Antala Staška 510/38, Praha 4, zast. Mgr. Marií Janšovou, advokátkou, sídlem Václavská 316/12, Praha 2, proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 27, Praha 7, za účasti: Mgr. R. L., bytem R., P., o žalobě proti výrokům I. - VII. a IX. - XI. rozhodnutí předsedy žalovaného ze dne 12. 2. 2013, č. j. INSP2-4684/12-38

takto:

I. Žaloba proti rozhodnutí předsedy žalovaného ze dne 12. 2. 2013, č. j. INSP2-4684/12-38, se v části, v níž se žalobce domáhá zrušení výroků I. – VII. napadeného rozhodnutí, odmítá.

II. Žaloba proti rozhodnutí předsedy žalovaného ze dne 12. 2. 2013, č. j. INSP2-4684/12-38, se v části, v níž se žalobce domáhá zrušení výroků IX. – XI. napadeného rozhodnutí, zamítá.

III. Žádný z účastníků nemá právo na náhradu nákladů řízení.

IV. Osoba zúčastněná na řízení nemá právo na náhradu nákladů řízení.

Odůvodnění:

Žalobce se domáhá zrušení všech výroků rozhodnutí předsedy žalovaného ze dne 12. 2. 2013, č. j. INSP2-4684/12-38, s výjimkou výroku VIII. Výroky I.-VII. napadeného rozhodnutí nebylo vyhověno žalobcovým námitkám proti kontrolním zjištěním uvedeným v kontrolním protokolu žalovaného ze dne 30. 10. 2012, zn. INSP2-4684/12-33 (dále jen „kontrolní protokol“); tyto výroky žalobce dle svých slov napadá jen „z důvodu procesní opatrnosti“. V kontrolním protokolu byla žalobci uložena též čtyři opatření k nápravě. Výrokem VIII. napadeného rozhodnutí, který žalobou napaden není, bylo zrušeno opatření k nápravě č. 1, jímž bylo žalobci uloženo, aby zlikvidoval osobní údaje J. R. evidované v registru Solus. Výroky IX. a XI., jež žalobce napadl, byly zamítnuty námitky proti opatření k nápravě č. 2, jímž bylo žalobci uloženo informovat J. R. o likvidaci jejích osobních údajů, a proti opatření k nápravě č. 4, jímž bylo žalobci uloženo informovat o likvidaci jejích osobních údajů zúčastněnou osobu. Konečně žalobce brojí též proti výroku X. napadeného rozhodnutí, jímž bylo změněno opatření k nápravě č. 3 tak, že bylo žalobci uloženo, aby zlikvidoval osobní údaje zúčastněné osoby v negativním registru SOLUS, které byly vloženy společností Home Credit, a.s.

V prvním žalobním bodu žalobce uvádí, že souhlas subjektu osobních údajů, který byl udělen dobrovolně na dobu určitou, je neodvolatelný. V právním řádu lze nalézt řadu případů, kdy je jednou daný souhlas neodvolatelný, například souhlas vlastníků sousedních nemovitostí s ohlášením stavby ve stavebním řízení. Za nepřiléhavou žalobce považuje argumentaci žalovaného rozsudkem Nejvyššího soudu sp. zn. 26 Cdo 2280/2009. Zatímco souhlas se zpracováním osobních údajů je úkon předvídaný zákonem, uvedené rozhodnutí se týkalo k neformálním a časově neomezeným souhlasům k užívání bytu. Pokud by souhlas udělený na dobu určitou bylo možné vzít zpět, nebyl by nijak odlišný od souhlasu uděleného na dobu neurčitou. Ostatně na základě názoru žalovaného vysloveného při předchozí kontrole žalobce zkrátil dobu, na niž je souhlas udělován, z pěti let na tři roky, což je doba kratší než u konkurenčních registrů. Závěr o neodvolatelnosti souhlasu na dobu určitou plyne z historického vývoje ustanovení § 5 odst. 5 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen „zákon o ochraně osobních údajů“ nebo „zákon“). Po novele provedené zákonem č. 177/2001 Sb. umožňoval § 5 odst. 5 zákona o ochraně osobních údajů subjektu údajů kdykoliv svůj souhlas se zpracováním odvolat, avšak novelou č. 439/2004 Sb. byla možnost odvolání souhlasu ze zákona odstraněna. Pokud by zákonodárce chtěl umožnit subjektu údajů souhlas odvolat, vyjádřil by to výslovně, jak to učinil například v ustanovení § 7 odst. 3 zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (dále jen „zákon o službách informační společnosti“). Obdobnou argumentaci žalobce uplatňuje ve vztahu ke směrnici Evropského parlamentu a Rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „směrnice o ochraně osobních údajů“), z níž podle jeho názoru nevyplývá oprávnění subjektu údajů odvolat souhlas se zpracováním. V novém nařízení o ochraně osobních údajů (v době podání žaloby připravovaném) již taková možnost výslovně zakotvena bude, čímž evropský zákonodárce dává najevo do budoucna změnu.

Dále žalobce upozorňuje, že možnost subjektu odvolat svůj souhlas se zpracováním svých údajů v negativním registru klientských informací by zcela popřela smysl takového registru. Pokud mají tyto registry plnit roli, již jim přisuzuje ustanovení § 9 odst. 1 zákona č. 145/2010 Sb., o spotřebitelském úvěru (dále jen „zákon o spotřebitelském úvěru“) a směrnice Evropského parlamentu a Rady č. 2008/48/ES, o smlouvách o spotřebitelském úvěru (dále jen „směrnice o spotřebitelském úvěru“), je nutné, aby věřitelé měli možnost najít v nich příslušné informace. Tento účel by možnost dlužníka domoci se výmazu svých údajů z registrů mařila.

Žalobce tvrdí, že jeho praxe, kdy nepřipouštěl odvolání souhlasu se zpracováním údajů, byla již dříve předmětem kontrolní činnosti žalovaného, a to bez připomínek. Například v roce 2005 inspektorka žalovaného RNDr. B. při kontrole společnosti CETELEM ČR, a.s., jež je členem žalovaného, zjevně věděla, že souhlasy pro zpracování osobních údajů žalobcem jsou shromažďovány jako neodvolatelné, avšak tuto skutečnost žádným způsobem nezpochybnila. Ředitel odboru kontroly žalovaného JUDr. M. ve svém vyjádření ze dne 28. 6. 2005 taktéž potvrdil žalovanému, že souhlas se zpracováním údajů lze pro stanovený účel a dobu odvolat jen v době, než je doručen druhé smluvní straně. Ani Mgr. P., vedoucí odboru správního rozhodování žalobce nesdělil k praxi žalobce negativní stanovisko, ačkoliv o ní byl již v roce 2008 informován.

Subsidiárně žalobce v druhém žalobním bodu uvádí, že je oprávněn osobní údaje zpracovávat i bez souhlasu subjektu. Je totiž přesvědčen, že se v případě registru dlužníků aplikuje ustanovení § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, dle nějž je správce oprávněn data zpracovávat i bez souhlasu údajů, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotřené osoby. Toto pravidlo je zakotveno též v čl. 7 písm. f) směrnice o ochraně osobních údajů.

Žalobce odmítl názor žalovaného, že nemohl mít legitimní očekávání ohledně svého oprávnění zpracovávat údaje bez souhlasu jejich subjektů, neboť si souhlasy opatřoval. Podle žalobce se jednalo pouze o vstřícný postup vůči zákazníkům srovnatelný se situací, kdy se osoba, která má ze zákona právo vstupu na cizí pozemek, přesto ze slušnosti dotáže na souhlas jeho vlastníka. Skutečnost, že si žalobce souhlasy opatřoval, tedy ještě nevede k závěru, že by nebyl oprávněn osobní údaje zpracovat i bez souhlasu subjektů. Žalobcův postup je ostatně pochopitelný s ohledem na několikrát změněnou právní úpravu, neboť v některých obdobích žalobci právo zpracovávat osobní údaje bez souhlasu svědčit nemuselo. Žalobce tedy v praxi získávání souhlasů pokračoval z důvodu opatrnosti, a to navzdory svému legitimnímu očekávání založenému sdělením žalovaného, že tyto souhlasy nepotřebuje.

Třetí žalobní bod obsahuje tvrzení, že databáze úvěruschopnosti subjektů slouží ke splnění obecné povinnosti odborné péče, kterou členové žalobce mají dle § 66 odst. 2 a § 567 odst. 2 zákona č. 513/1991 Sb., obchodního zákoníku (dále jen „obchodní zákoník“). Dle rozhodnutí Nejvyššího soudu sp. zn. 32 Odo 1726/2006 zahrnuje odborná péče mimo jiné povinnost ověřit z nezávislých zdrojů informace sdělené potenciálním smluvním partnerem při jednání o uzavření smlouvy. Jediným reálným způsobem, jak lze tuto povinnost splnit, je vedení příslušných databází, jakým je registr žalobce. Žalobce se neztotožňuje s názorem žalovaného, že uvedenému požadavku lze dostát i prostřednictvím veřejně dostupných údajů nebo údajů, které nelze považovat za údaje osobní, neboť se většinou jedná o nahodilé informace s omezenou obsahovou hodnotou.

Ve čtvrtém žalobním bodu žalobce argumentuje, že registr slouží k plnění povinnosti věřitele plynoucí z § 9 odst. 1 zákona o spotřebitelském úvěru, dle nějž je povinen s odbornou péčí posoudit schopnost spotřebitele splácet spotřebitelský úvěr, a to i nahlédnutím do příslušných databází, je-li to nezbytné. Dle žalobce z tohoto ustanovení plyne, že za určitých okolností je povinen nahlédnout do databáze dlužníků, a tedy taková databáze musí existovat. Aby tedy žalobce mohl plnit své povinnosti plynoucí ze zákona o spotřebitelském úvěru, musí vést registr dlužníků, a to i bez souhlasu subjektů, o nichž jsou údaje shromažďovány. Toto stanovisko zaujalo též Ministerstvo průmyslu a obchodu ve svém vyjádření ze dne 13. 3. 2013. Žalobce poukazuje na skutečnost, že dozor v oblasti zákona o spotřebitelském úvěru je kompetencí České národní banky, na niž se měl žalovaný obrátit s žádostí o vyložení sporného ustanovení. To však žalovaný neučinil, čímž porušil zásadu materiální pravdy plynoucí z § 3 správního řádu.

Nadto je žalobce přesvědčen, že interpretace žalovaného odporuje přímo účinnému ustanovení čl. 8 odst. 1 směrnice o spotřebitelském úvěru. Dle bodu 28 preambule této směrnice má věřitel k posouzení úvěruschopnosti potenciálního dlužníka používat též příslušných databází; rozsah vyhledávání se může lišit na základě právních a faktických okolností. Faktické okolnosti dle žalobce mohou představovat různou míru rizika při poskytování úvěru danému subjektu, právními odlišnostmi se pak může rozumět například otázka, zda subjekt žádající o úvěr není například společníkem veřejné obchodní společnosti, za jejíž závazky ručí celým svým majetkem. Pokud směrnice o spotřebitelském úvěru nařizuje členským státům zajistit, že věřitelé budou používat databáze úvěruschopnosti dlužníků, musí vnitrostátní předpisy takovou činnost umožňovat reálně a prakticky, nikoliv toliko formálně.

Žalobce nesouhlasí s žalovaným, že registry, na něž odkazuje směrnice, jsou primárně registry zřízené zákonem. Poukazuje na čl. 9 odst. 4 směrnice o spotřebitelském úvěru, z něhož plyne, že pro zpracování osobních údajů v databázích dlužníků se použijí obecná pravidla směrnice o ochraně osobních údajů. Vzhledem k tomu, že oblast osobních údajů podléhá tzv. plné harmonizaci, nemůže členský stát vnitrostátním zákonodárstvím stanovit dodatečné podmínky pro zpracování osobních údajů, které směrnice o ochraně osobních údajů bez dalšího připouští. Registr zřízený ustanovením § 38a zákona č. 21/1992 Sb., o bankách (dále jen „zákon o bankách“) je třeba vnímat ve specifickém kontextu činnosti bank, které jsou vázány striktním bankovním tajemstvím. Toto ustanovení tedy přestavuje primárně výjimku z bankovního tajemství, nikoliv z právních předpisů upravujících ochranu osobních údajů.

V pátém žalobním bodě se uvádí, že závěr žalovaného o nepoužitelnosti výjimky podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů odporuje přímo aplikovatelnému čl. 7 písm. f) směrnice o ochraně osobních údajů. Dle rozsudku Soudního dvora Evropské unie ve věci C-238/05, ASNEF uvedené ustanovení směrnice brání tomu, aby členský stát vyloučil kategorickým a obecným způsobem možnost zpracování určitých kategorií osobních údajů. Právě takovým kategorickým způsobem však žalovaný zákon o ochraně osobních údajů interpretuje a aplikuje, neboť se podrobněji nezabýval nezbytností zpracování osobních údajů dlužníků. Žalovaný též neumožnil vyvážení konkurujících si zájmů subjektů údajů straně jedné a žalobce a jeho členů na straně druhé. Argumentace žalovaného v tom smyslu, že by existence registrů dlužníků musela být upravena zvláštním zákonem, je lichá, neboť pokud směrnice zpracování určitých údajů umožňuje, nemůže na tom vzhledem k plné harmonizaci této oblasti zvláštní zákon ničeho změnit.

Dle šestého žalobního bodu shromažďování osobních údajů v negativních registrech dlužníků spadá pod výjimku dle § 5 odst. 2 písm. e) zákona o osobních údajích též proto, že k němu neexistuje rozumná alternativa. S tímto závěrem souzní stanovisko Ministerstva vnitra ze dne 19. 3. 2013, které je k žalobě připojeno. Též Světová banka a Organizace pro hospodářskou spolupráci a rozvoj (OECD) uvádějí, že existence databází určených k posuzování úvěruschopnosti je nutná k řádnému fungování trhu a tržní ekonomiky, neboť zásadně zlepšují přístup spotřebitelů ke službám. Tyto skutečnosti měl žalovaný dle názoru žalobce vzít v úvahu při posuzování přiměřenosti zásahu do práv subjektů údajů.

Sedmý žalobní bod se týká ústavně-právní dimenze sporu, jak ji vnímá žalobce. Dle jeho názoru není ústavní ochrana osobních údajů bezbřehá; čl. 10 odst. 3 Listiny základních práv a svobod chrání toliko před zneužitím údajů, nikoliv před jakýmkoliv zásahem. Žalobce poukazuje na skutečnost, že jeho registr je zřízen za účelem ochrany základního práva jeho členů na ochranu majetku, které podléhá ochraně plynoucí z čl. 11 Listiny základních práv a svobod. Výkon tohoto práva nemůže být neoprávněným zásahem do práva subjektů osobních údajů, a tím méně jejich zneužitím ve smyslu čl. 10 odst. 3 Listiny základních práv a svobod. Žalovaný měl dle názoru žalobce vzít v úvahu nejen podmínky uchovávání údajů v registru dlužníků, ale též podmínky, za niž lze tyto informace z registru poskytnout. Děje se tak totiž výhradně na základě žádosti žadatele o úvěr, který dává souhlas s tím, aby poskytovatel úvěru učinil dotaz na jeho záznamy v registru dlužníků. V důsledku tedy z registru nelze informace poskytnout, pokud s tím subjekt údajů nesouhlasil. Žalobce upozorňuje, že dle judikatury Ústavního soudu nelze jednomu základnímu právu dávat bezdůvodně přednost před jiným, čehož se žalovaný dle jeho názoru dopustil.

Žalobce je dle osmého žalobního bodu též přesvědčen, že v něm žalovaný vyvolal legitimní očekávání, že pro účely databáze dlužníků je možné osobní údaje zpracovávat bez souhlasu jejich subjektů. Ve sdělení sp. zn. LEG-6246/09-13/ZVA totiž žalovaný uvedl, že negativní záznamy vztahující se k neplnění finančních závazků nevyžadují souhlas subjektu údajů. Toto stanovisko zaujala i pracovní skupina WP29 zřízená na základě čl. 29 směrnice o ochraně osobních údajů ve svém vyjádření č. 02312/09/EN. Žalobce považuje za liché tvrzení žalovaného, že uvedená vyjádření byla postavena na východisku, že databáze dlužníků je upravena zákonem. Upozorňuje též na článek JUDr. J. M., tehdejšího ředitele odboru kontroly žalovaného „Zpracování osobních údajů z pohledu práv správce“, v němž se uvádí, že zpracování osobních údajů na základě výjimky dle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů je možné v případě porušení povinností subjektu údajů vůči správci. Za nepřípadné naopak žalobce považuje odkazy žalovaného na kontrolní závěry kontrolorky RNDr. K. B., které byly učiněny na základě kontrol provedených v červenci roku 2003 a v únoru roku 2004, neboť v té době platila striktnější právní úprava. Dále žalobce upozornil, že sama RNDr. B. v protokolu o kontrole uvedla, že subjekt údajů může požadovat jejich likvidaci až poté, co splní veškeré povinnosti vůči správci. Osoba zúčastněná na řízení přitom v nyní projednávané věci vzala zpět souhlas se zpracováním svých osobních údajů, aniž by splnila všechny závazky vůči členu žalobce, což žalovaný ve svém rozhodnutí zcela pominul.

V posledním, devátém žalobním bodu žalobce namítá, že se žalovaný neřídil zásadou ochrany veřejného zájmu. Žalobce nesouhlasí s žalovaným, že v případě úvěrů poskytovaných bankami existuje vyšší veřejný zájem na ověření bonity dlužníků, než v případě spotřebitelských úvěrů poskytovaných jinými subjekty. Pokud totiž dochází k předlužování spotřebitelů u nebankovních subjektů, mohou tím být v důsledku postiženy i banky, vůči nimž tito spotřebitelé taktéž nemohou splácet své dluhy. Zajištění, že se spotřebitelé nebudou předlužovat, je pro současnou ekonomiku dle žalobce mimořádně důležité, a zároveň poněkud obtížné. Pokud věřitelé nebudou mít k tomuto cíli adekvátní nástroje, může dojít k poškození ekonomiky i výpadkům na příjmové straně státního rozpočtu.

Žalovaný ve vyjádření k žalobě navrhl částečné odmítnutí a částečné zamítnutí žaloby. Uvedl, že žaloba je nepřípustná v části, v níž směřuje proti výrokům, jimiž předseda žalovaného zamítl námitky proti kontrolním zjištěním, přičemž odkázal na relevantní judikaturu. Pokud jde o věc samu, vyjádřil žalovaný názor, že pokud subjekt údajů udělí souhlas se zpracováním na dobu určitou, nemůže se jednat o souhlas neodvolatelný, neboť člověk musí mít vždy kontrolu nad tím, komu dá svolení k zásahům do svého práva na soukromí, respektive práva na informační sebeurčení plynoucího z čl. 10 odst. 3 Listiny základních práv a svobod. Pokud žalobce konzultoval s žalovaným délku doby, na kterou má být souhlas udělován, v žádném případě z toho nelze dovodit, že takový souhlas nelze odvolat. Vypovídající hodnost registru dlužníků může být omezená bez ohledu na otázku odvolatelnosti souhlasu, jelikož členové žalobce nemohou uzavření smlouvy se spotřebitelem podmiňovat souhlasem se zpracováním jeho údajů v registru dlužníků. Za takových okolností by totiž nešlo o souhlas dobrovolně udělený. Žalovaný poukazuje na skutečnost, že ve svých stanoviscích č. 2/2008 a č. 2/2011 jednoznačně prezentoval názor, že souhlas se zpracováním osobních údajů na dobu určitou nelze chápat jako neodvolatelný. Žalovaný uvádí, že pokud by soud měl pochybnosti o výkladu směrnice o ochraně osobních údajů, bylo by namístě položit Soudnímu dvoru Evropské unie příslušnou předběžnou otázku.

Dále je žalovaný přesvědčen, že žalobce nemůže osobní údaje zpracovávat v registru dlužníků na základě § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. Žalovaný zpochybňuje, že je registr dlužníků veden toliko za účelem splnění povinností podle zákona č. 634/1992 Sb., o ochraně spotřebitele (dále jen „zákon o ochraně spotřebitele“), neboť členy žalobce jsou i poskytovatelé telekomunikačních a energetických služeb. Pokud jde o povinnosti plynoucí z obchodní judikatury Nejvyššího soudu, žalobce si může ověřovat důvěryhodnost svých potenciálních klientů legálními prostředky, mezi něž patří například registr provozovaný na základě souhlasu subjektů údajů. Dle žalovaného nelze ani z § 9 odst. 1 zákona o spotřebitelském úvěru žádnou výkladovou metodou dovodit, že by poskytovatelé úvěrů mohli provozovat registr dlužníků bez souhlasu evidovaných osob. Takový registr by musel být zřízen na základě řádného zákonného podkladu, což plyne z rozsudku Evropského soudu pro lidská práva ve věci S. a Marper proti Spojenému království a z nálezu Ústavního soudu sp. zn. Pl. ÚS 24/10. Za irelevantní považuje žalovaný žalobcovy odkazy na stanovisko České národní banky, neboť ta vykonává dozor jen nad těmi poskytovateli spotřebitelských úvěrů, kteří mají přístup do bankovního registru. Argumentaci žalobce, že ustanovení § 38a zákona o bankách slouží výhradně k prolomení bankovního tajemství, považuje žalovaný za účelové, neboť právě toto ustanovení zjevně opravňuje banky zpracovávat osobní údaje v bankovním registru bez souhlasu jejich subjektů. Rozsudek Soudního dvora ve věci ASNEF se týká pouze situací, kdy členský stát v rozporu se směrnicí omezí zpracování osobních údajů zákonem. Postup žalovaného správního orgánu nemůže pod závěry tohoto rozhodnutí spadat.

Za irelevantní žalovaný též považuje skutečnost, že dle názoru žalobce neexistuje k jeho postupu žádná alternativa. Zájem členů žalobce na minimalizaci svého podnikatelského rizika nemůže převážit nad právem subjektů osobních údajů na informační sebeurčení. Názor žalobce, že právo na informační sebeurčení nelze podřadit pod právo na soukromý a rodinný život, je dle žalovaného zcela v rozporu s judikaturou Ústavního soudu i Evropského soudu pro lidská práva. Konečně žalovaný rozvíjí své podezření, že na existenci registru dlužníků provozovaného žalobcem mají zájem bezpečnostní složky, které samy takový typ registru nemohou vést. Stanovisko Ministerstva vnitra k výkladu zákona o ochraně osobních údajů pak žalovaný považuje za nezákonnou ingerenci do své působnosti, neboť je to pouze žalovaný, kdo může vykonávat dozor v oblasti ochrany osobních údajů.

Žalobce reagoval na vyjádření žalovaného replikou, v níž rozvádí svou žalobní argumentaci. Setrvává na svém závěru, že negativní registr dlužníků je přiměřeným a adekvátním zásahem do práv subjektů osobních údajů, který slouží k ochraně oprávněných zájmů členů žalobce. Jelikož zákon o ochraně osobních údajů ve znění účinném od 26. 7. 2004 umožňuje zpracování osobních údajů bez souhlasu jejich subjektů za účelem ochrany práv správce i dalších dotčených osob, postupoval žalobce dle svého názoru legálně. Irelevantní jsou dle názoru žalobce tvrzení žalovaného o tom, že registr provozovaný žalobcem nemůže být dostatečně efektivní, pokud jsou jeho členy jen někteří poskytovatelé spotřebitelských úvěrů. Žalobce se pokouší dosáhnout co nejvyšší míry efektivity svého registru tím, že má několik desítek relevantních členů. Dále žalobce zopakoval, že dle jeho názoru pramení jeho právo zpracovávat osobní údaje bez souhlasu jejich subjektů přímo z čl. 7 písm. f) směrnice o ochraně osobních údajů. Konečně žalobce navrhl, aby soud předložil Soudnímu dovru Evropské unie předběžné otázky, které směřují k objasnění výkladu čl. 7 písm. f) směrnice o ochraně osobních údajů a čl. 8 odst. 1 směrnice o spotřebitelském úvěru. Dle žalobce je otázka, zda existují alternativní možnosti k zajištění ochrany jeho práv, zcela stěžejní pro posouzení podmínek aplikace § 9 odst. 1 písm. e) zákona o ochraně osobních údajů; žalobce setrvává na tvrzení, že alternativa rovnocenná registru dlužníků, který provozuje, neexistuje. Ke svému poměru s bezpečnostními složkami státu žalobce konstatuje, že údaje z registru poskytuje bezpečnostním složkám na základě stanoviska žalovaného, který tento postup aproboval.

Dne 8. 3. 2017 se ve věci konalo ústní jednání. Na něm žalobce zrekapituloval svou argumentaci uvedenou již v písemných podáních. Nad jejich rámec žalobce odkázal na rozsudek Soudu v Rotterdamu ze dne 19. 1. 2010, sp. zn. 337940/HA RK 09-171, jehož text spolu s úředním překladem do českého jazyka předložil. Žalobce též upozornil na bod č. 47 preambule nařízení Evropského parlamentu a Rady č. 2016/679/EU, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen „obecné nařízení o ochraně osobních údajů“) a také čl. 6 odst. 1 písm. f) tohoto nařízení. Stejně tak by soud dle žalobce měl vzít v úvahu ustanovení § 20z zákona o ochraně spotřebitele, ve znění od 1. 2. 2016, v jehož důvodové zprávě se uvádí, že i před přijetím tohoto ustanovení bylo možné vést negativní registr dlužníků na základě § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. To plyne též z přechodných ustanovení novelizačního zákona č. 378/2015 Sb. Zároveň je žalobce přesvědčen, že test proporcionality v nyní projednávané věci musí být proveden obdobně jako ve věci R., kterou projednával Soudní dvůr Evropské unie. Žalovaný toliko zrekapituloval svou argumentaci uvedenou v napadeném rozhodnutí a vyjádření k žalobě.

Soud k návrhu žalobce provedl následující důkazy, jejichž podstatné části byly přečteny: kontrolní protokol žalovaného ze dne 12. 8. 2005, č. j. CJ05710/05/UOOU, z kontroly provedené u společnosti CETELEM ČR, a. s. mezi 6. 4. 2005 a 30. 7. 2005; zápis z jednání mezi zástupcem žalobce a ředitelkou legislativně-právního odboru žalovaného ze dne 23. 1. 2013; vyjádření žalovaného ze dne 29. 3. 2010, č. j. LEG-6246/09-13/ZVA; e-mail ze dne 5. 8. 2008, adresovaný zástupcem žalobce J. S. zaměstnancům žalovaného J. P. a K. B.; písemné odpovědi na dotazy zaslané zástupcem žalovaného JUDr. M. dne 28. 6. 2005 zástupkyni společnosti O2 Communications. K poslednímu uvedenému důkazu se vyjádřil přímo JUDr. M., který žalovaného na soudním jednání zastupoval, přičemž uvedl, že žalovaný se s jím prezentovanými názory na odvolatelnost souhlasu neztotožnil.

Ze správního spisu plynou následující, pro rozhodnutí ve věci podstatné skutečnosti.

Oznámením ze dne 6. 6. 2012 sdělil inspektor žalovaného MVDr. F. B. žalobci, že vůči němu zahajuje kontrolu, jejímž předmětem je dodržování povinností stanovených zákonem o ochraně osobních údajů vzhledem ke zpracování údajů J. R. v negativním registru dlužníků Solus souvisejících s jeho dluhem vůči společnosti Reiffeisenbank. Oznámením ze dne 25. 6. 2012, č. j. INSP2-4684/12-18, byl předmět kontroly rozšířen o podezření z neoprávněného zpracovávání osobních údajů osoby zúčastněné na řízení souvisejících s jejím dluhem vůči společnosti Home Credit.

Žalobce se k předmětu kontroly vyjádřil dne 23. 8. 2012, přičemž uvedl obdobnou argumentaci jako v žalobě s důrazem na své přesvědčení, že žalovaný vzhledem ke svým dříve zastávaným právním názorům postupuje překvapivě.

Kontrolní protokol ze dne 30. 10. 2012, č. j. INSP2-4684/12-33, obsahuje závěr, že žalobce zpracovával osobní údaje J. R. i zúčastněné osoby poté, co odvolali svůj souhlas se zpracováním svých osobních údajů v registru dlužníků. Inspektor žalovaného dospěl k závěru, že žalobce osobní údaje obou uvedených osob po odvolání jejich souhlasů zpracovával v rozporu se zákonem, čímž porušil své povinnosti správce osobních údajů podle § 5 odst. 2 a § 10 zákona o ochraně osobních údajů. Argumentace, na základě níž inspektor dospěl k závěru, že se na činnost žalobce nevztahuje žádná z výjimek, které umožňují zpracovávání osobních údajů bez souhlasu jejich subjektů, se v podstatných rysech shoduje s výše zrekapitulovaným vyjádřením žalovaného k žalobě. V rámci kontrolního protokolu byla žalobci uložena čtyři opatření k nápravě: 1. zlikvidovat osobní údaje J. R. do 7 dnů, 2. bezprostředně po provedení likvidace o ní informovat J. R., 3. zlikvidovat osobní údaje osoby zúčastněné na řízení do 7 dnů, 4. bezprostředně po provedení likvidace o ní informovat osobu zúčastněnou na řízení.

Námitky žalobce proti kontrolnímu protokolu a opatřením k nápravě předseda žalovaného zamítl rozhodnutím ze dne 12. 2. 2013, č. j. INSP2-4684/12-38. Vyhověno bylo pouze námitkám proti prvnímu nápravnému opatření, které bylo zrušeno, neboť v době vydání kontrolního protokolu již žalobci uplynula lhůta, kdy byl ex lege povinen osobní údaje J. R. zlikvidovat, a tedy postrádalo smysl, mu tuto povinnost zvláště ukládat. Dále předseda žalovaného upřesnil třetí opatření k nápravě tak, že je žalobce povinen zlikvidovat pouze údaje osoby zúčastněné na řízení zpracovávané v negativním registru SOLUS vložené společností Home Credit, a.s.

Předseda žalovaného dospěl k závěru, že žalobce porušil § 10 zákona o ochraně osobních údajů, neboť shromažďováním osobních údajů v jakémkoliv typu registru dochází k zásahu do soukromého života subjektů těchto údajů. K takovému postupu je třeba souhlasu subjektů, případně jednoznačného zákonného podkladu; veškeré další okolnosti, jako například že jsou shromažďovány jen údaje dlužníků v prodlení a že k jejich datům mají přístup jen ostatní věřitelé sdružení v žalobci, jsou dle předsedy žalovaného irelvantní. Dle předsedy žalovaného zájmy členů žalobce nejsou dostatečně závažné, aby bylo proporcionální k jejich ochraně systematicky shromažďovat osobní údaje dlužníků v prodlení. Proto činnost žalobce nespadá pod ustanovení § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. Ani z ustanovení § 9 zákona o spotřebitelském úvěru nelze dovodit oprávnění žalobců shromažďovat osobní údaje dlužníků bez jejich souhlasu; pokud zákon počítá s existencí registrů dlužníků, ještě to neznamená, že ji vyžaduje. Poskytovatelé spotřebitelských úvěrů mají povinnost bonitu potenciálních dlužníků řádně posoudit, nikoliv však ověřovat. K odkazu žalobce na rozsudek Nejvyššího soudu sp. zn. 32 Odo 1726/2006 předseda žalovaného poukázal na skutečnost, že toto rozhodnutí se týkalo skutkové situace, která nijak nesouvisela se zpracováním osobních údajů a zásahem do práva na soukromí. Podle předsedy žalovaného by zákonodárce musel pro negativní registry dlužníků shromažďující osobní údaje bez souhlasu jejich subjektů zakotvit výslovnou zákonnou licenci, jak to učinil například v případě bankovního registru.

Dle názoru předsedy žalovaného nelze souhlasit s žalobcem, že souhlas ke zpracování osobních údajů na dobu určitou je neodvolatelný. Poukazuje na důvodovou zprávu k ustanovení § 4 písm. n) zákona o ochraně osobních údajů v rozhodném znění, dle níž je souhlas jednostranným úkonem subjektu údajů, nikoliv dohodou mezi ním a správcem. Též směrnice o ochraně osobních údajů vyžaduje, aby bylo možné souhlas vždy odvolat, což plyne ze stanoviska pracovní skupiny WP 29 č. 15/2011. Též z rozhodnutí Nejvyššího soudu sp. zn. 26 Cdo 2280/2009 plyne, že souhlas je jednostranným právním úkonem. K výkladu čl. 7 písm. f) směrnice o ochraně osobních údajů předseda žalovaného uvedl, že rozsudek Soudního dvora ve věci ASNEF je vykládán žalobcem účelově, neboť v nyní projednávané věci vnitrostátní právní předpis nestanovuje žádnou omezující podmínku nad rámec směrnice; žalovaný pouze vyložil a aplikoval § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, který je se směrnicí plně kompatibilní.

Pokud jde o vyjádření žalovaného, které v žalobci dle jeho názoru založilo legitimní očekávání, že může negativní databázi dlužníků provozovat bez souhlasu subjektů osobních údajů, bylo toto vyjádření založeno na jednoznačném předpokladu, že databáze má alespoň minimální podklad ve vnitrostátním zákoně. To plyne též z dokumentu pracovní skupiny WP 29 Working document on Blacklists. Legitimní očekávání žalobce nebylo založeno pouze tím, že žalovaný nezpochybnil konkrétní aspekty jeho praxe při svých předchozích kontrolách, neboť se při nich otázkou odvolatelnosti souhlasu, respektive zpracování osobních údajů bez souhlasu subjektu nezabýval. Naopak ze stanovisek žalovaného č. 2/2008 a č. 2/2011 jednoznačně plyne, že subjekt může svůj souhlas odvolat. Též z kontrolního protokolu z kontroly provedené inspektorkou RNDr. B. v roce 2003 a 2004 tento požadavek plyne. Předseda žalovaného se tedy ztotožnil s právními závěry vyjádřenými v kontrolním protokolu.

Městský soud v Praze nejprve posoudil, zda je žaloba v plném rozsahu přípustná, přičemž dospěl k závěru, že žaloba je nepřípustná v části, v níž směřuje proti výrokům I. – VII. napadeného rozhodnutí žalovaného.

Sám žalobce si byl přitom zřejmě této skutečnosti vědom, neboť opakovaně v řízení uváděl, že tyto výroky napadl jen „z procesní opatrnosti“. Jak správně upozornil žalovaný, rozhodnutí o námitkách proti kontrolním zjištěním není rozhodnutím ve smyslu § 65 s. ř. s., neboť jím není přímo zasahováno do právní sféry kontrolovaného subjektu. To plyne například z rozsudků Nejvyššího správního soudu ze dne 24. 4. 2013, č. j. 3 Aps 9/2012-29, a ze dne 25. 9. 2007, č. j. 4 Ads 32/2007-36. Výroky napadeného rozhodnutí, jimiž žalovaný pouze zamítl námitky proti závěrům kontrolního protokolu, jsou tedy vyloučeny ze soudního přezkumu podle § 70 písm. a) s. ř. s., a žaloba proti nim je dle § 68 písm. e) s. ř. s. nepřípustná. Proto soud žalobu v části, v níž směřuje proti výrokům I. – VII. napadeného rozhodnutí, odmítl podle § 46 písm. d) s. ř. s.

Výroky IX. – XI. napadeného rozhodnutí Městský soud v Praze přezkoumal v souladu s § 75 odst. 2 s. ř. s. v rozsahu žalobních bodů, přičemž podle § 75 odst. 1 s. ř. s. vycházel ze skutkového a právního stavu, který zde byl v době rozhodování správního orgánu. Těmito výroky byla žalobci uložena povinnost v rámci opatření k nápravě, a tedy je nesporné, že žaloba proti nim je přípustná.

Nejprve se soud zabýval prvním žalobním bodem, který je založen na žalobcově přesvědčení, že souhlas ke zpracování osobních údajů udělený jejich subjektem na dobu určitou je po tuto dobu neodvolatelný. Klíčem k posouzení tohoto žalobcova tvrzení je znění příslušné právní úpravy. Podle § 5 odst. 2 zákona o ochraně osobních údajů, může správce zpracovávat osobní údaje pouze se souhlasem subjektu údajů; zákon ani směrnice o ochraně osobních údajů neobsahují žádnou speciální úpravu souhlasu na dobu určitou či neodvolatelného souhlasu. V čl. 2 písm. h) směrnice o ochraně osobních údajů je souhlas subjektu údajů definován jako „jakýkoliv svobodný, výslovný, vědomý projev vůle, kterým subjekt údajů dává své svolení k tomu, aby osobní údaje, které se jej týkají, byly předmětem zpracování“. Obdobnou definici pak obsahuje § 4 písm. n) zákona o ochraně osobních údajů, dle nějž je souhlasem „svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů“.

Z uvedeného jednoznačně plyne, že souhlas představuje jednostranný úkon subjektu údajů vůči správci, nikoliv kontrakt mezi správcem a subjektem údajů. Přitom je třeba mít na paměti, že pokud správce osobní údaje zpracovává na základě souhlasu subjektu osobních údajů, jedná se o odlišnou situaci, než když je zpracování nutné v souvislosti se smluvním vztahem mezi správcem a subjektem. V takovém případě lze totiž osobní údaje zpracovávat bez souhlasu subjektu údajů na základě zákonné licence plynoucí z § 5 odst. 2 písm. b) zákona o ochraně osobních údajů. Též v jiných případech, kdy správce potřebuje osobní údaje zpracovávat v souvislosti se svou zákonnou povinností či ochranou svých práv, tak může učinit na základě jedné ze zákonných licencí uvedených v § 5 zákona bez souhlasu subjektu údajů.

Pokud tedy dochází ke zpracování osobních údajů na základě souhlasu, jedná se pouze o situace, kdy správce osobní údaje nutně zpracovávat nepotřebuje a smí tak činit jen proto, že se subjekt údajů prostřednictvím souhlasu vzdal svého práva, aby jeho osobní údaje zpracovávány nebyly. Již ze smyslu tohoto souhlasu tedy plyne, že jej subjekt údajů může vzít zpět, neboť právě jen on má mít kontrolu nad tím, kdo smí jeho osobní údaje zpracovávat nad rámec zákonem stanovených případů. Toliko podpůrně soud upozorňuje, že možnost odvolání souhlasu se zpracováním osobních údajů dovozuje i stanovisko pracovní skupiny zřízené podle čl. 29 směrnice o ochraně osobních údajů ze dne 13. 7. 2011 o definici souhlasu, WP187 (str. 32-33). Nelze tedy akceptovat argumentaci žalobce v tom smyslu, že právní úprava musí obsahovat možnost odvolání souhlasu uděleného na dobu určitou výslovně, přičemž v opačném případě souhlas nelze odvolat bez udání důvodu.

Uvedený princip se ovšem promítá v konkrétním ustanovení zákona o ochraně osobních údajů, a to v § 5 odst. 4, dle nějž musí být správce schopen prokázat udělení souhlasu subjektem údajů po celou dobu zpracování. Jak výslovně uvedl Nejvyšší správní soud v rozsudku ze dne 29. 7. 2016, č. j. 2 As 48/2013-110, z tohoto ustanovení plyne, že pokud subjekt údajů nejprve udělí se zpracováním osobních údajů souhlas, ale v průběhu zpracování tento souhlas odvolá, není správce oprávněn ve zpracování pokračovat. Po odvolání totiž souhlas netrvá, a tedy nelze jeho existenci ani prokázat.

S žalobcem se nelze ztotožnit v tvrzení, že z pouhé skutečnosti, že byl souhlas udělen subjektem údajů na dobu určitou, lze dovodit, že se jednalo o souhlas udělený po tuto dobu neodvolatelně. Rozdíl mezi souhlasem uděleným na dobu neurčitou a na dobu určitou spočívá především v tom, že ze souhlasu uděleného na dobu neurčitou se subjekt údajů může vyvázat pouze tím, že souhlas aktivně odvolá, zatímco po uplynutí doby souhlasu uděleného na dobu určitou oprávnění správce zanikají bez další aktivity subjektu. Z toho však ještě nevyplývá, že by byl souhlas udělený na dobu určitou neodvolatelný. Není totiž důvod, proč by se též na souhlas udělený na dobu určitou neměly uplatnit výše uvedené závěry, z nichž plyne, že subjekt údajů je oprávněn se svým souhlasem uděleným správci libovolně disponovat. Žalobce v žalobě netvrdil, že by osoby, jež svůj souhlas se zpracováním svých osobních údajů odvolaly, tento souhlas výslovně udělily bez možnosti jej odvolat. Jelikož neodvolatelnost nevyplývá ze skutečnosti, že byl souhlas udělen na dobu určitou, nepovažoval soud za nutné zodpovídat otázku, zda by hypoteticky bylo možné souhlas udělit se vzdáním se možnosti jej odvolat.

Závěr, že souhlasy udělené na dobu určitou, nelze odvolat, nevyplývá ani z historického výkladu § 5 zákona o ochraně osobních údajů, jak tvrdí žalobce. Je pravdou, že § 5 odst. 4 zákona, ve znění do 25. 7. 2004, výslovně stanovil, že subjekt údajů může svůj souhlas se zpracováním odvolat, nedohodne-li se se správcem jinak. V rámci rozsáhlé novely celého zákona provedené zákonem č. 439/2004 Sb. sice došlo k vypuštění této formulace, avšak z toho nelze dovozovat, že od účinnosti novely jsou všechny souhlasy udělené ke zpracování osobních údajů neodvolatelné. Učinit lze pouze závěr, že zákon po novele již výslovně nepočítá s možností dohody mezi správcem a subjektem, že souhlas nelze odvolat. Jak však bylo uvedeno výše, takováto výslovná dohoda v případě žalobce nepochybně se subjekty údajů učiněna nebyla, a tedy není třeba zkoumat, zda by ji zákon připouštěl.

Analogii mezi souhlasem subjektu osobních údajů s jejich zpracováním a souhlasem vlastníka sousední nemovitosti s provedením ohlašované stavby ve stavebním řízení, kterou nabízí žalobce, pak soud považuje za zcela nepřípadnou. Souhlas vlastníka sousední nemovitosti je podle stavebního zákona podkladem pro povolovací akt vydaný stavebním úřadem; je tedy zřejmé, že pokud vlastník sousedního pozemku jednou udělí souhlas s umístněním či provedením stavby, musí počítat s tím, že k němu dojde a následně již tuto situaci nebude možné zvrátit. Tento institut však kromě použitého pojmu „souhlas“ nevykazuje žádné podobnosti s jednáním subjektu osobních údajů, který správci umožňuje tyto údaje kontinuálně zpracovávat až do okamžiku, kdy bude souhlas odvolán.

Lze tedy uzavřít, že první žalobní bod není důvodný, jelikož z pouhé skutečnosti, že subjekty osobních údajů dávaly žalobci souhlas s jejich zpracováním na dobu určitou, nelze dovodit, že by se jednalo o souhlasy po tuto dobu neodvolatelné.

Soud přistoupil k posouzení druhého a pátého žalobního bodu, kde žalobce uvádí, že byl oprávněn zpracovávat osobní údaje dlužníků v prodlení k ochraně práv svých členů, a to na základě § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, respektive čl. 7 písm. f) směrnice o ochraně osobních údajů.

Dle čl. 7 písm. f) směrnice o ochraně osobních údajů lze osobní údaje zpracovávat, pokud je to „nezbytné pro uskutečnění oprávněných zájmů správce nebo třetí osoby či osob, kterým jsou údaje sdělovány, za podmínky, že nepřevyšují zájem nebo základní práva a svobody subjektu údajů, které vyžadují ochranu podle čl. 1 odst. 1.“ Čl. 1 odst. 1 směrnice pak zdůrazňuje základní práva a svobody fyzických osob, zejména „jejich soukromí, v souvislosti se zpracováním osobních údajů“.

Dle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů lze zpracovávat osobní údaje bez souhlasu jejich subjektu, „pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života“.

Soud předně připomíná, že ustanovení vnitrostátního práva musí být vykládáno eurokonformně; v tomto případě je tedy třeba zákon o ochraně osobních údajů interpretovat tak, aby odpovídal smyslu a účelu směrnice. Jak uvedl Soudní dvůr Evropské unie v rozsudku ze dne 13. 11. 1990 ve věci C-108/89, Marleasing, „při aplikaci vnitrostátního práva, ať už se jedná o ustanovení přijatá před nebo po účinnosti směrnice, musí vnitrostátní soud použít, pokud je to možné, takový výklad, který odpovídá textu a účelu směrnice, aby byl dosažen její cíl“ (bod 8 cit. rozsudku). Z tohoto důvodu soud při aplikaci § 5 odst. 2 písm. e) zákona o ochraně osobních údajů vycházel též z judikatury k čl. 7 písm. f) směrnice o ochraně osobních údajů, který je tímto ustanovením vnitrostátního práva transponován.

Dle názoru soudu byl čl. 7 písm. f) směrnice o ochraně osobních údajů dostatečně vyložen judikaturou Soudního dvora, která je citována níže. Nevzniká tedy otázka ohledně interpretace směrnice, kterou by bylo třeba řešit položením předběžné otázky Soudnímu dvoru. Jak plyne z rozsudku Soudního dvora ze dne 6. 10. 1982 ve věci C-283/81, CILFIT, vnitrostátní soud je vždy oprávněn aplikovat právo Evropské unie dle vlastního uvážení, pokud se jedná o acte clair (jednoznačné ustanovení, o jehož výkladu nepanují rozumné pochybnosti) nebo acte éclairé (ustanovení, které již bylo Soudním dvorem vyloženo). Právě o druhý z uvedených případů jde v nyní projednávané věci. Městský soud však podotýká, že není soudem poslední instance ve smyslu čl. 267 třetího pododstavce Smlouvy o fungování Evropské unie, a tedy je v každém případě položení předběžné otázky ohledně interpretace aktů unie na jeho diskreci.

Aby mohl žalobce zpracovávat osobní údaje dlužníků bez jejich souhlasu na základě citovaného ustanovení, musel by nejprve prokázat, že tak činí za účelem ochrany oprávněného zájmu svého či třetí osoby. Soud předesílá, že nepovažuje za správné rozlišovat mezi zájmy žalobce a jeho členů, neboť žalobce byl svými členy založen právě k ochraně jejich zájmů. Rozlišování předsedy žalovaného mezi zájmy žalobce a jeho členů nebylo namístě. V napadeném rozhodnutí je ovšem jasně vyjádřen názor předsedy žalovaného, že ani kdyby si osobní údaje dlužníků předávali členové žalobce přímo, nebyl by jejich právní zájem dostatečně silný k tomu, aby převážil nad právem subjektů údajů na soukromý život. Tuto úvahu tedy soud mohl přezkoumat.

Jak plyne z rozsudku Soudního dvora Evropské unie ze dne 19. 10. 2016 ve věci C-582/14, Breyer, pojem „oprávněný zájem“ ve smyslu čl. 7 písm. f) směrnice o ochraně osobních údajů nemůže být členským státem omezen jen na konkrétní, specifický typ práv či zájmů (bod 59-60). Obdobné závěry plynou též z rozsudku Soudního dvora ze dne 24. 11. 2011 ve věcech C-468/10, ASNEF, a C-469/10, FECEMD, na nějž odkázal žalobce. V tomto rozhodnutí Soudní dvůr uvedl, že vnitrostátní právní úprava nemůže pro určité případy vyloučit vyvažování mezi oprávněným zájem správce či jiné osoby na straně jedné a právem subjektu údajů na soukromí na straně druhé (body 47-48 rozsudku). S žalovaným se nelze ztotožnit v závěru, že tato judikatura je pro nyní projednávanou věc bez významu. Je sice pravdou, že v uvedených případech Soudní dvůr posuzoval rozpor vnitrostátní právní úpravy se směrnicí, avšak závěry citovaných judikátů musí respektovat i vnitrostátní správní orgány a soudy při své rozhodovací praxi. Mají-li totiž orgány moci výkonné a soudní respektovat účel směrnice, nemohou vnitrostátní právní úpravu interpretovat natolik restriktivně, aby v důsledku odporovala závěrům judikatury Soudního dvora.

Z judikatury je zřejmé, že pod pojem „oprávněný zájem“ spadá relativně široká škála situací. V rozsudku ze dne 11. 12. 2014 ve věci C-212/13, R., Soudní dvůr uvedl, že „oprávněné zájmy správce spočívají mimo jiné … v ochraně majetku, zdraví, života tohoto správce a jeho rodiny“ (bod 34 rozsudku). V již citovaném rozsudku ve věci Breyer pak Soudní dvůr dospěl k tomu, že „[n]ěmecké spolkové orgány které poskytují online mediální služby, by přitom mohly mít oprávněný zájem rovněž na tom, aby zajistily správné fungování svých internetových stránek, jež jsou veřejně přístupné, a to i po ukončení jednotlivých přístupů k nim“ (bod 60 rozsudku). Soud má tedy za to, že k uplatnění ustanovení § 5 odst. 2 písm. e) zákona o ochraně osobních údajů není třeba, aby správce chránil svá ústavně garantovaná práva; postačí, pokud osobní údaje zpracovává k ochraně některého ze svých legitimních zájmů v širším smyslu.

Soud se ztotožňuje s žalobou potud, že žalobce, respektive jeho členové mají oprávněný zájem na tom, aby byli schopni efektivně ověřovat bonitu spotřebitelů, kteří žádají o spotřebitelský úvěr. Tento oprávněný zájem je však třeba poměřit testem proporcionality vůči zásahu do práva na soukromí, k němuž dojde na straně subjektů shromažďovaných údajů. Jak plyne z ustálené judikatury Ústavního soudu, test proporcionality, při němž jsou poměřována dvě vzájemně si konkurující práva, se skládá ze tří dílčích kroků, jimiž je posouzení vhodnosti, potřebnosti a přiměřenosti (srov. např. nález Ústavního soudu ze dne 20. 12. 2011, sp. zn. Pl. ÚS 24/11, č. 43/2012 Sb., bod 19).

Soud považuje za zřejmé, že shromažďování osobních údajů v negativním registru dlužníků, jak jej prováděl žalobce, je způsobilé ochránit jeho zájem na ověření úvěruschopnosti spotřebitelů. Pokud mají totiž členové žalobce k dispozici informaci, že spotřebitel je ve značném prodlení s plněním dluhu vůči jinému členu žalobce, jedná se o významný indikátor, že tento spotřebitel nebude schopen splácet další spotřebitelský úvěr. Na tom nic nemění ani skutečnost, že někteří členové žalobce nejsou poskytovateli spotřebitelských úvěrů. I skutečnost, že spotřebitel neplní dluhy vůči jiným podnikatelům poskytujícím energetické či telekomunikační služby, totiž může být relevantní při posouzení jeho bonity pro účely poskytnutí spotřebitelského úvěru. První krok testu proporcionality, test vhodnosti, je tedy splněn.

Dále bylo třeba zkoumat, zda je shromažďování osobních údajů, jak je provádí žalobce, k ochraně jeho zájmu potřebné, respektive, slovy zákona a směrnice o ochraně osobních údajů, nezbytné. V tomto kroku je nutné zkoumat, zda neexistuje jiná možnost, jak žalobce může své zájmy chránit. Žalobce v šestém žalobním bodu uváděl, že pro řádné fungování podnikání jeho členů je vedení negativních registrů nezbytné, přičemž argumentoval stanovisky Ministerstva vnitra a Světové banky.

Soud má za to, že o nezbytnosti v nyní projednávané věci hovořit nelze. Jakkoliv může být vedení databází dlužníků v prodlení efektivním nástrojem pro poskytovatele spotřebitelských úvěrů, bezpochyby se nejedná o nástroj, bez něhož by nemohli své podnikání provozovat. Jak bude podrobněji rozebráno níže ve výkladu k § 9 odst. 1 zákona o spotřebitelském úvěru, členové žalobce mohou a mají informace o schopnosti splácet úvěr žádat především od spotřebitelů. V případě některých spotřebitelů si lze též představit, že informace o jejich neschopnosti splácet úvěr budou dostupné veřejně, a to například v insolvenčním rejstříku. Může pochopitelně nastat situace, kdy u konkrétního spotřebitele nebude možné zjistit důvěryhodné údaje svědčící o jeho bonitě, ale v takovém případě členům žalobce nezbude než úvěr neposkytnout. I s takovými situacemi je ale pochopitelně třeba počítat. Soud je tedy ve shodě s žalovaným přesvědčen, že vedení negativních registrů dlužníků není pro činnost žalobce, respektive jeho členů nezbytné ve smyslu § 5 odst. 2 písm. e) zákona o ochraně osobních údajů.

I kdyby však soud akceptoval žalobní argumentaci uvedenou v šestém žalobním bodu a považoval by vedení databází dlužníků v prodlení bez jejich souhlasu za nezbytné pro naplnění oprávněných zájmů žalobce, musel by dospět k závěru, že takový zásah do práva subjektů osobních údajů na ochranu soukromí nemůže obstát v testu přiměřenosti. Na tomto místě je třeba přesněji vymezit, která práva jsou poměřována. Na straně žalobce soud sice akceptoval, že zjišťování informací o spotřebitelích žádajících o spotřebitelský úvěr je jeho oprávněným zájmem, avšak to ještě neznamená, že tento zájem spadá pod některé z ústavně zaručených základních práv. S žalobcem se nelze ztotožnit, že „zpracování osobních údajů v negativním registru žalobce je výkonem práva na ochranu vlastnictví podle čl. 11 Listiny“, jak se uvádí v žalobě. Čl. 11 Listiny základních práv a svobod chrání právo vlastnit majetek. Do tohoto práva, které je garantováno i čl. 1 dodatkového protokolu č. 1 k Úmluvě o ochraně lidských práv a svobod, spadá i tzv. legitimní očekávání ochrany budoucího majetku. Ochraně však podléhá jen právo na konkrétní navýšení majetku, na jehož nabytí jednotlivec oprávněně spoléhá na základě platných právních předpisů (srov. např. rozsudek Evropského soudu pro lidská práva ze dne 14. 2. 2008 ve věci Glaser proti České republice, č. 55179/00, body 50-52).

Takovéto konkrétní očekávání založené právními předpisy však v případě žalobce a jeho členů v sázce není. Členové žalobce se rozhodli podnikat nabízením služeb spotřebitelům, včetně služeb finančních. Právní řád členům žalobce negarantuje zajištění ideální informovanosti o majetkových možnostech spotřebitelů a je jen na jejich uvážení a podnikatelském riziku, aby zajistili, že budou služby poskytovat spotřebitelům, kteří si je mohou dovolit. Pokud zvolí nesprávnou strategii a budou své služby poskytovat příliš vysokému množství nesolventních spotřebitelů, nejspíše to povede k neúspěchu jejich podnikání. Rozhodně se však nejedná o jakýkoliv zásah do ústavně garantovaného práva vlastnit majetek, jak bylo vyloženo výše.

Tím se také situace žalobce podstatně odlišuje od věci R., na niž výslovně upozorňoval žalobce při ústním jednání ve věci. Test proporcionality zde provedl Nejvyšší správní soud v rozsudku ze dne 25. 2. 2015, č. j. 1 As 113/2012-133 (č. 3222/2015 Sb. NSS). Na straně žalobce F. R. však stála ochrana daleko silnějších zájmů, než v případě žalobce ve věci nyní projednávané městským soudem. Žalobce R. totiž chránil samé jádro svého práva na soukromý a rodinný život, totiž integritu svého obydlí, a potažmo životy a zdraví sebe a svých rodinných příslušníků. Za tímto účelem prostřednictvím kamerového systému nahrával pohyb osob před vstupem do jeho obydlí, a to poté, což již byl terčem opakované trestné činnosti. Jak ovšem bylo vyloženo výše, oprávněné zájmy žalobce v nyní projednávané věci ani zdaleka takovéto intenzity nedosahují, a proto je výsledek jejich poměření se zásahem do práva na soukromí subjektů osobních údajů odlišný.

Naopak na straně spotřebitele, jehož osobní údaje jsou zpracovávány bez jeho souhlasu, dochází k zásahu do jeho práva na ochranu před neoprávněným zasahováním do soukromého a rodinného života plynoucího z čl. 10 odst. 2 Listiny základních práv a svobod. Je třeba odmítnout argumentaci žalobce, že právo na informační sebeurčení do práva na ochranu soukromí nespadá. Jak uvedl Ústavní soud v nálezu ze dne 22. 3. 2011, sp. zn. Pl. ÚS 24/10, č. 94/2011 Sb., „[v]edle tradičního vymezení soukromí v jeho prostorové dimenzi (ochrana obydlí v širším slova smyslu) a v souvislosti s autonomní existencí a veřejnou mocí nerušenou tvorbou sociálních vztahů (v manželství, v rodině, ve společnosti), právo na respekt k soukromému životu zahrnuje i garanci sebeurčení ve smyslu zásadního rozhodování jednotlivce o sobě samém. Jinými slovy, právo na soukromí garantuje rovněž právo jednotlivce rozhodnout podle vlastního uvážení, zda, popř. v jakém rozsahu, jakým způsobem a za jakých okolností mají být skutečnosti a informace z jeho osobního soukromí zpřístupněny jiným subjektům.“ (bod 29 nálezu)

Zmínit je třeba též čl. 8 odst. 1 Listiny základních práv Evropské unie, který je v nyní projednávané věci aplikovatelný, neboť je aplikována unijní úprava ochrany osobních údajů. V uvedeném článku je garantováno právo každého na ochranu osobních údajů. Soudního dvůr Evropské unie v rozsudku ze dne 9. 11. 2010 ve spojených věcech C-92/09, Volker und Markus Schecke GbR, a C-93/09, Hessen, jednoznačně uvedl, že právo na ochranu osobních údajů „úzce souvisí s právem na respektování soukromého života“ (bod 47 rozsudku). V kontextu uvedených judikátů má tedy soud za zřejmé, že je třeba odmítnout argumentaci žalobce, že pouhé zpracování osobních údajů bez souhlasu jejich subjektů nelze podřadit pod zásah do soukromého života ve smyslu § 5 odst. 2 písm. e) zákona o ochraně osobních údajů.

Na základě uvedených východisek lze konstatovat, že oprávněný zájem členů žalobce na tom, aby poskytovali služby pouze solventním spotřebitelům, nemůže převážit nad právem spotřebitelů na ochranu jejich osobních údajů. Jak bylo vyloženo výše, zájem členů žalobce spočívá pouze v omezení podnikatelského rizika, a tedy nedosahuje roviny ústavně chráněného práva. Naopak právo spotřebitelů, aby o nich nebyly bez jejich souhlasu zpracovávány osobní údaje, nepochybně roviny ústavně garantovaných práv dosahuje. Nadto nelze zásah spočívající ve shromažďování relativně citlivých informací o prodlení spotřebitelů se splácením dluhů považovat za zanedbatelný, jak naznačuje žalobce. Zásah žalobce do práv osoby zúčastněné na řízení a dalšího spotřebitele, kteří odvolali svůj souhlas se zpracováním svých osobních údajů v registru žalobce, tedy nebyl proporcionální vůči oprávněnému zájmu, který žalobce chránil.

Na těchto závěrech nemůže nic změnit ani žalobcovo tvrzení uvedené v sedmém žalobním bodu, že sice zpracovává osobní údaje spotřebitelů bez jejich souhlasu, avšak tyto údaje neposkytuje svým členům, pokud nedisponují souhlasem spotřebitele. Předně lze konstatovat, že zpracováním osobních údajů se ve smyslu § 4 písm. e) zákona o ochraně osobních údajů rozumí „jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.“ Je tedy zřejmé, že už samotná skutečnost, že žalobce osobní údaje spotřebitelů shromažďuje, je zpracováním osobních údajů, které zasahuje do jejich práva na soukromí, i kdyby skutečně nedocházelo k poskytování údajů z databáze bez souhlasu subjektů.

Soud však nemohl přehlédnout ani skutečnost, že pokud by byla pravda, že žalobce neposkytuje svým členům údaje z registru dlužníků bez jejich svobodně vyjádřeného souhlasu, pozbýval by smysl celý zbytek žalobní argumentace. Žalobce žalobu založil především na tvrzení, že může shromažďovat osobní údaje spotřebitelů bez jejich souhlasu, protože jinak by členové žalobce neměli efektivní možnost ověření bonity spotřebitelů. Z logiky věci však platí, že aby byla zajištěna žalobcem tvrzená efektivita databáze, musí mít ostatní členové žalobce k údajům v ní vedeným přístup taktéž bez souhlasu subjektu údajů. Soud tedy tento dílčí argument vyhodnotil jako v kontextu zbytku žaloby nekoherentní a účelový.

Nedůvodná je konečně i argumentace uvedená ve třetím žalobním bodu, kde žalobce argumentuje, že je povinen registr dlužníků vést v důsledku povinnosti jednat s odbornou péčí. Žalobce odkázal na usnesení Nejvyššího soudu ze dne 27. 9. 2007, sp. zn. 32 Odo 1726/2006, z něhož však nic takového nevyplývá. V tomto rozhodnutí Nejvyšší soud uvedl, že s odbornou péčí nejednal subjekt, který si v souvislosti s koupí motorového vozidla neověřil, kdo je jeho vlastníkem. Z povinnosti jednat s odbornou péčí však nepochybně nelze dovodit, že podnikatelé mají povinnost vytvářet široké databáze solventnosti spotřebitelů. Judikatura civilních soudů ani civilní a obchodní hmotněprávní úprava pro takový závěr neposkytuje žádný podklad. Ani tato argumentace tedy nemohla nic změnit na uvedených závěrech.

Žalobce tedy nebyl oprávněn osobní údaje zpracovávat bez souhlasu jejich subjektů na základě § 5 odst. 2 písm. e) zákona o ochraně osobních údajů. Lze souhlasit s žalovaným, že databázi dlužníků, kterou provozuje žalobce, lze bez souhlasu subjektů údajů provozovat jen na základě výslovného zákonného podkladu.

Jak upozornil žalobce na jednání, v době rozhodování soudu již právní podklad existuje v § 20z odst. 1 zákona o ochraně spotřebitele. Toto ustanovení je však v nyní projednávané věci irelevantní. Je sice pravdou, že v důvodové zprávě k pozměňovacímu návrhu poslance Vondráčka, na základě nějž byl § 20z zákona o ochraně spotřebitele v současné době přijat, se uvádí, že negativní registry dlužníků lze vést též na základě ustanovení § 5 odst. 2 písm. e) zákona o ochraně spotřebitele (pozměňovací návrh poslance Vondráčka ke sněmovnímu tisku č. 445, VII. volební období Poslanecké sněmovny, dostupný na internetové stránce www.psp.cz). Soud je však přesvědčen, že tento názor jediného poslance v kontextu výše uvedené argumentace neobstojí. Stěží lze potom konstruovat, že pokud Poslanecká sněmovna příslušný pozměňovací návrh schválila, ztotožnila se tím též s úvahami o předchozí právní úpravě vedené v důvodové zprávě k němu.

Pokud jde o přechodné ustanovení čl. II bodu 3 zákona č. 378/2015 Sb., jímž bylo ustanovení § 20z do zákona o ochraně spotřebitele vloženo, nelze z něj dovodit nic jiného, než že správci databází údajů o dluzích spotřebitelů jsou oprávnění po účinnosti novely zpracovávat i údaje, které v nich byly obsaženy před jeho účinností. Na období před svou účinností, tedy před 1. 2. 2016 však toto přechodné ustanovení nemá žádný dopad.

Za nerozhodné pro interpretaci směrnice i zákona o ochraně osobních údajů soud považuje obecné nařízení o ochraně osobních údajů, na nějž poukázal žalobce na ústním jednání. Toto nařízení nejen že nebylo účinné v době vydání napadeného rozhodnutí, ale není účinné ani v době rozhodování soudu; dle čl. 99 odst. 2 se nařízení použije až od 25. 5. 2018. Navíc z něj nevyplývá žádný posun právní úpravy relevantní pro toto řízení. Jak z bodu 47 preambule nařízení, tak z jeho čl. 6 odst. 1 písm. f), na něž se žalobce odvolával, plyne pouze velmi obdobná právní úprava, která byla zakotvena již v čl. 7 písm. f) směrnice o ochraně osobních údajů. Též v obecném nařízení se však zdůrazňuje nutnost proporcionality zásahu do soukromého života subjektů údajů. O žádném posunu ve vnímání postupu žalobce z hlediska vývoje unijní legislativy tedy hovořit nelze.

K žalobcem předloženému rozhodnutí rotterdamského soudu z roku 2010 Městský soud v Praze konstatuje, že význam rozhodnutí nizozemského soudu I. stupně pro interpretaci práva Evropské unie nelze přeceňovat, jestliže se nizozemský soud zabýval souladu tamního registru s nizozemským zákonem o ochraně osobních údajů. Kromě toho se Soud v Rotterdamu v dané věci zabýval činností organizace veřejnoprávního charakteru (Bureau Krediet Registratie), která na základě nizozemské právní úpravy vede centrální registr informací o dluzích spotřebitelů. Jednalo se tedy o podstatně odlišnou skutkovou i právní situaci od věci nyní projednávané městským soudem, který posuzuje činnost ryze soukromého sdružení podnikatelů, kteří registr dlužníků provozovali bez výslovného zákonného zmocnění.

Dále se soud zabýval čtvrtým žalobním bodem, v němž žalobce uvádí, že má povinnost vést databázi nespolehlivých dlužníků, aby mohl dostát povinnosti, jež mu plyne z § 9 odst. 1 zákona o spotřebitelském úvěru, který transponuje čl. 8 odst. 1 směrnice o spotřebitelském úvěru.

Čl. 8 odst. 1 směrnice o spotřebitelském úvěru stanoví, že „[č]lenské státy zajistí, aby před uzavřením úvěrové smlouvy věřitel posoudil úvěruschopnost spotřebitele na základě dostatečných informací získaných případně od spotřebitele, a pokud je to nezbytné, na základě vyhledávání v příslušné databázi. Členské státy, jejichž právní předpisy vyžadují, aby věřitelé posoudili úvěruschopnost spotřebitelů na základě vyhledávání v příslušné databázi, mohou tento požadavek zachovat.“

Dle čl. 9 odst. 1 zákona o spotřebitelském úvěru „[v]ěřitel před uzavřením smlouvy, ve které se sjednává spotřebitelský úvěr, či změnou takové smlouvy spočívající ve významném navýšení celkové výše spotřebitelského úvěru, je povinen s odbornou péčí posoudit schopnost spotřebitele splácet spotřebitelský úvěr, a to na základě dostatečných informací získaných i od spotřebitele, a je-li to nezbytné, nahlédnutím do databází umožňujících posouzení úvěruschopnosti spotřebitele. Věřitel poskytne spotřebitelský úvěr jen tehdy, pokud je po posouzení úvěruschopnosti spotřebitele s odbornou péčí zřejmé, že spotřebitel bude schopen spotřebitelský úvěr splácet, jinak je smlouva, ve které se sjednává spotřebitelský úvěr, neplatná.“

Soud předně upozorňuje, že z citovaného článku směrnice nevyplývá, že by byli poskytovatelé spotřebitelských úvěrů povinni systematicky ověřovat tvrzení žadatelů o úvěr v databázích dlužníků. K tomuto závěru dospěl Soudní dvůr Evropské unie ve svém rozsudku ze dne 18. 12. 2014 vydaném ve věci C-449/13, CA Consumer Finance SA. V tomto rozsudku Soudní dvůr uvedl následující:

„Z článku 8 odst. 1 směrnice 2008/48 vyplývá, že před uzavřením úvěrové smlouvy je poskytovatel úvěru povinen posoudit úvěruschopnost spotřebitele na základě dostatečných informací získaných případně od spotřebitele, a pokud je to nezbytné, na základě vyhledávání v příslušné databázi. …

Zadruhé – aniž je dotčena druhá věta čl. 8 odst. 1 směrnice 2008/48, podle které mohou členské státy ve svých právních předpisech zachovat požadavek, aby poskytovatel úvěru vyhledal údaje v databázi – směrnice 2008/48 neukládá poskytovatelům úvěru povinnost provádět systematicky kontrolu pravdivosti informací poskytnutých spotřebitelem. V závislosti na okolnostech každého jednotlivého případu se poskytovatel úvěru může buď spokojit s informacemi, které mu poskytne spotřebitel, anebo může dospět k názoru, že je nezbytné, aby tyto informace byly potvrzeny pomocí dalších údajů.

S ohledem na předchozí úvahy je třeba na třetí otázku odpovědět tak, že čl. 8 odst. 1 směrnice 2008/48 musí být vykládán zaprvé v tom smyslu, že nebrání tomu, aby bylo posouzení úvěruschopnosti spotřebitele provedeno jen na základě informací uvedených spotřebitelem, za podmínky, že tyto informace budou dostatečné a jeho pouhá prohlášení budou podepřena doklady, a zadruhé, že neukládá poskytovateli úvěru povinnost provádět systematicky kontrolu informací poskytnutých spotřebitelem.“

Městský soud má za to, že z citovaného rozhodnutí Soudního dvora jednoznačně plyne, že ačkoliv vnitrostátní právní úprava může zakotvit povinnost poskytovatele úvěru ověřovat pravdivost tvrzení spotřebitele prostřednictvím příslušných databází, rozhodně se nejedná o požadavek plynoucí přímo ze směrnice. Směrnice vyžaduje pouze, aby úvěr nebyl poskytnut spotřebiteli, o němž poskytovatel nemá žádné nebo jen zcela nevěrohodné informace. Žalobcova argumentace v tom smyslu, že by Česká republika porušovala své závazky plynoucí ze směrnice o spotřebitelském úvěru, pokud by neumožňovala plošné vedení registrů dlužníků bez jejich souhlasu, tedy zjevně neobstojí. Vnitrostátní zákonodárce takovou právní úpravu může přijmout, aniž by se dostal do rozporu se směrnicí, avšak směrnice takovou úpravu nevyžaduje.

Ustanovení § 9 odst. 1 zákona o spotřebitelském úvěru tedy nelze vykládat tak, že stanoví povinnost poskytovatele spotřebitelského úvěru vést a používat databázi úvěruschopnosti spotřebitelů. Účelem tohoto ustanovení je zajistit, aby subjekty poskytující spotřebitelské úvěry nepostupovaly nezodpovědně a neposkytovaly úvěry spotřebitelům, kteří nebudou schopni je splácet. Poskytovatel má však primárně žádat po spotřebiteli, který žádá o spotřebitelský úvěr, aby prokázal, že bude schopen takový úvěr splácet. Jako subsidiární prostředek k ověření bonity spotřebitele může poskytovatel použít i příslušných databází, avšak pouze takových, které jsou provozovány v souladu se zákonem. Může se tedy jednat o databáze provozované na základě souhlasu spotřebitelů, o nichž jsou informace shromažďovány, nebo o databáze zřízené na základě výslovného zákonného podkladu. Soud upozorňuje, že pokud by se poskytovatel spotřebitelského úvěru dostal do situace, že z informací poskytnutých spotřebitelem není schopen ověřit jeho schopnost splácet úvěr, a zároveň nemá přístup k žádným alternativním zdrojům informací, například legálně vedeným databázím dlužníkům, nemohl by úvěr spotřebiteli poskytnout. Taková možnost však zákonu o spotřebitelském úvěru neodporuje.

Lze tedy uzavřít, že ze samotné skutečnosti, že zákon o spotřebitelském úvěru počítá s možností ověřování úvěruschopnosti spotřebitele prostřednictvím příslušných databází, ještě nelze dovozovat oprávnění poskytovatelů úvěrů takové databáze vést bez zákonného zmocnění či souhlasu spotřebitelů, o nichž jsou údaje v databázích shromažďovány. Čtvrtý žalobní bod tedy není důvodný.

S právě uvedeným úzce souvisí i námitky uvedené v devátém žalobním bodu, které se týkají žalobcem tvrzeného veřejného zájmu na vedení registrů dlužníků. Soud předně poukazuje na skutečnost, že základní zásada správního řízení uvedená v § 2 odst. 4 správního řádu, která vede správní orgány k tomu, aby dbaly souladu přijatých rozhodnutí s veřejným zájmem, nemůže ovlivnit interpretaci správním orgánem aplikovaných hmotněprávních předpisů či dokonce sloužit jako náhrada takových předpisů. Pakliže tedy z výše uvedeného výkladu plyne, že žalobcovo jednání bylo protizákonné, nemůže na tom nic změnit tvrzení, že by ve veřejném zájmu byla jiná právní úprava, která by žalobcovo jednání aprobovala. Jinými slovy, pouhá skutečnost, že databáze úvěruschopnosti dlužníků vedené bez souhlasu dotčených subjektů by dle názoru žalobce byly žádoucí a společensky prospěšné, nevede automaticky k závěru, že jsou takové databáze zákonné. S takovým typem argumentace může pracovat zákonodárce při zvažování, jak právní úpravu změnit, nikoliv však soud při její aplikaci.

Na tom nic nemění ani skutečnost, že s žalobcovými názory ohledně prospěšnosti databází dlužníků souzní Ministerstvo vnitra, Národní bezpečnostní úřad, Generální inspekce bezpečnostních sborů a Česká národní banka. Soud nepovažuje za nutné hodnotit úvahy, které vedl žalovaný ve vyjádření k žalobě ohledně zájmů bezpečnostních složek na existenci registrů dlužníků. Ani devátý žalobní bod tedy soud nepovažoval za důvodný.

Konečně soud přistoupil k posouzení žalobní argumentace uvedené v osmém žalobním bodu, v níž žalobce tvrdí, že mu na základě správní praxe žalovaného vzniklo legitimní očekávání, že jeho postup spočívající ve shromažďování osobních údajů v databázi dlužníků bez souhlasu subjektu údajů, respektive na základě neodvolatelného souhlasu neodporuje zákonu.

Nejprve soud rekapituluje, že správní praxe není bez významu při posuzování zákonnosti postupu správních orgánů, neboť v právním státě nemohou orgány vykonávající veřejnou moc postupovat vůči jednotlivcům svévolně a nepředvídatelně. Správní praxí zakládající legitimní očekávání se dle usnesení rozšířeného senátu Nejvyššího správního soudu ze dne 21. 7. 2009, č. j. 6 Ads 88/2006-132, č. 1915/2009 Sb. NSS, rozumí „ustálená, jednotná a dlouhodobá činnost (příp. i nečinnost) orgánů veřejné správy, která opakovaně potvrzuje určitý výklad a použití právních předpisů.“

Jak ovšem vyložil Nejvyšší správní soud v rozsudku ze dne 24. 2. 2010, č. j. 6 Ads 88/2006-159, č. 2059/2010 Sb. NSS, správní praxe opírající se o nezákonný výklad nemůže zpravidla založit legitimní očekávání u adresátů správy, že tak bude setrvale postupováno i do budoucna. Jak plyne z výše uvedeného výkladu, právní předpisy účinné v době vydání napadeného rozhodnutí neumožňovaly takový výklad, na základě kterého by postup žalobce bylo možno hodnotit jako zákonný. V kontextu výše citovaného judikátu pak nelze dospět k závěru, že případná nezákonná správní praxe žalovaného založila v žalobci natolik silné legitimní očekávání, že mu musí být umožněno v protiprávním jednání pokračovat. To platí zvlášť v situaci, kdy se žalobcovo protiprávní jednání dotýká základních práv třetích osob.

I přesto lze konstatovat, že žalobce neprokázal, že by správní praxe žalovaného jeho postup v předchozích letech aprobovala. Žalobce především poukázal na vyjádření ze dne 29. 3. 2010, zn. LEG-6246/09-13/ZVA, které mu žalovaný zaslal. Ve vyjádření je uvedeno, že „negativní registr SOLUS je sankcí za neplnění smlouvy, tedy bez souhlasu“, přičemž se zde výslovně odkazuje na čl. 2.2 dokumentu pracovní skupiny WP 164 zřízené podle čl. 29 směrnice o ochraně osobních údajů. Tento dokument výslovně navazuje na stanovisko pracovní skupiny WP 65, které se týká tzv. černých listin (black lists). Jelikož na oba tyto dokumenty žalobce v žalobě výslovně odkazuje, považuje soud za zřejmé, že je seznámen s jejich obsahem. Z kontextu těchto dokumentů se podává, že závěry v nich učiněné jsou založeny na předpokladu, že databáze solventnosti dlužníků mají podklad ve vnitrostátní právní úpravě, která jejich fungování upravuje. To výslovně plyne z dokumentu WP 65, kde se na str. 3 uvádí ohledně databází dlužníků a údajů o jejich solventnosti následující: „Zaprvé je třeba ohledně těchto databází uvést, že členské státy mají různé druhy právní úpravy. V některých případech je tato úprava obsažena v transpoziční legislativě ke směrnici 95/46/ES, zatímco jindy je obsažena v právních předpisech upravujících podnikání a finanční sektor. Tento dokument nehodnotí legitimitu takových databází, které, jak bylo uvedeno, mají právní základ v určitých členských státech, avšak jeho cílem je analýza způsobů, jak tyto databáze fungují v praxi.“ Z uvedeného citátu je tedy zřejmé, že pracovní skupina ve svých závěrech předpokládá vnitrostátní právní úpravu, která poskytuje základ pro registry dlužníků. Z vývodů pracovní skupiny nelze učinit závěr, že lze takové registry zřizovat bez souhlasu subjektu údajů při neexistenci příslušné právní úpravy. Nelze též opomenout, že vyjádření žalovaného ze dne 29. 3. 2010 nebylo závazným vyjádřením právního názoru žalovaného ohledně již probíhající praxe žalobce, nýbrž šlo o stanovisko k připravovanému projektu tzv. pozitivních registrů. Takový typ dokumentu v žalobci nemohl vyvolat legitimní očekávání ohledně systematické správní praxe žalovaného.

Zcela irelevantní je pak odkaz žalobce na kontrolní protokol ze dne 12. 8. 2005, č. j. CJ05710/05UOOU, jehož základem byla kontrola provedená u společnosti CETELEM. V tomto kontrolním protokolu není vůbec řešena otázka zpracování osobních údajů v rámci registru dlužníků, ale pouze otázka uchovávání osobních údajů klienta kontrolované osoby po dobu, kdy trvá jejich vzájemný závazkový vztah. Tato problematika však s nyní projednávanou věcí nijak nesouvisí, neboť napadeným rozhodnutím nebylo zpochybněno, že osobní údaje spotřebitele může zpracovávat jeho přímý věřitel; sporná je pouze otázka, zda mohou být tyto údaje zpracovávány žalobcem v registru dlužníků, do něhož mají přístup i subjekty, které s daným spotřebitelem žádný přímý vztah nemají.

Žádné legitimní očekávání nemohla v žalobci vyvolat ani skutečnost, že o svých postupech informoval pracovníky žalovaného e-mailem ze dne 5. 8. 2008, na který neobdržel výslovnou odpověď s negativním stanoviskem. Správní praxe žalovaného rozhodně nemůže vyplývat z jakéhosi tacitního souhlasu jeho zaměstnanců s postupem žalobce.

Správní praxe nevyplývá ani z vyjádření zaměstnance žalovaného JUDr. M. v rámci odpovědí na dotazy účastníků semináře v soukromé společnosti ze dne 28. 6. 2015. JUDr. M. netvrdil, že by jeho názory odpovídaly právním názorům žalovaného. Lze přitom předpokládat, že pokud by se chtěl žalovaný jako ústřední správní úřad vyjádřit ke sporným otázkám ohledně interpretace zákona o ochraně osobních údajů, učinil by tak prostřednictvím jiného komunikačního kanálu, než jakým je soukromý seminář.

Zcela bez významu je i tisková zpráva Ministerstva průmyslu a obchodu ze dne 13. 3. 2013, na niž žalobce taktéž v žalobě odkazoval. Za prvé Ministerstvo průmyslu a obchodu nedisponuje žádnou působností na úseku ochrany osobních údajů, a tedy jeho vyjádření týkající se této oblasti nemohly v žalobci založit jakýkoliv typ legitimního očekávání. Za druhé z uvedené tiskové zprávy nevyplývá tvrzení žalobce, že by mohlo na základě novely zákona o spotřebitelském úvěru docházet ke zpracování osobních údajů bez souhlasu jejich subjektů.

Soud tedy uzavírá, že žalobce neměl k dispozici žádný dokument, z nějž by plynula spolehlivá a ustálená správní praxe žalovaného, na jejímž základě by postup žalobce bylo možné hodnotit jako souladný se zákonem. Ani osmý žalobní bod tedy není důvodný.

Jak plyne z výše uvedeného, žádný z uplatněných žalobních bodů nebyl důvodný, a proto soud žalobu podle § 78 odst. 7 s. ř. s. zamítl.

Třetí výrok se opírá o ustanovení § 60 odst. 1 s. ř. s., neboť žalobce nebyl v řízení úspěšný a žalovanému žádné náklady nad rámec běžné úřední činnosti nevznikly.

Čtvrtý výrok se opírá o ustanovení § 60 odst. 5 s. ř. s., dle nějž má osoba zúčastněná na řízení právo jen na náhradu takových nákladů řízení, které jí vznikly v souvislosti s plněním povinnosti, kterou jí soud uložil. Vzhledem k tomu, že takové náklady v tomto řízení zúčastněné osobě nevznikly, rozhodl soud, že ani ona nemá právo na náhradu nákladů řízení.

Poučení: Proti tomuto rozhodnutí lze podat kasační stížnost ve lhůtě dvou týdnů ode dne jeho doručení. Kasační stížnost se podává ve dvou (více) vyhotoveních u Nejvyššího správního soudu, se sídlem Moravské náměstí 6, Brno. O kasační stížnosti rozhoduje Nejvyšší správní soud.

Lhůta pro podání kasační stížnosti končí uplynutím dne, který se svým označením shoduje se dnem, který určil počátek lhůty (den doručení rozhodnutí). Připadne-li poslední den lhůty na sobotu, neděli nebo svátek, je posledním dnem lhůty nejblíže následující pracovní den. Zmeškání lhůty k podání kasační stížnosti nelze prominout.

Kasační stížnost lze podat pouze z důvodů uvedených v § 103 odst. 1 s. ř. s. a kromě obecných náležitostí podání musí obsahovat označení rozhodnutí, proti němuž směřuje, v jakém rozsahu a z jakých důvodů jej stěžovatel napadá, a údaj o tom, kdy mu bylo rozhodnutí doručeno.

V řízení o kasační stížnosti musí být stěžovatel zastoupen advokátem; to neplatí, má-li stěžovatel, jeho zaměstnanec nebo člen, který za něj jedná nebo jej zastupuje, vysokoškolské právnické vzdělání, které je podle zvláštních zákonů vyžadováno pro výkon advokacie.

Soudní poplatek za kasační stížnost vybírá Nejvyšší správní soud. Variabilní symbol pro zaplacení soudního poplatku na účet Nejvyššího správního soudu lze získat na jeho internetových stránkách: www.nssoud.cz.

V Praze dne 8. března 2017

JUDr. Ing. Viera Horčicová, v. r.

předsedkyně senátu

Za správnost vyhotovení: Veronika Brunhoferová

Zdroj dat je volně dostupný na http://www.nssoud.cz
Přesunout nahoru