Objednat předplatné Zákony pro lidi PLUS
Přidej k oblíbeným

9 Ca 136/2008 - 67Rozsudek MSPH ze dne 19.01.2011


přidejte vlastní popisek

9 Ca 136/2008 - 67

ČESKÁ REPUBLIKA

ROZSUDEK

JMÉNEM REPUBLIKY

Městský soud v Praze rozhodl v senátě složeném z předsedkyně JUDr. Naděždy Řehákové a soudců Mgr. Martina Kříže a JUDr. Ivanky Havlíkové v právní věci žalobce: Ezocentrum, s.r.o., se sídlem Žlutice 314, IČ: 27141977, proti žalovanému: Úřad pro ochranu osobních údajů, se sídlem Praha 7, Pplk. Sochora 27, v řízení o žalobě proti rozhodnutí předsedy Úřadu pro ochranu osobních údajů ze dne 23.1.2008 č.j. PRÁV-4010/07-6, UOOUX000Y25Q

takto:

I. Žaloba se zamítá.

II. Žádný z účastníků nemá právo na náhradu nákladů řízení.

Odůvodnění:

Rozhodnutím ze dne 18.10.2007 zn. SPR-4614/07-9 Úřad pro ochranu osobních údajů (dále jen „Úřad“) rozhodl, že žalobce v souvislosti se zpracováním osobních údajů svých klientů jako správce osobních údajů podle § 4 písm. j) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon“) zpracovával za účelem nabízení obchodu a služeb osobní údaje klientů v rozsahu jméno, příjmení, adresa, aniž by oznámil uvedené zpracování osobních údajů Úřadu, při zpracování těchto osobních údajů prostřednictvím zpracovatele své klienty neinformoval o tom, kdo a jakým způsobem bude osobní údaje zpracovávat, komu mohou být zpřístupněny, a dále o právu subjektu údajů na přístup k osobním údajům, právu na opravu osobních údajů, jakož i o právech stanovených v § 21 zákona, a dále je nepoučil o tom, zda je poskytnutí osobních údajů povinné či dobrovolné, čímž porušil povinnost stanovenou v § 16 odst. 1 zákona, tedy povinnost oznámit před zpracováváním osobních údajů písemně Úřadu, že hodlá jako správce zpracovávat osobní údaje, dále porušil povinnost stanovenou v § 11 odst. 1 zákona, tedy povinnost informovat subjekty údajů při shromažďování osobních údajů o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, a nepoučil je o jejich právu

přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 zákona, a dále porušil povinnost stanovenou v § 11 odst. 2 zákona, tedy povinnost poučit subjekt údajů o tom, zda je poskytnutí osobního údaje povinné či dobrovolné v případě, kdy zpracovává osobní údaje získané od subjektu údajů, čímž spáchal správní delikt podle § 45 odst. 1 písm. f) a i) zákona, neboť neposkytl subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem a nesplnil oznamovací povinnost podle tohoto zákona, za což mu byla podle § 45 odst. 3 zákona uložena pokuta ve výši 15.000,- Kč. Podle § 79 odst. 5 zákona č. 500/2004 Sb., správního řádu (dále jen „správní řád“) správní orgán prvního stupně současně žalobci uložil povinnost nahradit náklady řízení ve výši 1.000,- Kč.

Rozhodnutím označeným v záhlaví tohoto rozsudku (dále jen „napadené rozhodnutí“) předseda Úřadu pro ochranu osobních údajů zamítl rozklad podaný žalobcem proti výše uvedenému rozhodnutí správního orgánu prvního stupně a toto rozhodnutí potvrdil. Orgán rozhodující o rozkladu v odůvodnění napadeného rozhodnutí konstatoval, že správní řízení se žalobcem pro podezření ze spáchání správního deliktu podle § 45 odst. 1 písm. f) a i) zákona v souvislosti se zpracováním osobních údajů jeho klientů bylo zahájeno doručením příkazu Úřadu ze dne 31.8.2007, který byl žalobci doručen dne 3.9.2007. Podkladem pro vydání příkazu byl písemný materiál shromážděný dle kontrolního protokolu zn. INSPIII-0369/07-21 ze dne 26.4.2007 v rámci kontroly provedené inspektorem Úřadu Ing. Bc. O ve dnech 26.5.2005 až 26.4.2007, a dále rozhodnutí předsedy Úřadu ze dne 17.7.2007 o námitkách proti kontrolnímu protokolu. Dne 12.9.2007 podal žalobce proti výše uvedenému příkazu odpor, který doplnil podáním doručeným Úřadu dne 13.9.2007. V souladu s § 150 odst. 3 zákona č. 500/2004 Sb., správního řádu (dále jen „správní řád“) byl podaným odporem příkaz zrušen a správní orgán prvního stupně v řízení pokračoval. Žalobce se k předmětu správního řízení vyjádřil písemně dopisem ze dne 11.10.2007. Na základě podkladů shromážděných při správním řízení došel správní orgán prvního stupně k názoru, že žalobce vlastní databázi osobních údajů svých klientů v rozsahu jméno, příjmení a bydliště za účelem nabídky zboží a služeb. Osobní údaje klientů získané přímo od subjektů údajů (obsažené zejména v dotaznících nebo kupónech pro objednávku služeb či zboží) nebo z veřejných zdrojů (např. telefonní seznam) žalobce shromažduje prostřednictvím svého zpracovatele, společnosti International Direct Marketing s.r.o., smluvně pověřené výkonem činnosti zpracovatele osobních údajů klientů žalobce. Správní orgán prvního stupně zjistil, že žalobce v odpovědních objednávkových kupónech informuje subjekty údajů, že podpisem uděluje žalobci souhlas se zpracováním osobních údajů uvedených v kupónu pro marketingové účely na dobu neurčitou v souladu s platným zákonem, s tím, že tento souhlas může být kdykoliv písemně odvolán. Dále je v objednávkových kupónech předtištěno, že jméno, příjmení a adresa zákazníka mohou být poskytnuty jiným společnostem pro nabídku obchodu a služeb. Z registru zpracování osobních údajů vedeného Úřadem vyplynulo, že žalobce neměl ke dni 27.5.2006 zaregistrováno zpracování osobních údajů za účelem nabízení svého zboží a služeb. Ze spisového materiálu dále vyplynulo, že žalobce dne 20.4.2007 splnil svoji oznamovací povinnost a oznámil výše uvedené zpracování osobních údajů.

K předmětu řízení se žalobce vyjádřil dopisem ze dne 11.10.2007, ve kterém uvedl, že správní orgán prvního stupně při vydání příkazu vycházel pouze z kontrolního protokolu zn. ISPIII-0369107-21 ze dne 26.4.2007. V závěru kontrolního protokolu Úřad uložil žalobci čtyři opatření k nápravě, přičemž jedno bylo provedeno obratem, dvě v uložené době a jedno opatření bylo zrušeno na základě námitek žalobce proti kontrolnímu protokolu. Žalobce dále ve vyjádření uvedl, že v kontrolním protokolu inspektor Úřadu seznal, že žalobce svým jednáním porušil § 11 odst. 1 a 2 zákona tím, že neplnil zákonnou informační povinnost vůči subjektům údajů, a tento závěr zcela přijal též správní orgán prvního stupně při vydání příkazu. Uvedený závěr nicméně vychází z chybné aplikace příslušných ustanovení zákona. Z § 11 odst. 3 písm. c) zákona dle názoru žalobce plyne, že informace a poučení není správce povinen poskytovat v případě, kdy osobní údaje nezískal od subjektů údajů, pokud zpracovával výlučně oprávněně zveřejněné osobní údaje. Již v průběhu kontroly vyšlo najevo, že žalobce získával osobní údaje také z veřejných zdrojů, např. z telefonních seznamů, a na takto získané osobní údaje dopadá ona výjimka z informační povinnosti. Z příkazu ani z kontrolního protokolu nebylo zřejmé, z čeho správní orgán prvního stupně vycházel ve svém tvrzení, že žalobce porušil svou informační povinnost. Úřad žalobci nesdělil, v jakém konkrétním případě měl zákon porušit, a žalobce se tak neměl k čemu vyjádřit a nemohl navrhnout důkazy k prokázání, zda svou informační povinnost porušil či nikoliv. Tím byl zkrácen na svých právech vyplývajících z § 36 správního řádu, neboť správní orgán prvního stupně mu neumožnil uplatnění těchto práv a postupoval vrozporu s § 4 odst. 4 správního řádu. Žalobce dále ve vyjádření namítl, že z žádného zákonného ustanovení nevyplývá, že by správní orgán prvního stupně byl oprávněn provést paušalizaci viny, jak v daném případě učinil. Bez individuálního odlišení jednotlivých subjektů údajů a bez rozlišení původu konkrétních osobních údajů nelze paušálně uzavřít, zda žalobce váže informační povinnost a že jejím nedodržením porušil zákon. S ohledem na výše uvedené má žalobce za to, že postup podle § 45 odst. 3 zákona nebyl namístě, že uložení pokuty bylo nadbytečné a že v daném případě postačovala přijatá opatření k nápravě.

Správní orgán prvního stupně v rozhodnutí o uložení pokuty konstatoval, že zákon provádí ústavně zakotvené základní právo každého na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o jeho osobě, zakotvené v článku 10 odst. 3 Listiny základních práv a svobod, které je neoddělitelnou součástí práva na ochranu soukromí, resp. soukromého a rodinného života. Dále uvedl, že žalobce je správcem osobních údajů svých klientů, které shromažďuje a dále zpracovává za účelem nabízení svého zboží a služeb ve smyslu § 4 písm. j) zákona, a jako takový je povinen dodržovat při zpracování osobních údajů svých klientů povinnosti stanovené tímto zákonem. Jednou z povinností správce osobních údajů je informační povinnost podle § 11 odst. 1 zákona, tedy povinnost již při shromažďování osobních údajů informovat subjekty údajů (klienty) o tom, v jakém rozsahu a pro jaký účel budou jejich údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být zpřístupněny a dále je poučit o jejich právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších

právech stanovených v § 21 zákona. Ustanovení § 21 zákona upravuje právo každého subjektu údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, požadovat vysvětlení, odstranění závadného stavu a také právo obrátit se se svým podnětem či stížností na Úřad. Další povinností správce osobních údajů podle § 11 odst. 1 zákona je povinnost poučit subjekty údajů o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Tuto povinnost má správce osobních údajů v případě, že zpracovává osobní údaje získané od subjektu údajů. Informační povinnost podle § 11 zákona lze přitom považovat za splněnou pouze v případě, kdy jsou subjektům údajů poskytnuty veškeré požadované informace, a to srozumitelným způsobem nevyžadujícím nadměrné úsilí subjektu údajů při získání těchto informací nebo při jejich porozumění. Povinnost podle § 11 odst. 1 zákona nemusí správce dle § 11 odst. 3 téhož zákona plnit v případech, kdy osobní údaje nezískal od subjektů údajů, pokud zpracovává výlučně oprávněně zveřejněné osobní údaje. Povinnost podle § 11 odst. 2 zákona musí správce plnit tehdy, zpracovává-li osobní údaje získané od subjektu údajů. Správní orgán prvního stupně dospěl k závěru, že ze spisového materiálu vyplývá, že žalobce shromažďuje osobní údaje z veřejně dostupných zdrojů, tedy nikoli od subjektů údajů, a dále prostřednictvím objednávkových kupónů, tedy přímo od subjektů údajů. V případě objednávkových kupónů tedy musí být informační povinnost splněna v okamžiku shromažďování osobních údajů, přičemž z předtištěného textu na těchto kupónech nevyplývá, že by obsahovaly zákonem požadované informace. Ten, kdo hodlá jako správce zpracovávat osobní údaje, je dále na základě ustanovení § 16 zákona povinen tuto skutečnost písemně oznámit Úřadu, a to ještě před zahájením takového zpracování. Žalobce nepodal oznámení o zpracování osobních údajů svých klientů v souladu se zákonem a v relevantní době nebyl veden v registru zpracování osobních údajů Úřadu. Na zpracování osobních údajů jeho klientů se přitom nevztahují výjimky z oznamovací povinnosti podle § 18 odst. 1 zákona. Přesto žalobce zahájil zpracování osobních údajů svých klientů za účelem nabízení zboží a služeb, a sice prostřednictvím zpracovatele, společnosti International Direct Marketing, s.r.o. K vyjádření žalobce správní orgán prvního stupně v odůvodnění svého rozhodnutí uvedl, že v prvé řadě při vydání příkazu nepostupoval podle § 150 odst. 2 správního řádu, a nevycházel tedy pouze z kontrolního protokolu, ale postupoval podle § 150 odst. 1 správního řádu. Podkladem pro vydání příkazu byl veškerý materiál shromážděný při kontrole. K námitce žalobce, že v příkazu je nedostatečně specifikován skutek, neboť zde není uvedeno, ve kterých konkrétních případech mělo z jeho strany dojít k porušení zákona, tj. k nesplnění informační povinnosti dle § 11 odst. 1 a 2 zákona, správní orgán prvního stupně uvedl, že jednání žalobce bylo v příkazu dostatečně přesně specifikováno. Správní orgán prvního stupně spatřoval skutek žalobce v nesplnění informační povinnosti vůči všem jeho klientům, jejichž osobní údaje žalobce získal prostřednictvím dotazníků nebo kupónů pro objednávku služeb či zboží, tedy přímo od subjektů údajů. Dle názoru správního orgánu prvního stupně není třeba pro přesné vymezení skutku jednotlivě vyjmenovávat, o které osoby se jednalo, ale postačí výše uvedené negativní vymezení této skupiny osob. Ze spisového materiálu je přitom nepochybné, že žalobce získal některé, resp. většinu osobních údajů přímo od subjektů údajů. Na základě výše uvedeného správní orgán prvního stupně označil za účelové tvrzení žalobce o nemožnosti navrhnout důkazy k prokázání splnění informační povinnosti, neboť z vyjádření žalobce v průběhu kontroly vyplývá, že naprostou většinu osobních údajů získal vlastní činností, tedy z dotazníků a kupónů, a na tyto případy se informační povinnost vztahuje. Při stanovení výše sankce správní orgán prvního stupně přihlédl zejména ke skutečnosti, že žalobce svým jednáním v rozporu se zákonem ohrozil právo subjektů údajů podílet se aktivně na rozhodování o způsobu využití svých osobních údajů, tj. na ochraně svého soukromého života. Dále přihlédl ke skutečnosti, že nesplnění informační povinnosti se týkalo většího počtu klientů. Podle vyjádření žalobce učiněného při ústním jednání dne 22.3.2007 měl k tomuto dni v databázi vedeno 42.152 klientů, přičemž z dalších vyjádření žalobce vyplynulo, že naprostou většinu osobních údajů získal přímo od klientů prostřednictvím objednávkových kupónů. Správní orgán prvního stupně na druhou stranu přihlédl k tomu, že žalobce ještě před ukončením kontroly splnil povinnost registrovat již prováděné zpracování osobních údajů svých klientů u Úřadu. S ohledem na uvedené skutečnosti byla sankce stanovena při dolní hranici zákonné sazby.

Žalovaný poté v odůvodnění napadeného rozhodnutí shrnul obsah námitek uplatněných žalobcem v rozkladu podaném proti rozhodnutí správního orgánu prvního stupně. V něm žalobce opětovně namítl, že právní názor správního orgánu o porušení ustanovení § 11 odst. 1 a 2 zákona vychází z chybné aplikace zákona. Z ustanovení § 11 odst. 3 písm. c) zákona plyne, že informace a poučení podle odst. 1 téhož ustanovení není správce povinen poskytovat v případě, kdy osobní údaje nezískal od subjektů údajů, pokud zpracovával výlučně oprávněně zveřejněné osobní údaje. Již v průběhu kontroly vyšlo najevo, že žalobce získával osobní údaje také z veřejných zdrojů, např. z telefonních údajů, a na takto získané osobní údaje dopadá ona výjimka z informační povinnosti dle § 11 odst. 3 písm. c) zákona. Přesto byla žalobci rozhodnutím paušálně uložena pokuta za porušení povinnosti, kterou dle výjimky ze zákona ani mít nemusel. Úřad dle názoru žalobce pochybil, když řádně neopatřil podklady pro vydání rozhodnutí a nezjistil všechny rozhodné skutečnosti ve smyslu § 50 správního řádu. Z rozhodnutí ani z kontrolního protokolu není dle žalobce zřejmé, z čeho Úřad vycházel při tvrzení, že žalobce porušil svou informační povinnost vůči subjektům údajů. V odůvodnění rozhodnutí Úřad k vymezení skutku, ve kterém je spatřováno žalobcovo protiprávní jednání, uvedl, že skutek spatřuje v nesplnění informační povinnosti vůči všem klientům, jejichž osobní údaje žalobce získal prostřednictvím dotazníků nebo kupónů pro objednávku služeb či zboží, tedy přímo od subjektů údajů. Podle správního orgánu prvního stupně není pro přesné vymezení skutku třeba jednotlivě vyjmenovávat, o které osoby se jednalo, ale postačí negativní vymezení této skupiny osob. Úřad tedy žalobci nesdělil, v jakém konkrétním případě měl zákon porušit, a žalobce tak neměl k čemu se vyjádřit a nemohl navrhnout důkazy k prokázání toho, zda svou informační povinnost porušil či nikoliv. Tím byl zkrácen na svých právech, které mu přiznává § 36 správního řádu, Úřad mu uplatnění těchto práv neumožnil a postupoval v rozporu s § 4 odst. 4 správního řádu. Žalobce v rozkladu rovněž namítl, že z žádného zákonného ustanovení nevyplývá, že Úřad je oprávněn provést „paušalizaci viny“. Bez individuálního odlišení jednotlivých subjektů údajů a bez rozlišení původu konkrétních osobních údajů nebylo dle mínění žalobce možné paušálně uzavřít, zda jej váže informační povinnost a že jejím nedodržením porušil zákon. Žalobce dále v rozkladu konstatoval, že správním deliktem je protiprávní jednání, jehož znaky jsou stanoveny zákonem, za které správní orgán ukládá sankci stanovenou zákonem. Znaky správního deliktu jsou tedy stanoveny zákonem, ovšem skutečnost, že jde o správní delikt, nevyplývá z faktu, že byla porušena právní povinnost, ale je dána tím, že takové jednání je za správní delikt výslovně zákonem označeno (formální stránka správního deliktu). Protiprávnost jako znak správního deliktu je normativním vyjádřením skutečnosti, že pachatel porušil povinnosti stanovené zákonem na ochranu hodnot, na jejich vytváření a ochraně je veřejný zájem, že protiprávní jednání je v rozporu se zájmy společnosti, je společensky nebezpečné, škodlivé (materiální stránka správního deliktu). Není-li naplněn pojmový znak protiprávnosti, nelze uplatňovat odpovědnost za jednání, které se po formální stránce podobá správnímu deliktu. Z výše uvedeného žalobce dovozuje, že má-li být skutek posuzován jako správní delikt, musí být současně naplněna jak materiální, tak formální stránka správního deliktu. Touto zásadou se správní orgán prvního stupně ve svém rozhodnutí nezabýval, což má za následek nezákonnost jím vydaného rozhodnutí. Žalobce v této souvislosti namítl, že v daném případě není formální znak projednávaného správního deliktu naplněn, neboť informační povinnost dle § 11 odst. 1 a 2 zákona se váže ke konkrétním subjektům údajů. Zákon v žádném svém ustanovení neukládá povinnost informovat neurčité množství všech možných v úvahu připadajících subjektů údajů, ale povinnost informovat konkrétní subjekt údajů, jehož osobní údaje byly získány zákonem předvídaným způsobem. V posuzovaném případě nelze dovodit ani materiální znak projednávaného správního deliktu, neboť jednáním žalobce nedošlo k žádnému porušení ani ohrožení zájmů společnosti. Nebyla totiž zjištěna žádná konkrétní osoba (subjekt údajů), jejíž právo chráněné zákonem bylo porušeno. Žalobce se dále v rozkladu vyjádřil ke smyslu a oprávněnosti uložené sankce. Poukázal na to, že zákon o ochraně osobních údajů je mladým právním předpisem, který byl za pouhých 7 let své účinnosti již 14 x novelizován. Situaci výrazně ztěžuje též absolutní absence jakéhokoli autoritativního výkladu tohoto zákona, neboť v současné době existuje jen několik málo rozhodnutí Úřadu a téměř žádná judikatura soudů, která by byla návodem, jak dostát některým povinnostem, které zákon ukládá. Zákon ukládá správcům řadu povinností, většinou však nestanoví, jakým konkrétním způsobem má být ta která povinnost splněna. To platí speciálně pro informační povinnost. Neexistuje žádné ustanovení, žádný prováděcí předpis ani autoritativní výklad, ze kterého by žalobce mohl čerpat a z něhož by plynulo, jak konkrétně mají být subjekty údajů informovány. Žalobce jako podnikatel při své činnosti využívá inzerátů a objednávkových letáků, a především u inzerce je limitován finanční náročností jejího rozsahu. Není tedy reálně možné, aby inzerát obsahoval text zákona, a to ani samotný text zákonných ustanovení upravujících informační povinnost. Žalobce se proto snaží splnit zákonnou povinnost různou formulací. Domnívá se, že není na místě ukládat mu v daném případě sankci v podobě peněžité pokuty za situace, kdy má objektivně těžké postavení ohledně výkladu zákona a kdy nedošlo k ohrožení práva žádné konkrétní osoby – subjektu údajů a jeho jednání není společensky nebezpečné a škodlivé do té míry, aby naplňovalo materiální stránku správního deliktu. Žalobce má za to, že dostatečnou zárukou ochrany subjektů údajů jsou splněná uložená opatření k nápravě.

V další části odůvodnění napadeného rozhodnutí se orgán rozhodující o rozkladu vypořádal s jednotlivými námitkami žalobce uplatněnými v rozkladu. Předně uvedl, že rozhodnutí správního orgánu prvního stupně nevychází pouze z kontrolního protokolu. Podkladem pro rozhodnutí byl celkový spisový materiál shromážděný při kontrole, na což byl žalobce v odůvodnění rozhodnutí správního orgánu prvního stupně výslovně upozorněn. Orgán rozhodující o rozkladu uvedl, že žalobce se mýlí ve svém názoru na aplikaci výjimky dle § 11 odst. 3 písm. c) zákona. To, že část údajů nacházejících se v databázi pochází z veřejných zdrojů a vztahuje se na ně zmiňovaná výjimka, neznamená, že tato výjimka se bude automaticky vztahovat na všechny údaje obsažené v databázi žalobce. Povinnost podle § 11 odst. 2 zákona musí správce splnit vždy, zpracovává-li osobní údaje získané od subjektu údajů, aniž by bylo nutné individualizovat a konkretizovat jednotlivě každý subjekt, vůči němuž má správce tuto povinnost. K tvrzení žalobce, že Úřad mu nesdělil, v jakém konkrétním případě, tj. jakým skutkem měl zákon porušit, a žalobce tak neměl k čemu se vyjádřit a nemohl navrhnout důkazy, orgán rozhodující o rozkladu konstatoval, že se zcela ztotožňuje s názorem správního orgánu prvního stupně, že skutek žalobce spočívá v nesplnění informační povinnosti vůči všem jeho klientům, jejichž osobní údaje žalobce získal prostřednictvím dotazníků nebo kupónů pro objednávku služeb či zboží, tedy přímo od subjektu údajů. Pro přesné vymezení skutku není třeba jednotlivě vyjmenovávat, o které osoby se jedná, ale postačí uvedené negativní vymezení dané skupiny osob. Ze spisového materiálu je přitom nepochybné, že žalobce zjevně rozlišuje mezi získáním dat z veřejných zdrojů (telefonní seznam) a z vlastní činnosti. Nelze přijmout ani argumentaci žalobce, že byl porušen § 36 a § 4 odst. 4 správního řádu, neboť skutek byl v příkazu, kterým bylo zahájeno správní řízení se žalobcem, stejně jako v rozhodnutí správního orgánu prvního stupně uveden přesně a dostatečně konkrétně. Žalobce byl tedy seznámen se skutkem, jímž byl porušen zákon a správní orgán prvního stupně ve věci postupoval vsouladu s § 3 správního řádu a zjistil stav věci, o němž nejsou důvodné pochybnosti .Orgán rozhodující o rozkladu nesouhlasí s názorem žalobce, že Úřad se nezabýval tím, zda byla současně naplněna jak materiální, tak formální stránka správního deliktu. Jednání vytýkané žalobci je v zákoně jako správní delikt výslovně označeno. V rozhodnutí správního orgánu prvního stupně bylo také uvedeno, že zákon provádí ústavně zakotvené základní právo každého na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o jeho osobě, z čehož vyplývá, že porušení zákona je jednáním, které je v rozporu se zájmy společnosti, a proto je také jako delikt v zákoně označeno. Orgán rozhodující o rozkladu je toho názoru, že v případě správního deliktu je každé porušení povinnosti dle zákona o ochraně osobních údajů v rozporu se zájmy společnosti, a naplňuje tak i materiální stránku správního deliktu. Neztotožňuje se s tvrzením žalobce, že zákon v žádném svém ustanovení nestanoví povinnost informovat neurčité množství všech možných v úvahu připadajících existujících subjektů údajů, ale povinnost informovat konkrétní subjekt údajů, jehož osobní údaje byly získány zákonem předvídaným způsobem, a že v posuzovaném případě nebyla zjištěna žádná konkrétní osoba (subjekt údajů), jejíž právo chráněné zákonem by bylo porušeno. Ze spisového materiálu naopak vyplývá, že byly zjištěny konkrétní osoby, jejichž právo bylo postupem žalobce porušeno. Na základě podnětu těchto osob byla u žalobce zahájena kontrola. Ustanovení § 11 zákona nestanoví povinnost „informovat konkrétní subjekt údajů“, ale je v něm zakotvena obecně stanovená povinnost správce informovat subjekt údajů, aniž by bylo nutné vždy tento subjekt individualizovat. Přitom je zjevné, že žalobce takovou informaci subjektům údajů, jejichž údaje shromažďoval do datového souboru, nepodal. K námitce, že zákon byl již 14 x novelizován a že chybí jakýkoli jeho autoritativní výklad, jakož i k tvrzení žalobce, že je jako podnikatel finančně limitován a že dostatečnou zárukou ochranu subjektů údajů v daném případě jsou splněná uložená opatření k nápravě, orgán rozhodující o rozkladu poznamenal, že k časté novelizaci zákona a k chybějícímu autoritativnímu výkladu zákona nelze přihlížet, neboť je třeba vycházet ze základního principu, že neznalost zákona neomlouvá. Irelevantní je též argumentace žalobce, že je podnikatelem. Nelze připustit výklad, podle kterého by nebylo možné zákon aplikovat, pokud by to pro podnikatele mělo znamenat zvýšené finanční náklady. Z jazykového výkladu § 45 odst. 3 zákona („se uloží......“) orgán rozhodující o rozkladu dovodil, že správní orgán prvního stupně musí pokutu v případě, kdy konstatuje spáchání správního deliktu, uložit vždy (vyjma případu dle § 46 odst. 1 zákona). V případě žalobce tedy není možné setrvat pouze u již uložených nápravných opatření. Vzhledem k výše uvedeným skutečnostem a k tomu, že pokuta byla uložena při samé spodní hranici sazby a její výše byla dostatečně zdůvodněna, nebyly orgánem rozhodujícím o rozkladu shledány žádné zákonné důvody pro zrušení nebo změnu rozhodnutí správního orgánu prvního stupně.

Žalobou podanou u Městského soudu v Praze se žalobce domáhal zrušení napadeného rozhodnutí, jakož i zrušení rozhodnutí správního orgánu prvního stupně. Žalobní námitky se v podstatné míře shodují s argumentací, kterou uplatnil v rozkladu podaném proti rozhodnutí správního orgánu prvního stupně. I v podané žalobě tak žalobce namítl, že Úřad při vydání rozhodnutí o uložení pokuty vycházel z chybné aplikace ustanovení § 11 odst. 1, 2 a 3 zákona. Z ustanovení § 11 odst. 3 písm. c) zákona plyne, že informace a poučení podle § 11 odst. 1 není správce povinen poskytovat v případě, kdy osobní údaje nezískal od subjektů údajů, pokud zpracovával výlučně oprávněně zveřejněné osobní údaje. Již v průběhu kontroly přitom vyšlo najevo, že žalobce získával osobní údaje také z veřejných zdrojů, např. z telefonních údajů, a proto na takto získané osobní údaje dopadá ona výjimka z informační povinnosti dle § 11 odst. 3 písm. c) zákona. Přesto byla žalobci rozhodnutím paušálně uložena pokuta za hypoteticky možné porušení povinnosti v neurčitých případech, bez ohledu na možnost aplikace zákonné výjimky z informační povinnosti. Úřad dle žalobce pochybil, když řádně neopatřil podklady pro vydání rozhodnutí a nezjistil všechny rozhodné okolnosti ve smyslu § 50 správního řádu. Z rozhodnutí Úřadu není zřejmé, z čeho správní orgán vycházel při svém tvrzení, že žalobce porušil svou informační povinnost vůči neznámým subjektům údajů. K vymezení skutku, ve kterém je spatřováno protiprávní jednání žalobce, Úřad konstatoval, že tento skutek spatřuje v nesplnění informační povinnosti vůči všem klientům, jejichž osobní údaje žalobce získal prostřednictvím dotazníků nebo kupónů pro objednávku služeb či zboží, tedy přímo od subjektů údajů. Dále uvedl, že pro přesné vymezení skutku není třeba jednotlivě vyjmenovávat, o které osoby se jedná, ale postačí výše uvedené negativní vymezení skupiny osob. S tímto závěrem Úřadu žalobce nesouhlasí, považuje jej za nesprávný a nepřípustně rozšiřující výklad ustanovení zákona. Má za to, že Úřad mu neumožnil uplatnění jeho práv a postupoval v rozporu s § 4 odst. 4 správního řádu. Úřad totiž žalobci nesdělil, v jakém konkrétním případě, tedy jakým skutkem měl zákon porušit, a žalobce tak neměl k čemu se vyjádřit a nemohl navrhnout důkazy k prokázání, zda svou informační povinnost porušil či nikoliv. Je tak možné, že se žádného porušení informační povinnosti vůbec nedopustil. Tímto postupem byl žalobce zkrácen na svých právech vyplývajících z § 36 správního řádu. Žalobce rovněž namítl, že z žádného zákonného ustanovení nevyplývá, že by Úřad byl oprávněn provést „paušalizaci viny“, což v daném případě učinil. Bez individuálního odlišení jednotlivých subjektů údajů a bez rozlišení původu konkrétních osobních údajů nelze paušálně uzavřít, zda žalobce váže informační povinnost a že jejím nedodržením porušil zákon.

Žalobce dále v žalobě (opět zcela shodně jako v rozkladu) uvedl, že má-li být skutek posuzován jako správní delikt, musí být současně naplněna jak materiální, tak formální stránka správního deliktu. Touto zásadou se Úřad ve svém rozhodnutí nezabýval. Dle přesvědčení žalobce není v daném případě naplněn formální znak projednávaného správního deliktu, neboť informační povinnost dle § 11 odst. 1 a 2 zákona se váže ke konkrétním subjektům údajů. Zákon v žádném ze svých ustanovení nestanoví povinnost informovat neurčité množství všech možných v úvahu připadajících existujících subjektů, ale povinnost informovat konkrétní subjekt údajů, jehož osobní údaje byly získány zákonem předvídaným způsobem. V daném případě nelze dovodit ani materiální znak projednávaného správního deliktu, neboť jednáním žalobce nedošlo k žádnému porušení ani ohrožení zájmu společnosti, když nebyla zjištěna žádná konkrétní osoba (subjekt údajů), jehož právo chráněné zákonem bylo porušeno.

Žalobce rovněž namítl, že Úřad při uložení sankce nesprávně aplikoval ustanovení § 46 odst. 2 zákona, podle kterého se při rozhodování výši pokuty přihlíží zejména k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno. V souvislosti s touto námitkou žalobce uvedl, že zákon o ochraně osobních údajů je mladým právním předpisem a že právní úprava v něm obsažená je až velmi podrobná. Jedná se o abstraktní právní předpis, který byl za pouhých 7 let své účinnosti již 14 x novelizován. Žalobce poznamenal, že správci osobních údajů jsou nejčastěji právnické osoby – podnikatelé a drtivá většina těchto správců nemá k dispozici zaměstnance s právnickým vzděláním. Vyznat se ve všech ustanoveních zákona a pružně reagovat na jeho změny tak pro správce není zrovna jednoduché. Situaci ztěžuje rovněž téměř absolutní absence jakéhokoli autoritativního výkladu zákona. Zákon správcům ukládá řadu povinností, většinou však nestanoví, jakým konkrétním způsobem má být ta která povinnost splněna, což speciálně platí pro informační povinnost. Neexistuje žádné ustanovení, žádný prováděcí předpis ani autoritativní výklad, ze kterého by žalobce mohl čerpat a ze kterého by plynulo, jak konkrétně, tj. jakou formulací mají být subjekty údajů informovány. Žalobce jako podnikatel při své činnosti využívá inzerátů a objednávkových letáků a především u inzerce je limitován finanční náročností jejího rozsahu. Není reálně možné, aby inzerát obsahoval text zákona, a to ani samotný text zákonných ustanovení upravujících informační povinnost. Proto se žalobce snaží splnit zákonnou povinnost různou formulací. Za této situace je jeho jednání často obecně přirovnáváno k metodě „pokus – omyl“. Žalobce nemá v úmyslu zákon o ochraně osobních údajů obcházet, snaží se vyhovět jeho znění, avšak ne vždy je to snadné. Někdy své zákonné povinnosti splní tak, jak jim sám rozumí, avšak v rozporu s tím, jak tyto povinnosti následně chápe úřad. Přestože žalobce nesouhlasí se závěrem správního orgánu o porušení § 11 odst. 1 a 2 zákona, s cílem předejít v budoucnu možným pochybením změnil na základě uložených opatření k nápravě formulaci poučení poskytovaného subjektům údajů, a to ve vztahu ke všem subjektům údajů, ať již vůči nim tuto informační povinnost ze zákona má či nikoliv. Žalobce za dostatečnou záruku ochrany subjektů údajů považuje splněná uložená opatření k nápravě. V daném případě proto není na místě ukládat mu pokutu, a to zvláště za situace, kdy má objektivně těžké postavení ohledně výkladu zákona a kdy nedošlo k ohrožení práv žádné konkrétní osoby – subjektu údajů a jeho jednání nebylo společensky nebezpečné a škodlivé do té míry, aby naplňovalo také materiální stránku správního deliktu.

Žalobce namítl chybnou aplikaci § 11 odst. 1, 2 a 3 zákona i ve vztahu k napadenému rozhodnutí. Nikdy netvrdil, že by se výjimka zakotvená v § 11 odst. 3 zákona měla automaticky vztahovat na všechny údaje, je však toho názoru, že Úřad vycházející pouze z kontrolního protokolu nezjistil žádný konkrétní případ porušení informační povinnosti žalobcem. Po provedené kontrole mohl Úřad pouze zjistit, že je hypoteticky možné, že u části subjektů údajů byla informační povinnost porušena. Takové zjištění však nemůže být dostatečnou oporou pro rozhodnutí o spáchání správního deliktu a pro uložení sankce. Žalobce nesouhlasí se závěrem správního orgánu, že povinnost podle § 11 odst. 2 zákona musí správce splnit vždy, zpracovává-li osobní údaje získané od subjektu údajů, aniž by bylo nutné individualizovat a konkretizovat jednotlivě každý subjekt, vůči němuž má správce tuto povinnost. Tento názor správního orgánu nemá oporu v žádném zákonném ustanovení, neboť žalobce jako správce osobních údajů může svou zákonnou informační povinnost splnit naopak jen ve vztahu ke konkrétnímu subjektu údajů stím, že je-li u konkrétního subjektu údajů splněna podmínka pro aplikaci výjimky podle § 11 odst. 3 zákona, nemusí svou informační povinnost vůči tomuto konkrétnímu subjektu údajů plnit. Dle mínění žalobce je napadené rozhodnutí v tomto směru nesrozumitelné a nepřezkoumatelné.

Žalobce vytýká žalovanému, že postupoval v rozporu s § 4 odst. 4 správního řádu a že porušil § 36 a 50 správního řádu. Nesouhlasí se závěrem žalovaného, že jeho skutek spočívá v nesplnění informační povinnosti vůči všem klientům, jejichž osobní údaje získal prostřednictvím dotazníků nebo kupónů pro objednávku služeb či zboží, tedy přímo od subjektů údajů, a že pro přesné vymezení skutku není třeba jednotlivě vyjmenovávat, o které osoby se jednalo, ale postačí uvedené negativní vymezení této skupiny osob. Žalobce s tímto nesouhlasí a domnívá se, že je mu Úřadem kladeno za vinu porušení zákona skutkem, který není konkretizován a je pouhou domněnkou Úřadu. Konkrétní tvrzení o skutku, kterým mělo dojít k porušení zákona, je nahrazováno domněnkou Úřadu, že k takovému porušení v nějakém případě zkrátka dojít muselo. Kdyby však Úřad postupoval v souladu se správním řádem a zákonem a zjistil konkrétní subjekt údajů, u něhož měla být informační povinnost porušena, podnikl by žalobce zjištění, zda u tohoto konkrétního subjektu byla informační povinnost splněna či nikoli, popř. zdali se na něj nevztahuje výjimka dle § 11 odst. 3 zákona, a v tomto smyslu by navrhl důkazy. Úřad však žalobci nesdělil, v jakém konkrétním případě měl zákon porušit, a žalobce se tak nemohl ke skutku, který je mu kladen za vinu, vyjádřit a nemohl navrhnout důkazy k prokázání, zda svou informační povinnost porušil či nikoliv. Žalobce nadále trvá na svém názoru, že bez individuálního odlišení jednotlivých subjektů údajů a bez rozlišení původu konkrétních osobních údajů nelze paušálně uzavřít, zda jej váže informační povinnost a zda jejím nedodržením porušil zákon.

Úřad dle mínění žalobce nesprávně právně posoudil též otázku formální a materiální stránky jednání, ve kterém spatřuje správní delikt. Z napadeného rozhodnutí nevyplývají takové skutkové okolnosti, které by dostatečným způsobem vyjadřovaly naplnění znaků skutkové podstaty správního deliktu kladeného žalobci za vinu. Úřad v napadeném rozhodnutí popsal skutek vyjádřením právních pojmů správního deliktu, aniž by bylo možné zjistit, jakým způsobem a v jakém případě došlo k naplnění obsahu těchto právních pojmů. Úřad tak posoudil jako správní delikt skutek, jehož součástí podle popisu ve výroku rozhodnutí nejsou okolnosti vyjadřující naplnění základních znaků skutkové podstaty tohoto správního deliktu. Materiální stránku jednání pak Úřad posoudil v rozporu se smyslem tohoto právního pojmu, když stručně konstatoval, že tato je dána bez dalšího v důsledku toho, že došlo k porušení zákona. Žalobce trvá na tom, že v daném případě nebyl formální znak projednávaného správního deliktu naplněn, neboť informační povinnost dle § 11 odst. 1 a 2 zákona se váže ke konkrétním subjektům údajů, a že nebyl naplněn ani materiální znak projednávaného správního deliktu, neboť jeho jednáním nedošlo k žádnému porušení ani ohrožení zájmů společnosti, když nebyla zjištěna žádná konkrétní osoba (subjekt údajů), jejíž právo chráněné zákonem by bylo porušeno. Tvrzení Úřadu, že byly zjištěny konkrétní osoby, jejichž právo bylo postupem žalobce porušeno, nemá oporu ve spise ani v napadeném rozhodnutí. Žalobci byla uložena pokuta za správní delikt, který nebyl spáchán vůči konkrétním osobám. Skutek, který by se k nějakým takovým osobám vztahoval, nebyl popsán ani v závěru kontrolního protokolu, ani v rozhodnutí správního orgánu prvního stupně, ani ve výroku napadeného rozhodnutí. Žalobce trvá na tom, že zákonná informační povinnost může být splněna jen ve vztahu ke konkrétnímu subjektu údajů.

Závěrem žalobce namítl, že orgán rozhodující o rozkladu se v napadeném rozhodnutí nevypořádal s jeho námitkou, že správní orgán prvního stupně nepřihlédl ve smyslu § 46 odst. 2 zákona k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno. Úřad dokonce popřel, že by se měl něčím takovým zabývat, když k tomu uvedl, že je třeba vycházet ze základního principu, že neznalost zákona neomlouvá. Postupoval tak v rozporu s výslovným zněním zákona. Žalobce nadále trvá na tom, že dostatečnou zárukou ochrany subjektů údajů jsou dvaném případě již splněná uložená opatření k nápravě.

Žalovaný navrhl, aby soud žalobu jako nedůvodnou zamítl. Ve vyjádření k žalobě uvedl, že žaloba je založená jak na mylném skutkovém hodnocení ze strany žalobce, tak na mylném právním posouzení věci. Společným jmenovatelem žalobních argumentů je tvrzení, že i při zjištění několika desítek tisíc případů osobních údajů v žalobcově databázi, u nichž nebylo prokázáno splnění zákonných povinností zpracovatele ve vztahu k subjektům osobních údajů, zejména povinnosti informační, nebyl žalovaným vybrán konkrétní příklad, k němuž by poté mohla směřovat obrana žalobce. Žalobce z toho dovozuje, že napadené rozhodnutí nemá oporu v provedených zjištěních a že byla zjištěna pouze hypotetická možnost porušení povinnosti u části subjektů údajů. Žalobce vykládá velmi svérázně konstatování žalovaného, že povinnost dle § 11 odst. 2 musí správce splnit vždy, zpracovává-li osobní údaje získané od subjektu údajů, aniž by bylo nutné individualizovat a konkretizovat jednotlivě každý subjekt, vůči němuž má tuto povinnost. Je naopak na žalobci, aby doložil, ať již v rámci kontroly nebo ve vlastním správním řízení, že vůči jednotlivým subjektům údajů tuto povinnost splnil nebo že žádné osobní údaje nezpracovával. V daném případě bylo najisto zjištěno, že žalobce vlastní rozsáhlou databázi osobních údajů svých klientů za účelem nabídky zboží a služeb. Tyto údaje získával zčásti přímo od subjektů údajů prostřednictvím vyplněných kupónů nebo dotazníků a zčásti též z veřejných zdrojů, aniž jejich zpracovávání oznámil žalovanému. Při jejich zpracování (prováděném smluvně sjednaným zpracovatelem) žalobce své klienty neinformoval o tom, kdo a jakým způsobem bude osobní údaje zpracovávat, komu mohou být zpřístupněny, dále o jejich právech podle zákona, zejména o právu na přístup k nim a na případnou opravu osobních údajů, a nepoučil je o tom, zda je poskytnutí těchto údajů povinné či dobrovolné. Žalovaný odmítá námitku, že svým postupem porušil § 36 a § 50 správního řádu. Provedená kontrola a shromážděné podklady dle jeho mínění jednoznačně prokazují, že žalobce disponuje databází údajů více než 42.000 klientů (stav k březnu 2007), od nichž v naprosté většině tyto údaje získal nikoli z veřejných zdrojů, ale přímo prostřednictvím objednávkových kupónů. Žalobce sice tato zjištění označuje za domněnku žalovaného, pokud je z ní vyvozováno, že potřebné informace a poučení neposkytl, sám však nikdy a nijak nedoložil, že by zákonnou povinnost při doložené četnosti osobních údajů splnil. Naopak vyžaduje, aby mu byl sdělen jednotlivý konkrétní případ z tohoto okruhu dotčených osob. Opakovaně namítá údajnou „paušalizaci viny“, ačkoliv sám nenavrhl ve smyslu § 36 správního řádu žádné důkazy, které by porušení zákona na jeho straně vyvracely, ať již v jediném konkrétním případě, na který se sankce vztahuje. Ve vztahu k žalobní námitce údajně nesprávného posouzení otázky formální a materiální stránky jednání žalobce, ve kterém je spatřován správní delikt, odkázal žalovaný na rozsudek Nejvyššího správního soudu ze dne 16.7.2008 č.j. 1 As 36/2008 - 77. Má za to, že pokud jsou povinnosti stanovené zpracovateli osobních údajů jednoznačné a zjistitelné z příslušných zákonných ustanovení, nelze tvrdit, že není dána materiální ani formální stránka jednání a není naplněna skutková podstata správního deliktu. V daném případě byl nepochybně zjištěn okruh subjektů osobních údajů, u nichž žalobce nedoložil splnění povinností, k nimž je ze zákona zavázán. Proto je třeba odmítnout i žalobcovu námitku, že delikt „nebyl spáchán vůči konkrétním osobám“. Dle mínění žalovaného by bylo pustým formalismem vybrat z desítek tisíc evidovaných případů jeden, dva nebo tři a na nich dokládat to, co měl pozitivně za povinnost doložit žalobce. V ostatním žalovaný odkázal na odůvodnění napadeného rozhodnutí.

K ústnímu jednání ve věci samé se žalobce nedostavil. Žalovaný při jednání před soudem navrhl, aby soud žalobu zamítl. Odkázal na písemné vyjádření k žalobě a k věci samé dále uvedl, že žalobce byl v rámci správního řízení seznámen s tím, jaké jeho jednání je předmětem řízení a za co je mu pokuta ukládána. Ke skutkovým okolnostem případu se žalobce doznal, připustil, že získával osobní údaje rovněž prostřednictvím kupónů a dotazníků. Pokud nebyl srozuměn s tím, za jaké konkrétní jednání je veden k odpovědnosti, bylo na něm, aby označil konkrétní subjekt z řad svých klientů, u kterého dle jeho názoru byly povinnosti stanovené zákonem splněny. Formální znaky skutkové podstaty správního deliktu byly dle žalovaného v projednávané věci bezezbytku naplněny. Materiální stránka správního deliktu pak spočívá ve značném množství subjektů, vůči nimž žalobce porušil svou povinnost, dále v době trvání protiprávního jednání a také v tom, že žalobce nesplnil zásadní povinnosti uložené mu zákonem. K argumentaci žalobce, že nebyl schopen rozeznat řádně obsah svých povinností, neboť zákon je nejasný a byl mnohokrát novelizován, žalovaný podotkl, že ustanovení § 11 zákona bylo novelizováno pouze dvakrát, a to naposledy v roce 2004. Především však platí zásada, že neznalost zákona neomlouvá. Žalobce, který je podnikatelem a profesionálem, by měl být schopen v rámci svého předmětu podnikání rozeznat obsah zákonem stanovených povinností vztahujících se ke zpracování osobních údajů klientů. Nadto se mohl podle § 29 zákona obrátit na Úřad se žádostí o poskytnutí vyjádření či autoritativního výkladu. Pokud jde o výši uložené sankce, žalovaný v rozhodnutí o uložení pokuty hodnotil následek protiprávního jednání, dobu jeho trvání a vycházel i z toho, že je třeba dosáhnout určité citelnosti trestu.

Městský soud v Praze na základě podané žaloby přezkoumal napadené rozhodnutí, jakož i řízení, které jeho vydání předcházelo, a to v mezích žalobcem uplatněných žalobních bodů, přičemž vycházel ze skutkového a právního stavu, který tu byl v době rozhodování správního orgánu (§ 75 s.ř.s.) a který je detailně popsán v odůvodnění napadeného rozhodnutí.

V posuzované věci vyšel soud z následně uvedené právní úpravy:

Podle § 3 správního řádu nevyplývá-li ze zákona něco jiného, postupuje správní orgán tak, aby byl zjištěn stav věci, o němž nejsou důvodné pochybnosti, a to v rozsahu, který je nezbytný pro soulad jeho úkonu s požadavky uvedenými v § 2.

Podle § 4 odst. 4 správního řádu správní orgán umožní dotčeným osobám uplatňovat jejich práva a oprávněné zájmy.

Podle § 36 odst. 1 správního řádu nestanoví-li zákon jinak, jsou účastníci oprávněni navrhovat důkazy a činit jiné návrhy po celou dobu řízení až do vydání rozhodnutí; správní orgán může usnesením prohlásit, dokdy mohou účastníci činit své návrhy.

Podle § 36 odst. 2 správního řádu účastníci mají právo vyjádřit v řízení své stanovisko. Pokud o to požádají, poskytne jim správní orgán informace o řízení, nestanoví-li zákon jinak.

Podle § 50 odst. 3 správního řádu je správní orgán povinen zjistit všechny okolnosti důležité pro ochranu veřejného zájmu. V řízení, v němž má být z moci úřední uložena povinnost, je správní orgán povinen i bez návrhu zjistit všechny rozhodné okolnosti svědčící ve prospěch i v neprospěch toho, komu má být povinnost uložena.

Podle § 11 odst. 1 zákona o ochraně osobních údajů, v jeho znění účinném k datu vydání napadeného rozhodnutí, je správce při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo
zpracovávat a komu mohou být osobní údaje a jakým způsobem bude osobní údaje

zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21.

Podle § 11 odst. 2 téhož zákona v případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.

Podle § 11 odst. 3 téhož zákona informace a poučení podle odstavce 1 není povinen správce poskytovat v případech, kdy osobní údaje nezískal od subjektu údajů, pokud a) zpracovává osobní údaje výlučně pro účely výkonu státní statistické služby, vědecké nebo archivní účely a poskytnutí takových informací by vyžadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady; nebo pokud ukládání na nosiče informací nebo zpřístupnění je výslovně stanoveno zvláštním zákonem. V těchto případech je správce povinen přijmout potřebná opatření proti neoprávněnému zasahování do soukromého a osobního života subjektu údajů,

b) zpracování osobních údajů mu ukládá zvláštní zákon nebo je takových údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštních zákonů, c) zpracovává výlučně oprávněně zveřejněné osobní údaje, nebo d) zpracovává osobní údaje získané se souhlasem subjektu údajů.

Podle § 16 odst. 1 téhož zákona ten, kdo hodlá jako správce zpracovávat osobní údaje nebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v § 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů.

Podle § 45 odst. 1 písm. f/ téhož zákona právnická osoba nebo fyzická osoba podnikající podle zvláštních předpisů se jako správce nebo zpracovatel dopustí správního deliktu tím, že při zpracování osobních údajů neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem (§ 11).

Podle § 45 odst. 1 písm. i/ téhož zákona právnická osoba nebo fyzická osoba podnikající podle zvláštních předpisů se jako správce nebo zpracovatel dopustí správního deliktu tím, že při zpracování osobních údajů nesplní oznamovací povinnost podle tohoto zákona (§ 16 a 27).

Podle § 45 odst. 3 téhož zákona za správní delikt podle odstavce 1 se uloží pokuta do výše 5 000 000 Kč.

Podle § 46 odst. 2 téhož zákona při rozhodování o výši pokuty se přihlíží zejména k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno.

Po provedeném řízení dospěl soud k závěru, že žaloba není důvodná.

Soud neshledal důvodnými námitky vytýkající žalovanému chybnou aplikaci ustanovení § 11 odst. 1, 2 a 3 zákona. V řízení před správním orgánem bylo prokazatelně zjištěno, že žalobce disponuje rozsáhlou databází osobních údajů více než čtyřiceti tisíc svých klientů vytvořenou za účelem nabízení obchodu a služeb. Údaje do této databáze žalobce získal většinou přímo od subjektů údajů prostřednictvím jimi vyplněných objednávkových kupónů nebo dotazníků, z menší části též z veřejných zdrojů (telefonního seznamu). Při kontrole bylo rovněž prokazatelně zjištěno, že žalobce takto zpracovával osobní údaje svých klientů, aniž by zpracování osobních údajů předem oznámil Úřadu, a že při zpracování osobních údajů, které získal přímo od subjektů údajů (tedy z objednávkových kupónů nebo dotazníků vyplněných jednotlivými klienty), tyto klienty neinformoval o tom, kdo a jakým způsobem bude osobní údaje zpracovávat, komu mohou být zpřístupněny, a dále o právu subjektu údajů na přístup k osobním údajům, právu na opravu osobních údajů, jakož i o právech stanovených v § 21 zákona, a rovněž je nepoučil o tom, zda je poskytnutí osobních údajů povinné či dobrovolné. Tyto skutečnosti jednoznačně vyplývají z kontrolních zjištění učiněných v průběhu kontroly provedené u žalobce, jejíž výsledky jsou zachyceny v kontrolním protokolu ze dne 26.4.2007zn. INSPIII-0369/07-21. Neobstojí proto námitka, že žalovaný porušil povinnosti uložené mu ustanoveními § 3 a § 50 odst. 3 právního řádu, tj. povinnost rozhodnout na základě zjištěného stavu věci, o němž nejsou důvodné pochybnosti a povinnost zjistit před vydáním rozhodnutí o uložení pokuty všechny rozhodné okolnosti svědčící ve prospěch i v neprospěch toho, komu má být povinnost uložena. Soud v této souvislosti uvádí, že žalobce nemůže s úspěchem namítat nedostatečně zjištěný skutkový stav věci, jestliže zároveň v žalobě neoznačil žádné důkazní prostředky, které dle jeho názoru měly být (a nebyly) správním orgánem provedeny za účelem řádného zjištění skutkového stavu věci.

To, že předem neoznámil Úřadu, že jako správce hodlá zpracovávat osobní údaje svých klientů, žalobce nijak nepopírá. To, že povinnost vyplývající z § 16 odst. 1 zákona dodatečně splnil po zahájení kontroly, nezbavuje žalobce odpovědnosti za protiprávní jednání, kterého se porušením této povinnosti dopustil.

Jádrem žalobcovy obrany je tvrzení, že Úřad postupoval v rozporu se zákonem, když v řízení (a též v rozhodnutí) nespecifikoval konkrétní osoby – subjekty údajů, ve vztahu k nimž žalobce nesplnil informační povinnost zakotvenou v § 11 odst. 1 a § 11 odst. 2 zákona. Právě proto žalobce namítá, že mu Úřad neumožnil uplatnění jeho práv účastníka řízení, neboť při neznalosti konkrétních jmen klientů – subjektů údajů se nemohl vyjádřit ke vznesenému obvinění a nemohl navrhnout důkazy. Soud však ve shodě s názorem žalovaného považuje tuto žalobcovu obrannou argumentaci za neopodstatněnou. Z rozhodnutí správního orgánu prvního stupně a stejně tak i z napadeného rozhodnutí je totiž nade vší pochybnost zřejmé, že žalobci je kladeno za vinu protiprávní jednání spočívající v nesplnění informační povinnosti podle § 11 odst. 1 a § 11 odst. 2 zákona ve vztahu ke všem klientům – subjektům údajů, jejichž osobní údaje získal přímo, tedy z objednávkových kupónů nebo dotazníků vyplněných jednotlivými klienty. Žalobce v řízení před správním orgánem nikterak nezpochybnil, že (také) tímto způsobem, tj. prostřednictvím objednávkových kupónů a dotazníků, získával osobní údaje svých klientů, které zpracovával. Informační povinnost plynoucí z výše uvedených ustanovení zákona byl žalobce povinen plnit nikoliv pouze vůči konkrétnímu (jednotlivému) subjektu údajů, ale obecně vůči všem subjektům údajů, jejichž osobní údaje získal zákonem stanoveným způsobem, tj. (přímo) od subjektu údajů. To měl také žalovaný na mysli, když v napadeném rozhodnutí konstatoval, že povinnost podle § 11 odst. 2 zákona musí správce splnit vždy, zpracovává-li osobní údaje získané od subjektu údajů, aniž by bylo nutné individualizovat a konkretizovat jednotlivě každý subjekt, vůči němuž správce tuto povinnost má. Vzhledem ke značnému množství (desítky tisíc) klientů, od nichž žalobce tímto způsobem osobní údaje získal, na správním orgánu vskutku nelze spravedlivě požadovat, aby v průběhu řízení žalobci sděloval a v rozhodnutí jednotlivě uváděl jména všech těchto klientů. Okruh subjektů údajů, ve vztahu k nimž žalobce nesplnil informační povinnost stanovenou zákonem, byl tedy ze strany správního orgánu jednoznačně a dostatečně určitě vymezen uvedením znaku příznačného pro všechny členy této skupiny; protiprávní jednání žalobce spočívající v porušení § 11 odst. 1 a § 11 odst. 2 zákona tím bylo zároveň dostatečně určitě vymezeno po skutkové stránce. Správní orgán nebyl povinen žalobci sdělovat ani demonstrativní výčet jmen těchto klientů – subjektů údajů patřících do takto vymezené skupiny, tj. vybírat z desítek tisíc těchto klientů jednoho, dva či tři a ve vztahu k nim pak argumentovat porušením povinností ze strany žalobce, neboť porušení povinností se týká všech členů této skupiny. Jinak řečeno, žalobci bylo jasně dáno na vědomí, že je mu ze strany Úřadu vytýkáno nesplnění informační povinnost zakotvené v § 11 odst. 1 a § 11 odst. 2 zákona ve vztahu ke všem těm klientům – subjektům údajů, jejichž osobní údaje získal přímo od nich, tedy prostřednictvím objednávkových kupónů nebo dotazníků vyplněných jednotlivými klienty. Výjimka z informační povinnosti zakotvená v § 11 odst. 3 zákona, které se žalobce rovněž dovolává, na daný případ vůbec nedopadá, neboť se vztahuje pouze na ty případy, kdy správce osobní údaje nezískal od subjektu údajů.

Bylo na žalobci, aby označil konkrétní subjekt údajů patřící do skupiny vymezené Úřadem, tj. do skupiny klientů, jejichž osobní údaje získal z objednávkových kupónů nebo dotazníků vyplněných jednotlivými klienty, vůči kterému dle svého přesvědčení veškeré informační povinnosti stanovené v § 11 odst. 1 a § 11 odst. 2 zákona splnil, a aby tuto skutečnost Úřadu prokazatelným způsobem doložil. Tímto způsobem by žalobce důvodně zpochybnil zákonnost závěru Úřadu o nesplnění informační povinnosti ve vztahu k vymezené skupině klientů - subjektů údajů. Nic takového nicméně žalobce v řízení před správním orgánem neučinil, a neučinil tak ani v přezkumném řízení před soudem. Vzhledem k výše uvedenému nelze přisvědčit námitce, že Úřad žalobci nesdělil, jakým jednáním (skutkem) měl zákon porušit, ani námitce, že žalobci bylo postupem správního orgánu znemožněno vyjádřit se ke vznesenému obvinění a navrhnout důkazy na svou obhajobu. K porušení § 4 odst. 4 a § 36 správního řádu ze strany žalovaného tedy v souzené věci nedošlo.

Soud nepřisvědčil ani námitkám, v nichž žalobce (shodně jako v řízení před správním orgánem) argumentuje tím, že v projednávané věci nebyly naplněny formální ani materiální znaky správního deliktu. Protiprávní jednání, za která byla žalobci pokuta uložena, dle náhledu soudu naplňují veškeré formální znaky skutkové podstaty správních deliktů uvedených v § 45 odst. 1 písm. i/ a písm. f/ zákona. Žalobce jako správce při zpracování osobních údajů neposkytl těm subjektům údajů, od nichž získal osobní údaje přímo, informace v rozsahu stanoveném v § 11 odst. 1 a 2 zákona, a zcela evidentně také při zpracování osobních údajů nesplnil oznamovací povinnost zakotvenou v § 16 odst. 1 zákona. Jednání, za která byl žalobce Úřadem sankcionován, jsou v zákoně jako správní delikt výslovně označena. Není rovněž pravdou, že jednáním vytýkaným žalobci nedošlo k žádnému porušení ani ohrožení zájmů společnosti, neboť žalobce svým protiprávním jednáním jednak evidentně zasáhl do chráněného zájmu společnosti na zákonem stanoveném postupu správců při zpracování osobních údajů (nesplnění oznamovací povinnosti před započetím zpracovávání osobních údajů), a dále porušil právo na ochranu osobních údajů všech svých klientů, jejichž osobní údaje získal přímo od nich, čímž zároveň došlo k porušení zájmu společnosti na ochraně těchto práv vyjádřenému na ústavní úrovni v článku 10 odst. 3 Listiny základních práv a svobod. Skutečnostmi, z nichž vyplývá nebezpečnost žalobcova protiprávního jednání pro společnost (materiální znak správního deliktu), se správní orgán prvního stupně zabýval i v rámci úvah o výši sankce, když v tomto směru přihlédl k povaze práv, do nichž žalobce svým jednáním zasáhl (právo subjektů údajů podílet se na rozhodování o způsobu využití svých osobních údajů a tím i na ochraně svého soukromého života), a především ke značnému počtu subjektů údajů, vůči kterým žalobce svou informační povinnost nesplnil. Soud ve shodě se závěry správních orgánů obou stupňů uzavírá, že žalobcovo protiprávní jednání naplnilo nejen formální, ale i materiální stránku správního deliktu.

Neobstojí ani námitka nesprávné aplikace ustanovení § 46 odst. 2 zákona. Soud na tomto místě předně uvádí, že kritéria, k nimž se podle § 46 odst. 2 zákona přihlíží při rozhodování o výši pokuty, jsou v zákoně vymezena demonstrativním výčtem (viz slovo „zejména“), z čehož vyplývá, že správní orgán není povinen přihlížet a v rozhodnutí se vypořádat se všemi skutečnostmi uvedenými v zákonném výčtu, neboť některé z nich nemusí mít v konkrétním případě pro rozhodnutí o výši sankce význam, a naopak může přihlédnout i k jiným než v zákoně uvedeným okolnostem. Z rozhodnutí správního orgánu I. stupně je zřejmé, že při rozhodování o výši ukládané sankce vzal Úřad v úvahu nejen závažnost žalobcova protiprávního jednání vyplývající z povahy zákonem chráněných práv a zájmů, do nichž žalobce zasáhl, a též ze značného počtu subjektů údajů, vůči kterým žalobce svou informační povinnost nesplnil (viz výše), ale v řízení prokazatelně zjistil i způsob, kterým žalobce protiprávní jednání spáchal. I k této skutečnosti, stejně jako k další okolnosti, která byla významná pro výši ukládané sankce a svědčila ve prospěch žalobce (dodatečné splnění oznamovací povinnosti), Úřad při ukládání sankce přihlédl. Naopak nepochybil, když při úvahách o výši sankce pominul žalobcem tvrzené skutečnosti, jako je údajná nejasnost a nejednoznačnost povinností ukládaných zákonem správcům osobních údajů, absence závazného výkladu zákona, jeho časté novelizace či finanční náročnost splnění informační povinnosti vůči subjektům údajů, neboť tato kritéria jsou pro rozhodování v dané věci zcela irelevantní. Povinnosti stanovené v § 11 odst. 1 a 2 a v § 16 odst. 1 zákona jsou jednoznačné, platí pro každého, kdo hodlá zpracovávat osobní údaje a jejich splnění nelze v žádném případě podmiňovat „finanční dostupností.“ To si měl žalobce jakožto profesionál v daném oboru uvědomit před započetím zpracovávání osobních údajů svých klientů. Pokud pak nedokázal sám rozpoznat obsah povinností, které mu jako správci zákon ukládá, mohl a měl se obrátit se žádostí o právní pomoc na osobu znalou práva (typicky advokáta). Jestliže tak neučinil, jde tato nečinnost plně k jeho tíži. Na tomto místě je možno zmínit obecnou právní zásadu „neznalost zákona neomlouvá,“ na kterou poukázal i orgán rozhodující o rozkladu v odůvodnění napadeného rozhodnutí. Soud pouze na okraj dodává, že předmětná zákonná ustanovení zakotvující informační a oznamovací povinnost byla do doby vydání napadeného rozhodnutí novelizována toliko dvakrát.

Z výše uvedeného vyplývá, že žalobci bylo v řízení před správním orgánem prokázáno spáchání správních deliktů dle § 45 odst. 1 písm. i/ a písm. f/ zákona. Zákon spáchání těchto správních deliktů jednoznačně spojuje s uložením sankce v podobě pokuty (§ 45 odst. 3), přičemž nezná institut upuštění od potrestání pro případ, že dostatečnou zárukou ochrany subjektů údajů by byla uložená opatření k nápravě. Úřad tedy postupoval zcela v souladu se zákonem, když žalobci za spáchání správního deliktu uložil pokutu. Soud závěrem uvádí, že tvrzení o tom, že dostatečnou zárukou ochrany subjektů údajů jsou v daném případě uložená opatření k nápravě, je pouhým subjektivním přesvědčením žalobce, které soud nesdílí. K porušení hodnot a zájmů chráněných zákonem spočívajícímu v protiprávním zásahu do práv subjektů údajů již v projednávané věci došlo, a žalobce musí nést negativní následky svého deliktního jednání v podobě sankce, jejíž uložení zákon s takovým jednáním spojuje.

Soud tedy neshledal žalobu důvodnou, a proto jí podle ust. § 78 odst. 7 s.ř.s. zamítl.

Výrok o nákladech řízení je odůvodněn ust. § 60 odst. 1 s.ř.s., neboť žalobce nebyl ve sporu úspěšný a žalovanému žádné náklady v řízení nevznikly.

Poučení: Proti tomuto rozsudku lze podat kasační stížnost za podmínek
uvedených v ustanovení § 102 a násl. s.ř.s., a to ve lhůtě do dvou
týdnů po doručení tohoto rozsudku. Kasační stížnost se podává
u Městského soudu v Praze, rozhodovat o ní přísluší Nejvyššímu
správnímu soudu.

V řízení o kasační stížnosti musí být stěžovatel zastoupen
advokátem; to neplatí, má-li stěžovatel, jeho zaměstnanec nebo
člen, který za něj jedná nebo jej zastupuje, vysokoškolské
právnické vzdělání, které je podle zvláštních zákonů vyžadováno
pro výkon advokacie.

V Praze dne 19. ledna 2011

JUDr. Naděžda Řeháková v. r.

předsedkyně senátu

Za správnost vyhotovení: Koláček

Zdroj dat je volně dostupný na http://www.nssoud.cz
Přesunout nahoru