7 As 172/2022 - 49
USNESENÍ
Nejvyšší správní soud rozhodl v senátě složeném z předsedy Tomáše Foltase a soudců Michala Bobka a Davida Hipšra v právní věci žalobce: J. K., zastoupen Mgr. Lukášem Trojanem, advokátem se sídlem Na Strži 2102/61a, Praha 4, proti žalovanému: Policejní prezidium, se sídlem Strojnická 27, Praha 7, v řízení o kasační stížnosti žalovaného proti rozsudku Městského soudu v Praze ze dne 23. 6. 2022, č. j. 6 A 88/2016 - 160,
takto:
1) „Jakou míru rozlišování mezi jednotlivými subjekty osobních údajů vyžaduje čl. 4 odst. 1 písm. c) či čl. 6 ve spojení s čl. 10 Směrnice č. 2016/680? Je slučitelné s imperativem minimalizace zpracování osobních údajů, stejně jako povinnosti rozlišovat mezi různými kategoriemi subjektů údajů, aby vnitrostátní právní úprava umožňovala odběr genetických údajů s ohledem na všechny osoby podezřelé nebo obviněné ze spáchání úmyslného trestného činu?
2) Je v souladu s čl. 4 odst. 1 písm. e) Směrnice č. 2016/680, pokud je s odkazem na obecný účel předcházení, vyhledávání nebo odhalování trestné činnosti potřebnost pokračujícího uchovávání profilu DNA hodnocena orgány Policie na základě jejich interních předpisů, což v praxi často znamená uchovávání citlivých osobních údajů na dobu neurčitou, aniž by byl stanoven jakýkoliv maximální časový limit pro uchovávání těchto osobních údajů? Pokud to v souladu není, s ohledem na jaká kritéria má být případně hodnocena časová přiměřenost uchovávání osobních údajů shromážděných a uchovávaných s tímto cílem?
3) V případě zvláště citlivých osobních údajů spadajících pod čl. 10 Směrnice č. 2016/680, jaký je minimální rozsah hmotně-právních či procesních podmínek získávání, uchovávání, a vymazání těchto údajů, který musí být v právu členského státu upraven „obecně závazným předpisem“? Může mít kvalitu „práva členského státu“ ve smyslu článku 8 odst. 2 ve spojení s čl. 10 Směrnice 2016/680 také judikatura soudní?“
Odůvodnění:
[1] Policie České republiky, Útvar odhalování korupce a finanční kriminality skupiny kriminální policie a vyšetřování v Expozituře Plzeň, který je útvarem Policie ČR s celostátní působností („žalovaný“, v řízení před Nejvyšším správním soudem a dále v tomto usnesení pak „stěžovatel“) zahájil usnesením ze dne 11. 12. 2015 trestní stíhání žalobce za přečin porušení povinnosti při správě cizího majetku podle ust. § 220 odst. 1, odst. 2 písm. a), písm. b) zákona č. 40/2009 Sb., trestního zákoníku, kterého se měl žalobce dopustit ve formě spolupachatelství podle ustanovení § 23 trestního zákoníku. Skutek měl spočívat v přidělení dotace, přestože žalobce věděl, že posuzovaná žádost nesplňuje náležitosti pro její poskytnutí.
[2] Dne 13. 1. 2016 stěžovatel žalobce v rámci trestního řízení vyslechl a nařídil provedení identifikačních úkonů. Před úkonem byl žalobce poučen dle § 65 odst. 1 a 2 zákona č. 273/2008 Sb., o Policii České republiky. Stěžovatel i přes žalobcem vyslovený nesouhlas sejmul daktyloskopické otisky, provedl bukální stěr, z kterého vytvořil profil DNA, pořídil fotografie a popis žalobce, které následně zařadil do příslušných databází Policie ČR.
[3] Rozsudkem Městského soudu v Praze ze dne 15. 3. 2017, sp. zn. 44 To 55/2017, byl žalobce pravomocně shledán vinným jednak z přečinu porušení povinnosti při správě cizího majetku podle § 220 odst. 1, odst. 2 písm. a), písm. b) trestního zákoníku ve spolupachatelství podle § 23 trestního zákoníku, a jednak ze zločinu zneužití pravomoci úřední osoby podle § 329 odst. 1 písm. a), odst. 2 písm. a), písm. f) trestního zákoníku. Uvedené žalobce spáchal jako náměstek ministra tím, že při vědomí o nesplněných podmínkách ze strany žadatele (občanského sdružení) využil svůj zásadní vliv na rozhodnutí o schválení požadované dotace, který vyplýval z jeho pracovního zařazení a vedoucí funkce, a cíleně prosadil schválení žádosti o neinvestiční dotaci a její vyplacení žadateli. Přitom však věděl, že při dodržení řádného postupu a přezkoumání žádosti o neinvestiční dotaci by dotace nebyla schválena a vyplacena. Tedy věděl, že vyplacením dotace získá občanské sdružení neoprávněný prospěch ve výši vyplacené dotace, a tímto jednáním způsobil škodu České republice v celkové výši 4.500.000 Kč. Žalobce byl odsouzen k podmíněnému trestu odnětí svobody ve výši tří let, trestu zákazu činnosti spočívající ve výkonu vedoucích funkcí ve veřejné správě, s nimiž je spojena správa nemovitého i movitého majetku na dobu čtyř let. Byla mu rovněž uložena povinnost podle svých sil nahradit způsobenou škodu.
[4] Žalobou podanou dne 8. března 2016 se žalobce domáhal určení, že provedení identifikačních úkonů, uchovávání vzorků a informací při nich získaných a následné vložení záznamu o provedení těchto úkonů do informačního systému Policie ČR představuje nezákonný zásah ve smyslu § 82 s. ř. s. Městský soud v Praze (dále jen „městský soud“), v této věci místně a věcně příslušný soud, přerušil řízení, aby vyčkal posouzení ústavnosti § 65 zákona o Policii ze strany Ústavního soudu ČR, kterému tuto otázku v jiné právní věci již předložil. Po rozhodnutí Ústavního soudu ze dne 22. března 2022, sp. zn. Pl. ÚS 7/18 (publikován pod č. 119/2022 Sb.), kterým tento soud návrh městského soudu zamítl, pokračoval městský soud v řízení v projednávané věci.
[5] Rozsudkem ze dne 23. června 2022 pak městský soud žalobě vyhověl. Výrokem určil, že zásah stěžovatele vůči žalobci dne 13. 1. 2016, který spočíval v sejmutí daktyloskopických otisků, provedení bukálního stěru, pořízení fotografií a popisu žalobce, byl nezákonný. Městský soud dále určil, že uchovávání těchto osobních údajů žalobce v databázích Policie ČR, s výjimkou v mezidobí zničeného bukálního stěru žalobce, představuje rovněž nezákonný zásah. Městský soud proto nařídil stěžovateli ve lhůtě třiceti dnů od právní moci rozsudku smazat z databází Policie ČR všechny uchovávané osobní údaje žalobce.
[6] V odůvodnění svého rozhodnutí městský soud předně zdůraznil, že odběr genetického materiálu představuje výrazný zásah do práva na ochranu soukromí, chráněného čl. 8 Evropské úmluvy, stejně jako čl. 10 odst. 3 Listiny základních práv a svobod. Současné znění § 65 zákona o Policii však nedává dostatečná legislativní vodítka pro posouzení přiměřenosti podobného zásahu. Bylo tedy na stěžovateli, aby sám posoudil zásah z hlediska legality, legitimity a proporcionality. Stěžovatel však trval na skutečnosti, že jediné kritérium pro odběr genetického materiálu v těchto případech uvádí § 65 zákona o Policii, a sice naplnění subjektivní stránky trestného činu: tedy že se jedná o osobu obviněnou ze spáchání úmyslného trestného činu nebo osobu, které bylo sděleno podezření ze spáchání takového (tj. úmyslného) trestného činu. Toto kritérium bylo v projednávané věci naplněno: žalobce byl obviněn ze spáchání úmyslného trestného činu. Nic dalšího stěžovateli dle jeho názoru hodnotit nepříslušelo.
[7] Městský soud byl proto nucen posoudit přiměřenost zásahu do práva žalobce sám. Odmítl přitom argument žalobce, že identifikace pomocí biologických vzorků bude smysluplná především u pachatelů násilné trestné činnosti. Akceptoval, že pořizování biologických vzorků může být za určitých okolností vhodné i u trestných činů hospodářských (tzv. trestná činnost „bílých límečků“). S ohledem na skutkové okolnosti projednávané věci však konstatoval, že stěžovatel nedoložil, jaký účel měl být provedením a uchováváním identifikačních úkonů v případě žalobce dosažen. Městský soud zdůraznil, že v okamžiku odběru byl žalobce pouze obviněn z přečinu, tedy trestného činu typově méně závažného; menší společenskou závažnost vytýkaného skutku rovněž potvrdil trestní soud, který výkon trestu odnětí svobody podmíněně odložil; jednalo se o osobu do té doby netrestanou, u které není vysoká pravděpodobnost recidivy; rovněž nebylo jasné, zda trestné činy žalobce patří mezi trestné činy, u kterých pachatelé následně páchají takovou trestnou činnost, k jejímuž odhalení mohou napomoci v databázi uchovávané osobní údaje. Dle městského soudu tak bylo provedení identifikačních údajů v případě žalobce nepřiměřené. Jednalo se proto o nezákonný zásah.
[8] Městský soud se dále rovněž zabýval zákonností dalšího uchovávání osobních údajů žalobce. Zákonnou úpravu § 65 odst. 5 zákona o Policii shledal v tomto ohledu zcela nedostatečnou a v rozporu s čl. 8 Evropské úmluvy a čl. 10 odst. 3 Listiny základních práv a svobod. S odkazem na relevantní judikaturu ESLP zdůraznil, že situace, kdy si má Policie ČR podle § 65 odst. 5 sama vnitřně posoudit, kdy další uchovávání osobních údajů „není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti“, ve skutečnosti znamená ničím neomezenou úvahu policie a tendenci k nadužívání časově neomezeného uchovávání osobních údajů. Odkazy stěžovatele na obecný rámec a instituty zákona č. 110/2019 Sb., o zpracování osobních údajů, a tam obsažené procesní postupy jsou liché v situaci, kdy neexistuje hmotněprávní zákonná úprava a ani žádná kritéria, podle kterých by vlastně měla Policie ČR o vymazání rozhodnout. Tyto nedostatky nemohou zhojit odkazy na vnitřní předpisy policie, které dané otázky údajně upravují, neboť se jedná o veřejnosti nepřístupné vnitřní akty policie, které nejsou právním předpisem.
[9] Rozsudek městského soudu napadl stěžovatel kasační stížností u Nejvyššího správního soudu (dále též „NSS“). Stěžovatel předně zdůraznil, že účel zpracovávání osobních údajů podle § 65 zákona o Policii je jasně vyjádřen v samotné zákonné úpravě: je jím (veřejný zájem na) předcházení, vyhledávání nebo odhalování trestné činnosti. Žalobce byl v době odběru obviněn ze závažné úmyslné trestné činnosti hospodářského charakteru. Identifikačním úkonem získané osobní údaje jsou klíčové při odhalování potenciální budoucí trestné činnosti, kterou nelze zúžit na stejnorodou recidivu. Stěžovatel rovněž zdůraznil, že přiměřenost odběru a uchovávání osobních údajů žalobce hodnotil. Bral přitom v potaz faktor recidivy, stejně jako možnou eskalaci jednání, a konečně i skutečnost, že žalobce v minulosti v několika případech spáchal přestupky, tedy se opakovaně dopouští protiprávního jednání. S ohledem na délku uchovávání osobních údajů žalobce stěžovatel zdůraznil, že Policie ČR má nastaven mechanismus pravidelného (vnitřního) prověřování potřebnosti uchovávání osobních údajů. Nelze přitom opomenout fakt, že trestní řízení ve věci žalobce bylo skončeno v roce 2017 s uložením podmínky 4 let, tedy relativně nedávno. Konečně s ohledem na údajnou nedostatečnou publicitu interních předpisů policie stěžovatel zdůraznil, že městský soud naprosto opominul skutečnost, že dané interní předpisy byly nakonec veřejnosti poskytnuty v rámci práva na informace, stejně jako na skutečnost, že zákonná úprava je vždy nutně doplňována judikaturou soudní, což je případ i § 65 zákona o Policii.
[10] Žalobce ve svém vyjádření předně zdůraznil, že v době realizace úkonu orgány Policie ČR k žádnému přezkoumávání přiměřenosti zásahu přistoupeno nebylo. Úkon byl ze strany policejního orgánu proveden naprosto automaticky, s odkazem na znění § 65 odst. 1 písm. a) zákona o Policii a skutečnost, že byl žalobce obviněn z úmyslného trestného činu. Ex post stěžovatelem doplněné úvahy na téma, že se pachatel dopouští dalších protiprávních jednání ve formě přestupků (což je třeba rovněž překročení povolené rychlosti o 5km/h), a kvůli tomu má mít své osobní údaje nadále uchovávány v policejních databázích, nemůže obstát, stejně jako abstraktní a ničím nepodložené odkazy na možnost nestejnorodé recidivy. S ohledem na délku uchovávání osobních údajů je dle žalobce s podivem, že 5 let od odsouzení je údajně příliš krátká doba pro výmaz těchto údajů, i když by třeba ve stejné lhůtě mohlo dojít k zahlazení odsouzení u některých osob odsouzených k trestu nepodmíněného odnětí svobody. Žalobce se rovněž podivuje, že stěžovatel nespatřuje žádný problém v naprosté absenci publicity policejních pokynů týkajících se provádění identifikačních úkonů v situaci, kdy publicita právního předpisu je nezbytným základem právního státu. V podmínkách právního státu musí být všechna opatření způsobilá zasáhnout do základních práv upravena přímo v zákoně. Podzákonná úprava, zde dokonce interní organizační pravidla policie, která nejsou právním předpisem, tuto zákonnou úpravu nemohou nahrazovat.
[11] Usnesením ze dne 12. října 2022, č. j. 7 As 172/2022-45, přiznal NSS k návrhu stěžovatele kasační stížnosti odkladný účinek. Odložil tak vykonatelnost jinak pravomocného rozsudku městského soudu, podle kterého měl stěžovatel povinnost smazat všechny osobní údaje žalobce ze svých databází.
II.A. Unijní právo
[12] S ohledem na právě vymezený skutkový rámec projednávané věci ve spojení s čl. 2 odst. 2 písm. d) Nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“) má NSS za to, že na projednávanou věc je aplikovatelná Směrnice Evropského parlamentu a Rady 2016/680 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů příslušnými orgány za účelem prevence, vyšetřování, odhalování či stíhání trestných činů nebo výkonu trestů, o volném pohybu těchto údajů a o zrušení rámcového rozhodnutí Rady 2008/977/SVV (Úř. věst. 2016, L 119, s. 89, dále jen „Směrnice č. 2016/680“).
[13] Pro posouzení předložených předběžných otázek jsou dle názoru NSS klíčová následující ustanovení Směrnice č. 2016/680.
[14] Článek 4 (zásady zpracování osobních údajů) zní:
„1. Členské státy zajistí, aby byly osobní údaje:
a) zpracovávány zákonným a korektním způsobem;
b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nebyly zpracovávány způsobem, který je s těmito účely neslučitelný;
c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelům, pro které jsou zpracovávány;
[...]
e) uchovávány ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány;
[...].“
[15] Článek 5 (Doba uložení osobních údajů a přezkum) předvídá, že „Členské státy stanoví, že budou určeny přiměřené lhůty pro výmaz osobních údajů nebo pro pravidelný přezkum potřeby uložení osobních údajů. Jejich dodržování zajistí procesní opatření.“
[16] Článek 6 (Rozlišování mezi různými kategoriemi subjektů údajů) uvádí, že:
„Členské státy stanoví, že správce, v příslušných případech a pokud je to možné, musí jasně rozlišovat mezi osobními údaji různých kategorií subjektů údajů, například:
a) osob, u nichž existují závažné důvody se domnívat, že spáchaly trestný čin nebo se jej chystají spáchat
b) osob odsouzených za trestný čin;
c) [...]“.
[17] Článek 8 se zabývá zákonností zpracování. Zní takto:
„1. Členské státy stanoví, že zpracování je zákonné, pouze pokud je nezbytné ke splnění úkolu prováděného příslušným orgánem pro účely stanovené v čl. 1 odst. 1 a v rozsahu nezbytném pro tyto účely a pokud má základ v právu Unie nebo členského státu.
2. Právo členského státu upravující zpracování v oblasti působnosti této směrnice stanoví alespoň cíle zpracování, osobní údaje, jež mají být zpracovány, a účely zpracování.“
[18] Článek 10 předvídá striktnější podmínky pro zpracování zvláštních kategorií osobních údajů v následující podobě:
„Zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filosofickém přesvědčení nebo členství v odborech, a zpracovaní genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby, údajů o zdravotním stavu nebo údajů o sexuálním životě či sexuální orientaci fyzické osoby je povoleno pouze tehdy, pokud je zcela nezbytné, pokud existují vhodné záruky práv a svobod subjektu údajů a:
a) pokud je povoleno právem Unie nebo členského státu;
b) na ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby; nebo
c) pokud se týká údajů zjevně zveřejněných subjektem údajů.“
[19] Konečně čl. 16 obsahuje právo subjektu údajů na opravu nebo výmaz osobních údajů a omezení zpracování. Stanoví mimo jiné, že:
„1. Členské státy stanoví, že subjekt údajů má právo požadovat na správci opravu nepřesných osobních údajů, které se ho týkají, a to bez zbytečného odkladu. S přihlédnutím k účelům zpracování členské státy stanoví, že subjekt údajů má právo na doplnění neúplných osobních údajů, a to i poskytnutím dodatečného prohlášení.
2. Členské státy vyžadují po správci, aby vymazal osobní údaje bez zbytečného odkladu, a stanoví právo subjektu údajů požadovat po správci, aby bez zbytečného odkladu vymazal osobní údaje, které se ho týkají, jestliže zpracování porušuje předpisy přijaté na základě článku 4, 8 nebo 10 nebo jestliže osobní údaje musí být vymazány ke splnění právní povinnosti správce. [...]“
II.B. Vnitrostátní právní předpisy
[20] Právním základem pro získávání a zpracovávání osobních údajů pro účely budoucí identifikace je § 65 zákona č. 273/2008 Sb., o Policii České republiky. Ten zní:
„(1) Policie může při plnění svých úkolů pro účely budoucí identifikace u
a) osoby obviněné ze spáchání úmyslného trestného činu nebo osoby, které bylo sděleno podezření pro spáchání takového trestného činu,
b) osoby ve výkonu trestu odnětí svobody za spáchání úmyslného trestného činu,
c) osoby, jíž bylo uloženo ochranné léčení nebo zabezpečovací detence, nebo
d) osoby nalezené, po níž bylo vyhlášeno pátrání a jejíž svéprávnost je omezena,
snímat daktyloskopické otisky, zjišťovat tělesné znaky, provádět měření těla, pořizovat obrazové, zvukové a obdobné záznamy a odebírat biologické vzorky umožňující získání informací o genetickém vybavení.
(2) Nelze-li úkon podle odstavce 1 pro odpor osoby provést, je policista po předchozí marné výzvě oprávněn tento odpor překonat. Způsob překonání odporu musí být přiměřený intenzitě odporu. Překonat odpor osoby nelze, jde-li o odběr krve nebo jiný obdobný úkon spojený se zásahem do tělesné integrity.
(3) Nelze-li úkon podle odstavce 1 provést na místě, je policista oprávněn osobu předvést k jeho provedení. Po provedení úkonu policista osobu propustí.
(4) O provedených úkonech sepíše policista úřední záznam.
(5) Policie osobní údaje získané podle odstavce 1 vymaže, jakmile jejich zpracovávání není nezbytné pro účely předcházení, vyhledávání nebo odhalování trestné činnosti anebo stíhání trestných činů nebo zajišťování bezpečnosti České republiky, veřejného pořádku nebo vnitřní bezpečnosti.“
[21] Provedení § 65 zákona o Policii je realizováno prostřednictvím interních aktů řízení Policie ČR v podobě pokynů policejního prezidenta. V době rozhodné pro předkládanou věc se zdá se jednalo o Pokyn policejního prezidenta č. 250/2014, o identifikačních úkonech. Tento pokyn však byl zdá se v mezidobí zrušen a nahrazen pokynem policejního prezidenta č. 275/2016, o identifikačních pokynech. Klíčové však je, že obsah těchto pokynů je neveřejný. Přístup k nim byl v minulosti Policií ČR umožněn individuálním žadatelům na základě zákona č. 106/1999 Sb., o svobodném přístupu k informacím. Někteří z těchto žadatelů pak tyto pokyny či jejich části následně zpřístupnili na internetu. Pokyny však nebyly nikdy nikde autenticky uveřejněny. V projednávané věci s jejich obsahem NSS nebyl seznámen.
[22] Konečně vnitrostátní úpravou stanovící obecný rámec ochrany osobních údajů je zákon č. 110/2019 Sb., o zpracování osobních údajů. Ten poskytuje institucionální a procení rámec ochrany osobních údajů, který doplňuje GDPR a rovněž částečně vnitrostátně transponuje některá ustanovení Směrnice č. 2016/680. Kupříkladu § 29 zákona o zpracování osobních údajů (právo na opravu, omezení zpracování nebo výmaz osobních údajů) tak vlastně doplňuje č. 17 GDPR a transponuje čl. 16 Směrnice č. 2016/680 do vnitrostátního práva. Zákon o zpracování osobních údajů však neupravuje specifické otázky týkající se § 65 zákona o Policii. V tomto ohledu (tedy stanovení institucionální či hmotně-právní úpravy a kritérií pro provádění identifikačních úkonů) je to § 65 zákona o Policii, který je vlastně lex specialis vůči zákonu č. 110/2019 Sb., o zpracovávání osobních údajů. Zákonný právní rámec pro získávání osobních údajů pro účely budoucí identifikace a jejich uchovávání je tak upraven výlučně v § 65 zákona o Policii.
II.C. Aplikační praxe vnitrostátních soudů
[23] Ustanovení § 65 zákona o Policii byla již v průběhu posledních let předmětem řady soudních rozhodnutí. Pro dokreslení vnitrostátního právního rámce je zapotřebí nastínit novější rozhodovací praxi soudní.
[24] Dne 16. 1. 2018 se Městský soud v Praze obrátil na Ústavní soud s návrhem na zrušení části § 65 zákona o Policii pro jeho protiústavnost. Ústavní soud rozhodl již citovaným nálezem ze dne 22. března 2022, sp. zn. Pl. ÚS 7/18 (publikován pod č. 119/2022 Sb.). Část návrhu městského soudu odmítl pro nepřípustnost, zbytek pak zamítl pro nedůvodnost. Pro předkládané předběžné otázky je podstatné, že Ústavní soud se ve svém přezkumu souladu vnitrostátního práva s českým ústavním pořádkem výkladem Směrnice č. 2016/680 nezabýval.
[25] Nejvyšší správní soud nicméně považuje výklad této směrnice pro rozhodování v projednávané věci za klíčové, neboť otázka přiměřenosti získávání osobních údajů pro účely budoucí identifikace v konkrétních případech je nezřídka předmětem řízení před správními soudy. Děje se tak v situacích, kdy osoba, předvolána policejními orgány k provedení odběru vzorků, se proti tomuto předvolání brání soudně (ochrana ex ante), anebo po provedeném odběru žádá o výmaz již získaného profilu DNA z databází Policie ČR (ochrana ex post, směřující pak nicméně nejenom proti nezákonnosti samotného odběru, ale rovněž proti uchovávání vzorků a DNA profilu), jako je tomu i v projednávané věci.
[26] Novější judikatura NSS v těchto případech zdůrazňuje, že pouhé naplnění formálních znaků § 65 odst. 1 zákona o Policii (že se jedná o úmyslný trestný čin a osoba je podezřelá či obviněná) je nedostatečné pro zákonnost získání či uchovávání osobních údajů v těchto situacích. Orgány policii musí tuto úvahu doplnit testem přiměřenosti odběru v každém konkrétním případě, přičemž mají zohlednit především dosavadní trestnou činnosti dané osoby, či její absenci; typovou individuální závažnost trestné činnosti, pro kterou byla daná osoba předvolána k provedení identifikačních úkonů; osobu a osobnost pachatele; v případě ex post žádosti o výmaz pak dobu, která od spáchání trestného činu uběhla, stejně jako další chování pachatele (nověji viz především rozsudky NSS ze dne 18. května 2022, č. j. 5 As 254/2019-49, body 17 a 18 a č. j. 5 As 241/2019-46, body 18 a 19).
[27] Aplikace těchto kritérií v novější rozhodovací praxi správních soudů vede k situacím, kdy je žalobcům vyhověno buď již jednoduše proto, že při vyhotovení standardizovaných formulářů o předvolání a provedení identifikačního úkonu posuzování přiměřenosti ze strany policejních orgánů naprosto absentuje (kupř. rozsudky NSS ze dne 17. května 2022, č. j. 9 As 124/2018-46; ze dne 19. dubna 2018, č. j. 3 As 335/2017-33; ze dne 13. prosince 2017, č. j. 1 As 13/2017-93), případně proto, že v rámci typicky hospodářských či jiných nenásilných trestných činů spáchaných do té doby netrestanými osobami bude obtížné dovodit přiměřenost odběru na základě výše uvedených kritérií (např. rozsudky NSS ze dne 18. května 2022, č. j. 5 As 254/2019‑49; ze dne 18. května 2022, č. j. 5 As 241/2019-46; srov. nicméně opačný závěr odůvodněný závažností trestného činu podvodu v dané věci v rozsudku ze dne 30. května 2022, č. j. 4 As 27/2018-55).
[28] Společným znakem celé situace nicméně zůstává, za prvé, že kritéria, podle kterých je o neprovedení identifikačních úkonů rozhodováno, či nařízen výmaz již získaných osobních údajů, existují v podobě demonstrativního výčtu pouze v judikatuře soudní. Nemají však jakýkoliv zákonný předobraz. Za druhé, o (ne)přiměřenosti daného odběru bude na základě řady těchto kritérií rozhodováno v praxi pouze se značným zpožděním, až správními soudy. Není běžné, aby byl policejní orgán provádějící identifikační úkon typicky v rané fázi vyšetřování sto vyžadovaný typ a rozsah posouzení provést, neboť nemusí mít ani dané informace k dispozici.
[29] V rámci předestřené skutkové a právní situace má Nejvyšší správní soud pochybnosti o souladu některých aspektů vnitrostátní právní úpravy s právem Unie. Před osvětlením pozadí jednotlivých předběžných otázek považuje NSS za vhodné zmínit dva obecné body, které jsou společné všem třem předkládaným otázkám.
[30] Za prvé, Směrnice č. 2016/680 je relativně nový právní instrument Unie, ke kterému doposud relevantní judikatura Soudního dvora chybí. Již existující judikatura k GDPR, či jeho předchůdkyni v podobě Směrnice č. 95/46, jistě poskytuje užitečná výkladová východiska pro řadu zde nastolených otázek. Není však jasné, nakolik je úprava Obecného nařízení o ochraně osobních údajů skutečně bez dalšího analogicky přenositelná do specifického aplikačního rámce Směrnice č. 2016/680. Ostatně, kdyby měly být oba režimy bez dalšího totožné, pak není zřejmé, proč by unijní zákonodárce považoval za nezbytné přijmout komplexní, specifickou úpravu v podobě Směrnice č. 2016/680 coby lex specialis vůči GDPR (srov. rovněž čl. 2 odst. 2 písm. d) GDPR či body odůvodnění č. 10 a 11 Směrnice č. 2016/680). Lze tedy vycházet z toho, že ochrana fyzických osob v souvislosti se zpracováním osobních údajů za účelem prevence, vyšetřování či stíhání trestních činů má být v něčem odlišná od obecného režimu ochrany osobních údajů. Společným jmenovatelem všech tří předkládaných otázek je snaha o zjištění, v čem přesně má daná odlišnost spočívat.
[31] Za druhé, předkládaná věc se nalézá v kontextu rozsáhlého shromažďování obzvláště citlivého typu osobních údajů: genetického materiálu a z něj získaného DNA profilu osob. Na tento typ osobních informací pamatuje výslovně čl. 10 Směrnice č. 2016/680, který genetické údaje vyčleňuje do režimu „zpracování zvláštních kategorií osobních údajů“, pro které předvídá režim naprosté „nezbytnosti“ zpracování spojené s existencí „vhodných záruk práv a svobod subjektů údajů“. Z tohoto právního rámce, a rovněž ani z dosavadní judikatury Soudního dvora, a to i té vztahující se k obdobné úpravě v GDPR, však není zřetelné, jak se v praktické rovině má tento „speciální-speciální“ rámec lišit od již tak jako tak speciálního rámce Směrnice č. 2016/680 a tam předvídané vysoké úrovně ochrany osobních údajů. Co v konkrétní rovině znamenají tyto další záruky v případě citlivých osobních údajů?
[32] Na pozadí těchto společných východisek právní a skutkový rámec projednávané věci vznáší následující tři předběžné otázky, s ohledem na které Nejvyšší správní soud žádá Soudní dvůr o výklad relevantních ustanovení Směrnice č. 2016/68: za prvé, zda zásada minimalizace zpracování osobních údajů vyžaduje diferenciaci s ohledem na společenskou závažnost trestného činu (minimalizace věcná); za druhé, jaký dopad má ta samá zásada v rovině časové co do uchování osobních údajů (minimalizace temporální); konečně za třetí, na jaké úrovni a v jaké kvalitě práva musí být stanoveny minimální náležitosti zpracování a uchovávání citlivých osobních údajů typu profil DNA. Všechny tři předkládané otázky jsou určující pro rozhodnutí Nejvyššího správního soudu v projednávané věci, ve které je předmětem řízení nejenom důvodnost původního odebrání vzorků s ohledem na typ trestního činu, pro který byl žalobce stíhán (první otázka), ale v současné době již rovněž potřebnost dalšího uchovávání ze vzorku vygenerovaného profilu DNA (druhá otázka), stejně jako namítaná (ne)dostatečnost celkového vnitrostátního právního rámce pro obě tyto činnosti (třetí otázka).
III.A. K otázce č. 1: zač lze odebrat?
[33] Judikatura Evropského soudu pro lidská práva opakovaně formulovala s ohledem na ochranu práva na soukromí podle čl. 8 Evropské úmluvy požadavek, aby vnitrostátní úprava smluvní strany Evropské úmluvy rozlišovala mezi trestnými činy, v souvislosti s nimiž dochází ke shromažďování vzorků DNA, s ohledem na jejich společenskou závažnost. Dle názoru ESLP nelze přistupovat k pachatelům závažných trestných činů, především těch násilných, u kterých je odběr a skladování vzorků DNA legitimní, stejně jako k pachatelům méně závažných trestných činů (srov. především rozsudky ze dne 13. února 2020, Trajkovski a Chipovski proti Severní Makedonii, stížnosti č. 53205/13 a 63320/13; ze dne 13. února 2020, Gaughran proti Spojenému království, stížnost č. 45245/15; ze dne 22. června 2017, Aycaguer proti Francii, stížnost č. 8806/12; či již ze dne 4. prosince 2008, S a Marper proti Spojenému království, stížnosti č. 30562/04 a 30566/04).
[34] Judikatura Soudního dvora také v obecné rovině, nicméně v kontextu výkladu jiných právních předpisů než Směrnice č. 2016/680, trvá na požadavku přiměřenosti mezi závažností zásahu do základních práv (v podobě získávání osobních údajů) a závažností trestné činnosti, proti kterým je bojováno a které mají za následek omezení základních práv – srov. kupř. rozsudky ze dne 6. října 2020, La Quadrature du Net a další, C‑511/18, C‑512/18 a C‑520/18, EU:C:2020:791, bod 140; ze dne 21. prosince 2016, Tele2, C‑203/15 a C‑698/15, EU:C:2016:970, bod 102; ze dne 2. října 2018, Ministerio Fiscal, C‑207/16, EU:C:2018:788, body 56 a 57; či posudek 1/15 (Dohoda PNR mezi EU a Kanadou) ze dne 26. července 2017, EU:C:2017:592, bod 149).
[35] Nejasným však zůstává, jaký typ přiměřenosti je zde vlastně zamýšlen, a nakolik lze logiku budování databází (systémové, legislativní přiměřenosti) bez dalšího automaticky nahradit posuzováním jednotlivé přiměřenosti s ohledem na konkrétního pachatele v každém jednotlivém případě (konkrétní, kasuistické přiměřenosti). Odtud otázka, jaký typ a míru přiměřenosti vlastně citované unijní právní předpisy vyžadují co do předpokládané diferenciace mezi subjekty údajů. Jinak řečeno, pokud by zákonodárce dostatečně diferencioval na úrovni legislativní (co do typů trestných činů s ohledem na jejich závažnost a nastavil další obecná přiměřená kritéria), je pak vždy nezbytně nutné dále posuzovat přiměřenost každého jednotlivého odběru v každém jednotlivém případě?
[36] Současná vnitrostátní praxe vlastně prostřednictvím konkrétní, kazuistické přiměřenosti (posuzované v každém jednotlivém případě s ohledem na okolnosti každé kauzy) prováděné správními soudy supluje absenci uvážení systémové legislativní přiměřenosti (v podobě přiměřené diferenciace a jasných kritérií absentujících na zákonné úrovni). Tím však znovu otevírá otázku požadované míry individualizace/diferenciace závažnosti trestné činnosti, pro které by mohly být bez dalšího shromažďovány vzorky DNA a na jejich základě pořizovány identifikační profily.
[37] Vnitrostátní zákonodárce je zdá se toho názoru, že podobnou strukturální úvahu ohledně přiměřenosti pořizování identifikačních údajů již provedl přímo v textu § 65 odst. 1 zákona o Policii, když jeho dopad omezil pouze na úmyslné trestné činy. Zúžil tak rozsah daného ustanovení na trestné činy spáchané pouze v určitém stupni zavinění (tedy nikoliv z nedbalosti). Tím pádem dostatečně diferencioval mezi jednotlivými subjekty údajů a další úvahy na téma jednotlivé přiměřenosti v konkrétních případech vlastně nejsou zapotřebí.
[38] Této úvaze je nicméně vyčítáno, že je naprosto nedostatečná právě s ohledem na požadovanou míru diferenciace a přiměřenosti. Odtud tedy pramení otázka, jakou míru legislativní či soudcovské diferenciace v tomto ohledu vlastně Směrnice č. 2016/680 od členských států očekává. Článek 6 Směrnice č. 2016/680 zdá se vyžaduje pouze rozlišování mezi osobními údaji osob podezřelých a odsouzených, na straně jedné, a obětí a třetích stran na straně druhé (srov. písm. a) až d) daného ustanovení). Nicméně návětí daného článku říká, že tento výčet je pouze ilustrativní (uvozen slovem „například“). Požadavek na přiměřenost zpracovávaných dat však jasně plyne ze zásad článku 4 směrnice, stejně jako judikatury, nicméně konkrétní rozsah tohoto ustanovení je s ohledem na pokládanou otázku nejasný.
[39] Z tohoto důvodu je pokládána první předběžná otázka ve znění „Jakou míru rozlišování mezi jednotlivými subjekty osobních údajů vyžaduje čl. 4 odst. 1 písm. c) či čl. 6 ve spojení s čl. 10 Směrnice č. 2016/680? Je slučitelné s imperativem minimalizace zpracování osobních údajů, stejně jako povinnosti rozlišovat mezi různými kategoriemi subjektů údajů, aby vnitrostátní právní úprava umožňovala odběr genetických údajů s ohledem na všechny osoby podezřelé nebo obviněné ze spáchání úmyslného trestného činu?
III.B. K otázce č. 2: jak dlouho lze uchovávat?
[40] Projednávaná věc pak kromě otázky zákonnosti odebrání identifikačních údajů orgány policie vznáší rovněž otázku přiměřené délky jejich uchovávání. Z čl. 4 odst. 1 písm. e) Směrnice č. 2016/680, stejně jako obecných principů a judikatury Soudního dvora s ohledem na jiné situace ochrany osobních údajů, se podává, že minimalizace zásahů do základních práv má také zřetelný aspekt temporální: osobní údaje mají být uchovávány pouze po dobu nezbytně nutnou s ohledem na účel jejich zpracování. Jak nicméně tuto logiku aplikovat na situaci, kdy je deklarovaným účelem předcházení, vyhledávání nebo odhalování trestné činnosti, které je svojí podstatou prospektivní a časově neomezené? Jasným a naprosto logickým účelem v tomto kontextu je mít maximální datový soubor pro maximální možné časové údobí do budoucna. Aplikací principu přiměřenosti vedoucího k výmazu osobních údajů, které mohou být stále relevantní, není s ohledem na tento účel dosahováno přiměřenosti a rovnováhy. Je spíše popírán samotný účel a smysl existence databáze, která nebude komplexní a nebude proto schopna svůj účel plnit.
[41] V kontrastu k jiným oblastem práva Unie, kde Soudní dvůr v minulosti trval na časové přiměřenosti uchovávání osobních údajů, jako je kupříkladu uchovávání údajů o proběhlých elektronických komunikacích, ani Směrnice č. 2016/680, ani vnitrostátní právní úprava v této věci aplikovatelná nestanoví žádnou (absolutní, maximální) časovou hranici, po kterou mohou být identifikační údaje uchovávány. Navíc kupř. bod č. 27 odůvodnění Směrnice č. 2016/680 výslovně předvídá, že pro odhalování trestných činů je nutné, aby příslušné orgány mohly osobní údaje shromážděné v minulosti zpracovávat a používat také v jiném kontextu, tedy z povahy věci opět v nijak časově neohraničené budoucnosti.
[42] Požadavek stanovení jasného časového limitu pro délku uchovávání nicméně plyne z již citované judikatury ESLP (srov. kupř. již citované rozhodnutí ve věcech Aycaguer či Marper, výše, bod 33 tohoto usnesení). Ostatně rovněž bod 8 Doporučení Rady Ministrů č. R (92) 1, o využívání analýzy deoxyribonukleové kyseliny (DNA) v rámci systému trestní justice, tedy nezávazné doporučení přijaté již v roce 1992, nabádalo smluvní strany Rady Evropy, aby vnitrostátním právem definovaly striktní lhůty pro uchovávání vzorků DNA a informací z nich získaných.
[43] Při případném posuzování přiměřenosti délky uchovávání osobních údajů se pak v praxi opět bijí dva různé typy přiměřenosti s ohledem na různé cíle: strukturální na straně jedné, a individuální, na straně druhé. Pokud je coby legitimní cíl akceptováno v obecné rovině předcházení, vyhledávání nebo odhalování trestné činnosti, pak logickým a přiměřeným prostředkem pro jeho dosažení je uchovávat informace o maximálním množství subjektů údajů pro maximální možnou délku. Policejní databáze, ze které by měl být na požádání po určité době žadatel vyjmut, záhy přestane plnit jakoukoliv smysluplnou úlohu v oblasti odhalování trestné činnosti. Ad absurdum bude obsahovat pouze potenciální pachatele, kteří si vlastně přejí být odhaleni, neboť nepožádali o své smazání.
[44] Naproti tomu zkoumání přiměřenosti v případě žádostí o výmaz z policejních databází s ohledem na individuální osoby či pachatele se záhy přesouvá do diskuse podobající se debatě o zahlazení (následků) konkrétního odsouzení. V této dimenzi je vlastně pokračující evidence v policejní databázi brána jako pokračující typ trestu, který se dříve či později zaměří na otázku uplynutí doby od vyslovení podezření či odsouzení pachatele a jeho následného řádného života, včetně spekulací ohledně nebezpečí recidivy.
[45] Je pochopitelné, že případné periodické vnitřní posouzení pokračující důvodnosti uchovávání získaných identifikačních údajů ze strany Policie ČR bude spíše sledovat strukturální cíl účinného vyhledávání a odhalování trestné činnosti. Předběžná otázka, která se z této problematiky podává, je, zda je slučitelné s právem Unie, aby vnitrostátní právo žádnou maximální hranici pro možnou délku uchovávání nestanovilo s tím, že na základě periodického vnitřního posouzení se strany orgánů policie bude v praxi docházet spíše k tomu, že získané profily DNA budou uchovávány bez časového omezení.
[46] Nejvyšší správní soud si je v tomto kontextu vědom judikatury Soudního dvora, která v obecné rovině (v rámci GDPR, respektive ještě Směrnice č. 95/46) nastavila robustní úroveň ochrany proti uchovávání osobních údajů stanovením „práva být zapomenut“ (srov. již rozsudek ze dne 13. května 2014, Google Spain SL, ECLI:EU:C:2014:317, a na něj navazující judikaturu). Toto právo bylo následně kodifikováno v čl. 17 GDPR a částečně také v čl. 16 Směrnice č. 95/46. Vzniká však otázka, nakolik je tento přístup a tato judikatura přenositelná do kontextu policejních databází a Směrnice 2016/680, jejichž smysluplné fungování a využitelnost je možné zajistit pouze tehdy, pokud, řečeno metaforicky, tyto databáze „nebudou zapomínat“.
[47] Z tohoto důvodu předkládá NSS Soudnímu dvoru druhou předběžnou otázku ve znění, zda „Je v souladu s čl. 4 odst. 1 písm. e) Směrnice č. 2016/680, pokud je s odkazem na obecný účel předcházení, vyhledávání nebo odhalování trestné činnosti pokračující uchovávání profilu DNA hodnoceno orgány Policie na základě jejich interních předpisů, což v praxi často znamená uchovávání citlivých osobních údajů na dobu neurčitou, aniž by byl stanoven jakýkoliv maximální časový limit pro uchovávání těchto osobních údajů? S ohledem na jaká kritéria má být případně hodnocena časová přiměřenost uchovávání osobních údajů shromážděných a uchovávaných s tímto cílem?“
III. C. K otázce č. 3: kvalita „obecné právní úpravy“?
[48] Nejvyšší správní soud nemá pochyb o skutečnosti, že interní předpisy policie v podobě pokynů policejního prezidenta nesplňují podmínky na kvalitu ani publicitu právních předpisů. Nejsou právními předpisy a pojmově nemohou mít kvalitu „práva“ ve smyslu čl. 8 odst. 2 Směrnice č. 2016/680.
[49] Ustanovení § 65 zákona o Policii kvalitu „práva členského státu“ bezpochyby má. Toto ustanovení samo o sobě však není dostatečně určité a podrobné, aby bylo sto naplnit požadavky čl. 8 odst. 2 ve spojení s čl. 10 Směrnice č. 2016/680. Ustanovení § 65 zákona o Policii neobsahuje, mimo jiné, žádnou úpravu konkrétních podmínek uchovávání, typů informací, které smějí být z odebraného vzorku získávány, a co do pokračujícího uchovávání profilů DNA podmínky, za kterých má být přistoupeno k jejich výmazu. Už vůbec pak neobsahuje jakékoliv záruky vyžadované čl. 10 Směrnice č. 2016/680.
[50] Jak však v řízení o kasační stížnosti podotkl stěžovatel, zákonná právní úprava co do možnosti omezení základních práv z důvodů zpracování osobních údajů je dotvářena ústavně souladným výkladem a judikaturou soudní. Judikatura správních soudů a kritéria, ze kterých vychází, krátce popsané výše v bodech 25 až 28 tohoto usnesení, jsou publikované a veřejně přístupné. Navíc je pravdou, že úvodní bod č. 33 Směrnice č. 2016/680 je v tomto ohledu spíše velkorysý, neboť stanoví, že „Odkazy v této směrnici na právo či právní předpis, právní základ či legislativní opatření členského státu neznamenají nutně legislativní akt přijatý parlamentem, aniž jsou dotčeny požadavky vyplývající z ústavního řádu dotčeného členského státu. Toto právo, právní předpisy, právní základ či legislativní opatření členského státu by však měly být jasné a přesné a jejich použití by mělo být předvídatelné pro osoby, na něž se vztahují, jak to vyžaduje judikatura Soudního dvora a Evropského soudu pro lidská práva.“
[51] Ze setrvalé judikatury ESLP rovněž plyne, že „právo“ v kontextu testu legality omezení základních práv zahrnuje nejenom zákon, ale i judikaturu soudní (již rozsudek ze dne 26. 4. 1979, Sunday Times proti Spojenému království (č. 1), stížnost č. 6538/74, § 47, od té doby mnohokráte potvrzeno, a to rovněž explicitně s ohledem na kontinentální systémy práva – srov. kupř. rozsudek ze dne 24. 4. 1990, Kruslin proti Francii, stížnost č. 11801/85, § 29 či rozsudek ze dne 10. 11. 2005, Leyla Şahin proti Turecku, stížnost č. 44774/98, § 84–98).
[52] Novější judikatura Soudního dvora byla však v tomto ohledu ve znamení vyšších požadavků na kvalitu a publicitu „práva“, kterým dochází k omezení základních práv. Dělo se tak především v oblastech práva, kde docházelo k omezení klíčových či základních práv, a kde Soudní dvůr trval na postulátu, že vysokou úroveň ochrany v případě zvlášť závažných omezení základních práv „může požadavky na srozumitelnost, předvídatelnost, dostupnost, a zejména na ochranu před svévolí splňovat jedině obecně závazný právní předpis.“ (srov. kupř., v odpovědi na předběžnou otázkou předloženou NSS, rozsudek ze dne 15. března 2017, C-528/15, Al Chodor, ECLI:EU:C:2017:213, bod 43). K obdobnému závěru Soudní dvůr došel také v řadě případů týkajících se právě ochrany osobních údajů, kdy trval na požadavku, že to musí být nejenom vnitrostátní právní úprava, a nikoliv judikatura, ale že ona právní úprava „musí rovněž stanovit hmotněprávní a procesní podmínky“, jimiž se bude jakékoliv využití a přístup k uchovávaným provozním a lokalizačním údajům řídit (srov. nověji rozsudky ze dne 2. března 2021, Prokuratuur (Podmínky přístupu k údajům o elektronické komunikaci), C‑746/18, EU:C:2021:152, bod 49, či ze dne 5. dubna 2022, Commissioner of An Garda Síochána a další, C‑140/20, EU:C:2022:258, bod 104).
[53] Logika striktnějších požadavků co do kvality právního předpisu, kterým jsou vymezeny minimální náležitosti pro sběr, vytěžení, uchovávání, a ničení vzorků DNA a z nich pořízených profilů DNA, by měla být patrně aplikovatelná také v projednávané věci. Ostatně sám čl. 10 Směrnice č. 2016/680, ve spojení s úvodním bodem č. 37 směrnice, který tyto osobní údaje řadí do specifické kategorie dat se zvláštní ochranou, by svědčil tomuto závěru. V takovém případě by unijní právo vyžadovalo, aby obecný právní předpis stanovil přinejmenším obecný rámec databáze, otázky přístupu, přesnější typ využití DNA informací včetně bariér jejich využití, ale především, v souladu s čl. 10, vhodné záruky práv a svobod, mimo jiné v podobě jasné diferenciace typů trestných činů, v případě kterých může být DNA profilace pořizována, a podmínek, za kterých může či musí být následně zničena.
[54] Nic takového však vnitrostátní právní úprava aplikovatelná v projednávané věci v současnosti neupravuje. Pokud by však byly podobné požadavky bez dalšího aplikovány také v projednávané věci a dalších věcech před správními soudy na půdorysu současného § 65 zákona o Policii, pak následek by byl nezbytně spíše radikální: soud by byl nucen vyhodnotit vnitrostátní úpravu jako neslučitelnou s čl. 8 odst. 2 ve spojení s čl. 10 Směrnice č. 2016/680, a jakékoliv biologické vzorky DNA a na jejich základě pořízené profily DNA automaticky za nezákonné.
[55] Než by k podobnému závěru Nejvyšší správní soud byl nucen přistoupit, klade třetí předběžnou otázku, zda: „V případě zvláště citlivých osobních údajů spadajících pod čl. 10 Směrnice č. 2016/680, jaký je minimální rozsah hmotně-právních či procesních podmínek získávání, uchovávání a vymazání těchto údajů, který musí být v právu členského státu upraven „obecně závazným předpisem“? Může mít kvalitu „práva členského státu“ ve smyslu článku 8 odst. 2 ve spojení s čl. 10 Směrnice 2016/680 také judikatura soudní?“
IV. Závěr
[56] Nejvyšší správní soud považuje českou úpravu získávání a uchovávání osobních údajů pro účely budoucí identifikace, především tedy citlivých osobních údajů v podobě profilu DNA, v podobě současného § 65 zákona o Policii v řadě ohledů za neslučitelnou s v tomto usnesení citovanou judikaturou Soudního dvora EU a Evropského soudu pro lidská práva. Na druhou stranu však rovněž uznává legitimní důvody pro budování databází podobného typu a logiku jejich fungování, zdůrazňovanou policejními orgány. Společným jmenovatelem všech tří předkládaných předběžných otázek proto zůstává, nakolik lze bez dalšího přenést obecné závěry judikatury Soudního dvora, založené na robustním výkladu čl. 8 Charty základních práv EU a relevantních ustanovení GDPR, a vysoké míře ochrany práv subjektů osobních údajů na minimalizaci zpracovávání jejich osobních údajů, včetně jejich práva být po určité době „zapomenut“, rovněž do této specifické oblasti právní úpravy. Pokud by k tomu došlo, pak se stává dlouhodobé využívání policejních databází podobného typu obtížné, či spíše nemožné.
[57] Směrnice č. 2016/680 je nicméně novým právním instrumentem práva Unie, ke kterému se Soudní dvůr prozatím neměl možnost komplexně vyjádřit. Výklad zde nastolených otázek tak rozhodně není prost pochybností, které by zbavily Nejvyšší správní soud coby soud posledního stupně ve smyslu čl. 267 odst. 3 SFEU povinnosti předložit předběžnou otázku Soudnímu dvoru (srov. rozsudek ze dne 6. října 2021, Consorzio Italian Management, ECLI:EU:C:2021:799, bod 33 an.). Navíc se jedná o citlivé otázky podstatného právního významu i pro jiné členské státy Unie, neboť současné vnitrostátní úpravy využívání profilů DNA a jejich uchovávání pro účely vynucování práva jsou různorodé (srov. pro ilustraci kupř. srovnávací studii „The Regulation of the Use of DNA in Law Enforcement“ ze dne 28. srpna 2020, zpracovanou Institut suisse de droit comparé, E-Avis ISDC 2020-02, přístupné online na www.isdc.ch).
[58] Nejvyšší správní soud proto předložil Soudnímu dvoru Evropské unie v souladu s čl. 267 odst. 3 SFEU předběžné otázky vymezené ve výroku I. tohoto usnesení.
[59] V návaznosti na položení předběžných otázek Nejvyšší správní soud dle § 48 odst. 1 písm. b) s. ř. s. přerušil výrokem č. II řízení. Poté, co Soudní dvůr o předložené otázce rozhodne, bude v řízení pokračovat (§ 48 odst. 6 s. ř. s.).
Poučení: Proti tomuto usnesení nejsou opravné prostředky přípustné.
V Brně dne 26. ledna 2023
Tomáš Foltas
předseda senátu