Úřad pro ochranu osobních údajů

V textu je odkazováno na znění zákona (resp. jiného právního předpisu), které již není účinné. Tato skutečnost však nemá vliv na zde obsažený právní názor.

Podle § 5 odst. 1 písm. a) zákona č. 101/2000 Sb. je každý správce povinen stanovit účel zpracování osobních údajů. Jak je zřejmé z výše uvedeného, účastník řízení tak učinil, přičemž stanovil řadu jednotlivých účelů zpracování. V daném případě je ovšem třeba zdůraznit, že účel zpracování nemůže být stanoven naprosto libovolně; podle čl. 6 odst. 1 písm. b) směrnice Evropského parlamentu a Rady č. 95/46/ES ze dne 24. října 1995, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, mohou být osobní údaje shromažďovány pro stanovené účely, výslovně vyjádřené a legitimní. V zákoně č. 101/2000 Sb. je toto pravidlo vyjádřeno v § 5 odst. 1 písm. a) ve spojení s § 45 odst. 1 písm. a), který upravuje skutkovou podstatu správního deliktu pro případy, kdy stanovený účel bude v rozporu s povinností vyplývající ze zvláštního zákona, nebo překročí oprávnění vyplývající ze zvláštního zákona. Účastník řízení byl nepochybně při stanovení účelu zpracování limitován tím, že je orgánem veřejné moci (správním úřadem), na který se vztahuje ústavní princip vyjádřený v čl. 2 odst. 3 Ústavy České republiky, resp. v čl. 2 odst. 2 Listiny základních práv a svobod, dle kterého lze státní moc uplatňovat jen v případech a mezích stanovených zákonem, a to způsobem, který zákon stanoví. Sběr osobních údajů o občanech státem (resp. jeho orgánem) bez jejich souhlasu je nepochybně v dané souvislosti výkonem a uplatněním státní moci vůči těmto občanům.

Ve smyslu shora uvedeného je tedy zřejmé, že účastník řízení byl oprávněn stanovit účel zpracování osobních údajů v centrálním úložišti jenom v tom rozsahu, který mu vyplýval z výslovného zákonného zmocnění. V daném případě z § 13 odst. 3 písm. n) zákona č. 378/2007 Sb. jednoznačně vyplývá oprávnění účastníka řízení v oblasti humánních léčiv zřídit a provozovat centrální úložiště. Současně ovšem uvedené ustanovení jednoznačně vymezuje účel tohoto centrálního úložiště, a tedy i účel zpracování osobních údajů, a to jako sběr a zpracování elektronicky předepisovaných léčivých přípravků. Ještě podrobněji jsou poté jednotlivé povinnosti účastníka řízení v souvislosti s centrálním úložištěm vyjádřeny v § 81 zákona č. 378/2007 Sb., přičemž všechny zde uvedené úkoly opět souvisejí jenom a pouze s elektronickými recepty.

Pokud tedy účastník řízení vymezil účely zpracování osobních údajů tak, jak je shora uvedeno, správní orgán konstatuje, že pro tento postup neměl žádnou oporu v zákoně, neboť stanovené účely nijak nesouvisely se sběrem a zpracováním elektronicky předepisovaných léčivých prostředků, a nelze je proto podřadit pod ustanovení § 81 zákona č. 378/2007 Sb. Správní orgán proto dospěl k závěru, že účastník řízení těmito stanovenými účely překročil oprávnění vyplývající ze zákona, konkrétně ze zákona č. 378/2007 Sb., a naplnil tak skutkovou podstatu správního deliktu dle § 45 odst. 1 písm. a) zákona č. 101/2000 Sb.

V této souvislosti správní orgán konstatuje, že s odkazem na čl. 10 odst. 3 Listiny základních práv a svobod a na povinnosti stanovené zákonem č. 101/2000 Sb. je zcela nepřípustné, aby jakýkoli státní orgán svévolně rozšiřoval své kompetence vymezené právními předpisy, a bez řádné opory v zákoně zřídil a provozoval informační systém sdružující rozsáhlé množství osobních a dokonce i citlivých údajů.

Podle § 5 odst. 2 zákona č. 101/2000 Sb. je správce osobních údajů povinen zpracovávat osobní údaje pouze se souhlasem subjektu údajů nebo v případech uvedených v § 5 odst. 2 písm. a) až g) zákona č. 101/2000 Sb. Podle § 9 zákona č. 101/2000 Sb. je poté správce povinen zpracovávat osobní údaje pouze s výslovným souhlasem subjektu údajů [§ 9 písm. a) zákona č. 101/2000 Sb.], nebo bez tohoto souhlasu v případech uvedených v § 9 písm. b) až i) zákona č. 101/2000 Sb.

Ze spisového materiálu je zřejmé, že souhlasem subjektů údajů účastník řízení nedisponoval. Účastník řízení proto mohl shromažďovat a dále zpracovávat osobní a citlivé údaje osob, kterým byl vydán léčivý přípravek na listinný recept v lékárně připojené k centrálnímu úložišti, a osobám, kterým byl vydán léčivý přípravek bez lékařského předpisu s omezením, pouze za naplnění některé z výjimek ze souhlasu. Správní orgán přitom neshledal, že by byla naplněna některá z možných výjimek, zejména dle § 5 odst. 2 písm. a), resp. § 9 písm. c) zákona č. 101/2000 Sb. Dle správního orgánu nevyplývá právní povinnost účastníkovi řízení zpracovávat osobní údaje ve shora uvedeném rozsahu a uvedeným způsobem ani z § 13 odst. 3, § 82 odst. 3 písm. d) zákona č. 378/2007 Sb., ani ze směrnice Evropského parlamentu a Rady ze dne 6. listopadu 2001 č. 2001/83/ES, o kodexu Společenství týkajícím se humánních léčivých přípravků, ani z § 67b odst. 10 písm. b) zákona č. 20/1966 Sb., o péči o zdraví lidu. (čj. SPR-6781/09)