6 As 200/2024 - 77
[OBRÁZEK]
|
|
ČESKÁ REPUBLIKA
ROZSUDEK
JMÉNEM REPUBLIKY
Nejvyšší správní soud rozhodl v senátu složeném z předsedy Filipa Dienstbiera a soudců Petra Šuránka a Štěpána Výborného v právní věci žalobce: Spolek Šalamoun, sídlem U Mlýna 2232/23, Praha 4, proti žalovanému: Úřad pro ochranu osobních údajů, sídlem Pplk. Sochora 727/27, Praha 7, proti rozhodnutí předsedy žalovaného ze dne 5. 8. 2022, č. j. UOOU‑05284/19‑88, o kasační stížnosti žalobce proti rozsudku Městského soudu v Praze ze dne 30. 5. 2024, č. j. 9 A 87/2022‑40,
takto:
Odůvodnění:
[1] Žalobce dne 17. 1. 2020 umístil na svůj veřejně přístupný profil na sociální síti Facebook příspěvek s kopií částečně anonymizovaného trestního příkazu proti Z. P. obsahující její osobní údaje.
[2] Dne 3. 3. 2020 Úřad pro ochranu osobních údajů (dále jen „Úřad“) vyzval žalobce jako správce osobních údajů k nápravě protiprávního stavu spočívajícího v porušení zásady zákonnosti zpracování osobních údajů. Žalobce dne 10. 3. 2020 Úřadu sdělil, že příspěvek byl smazán. Úřad však následně zjistil, že příspěvek je na FB profilu žalobce nadále veřejně přístupný, a proto vydal dne 27. 4. 2020 příkaz, kterým uznal žalobce vinným z přestupku dle § 62 odst. 1 písm. b) zákona č. 110/2019 Sb., o zpracování osobních údajů, a uložil mu pokutu ve výši 10 000 Kč. Podáním žalobcova odporu byl příkaz zrušen. Úřad poté vydal dne 2. 6. 2020 rozhodnutí, jímž žalobce uznal vinným z výše uvedeného přestupku a uložil mu pokutu ve výši 10 000 Kč.
[3] Žalobcův rozklad předsedkyně Úřadu rozhodnutím ze dne 19. 8. 2020 zamítla a prvostupňové rozhodnutí žalovaného potvrdila. Toto rozhodnutí však zrušil městský soud rozsudkem ze dne 20. 4. 2021, č. j. 14 A 1/2021‑40, pro nepřezkoumatelnost a věc vrátil k dalšímu řízení. Žalovaný se podle městského soudu měl zabývat tím, zda v posuzovaném případě nebyla naplněna kritéria podle čl. 6 odst. 1 písm. f) GDPR, a zda tedy ze strany žalobce nedošlo k oprávněnému zpracování osobních údajů. Soud žalovanému uložil, aby se při posouzení zaměřil zejména na poměření obou v kolizi stojících práv, tedy práva na informování veřejnosti o výsledcích trestních řízení na straně jedné a práva na ochranu osobních údajů na straně druhé.
[4] Předseda Úřadu následně rozhodnutím ze dne 28. 5. 2021 zrušil rozhodnutí správního orgánu I. stupně ze dne 2. 6. 2020 a věc mu vrátil k novému projednání, přičemž mu uložil provést především tzv. balanční test.
[5] Dne 16. 11. 2021 vydal Úřad rozhodnutí, jímž znovu uznal žalobce vinným z výše uvedeného přestupku, jehož se žalobce dopustil tím, že „ode dne 17. ledna 2020 minimálně do dne 15. dubna 2020 umístil na svém veřejně přístupném facebookovém profilu […] příspěvek s kopií částečně anonymizovaného trestního příkazu ze dne 8. ledna 2020 vydaného proti Z. P., přičemž tento příkaz nadále obsahuje její osobní údaje v rozsahu jméno, příjmení, místo narození, místo trvalého bydliště, název facebookového profilu ‚Z. P.‘, na němž je umístěna fotografie její podoby, a informace vztahující se k jí spáchanému přečinu křivého obvinění“. Za přestupek žalobci znovu uložil pokutu ve výši 10 000 Kč.
[6] K žalobcově rozkladu předseda Úřadu rozhodnutím ze dne 5. 8. 2022 žalobci uloženou pokutu snížil na 5 000 Kč a ve zbytku napadené rozhodnutí správního orgánu I. stupně ze dne 16. 11. 2021 potvrdil. Žalobce toto rozhodnutí napadl žalobou.
[7] Městský soud ve shodě se správními orgány a rozsudkem ze dne 20. 4. 2021 uvedl, že zveřejněním jména, příjmení, města narození a města bydliště Z. P. spolu s odkazem na FB profil, na němž se nacházela i podobizna Z. P., došlo ke zpracování osobních údajů ve smyslu čl. 4 odst. 1 nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále „GDPR“). Skutečnost, že název FB profilu se přesně neshoduje se jménem a příjmením odsouzené Z. P., na uvedeném nic nemění, neboť podoba jmen je dostatečná a shodu mezi nimi implikoval právě žalobce. Námitce, že žalobce byl neoprávněně obviněn ze zveřejnění fotografie Z. P., soud nepřisvědčil, rozhodnutí správních orgánů nic takového neuváděla.
[8] Žalobci ani podle městského soudu nesvědčil žádný právní titul zpracování osobních údajů Z. P.. Doplnil, že již v rozsudku ze dne 20. 4. 2021 bylo konstatováno, že žalobce plní roli „společenského hlídacího psa“. Úkolem správních orgánů po zrušovacím rozsudku ze 20. 4. 2021 bylo posouzení oprávněnosti zájmů žalobce spolu s posouzením proporcionality, konkrétně podmínkou nezbytnosti. Podmínka proporcionality se vztahuje i k důvodům dle § 17 odst. 1 a 2 zákona o zpracování osobních údajů. Dle městského soudu však žalobce neužil zveřejnění trestního příkazu pro novinářské účely ve smyslu § 17 odst. 1 zákona o zpracování osobních údajů. Trestní příkaz zveřejnil na svém FB profilu, sice veřejně přístupném, nikoli však zpravodajském.
[9] Soud dále zdůraznil, že při posouzení přiměřenosti podle § 17 odst. 1 zákona o zpracování osobních údajů se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 GDPR. V případě žalobce šlo právě o zpracování osobních údajů uvedených v čl. 10 GDPR. O to přísněji by bylo třeba, pokud by § 17 zákona o zpracování osobních údajů na žalobce dopadal, posuzovat proporcionalitu takového zpracování. V roli žalobce jako tzv. společenského hlídacího psa soud nenalezl žádný zákonný znak ani důvod přiměřenosti, který by vedl k oprávnění dle § 17 zákona o zpracování osobních údajů.
[10] Městský soud vyjádřil porozumění tvrzenému motivu spočívajícímu v informování veřejnosti o tom, že lze trestný čin spáchat i prostřednictvím sociálních sítí, neshledal však veřejný zájem na tom, aby byly zveřejněny osobní údaje dotčené osoby. Žalobce nevysvětlil, proč stejného cíle nemohl dosáhnout publikací anonymizovaného trestního příkazu, z něhož by byla veřejnosti zřejmá informace o podstatě trestnosti skutku. Ponechání některých osobních údajů v publikované verzi trestního příkazu včetně odkazu na FB profil s podobiznou odsouzené svědčí o jiném motivu, a to o snaze dalšího veřejného potrestání odsouzené. To ostatně přiznal žalobce ve svém vyjádření ze dne 15. 11. 2021 k podkladům rozhodnutí.
[11] Soud nepřisvědčil názoru žalobce, že zveřejněním komentářů na FB se posléze odsouzená Z. P. stala veřejnou osobností.
[12] Posouzení proporcionality správními orgány shledal městský soud dostačujícím. Proporcionalitu posoudil správní orgán I. stupně z hlediska všech důvodů uvedených v čl. 6 GDPR i z hlediska důvodů dle § 17 zákona o zpracování osobních údajů. Městský soud souhlasil s posouzením, že cíle proklamované žalobcem bylo možné dosáhnout prostředky, které by nezasáhly práva a svobody Z. P.. Žalovaný přesvědčivě vyložil, jak žalobce zasáhl do práv odsouzené. Žalobce zpracoval informace, v nichž důraz nebyl ani na osoby veřejně známé nebo činné, ale na určitou povahu jednání, o níž mohlo být informováno způsobem, který šetří základní práva a svobody dotčené osoby.
[13] Uloženou pokutu neshledal městský soud neproporcionální. Zákonná ustanovení umožňující upuštění od potrestání neznamenají, že žalovaný musí upustit od uložení správního trestu nebo uložit napomenutí místo pokuty. Dle soudu se žalovaný měl k této otázce blíže vyjádřit, náhled na přiměřenost pokuty to však nemůže změnit. Z žalobcova postoje není zřejmá žádná sebereflexe, naopak je zřejmé, že není smířen s tím, že by neměl zveřejňovat osobní údaje konkrétních osob, pociťuje‑li za potřebné zviditelnit jejich identitu.
[14] Soud doplnil, že sice nerozumí důvodům, proč žalovaný pokutu snížil s odkazem na čl. 6 odst. 1 písm. f) GDPR, snížení však bylo ve prospěch žalobce. V mezích uvážení dle sazby stanovené v čl. 83 odst. 5 písm. a) GDPR (do 20 000 000 EUR) soud neshledal pokutu zjevně nepřiměřenou, nebyl tak naplněn důvod k moderaci.
[15] Městský soud přisvědčil závěru, že žalobce svým jednáním naplnil znaky přestupku podle § 62 odst. 1 písm. b) zákona o zpracování osobních údajů. Rozhodnutí správního orgánu I. stupně ve znění rozhodnutí o rozkladu zhojilo vady předchozích rozhodnutí ve věci. Soud souhlasil rovněž se závěrem, že zájem na zpracování osobních údajů nepřevážil nad právem na ochranu osobních údajů.
[16] Z uvedených důvodů městský soud žalobu jako nedůvodnou zamítl.
[17] Žalobce (stěžovatel) napadl rozsudek městského soudu kasační stížností, v níž namítl nesprávné právní posouzení ze strany městského soudu.
[18] Stěžovatel popřel, že by motivem jeho jednání bylo další veřejné potrestání odsouzené. Podmínka veřejného zájmu představuje právní normu s relativně neurčitou hypotézou a posouzení této otázky je závislé na míře pozornosti a diskuse o určité záležitosti poutající veřejný zájem. Pojem „hlídacího psa demokracie“ dle judikatury Evropského soudu pro lidská práva, Ústavního soudu i Nejvyššího správního soudu nezahrnuje pouze šíření informací pro novinářské účely, ale je mnohem širší a zahrnuje i nevládní organizace zabývající se ochranou lidských a občanských práv. Takovou organizací je i spolek Šalamoun. Projevy na sociálních sítích, zejména zahrnující právní problematiku či osvětu, nelze apriorně vyloučit ani z definice literárního projevu podle § 17 odst. 1 zákona o zpracování osobních údajů. Městský soud výjimky podle § 17 odst. 1 zákona o zpracování osobních údajů a čl. 6 odst. 1 písm. e) GDPR [zřejmě čl. 6 odst. 1 písm. f) GDPR, pozn. NSS] vyložil restriktivně.
[19] Stěžovatel, veden pouze zájmem o právní osvětu, neučinil nic jiného, než že případ odpudivého lidského jednání zveřejnil, přičemž tak učinil odkazem na původní zdroj (vystupující pod smyšleným jménem Z. P., ačkoliv pravidla FB vystupování pod smyšleným jménem zakazují), bez uvedení jakýchkoliv dalších identifikačních údajů, s varováním ve smyslu „nepište nenávistné, pomlouvačné komentáře na internetu, jinak můžete být stíháni“. Motiv stěžovatele žalovaný a městský soud posoudili spekulativním a nepodloženým způsobem.
[20] Bylo prima facie přiměřené, aby odsouzená nesla následky svého jednání, spočívající ve zveřejnění trestního případu. Mělo jít o prevenci kriminality varováním veřejnosti, aby se takto na sociálních sítích nechovala. Ke vstupu do veřejného prostoru (veřejné diskuse) se odsouzená rozhodla sama dobrovolně, se zpřístupněním a zveřejněním svých určitých osobních údajů proto byla srozuměna. Dobrovolně se rozhodla též křivě obviňovat a napadat jinou osobu, čímž spáchala trestný čin. Stěžovatel zdůraznil, že každý, kdo vstupuje do veřejného prostoru, nemá jenom právo na veřejné vyjadřování názorů, ale nese za svoje názory také odpovědnost, a to i trestní. Takové veřejné aktivity nepodléhají žádné ochraně soukromí, ale jde o věc veřejného zájmu, kterou lze podrobit veřejné kritice a o které lze veřejně diskutovat, protože nejde o sféru soukromou, ale veřejnou, a proto v ní neplatí právo na informační sebeurčení. Zpravodajské internetové servery a sdělovací prostředky rovněž informují veřejnost o spáchaných trestných činech, jejich pachatelích a řízeních proti nim vedených.
[21] Trestní příkaz zveřejněný stěžovatelem byl anonymizovaný do té míry, že nebylo možné identifikovat konkrétní fyzickou osobu. Judikatura úplnou anonymizaci soudních rozhodnutí neukládá. Fotografii Z. P. stěžovatel nezveřejnil. Stěžovatel odsouzenou nezná, nezná její podobu a nemůže vědět, jestli je totožná s uveřejněnou fotografií Z. P.. Fakticky, i když v rozporu s pravidly, lze založit FB profil pod smyšleným jménem a lze zveřejnit jakoukoli fotografii. Žalovaný nezjišťoval ani neprokázal, zda fotografie uveřejněná na FB profilu pod smyšleným jménem Z. P. je skutečnou fotografií Z. P.. Žalovaný a městský soud nesprávně dovodili možnost identifikace osoby a naplnění pojmu osobní údaj. Zveřejněním z podstatné části anonymizovaného trestního příkazu nemohlo dojít k zásahu do práva na ochranu osobních údajů odsouzené.
[22] Dále stěžovatel uvedl, že trestním příkazem byla Z. P. odsouzena za trestný čin křivého obvinění, který spáchala uveřejněním příspěvku s lživým obviněním na FB ve veřejné diskusi pod příspěvkem na profilu s označením H. V., aniž by bylo zřejmé, zda se jedná o existující osobu.
[23] Žalovaný se podle stěžovatele neřídil závazným právním názorem vyjádřeným v rozsudku městského soudu ze dne 20. 4. 2021, kterým mu bylo uloženo posoudit, zda stěžovatel vykonává úlohu společenského hlídacího psa, a provést test proporcionality. Tomuto posouzení se žalovaný vyhnul frázovitým odůvodněním. Zároveň tyto otázky žalovaný posoudil nesprávně a také posouzení těchto otázek městským soudem je nesprávné.
[24] Stěžovatel rovněž namítal, že jeho jednání nebylo společensky škodlivé, nebyl nijak ohrožen zájem společnosti ani odsouzené. Jednání stěžovatele nebylo přestupkem, neboť nebyla naplněna materiální stránka přestupku ani podmínka nepřiměřenosti.
[25] Městský soud podle stěžovatele nesprávně posoudil otázku přiměřenosti sankce ve vztahu k povaze přestupku, jehož závažnost je nulová, jakož i ve vztahu k majetkové a finanční situaci stěžovatele, který je nevýdělečným spolkem. Městský soud nesprávně posoudil též námitku zneužití správního uvážení žalovaným. Zákon umožňuje uložit pouze napomenutí a také umožňuje od uložení trestu upustit. To, že stěžovatel svoje jednání obhajuje, takový postup nevylučuje. O nedostatku sebereflexe to nic nevypovídá.
[26] V doplnění kasační stížnosti odkázal stěžovatel na judikaturu, podle níž roli společenského hlídacího psa mohou splňovat nejen profesionální novináři, ale také neziskové organizace či spolky nebo jednotlivci, kteří do veřejného prostoru kvalifikovaným způsobem vnášejí informace o fungování veřejné sféry.
[27] Žalovaný ve vyjádření uvedl, že uložená sankce je spíše symbolického charakteru, neboť maximální možná výše pokuty činí 20 000 000 EUR. Meze titulů zveřejnění osobních údajů musí respektovat i tzv. společenský hlídací pes. Stěžovatel nebyl schopen objasnit, proč bylo nutné varování ve veřejném zájmu spojit se zveřejněním osobních údajů.
[28] Žalovaný nesouhlasil s námitkou stěžovatele, že nešlo o zveřejnění osobních údajů. Datové položky v rozsahu jméno, příjmení, místo narození, město trvalého bydliště a údaj o spáchání přečinu s tím, že na základě zveřejněných informací lze dohledat i podobiznu dotčené osoby, evidentně umožňují identifikaci Z. P., minimálně v rámci jejího sociálního okruhu. Odkaz na fotografii byl součástí trestního příkazu, který stěžovatel zveřejnil s úmyslem zveřejnit určitý případ odpudivého jednání. Pokud tedy nyní stěžovatel zpochybňuje, zda se jedná o podobiznu dotčené osoby, jedná se ve svém důsledku o zpochybnění tvrzeného účelu, resp. vlastního jednání.
[29] Dále žalovaný uvedl, že dotčená osoba (Z. P.) není veřejně činná, vstoupila do „veřejného prostoru“ nahodile publikací křivého obvinění, za něž byla sankcionována. Nebyla ani doložena žádná potřeba, aby byla o jejím konkrétním jednání následně vedena veřejná diskuse. Pouhá publikace sdělení prostřednictvím internetu či sociální sítě ještě neznamená vstup do veřejné diskuse, neboť je třeba hodnotit skutečný rozsah dopadů takové publikace. Zároveň předseda Úřadu odmítl názor, že vstupem do veřejného prostoru příslušná osoba ztrácí právo na jakoukoli ochranu soukromí, GDPR takovou absolutní výluku nestanovuje.
[30] Postavení tzv. společenského hlídacího psa bylo dle žalovaného stěžovateli přiznáno, toto postavení však nedává oprávnění k neomezenému zveřejňování osobních údajů. Přiznání takového postavení představuje pouze jedno z kritérií, k němuž je třeba přihlédnout. To koresponduje s judikaturou, na niž stěžovatel odkazuje. Při individuálním posouzení mohou být osobní údaje obsažené v rozsudcích předmětem dalšího zpracování, tedy i zveřejnění. Takové zveřejnění však musí být podloženo právním titulem. Na zveřejnění osobních údajů stěžovatelem však žádný z titulů není aplikovatelný.
[31] Žalovaný dále zopakoval, že stěžovatelem zveřejněné datové položky umožňují identifikaci odsouzené, šlo tedy o zveřejnění osobních údajů. Žalovaný zdůraznil, že k naplnění stěžovatelem tvrzeného účelu by postačovalo zveřejnění anonymizovaného dokumentu. Stěžovatel rezignoval na zdůvodnění, oč by bylo při eliminaci osobních údajů varování veřejnosti ochuzeno.
[32] V replice stěžovatel zopakoval, že se nejednalo o osobní údaje ve smyslu čl. 4 odst. 1 GDPR. Jednoznačná identifikace osoby Z. P. nebyla prokázána. Zveřejněn byl pouze profil na FB pod smyšleným jménem, které nebylo veřejně spojeno se Z. P.. Nebyly zveřejněny jakékoli další osobní údaje (datum narození, přesná adresa apod.), které by vedly ke spolehlivé identifikaci. Ohledně fotografie na profilu nebylo prokázáno, že se skutečně jedná o autentickou fotografii Z. P.. Tato fotografie nebyla zveřejněna stěžovatelem.
[33] Dále stěžovatel zopakoval, že roli společenského hlídacího psa mohou plnit i neziskové organizace či spolky. Motivem zveřejnění případu bylo informování veřejnosti o trestnosti křivého obvinění jiné osoby na internetu. Šlo tedy o jednání ve veřejném zájmu. Žalovaný ani městský soud neprovedli řádný test proporcionality podle čl. 6 odst. 1 písm. f) GDPR. Ignorovali, že zveřejnění bylo provedeno ve veřejném zájmu s cílem chránit oběti křivých obvinění a působit preventivně na veřejnost.
[34] I v případě, že by skutková podstata přestupku byla naplněna, postačující by bylo napomenutí. Uložená pokuta je nepřiměřená. Stěžovatel je nevýdělečnou organizací bez stabilních příjmů, který nepobírá žádné dotace. Žalovaný měl od pokuty upustit nebo ji stanovit v symbolické výši 100 Kč.
[35] Stěžovatel navrhl, aby Nejvyšší správní soud zrušil rozsudek městského soudu, eventuálně aby zrušil též rozhodnutí žalovaného, a věc vrátil příslušnému orgánu k dalšímu řízení.
[36] Nejvyšší správní soud, vázán nálezem Ústavního soudu ze dne 29. 1. 2025 sp. zn. III. ÚS 2512/24, dospěl k závěru, že kasační stížnost je projednatelná.
[37] Poté přezkoumal napadený rozsudek městského soudu v rozsahu kasační stížnosti a v rámci uplatněných důvodů, ověřil při tom, zda napadené rozhodnutí netrpí vadami, k nimž by musel přihlédnout z úřední povinnosti (§ 109 odst. 3 a 4 s. ř. s.), a dospěl k závěru, že kasační stížnost není důvodná.
[38] Na úvod vypořádání Nejvyšší správní soud považuje za nutné připomenout, že smyslem řízení o kasační stížnosti má být kvalifikovaná polemika s rozhodnutím krajského soudu (usnesení Nejvyššího správního soudu ze dne 3. 6. 2003, č. j. 6 Ads 3/2003‑73). Stěžovatel však v rozsáhlé kasační stížnosti převážně opakuje námitky, které uplatnil již v předchozích prostředcích ochrany práv a na něž již odpověď dostal, a to bez reakce na argumentaci městského soudu. Námitky jsou založeny na obecném nesouhlasu stěžovatele s tím, že městský soud rozhodnutí předsedy Úřadu aproboval. Řízení o kasační stížnosti před Nejvyšším správním soudem však není jakýmsi druhým pokusem ještě jednou a z pohledu stěžovatele lépe uvážit o tomtéž (rozsudek Nejvyššího správního soudu ze dne 18. 7. 2019, č. j. 1 Afs 44/2019‑41). Nejvyšší správní soud napadený rozsudek městského soudu přezkoumal v rozsahu a šíři vymezené stížními body.
[39] Při věcném posouzení Nejvyšší správní soud vycházel z následující právní úpravy.
[40] Podle § 62 odst. 1 písm. b) zákona o zpracování osobních údajů správce nebo zpracovatel podle hlavy II se dopustí přestupku tím, že poruší některou ze základních zásad pro zpracování osobních údajů podle čl. 5 až 7 nebo 9 GDPR.
[41] Podle čl. 4 bodu 1 GDPR se pro účely tohoto nařízení rozumí „osobními údaji“ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby.
[42] Podle čl. 5 GDPR osobní údaje musí být: a) ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem („zákonnost, korektnost a transparentnost“); b) shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely („účelové omezení“); c) přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány („minimalizace údajů“); d) přesné a v případě potřeby aktualizované; musí být přijata veškerá rozumná opatření, aby osobní údaje, které jsou nepřesné s přihlédnutím k účelům, pro které se zpracovávají, byly bezodkladně vymazány nebo opraveny („přesnost“); e) uloženy ve formě umožňující identifikaci subjektů údajů po dobu ne delší, než je nezbytné pro účely, pro které jsou zpracovávány; osobní údaje lze uložit po delší dobu, pokud se zpracovávají výhradně pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely podle čl. 89 odst. 1, a to za předpokladu provedení příslušných technických a organizačních opatření požadovaných tímto nařízením s cílem zaručit práva a svobody subjektu údajů („omezení uložení“); f) zpracovávány způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“).
[43] Podle čl. 6 odst. 1 GDPR zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu: … f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
[44] Podle čl. 83 odst. 5 písm. a) GDPR za porušení následujících ustanovení lze v souladu s odstavcem 2 uložit správní pokuty až do výše 20 000 000 EUR, nebo jedná‑li se o podnik, až do výše 4 % celkového ročního obratu celosvětově za předchozí finanční rok, podle toho, která hodnota je vyšší: základní zásady pro zpracování, včetně podmínek týkajících se souhlasu podle článků 5, 6, 7 a 9.
[45] Podle § 17 odst. 1 zákona o zpracování osobních údajů osobní údaje lze zpracovávat také tehdy, slouží‑li to přiměřeným způsobem pro novinářské účely nebo pro účely akademického, uměleckého nebo literárního projevu. Při posouzení přiměřenosti podle věty první se přihlédne také k tomu, jestli zpracování zahrnuje osobní údaje uvedené v čl. 9 odst. 1 nebo čl. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679.
[46] Ústřední spornou otázkou projednávané věci je otázka, zda stěžovatel zpracovával osobní údaje, resp. zda je zpracovával v souladu s právem.
[47] Stěžovatel namítá, že trestní příkaz, který na svém FB profilu zveřejnil, byl anonymizován do té míry, že nebylo možné konkrétní fyzickou osobu identifikovat, a zveřejněním z podstatné části anonymizovaného trestního příkazu tak nemohlo dojít k zásahu do práva na ochranu osobních údajů Z. P..
[48] Již v rozhodnutí ze dne 16. 11. 2021 Úřad vysvětlil, že v posuzovaném případě jméno a příjmení Z. P. ve spojení s místem jejího narození, městem trvalého bydliště a s názvem FB profilu Z. P., na němž je umístěno několik fotografií její podoby, představují osobní údaje, neboť na jejich základě lze tuto osobu snadno identifikovat (str. 8). Toto posouzení potvrdil předseda Úřadu v rozhodnutí ze dne 5. 8. 2022, s tím, že datové položky ve zveřejněném rozsahu umožňují identifikaci Z. P., a to minimálně v rámci jejího sociálního okruhu (str. 5). Uvedené posouzení městský soud v napadeném rozsudku aproboval, přičemž doplnil, že skutečnost, že název FB profilu se neshoduje s jménem Z. P., na tom nic nemění, neboť podoba jmen je dostatečná a shodu mezi nimi implikoval právě stěžovatel (odst. 58 napadeného rozsudku městského soudu).
[49] S uvedeným posouzením Nejvyšší správní soud souhlasí. Postačuje‑li ve smyslu čl. 4 bodu 1) GDPR i jen nepřímá možnost ztotožnění fyzické osoby [např. prostý údaj o dynamické IP adrese – srov. rozsudek Soudního dvora Evropské unie (SDEU) ze dne 19. 10. 2016 ve věci C‑582/14 Breyer, bod 49, nebo řetězec písmen a znaků kódující preference uživatele internetu spárovatelný s IP adresou – srov. rozsudek SDEU ze dne 7. 3. 2024 ve věci C‑604/22 IAB Europe, bod 45], tím spíše představují osobní údaje informace zveřejněné, resp. zprostředkované veřejnosti stěžovatelem, které ve svém souhrnu umožňují části veřejnosti dokonce přímé ztotožnění Z. P.. Proto Nejvyšší správní soud nepřisvědčil stěžovatelově tezi, že zveřejněním částečně anonymizovaného trestního příkazu proti Z. P. nemohl zasáhnout do jejího práva na ochranu osobních údajů. Údaje, které stěžovatel ve zveřejněném trestním příkazu ponechal, v souhrnu nepochybně umožňují subjekt údajů určit a kromě toho ponechání údaje o FB profilu umožňuje subjekt údajů též kontaktovat. Skutečnost, že v trestním příkazu nejsou uvedeny údaje o datu narození či plná adresa trvalého bydliště, v tomto případě závěr o určitelnosti subjektu údajů nepopírá. Propojení Z. P. (odsouzené za trestný čin spáchaný zveřejněním příspěvku v diskusi na FB z profilu Z. P.) s FB profilem Z. P. vyplývá právě z trestního příkazu, který stěžovatel zveřejnil.
[50] Na námitku stěžovatele, že fotografii Z. P. nezveřejnil, již rovněž odpověděl předseda Úřadu i městský soud, když stěžovateli vysvětlili, že rozhodnutí o přestupku ze dne 16. 11. 2021 neuvádí, že došlo k přímému zveřejnění fotografie stěžovatelem (str. 5 rozhodnutí předsedy Úřadu, odst. 58 napadeného rozsudku městského soudu).
[51] Skutková věta rozhodnutí Úřadu ze dne 16. 11. 2021 jasně potvrzuje, že naplnění znaků přestupku bylo Úřadem shledáno v tom, že stěžovatel zveřejnil částečně anonymizovaný trestní příkaz vydaný proti Z. P., přičemž tento trestní příkaz nadále obsahoval mj. název FB profilu Z. P., na němž je umístěna fotografie její podoby. Námitka, že stěžovatel nezná podobu Z. P. a nebylo prokázáno, že fotografie uveřejněná na FB profilu pod smyšleným jménem Z. P. je skutečnou fotografií Z. P., se míjí s podstatou vytýkaného jednání. Stěžovateli nebylo kladeno za vinu přímé ani samostatné zveřejnění fotografie Z. P., ale zveřejnění trestního příkazu s osobními údaji v takovém rozsahu, které v souhrnu, přinejmenším pro určitou sociální skupinu, umožnily Z. P. ztotožnit.
[52] Pro projednávanou věc není rozhodné, zda pravidla FB umožňují založit profil pod smyšleným jménem či nikoliv. Podstatné není ani to, že Z. P. byla odsouzena za trestný čin zveřejněním příspěvku v diskusi na FB profilu s označením H. V., aniž bylo zřejmé, zda se jedná o existující jméno. I na to již správní rozhodnutí a rozsudek reagovaly (str. 6 rozhodnutí předsedy Úřadu, odst. 29 rozsudku městského soudu).
[53] Rozhodnutí správních orgánů a rozsudek městského soudu reagují rovněž na námitku, že judikatura úplnou anonymizaci soudních rozhodnutí neukládá. Jak uvedl městský soud, pravidla pro anonymizaci soudy vydaných rozhodnutí nejsou na stěžovatele aplikovatelná (odst. 72 rozsudku městského soudu).
[54] Nejvyšší správní soud se dále zabýval námitkami, že správní orgány neposoudily, zda je stěžovatel tzv. společenským hlídacím psem, a nedostatečně posoudily proporcionalitu, k čemuž byly zavázány, resp. že tyto otázky posoudily nesprávně, přičemž městský soud toto nesprávné posouzení aproboval.
[55] Ze zrušovacího rozsudku městského soudu ze dne 20. 4. 2021 vyplývá, že městský soud stěžovateli na základě výkladu pojmu „společenský hlídací pes“ vyjádřeného v rozsudku Nejvyššího správního soudu ze dne 27. 5. 2020, č. j. 2 As 88/2019‑29, toto postavení přiznal. V rozsudku konstatoval potřebu poměřit práva dotčené osoby na ochranu osobních údajů a práva veřejnosti být informována o trestních řízeních prostřednictvím žalobce v roli tzv. společenského hlídacího psa (odst. 23 rozsudku městského soudu ze dne 20. 4. 2021). Jak uvedl městský soud v nyní napadeném rozsudku, předseda Úřadu si mylně vyložil zrušovací rozsudek ze dne 20. 4. 2021 tak, že má posoudit, zda stěžovatel roli tzv. společenského hlídacího psa plní. Podstatné však je, že Úřad ve svém rozhodnutí výslovně dospěl k závěru, že na stěžovatele lze pro daný případ nahlížet jako na tzv. společenského hlídacího psa (str. 9 rozhodnutí Úřadu). Rozhodnutí předsedy Úřadu ani rozsudek městského soudu tento dílčí závěr nijak nepopřely. Napadený rozsudek městského soudu naopak několikrát zopakoval, že role tzv. společenského hlídacího psa byla stěžovateli již přiznána. Námitky stěžovatele, že správní orgány neposoudily, zda stěžovatel plní úlohu tzv. společenského hlídacího psa, resp. při tomto posouzení dospěly k nesprávnému závěru, že stěžovatel tzv. společenským hlídacím psem není, se tak míjí s obsahem správních rozhodnutí i obsahem napadeného rozsudku městského soudu. Zdůrazňování, že roli tzv. společenského hlídacího psa mohou naplňovat i neziskové organizace a spolky, je tak v projednávané stěžovatelově věci nadbytečné.
[56] Nejvyšší správní soud nepřisvědčil ani námitce, že správní orgány neprovedly posouzení proporcionality. Poměření v kolizi stojících práv je v rozhodnutí Úřadu provedeno na str. 9‑11, v rozhodnutí předsedy Úřadu na str. 7.
[57] Nejvyšší správní soud se tak zabýval tím, zda souhlasí s dílčím závěrem vyjádřeným v rozhodnutích správních orgánů obou stupňů a rozsudku městského soudu, že zájem na informování veřejnosti v projednávaném případě nad zájmem na ochranu osobních údajů nepřevážil. Stěžovatel sice s uvedeným závěrem nesouhlasil, kvalifikovanou oponenturou však svoji námitku nepodložil.
[58] Úřad v rozhodnutí s odkazem na důvodovou zprávu k GDPR a komentář k GDPR vysvětlil, že balanční test má provést především správce údajů, neboť ten je povinen posoudit kritéria pro určení, zda jím zamýšlené zpracování bude v souladu s právem. Stěžovatel v projednávaném případě však k tomuto testu nic nepředložil. Dále Úřad uvedl, že zpracování osobních údajů má být omezeno na nezbytné minimum k dosažení oprávněného zájmu (str. 10 rozhodnutí Úřadu).
[59] Správní orgány obou stupňů i městský soud akceptovaly zájem na informování veřejnosti o možných trestněprávních důsledcích typového jednání, jehož se dle trestního příkazu dopustila Z. P.. Dospěly však k závěru, že zveřejnění osobních údajů Z. P. nebylo k naplnění uvedeného cíle zpracování osobních údajů nezbytné. V balančním testu tak zájem na informování veřejnosti nad právem Z. P. na ochranu osobních údajů nepřevážil.
[60] Nejvyšší správní soud se ztotožnil s úvahou vyjádřenou v rozhodnutí Úřadu (str. 10), že zájem veřejnosti na informování o trestném činu určité či určitelné osoby by převážil v takovém případě, že by trestná činnost poškozovala společnost natolik, že by bylo nezbytné právě na konkrétní osobu upozornit, např. pro její postavení spjaté s trestnou činností. To však v projednávaném případě splněno nebylo. Ani sám stěžovatel nevysvětlil, proč bylo k naplnění deklarovaného účelu informování veřejnosti o možných trestněprávních důsledcích nezbytné ponechat ve zveřejněném trestním příkazu určité údaje neanonymizované, resp. ponechat neanonymizované údaje v takovém rozsahu, že odsouzenou bylo možné ztotožnit i kontaktovat.
[61] Nejvyšší správní soud tak souhlasí s žalovaným i městským soudem, že předpoklady uplatnění právního titulu zpracování osobních údajů dle čl. 6 odst. 1 písm. f) GDPR nebyly v projednávaném případě naplněny. Skutečnost, že stěžovatel plní roli tzv. společenského hlídacího psa, neznamená, že nemusí respektovat meze zpracovávání osobních údajů dané obecně závaznými předpisy (přiměřeně viz např. rozsudek Nejvyššího správního soudu ze dne 26. 3. 2021, č. j. 5 As 101/2020‑29, č. 4172/2021 Sb. NSS, body 23 až 25).
[62] Vypořádána již byla rovněž stěžovatelova argumentace, podle níž bylo prima facie přiměřené, aby odsouzená Z. P. nesla následky svého jednání spočívající ve zveřejnění trestní věci, neboť každý, kdo vstupuje do veřejného prostoru, nemá jen právo na veřejné vyjadřování názorů, ale nese za svoje názory také odpovědnost, a to i trestněprávní. Odpovědnost Z. P. za přečin křivého obvinění byla vyvozena orgány činnými v trestním řízení, neboť soud trestním příkazem konstatoval vinu Z. P. a za spáchaný přečin jí uložil trest. Stěžovatel se mýlí, pokud se domnívá, že odpovědnost pachatele za spáchaný trestný čin prima facie zahrnuje povinnost snést neoprávněné zasahování do základního práva na ochranu osobních údajů. Teze o odpovědnosti za veřejně učiněný projev, jíž se stěžovatel dovolává, pak platí i pro stěžovatele.
[63] Již správní orgány odmítly argumentaci, že uveřejněním komentáře na veřejně přístupném FB profilu ztratila Z. P. právo na ochranu svého soukromí, pročež ani nemá právo na informační sebeurčení (str. 11 až 14 rozhodnutí Úřadu, str. 7 rozhodnutí předsedy Úřadu). Z rozboru judikatury uvedeného na str. 11‑14 rozhodnutí Úřadu vyplývá, že osoby veřejně činné jsou povinny snést vyšší míru kritiky. Ani to však neznamená, že tyto osoby vstupem do veřejné sféry ztratily právo na ochranu soukromí a informační sebeurčení. Nejvyšší správní soud souhlasí s vyjádřením předsedy Úřadu, že absolutní výluku z ochrany soukromí či osobních údajů právo nezná. Takovou absolutní výluku nedovodila ani judikatura. Nadto, v projednávaném případě Z. P., jejíž údaje byly zpracovány, ani není veřejně činnou osobou, neboť publikování komentáře v diskusi na síti FB ještě neznamená vstup do veřejného prostoru, který by snesl srovnání např. se vstupem do politiky či showbyznysu (srov. např. usnesení Ústavního soudu ze dne 19. 9. 2017, sp. zn. I. ÚS 1041/17). Do posuzování přiměřenosti zpracování osobních údajů Z. P. stěžovatelem tak aspekt veřejně činné osoby, která je povinna snášet větší zásahy do svých osobnostních práv (včetně práva na ochranu osobních údajů), vůbec nevstupuje.
[64] Stěžovatel dále namítal, že motivem jeho jednání nebyla odplata. Otázka motivu stěžovatele je v projednávané věci podstatná z hlediska posouzení přiměřenosti způsobu zpracování ve vztahu k jeho účelu. Již bylo vysvětleno, že stěžovatelem zvolený způsob zpracování osobních údajů Z. P. (zveřejnění trestního příkazu, v němž byly ponechány neanonymizované údaje v takovém rozsahu, že bylo možné odsouzenou ztotožnit) ve vztahu k tvrzenému účelu zpracování (varování veřejnosti o možných trestněprávních důsledcích, prevence) přiměřené nebylo. Vysvětlení, které stěžovatel pro takový způsob zpracování osobních údajů Z. P předložil (zkráceně řečeno vysvětlení, že Z. P. musí nést za svůj veřejně učiněný projev odpovědnost) se s tvrzeným účelem míjí a přiměřenost zvoleného zpracování osobních údajů Z. P. tak z povahy věci obhájit ani nemůže.
[65] Se stěžovatelem souhlasí Nejvyšší správní soud potud, že městský soud vyložil příliš restriktivně podmínky § 17 odst. 1 zákona o zpracování osobních údajů, když novinářské účely spojil výhradně se zpravodajstvím. Pro rozhodnutí o stěžovatelově kasační stížnosti však tato dílčí výhrada Nejvyššího správního soudu není podstatná. I § 17 odst. 1 zákona o zpracování osobních údajů totiž vyžaduje přiměřenost zpracování ve vztahu k účelu. Jak již však bylo vysvětleno, podmínka přiměřenosti při zpracování údajů ve vztahu ke stěžovatelem uváděnému účelu osvěty a prevence naplněna nebyla. Skutečnost, že stěžovateli lze přiznat postavení tzv. společenského hlídacího psa, zákonný požadavek přiměřenosti zpracování osobních údajů nijak neneguje. Nejvyšší správní soud nadto doplňuje, že stěžovatel ve správním řízení deklaroval právní titul zpracování dle čl. 6 odst. 1 písm. f) GDPR, úvaha o tom, zda by stěžovateli mohl svědčit titul podle § 17 odst. 1 zákona o zpracování osobních údajů, tak byla provedena nad rámec stěžovatelových tvrzení. V kasační stížnosti stěžovatel rovněž uvádí, že projevy na sociálních sítích mohou být literárním projevem ve smyslu § 17 odst. 1 zákona o zpracování osobních údajů. Tato námitka je však obecná a především je dle § 104 odst. 4 s. ř. s. nepřípustná, neboť ji stěžovatel neuplatnil v řízení před městským soudem.
[66] Stěžovatel dále namítá, že jeho jednání nebylo společensky škodlivé, neboť neohrozil zájem společnosti ani Z. P. Ochrana osobních údajů je základním právem jednotlivce (srov. bod 1 důvodové zprávy k GDPR, čl. 8 odst. 1 Listiny základních práv Evropské unie, čl. 10 odst. 3 Listiny základních práv a svobod), přičemž ochrana základních práv a svobod je v celospolečenské rovině stěžejní hodnotou (čl. 1 odst. 1 Ústavy České republiky). Již správní orgány a městský soud vysvětlily, že stěžovatel zpracováním bez právního důvodu neoprávněný zásah do práva Z. P. na ochranu jejích osobních údajů způsobil. Nejvyšší správní soud souhlasí s dílčím závěrem městského soudu, že názor stěžovatele, že jeho jednání nebylo společensky škodlivé, neodpovídá hodnotě právní ochrany vyjádřené v právních předpisech.
[67] Nejvyšší správní soud nepřisvědčil ani námitce, že městský soud nesprávně posoudil přiměřenost sankce, resp. námitku zneužití správního uvážení správními orgány. Podle § 78 odst. 2 s. ř. s., rozhoduje‑li soud o žalobě proti rozhodnutí, jímž správní orgán uložil trest za správní delikt, může soud, nejsou‑li důvody pro zrušení rozhodnutí podle odstavce 1, ale trest byl uložen ve zjevně nepřiměřené výši, upustit od něj nebo jej snížit v mezích zákonem dovolených. Nejvyšší správní soud souhlasí s městským soudem, že pokutu ve výši 5 000 Kč za přestupek, u nějž je stanovena horní hranice 20 000 000 EUR, nelze považovat za zcela zjevně nepřiměřenou, a to ani v případě stěžovatele, který je neziskovou organizací, resp. spolkem. Jak konstatuje judikatura, smyslem a účelem moderace není hledání ideální výše sankce soudem místo správního orgánu, ale její korekce v případech, že by sankce, pohybující se v zákonném rozmezí a odpovídající všem zásadám pro její ukládání, zjevně neodpovídala zobecnitelné představě o adekvátnosti a spravedlnosti sankce (srov. rozsudek Nejvyššího správního soudu ze dne 19. 4. 2012, č. j. 7 As 22/2012‑23, č. 2672/2012 Sb. NSS). Exces při individualizaci trestu, jenž je předpokladem moderace správního trestu správním soudem (rozsudek Nejvyššího správního soudu ze dne 30. 9. 2010, č. j. 7 As 71/2010‑97, č. 2209/2011 Sb. NSS), neshledal ani Nejvyšší správní soud. Účely, jež jsou se správními tresty spojovány, mají být zachovány i v případě, kdy je pachatel nevýdělečným subjektem.
[68] Ve skutečnosti, že správní orgány ve stěžovatelově případě neupustily od potrestání, Nejvyšší správní soud stejně jako městský soud neshledal zneužití správního uvážení ani jiný důvod nezákonnosti. Při úvahách, zda mohly být naplněny předpoklady pro upuštění od potrestání, Nejvyšší správní soud nemohl odhlédnout od skutečnosti, že stěžovatel byl před rozhodnutím o přestupku a uložení pokuty vyzván k neprodlené nápravě podle § 54 odst. 1 písm. b) ve spojení § 65 zákona o zpracování osobních údajů, přičemž Úřadu sdělil, že nápravu provedl, načež byl inkriminovaný příspěvek obsahující částečně anonymizovaný trestní příkaz proti Z. P. znovu dostupný. Za takových okolností není dovolávání se upuštění od potrestání dle Nejvyššího správního soudu namístě.
[69] Nejvyšší správní soud neshledal stěžovatelovy námitky důvodnými, pročež kasační stížnost podle § 110 odst. 1 věty poslední s. ř. s. zamítl.
[70] Výrok o náhradě nákladů řízení se opírá o § 60 odst. 1 větu první a odst. 7 s. ř. s. ve spojení s § 120 s. ř. s. Stěžovatel v soudním řízení úspěch neměl, proto dle uvedených ustanovení nemá právo na náhradu nákladů řízení. Žalovanému, který by jinak měl právo na náhradu nákladů řízení, nevznikly v řízení žádné náklady nad rámec úřední činnosti.
Poučení: Proti tomuto usnesení nejsou opravné prostředky přípustné.
V Brně dne 26. června 2025
JUDr. Filip Dienstbier, Ph.D.
předseda senátu