I. Pokud osobní údaj vyžádaný podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, vypovídá přímo o výkonu veřejné moci úřední osobou ve smyslu § 8a odst. 2 tohoto zákona, není zapotřebí žádné další posuzování přiměřenosti jeho zpracování spočívajícího ve zpřístupnění třetím osobám. II. Vlastnoruční podpis úřední osoby na písemném vyhotovení správního rozhodnutí může být osobním údajem týkajícím se identifikovatelné fyzické osoby dle čl. 4 bodu 1 nařízení Evropského parlamentu a Rady 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Je nicméně rovněž údajem o funkcionáři nebo zaměstnanci veřejné správy, který vypovídá o jeho úřední činnosti ve smyslu § 8a odst. 2 zákona č. 106/1999 Sb., o svobodném přístupu k informacím.
[17] Nejvyšší správní soud přitakal stěžovateli již v jeho první kasační námitce. Oba správní orgány založily odůvodnění svých rozhodnutí na nesprávné (v předmětné době již neaplikovatelné) právní úpravě. Pro posuzovanou věc klíčový § 8a odst. 2 zákona o svobodném přístupu k informacím žádný ze správních orgánů nezohlednil. Nemohl proto ani provést korektní subsumpci a vyhodnocení naplnění relevantních zákonných kritérií tohoto ustanovení, kterými se nezabýval. Byť tedy Nejvyšší správní soud kvituje pragmatickou snahu krajského soudu zbytečně nerušit správní rozhodnutí i přes zjevné právní vady, „seznatelnost“ úvahy správních orgánů v dané věci, jak ji provedl krajský soud v bodě 40 a násl. napadeného rozsudku, v zásadě skutečně znamená, že věcná argumentace relevantní právní úpravou zazněla poprvé až v rozsudku krajského soudu.
[18] Již tato skutečnost by sama o sobě zakládala důvod pro zrušení rozsudku krajského soudu i rozhodnutí žalovaného. V projednávané věci nicméně Nejvyšší správní soud považuje z důvodů procesní ekonomie za účelné vyjádřit se i k podstatě věci, tedy možnosti žalovaného odmítnout s odkazem na GDPR a § 8a odst. 2 zákona o svobodném přístupu k informacím poskytnutí vlastnoručního podpisu úřední osoby na kopii správního rozhodnutí, kterou poskytl na základě informačního dotazu třetí osoby. Byť relevantní argumentace aplikovatelnou právní úpravou zazněla vskutku až před krajským soudem, oba účastníci řízení měli možnost se k těmto otázkám v řízení před soudem i Nejvyšším správním soudem vyjádřit, což také podrobně učinili.
[19] Nejvyšší správní soud úvodem předesílá, že vlastnoruční provedení podpisu fyzické osoby (úřední osoby) na správním rozhodnutí bude pro účely projednávané věci považovat za osobní údaj dle čl. 4 bodu 1 GDPR, který je zpracováván zpřístupněním dle čl. 4 bodu 2 GDPR. Nejedná se nicméně o otázku nespornou: stěžovatel odkázal na možnou analogii s otázkou předloženou Nejvyšším správním soudem Soudnímu dvoru usnesením ze dne 1. 11. 2023, čj. 10 As 102/2023-43. V této dosud nerozhodnuté věci (vedené před Soudním dvorem jako C-710/23) se Nejvyšší správní soud první předloženou otázkou dotázal, zda zpřístupnění jména, příjmení, podpisu a kontaktních údajů fyzické osoby coby jednatele či odpovědného zástupce právnické osoby, učiněné výlučně za účelem identifikace (osoby oprávněné jednat jménem určité) právnické osoby, tedy vlastně v rámci právního jednání samotné právnické osoby, je zpracováním „osobních údajů“ o dané fyzické osobě podle čl. 4 bodu 1 GDPR.
[19] Nejvyšší správní soud úvodem předesílá, že vlastnoruční provedení podpisu fyzické osoby (úřední osoby) na správním rozhodnutí bude pro účely projednávané věci považovat za osobní údaj dle čl. 4 bodu 1 GDPR, který je zpracováván zpřístupněním dle čl. 4 bodu 2 GDPR. Nejedná se nicméně o otázku nespornou: stěžovatel odkázal na možnou analogii s otázkou předloženou Nejvyšším správním soudem Soudnímu dvoru usnesením ze dne 1. 11. 2023, čj. 10 As 102/2023-43. V této dosud nerozhodnuté věci (vedené před Soudním dvorem jako C-710/23) se Nejvyšší správní soud první předloženou otázkou dotázal, zda zpřístupnění jména, příjmení, podpisu a kontaktních údajů fyzické osoby coby jednatele či odpovědného zástupce právnické osoby, učiněné výlučně za účelem identifikace (osoby oprávněné jednat jménem určité) právnické osoby, tedy vlastně v rámci právního jednání samotné právnické osoby, je zpracováním „osobních údajů“ o dané fyzické osobě podle čl. 4 bodu 1 GDPR.
[20] Logika citované a nyní projednávané věci je v určitém ohledu skutečně obdobná: v obou případech není cílem zpracování osobních údajů získat informace o určité fyzické osobě, která jedná jménem právnické osoby (ať se již jedná o obchodní korporaci, či veřejnoprávní korporaci či orgán jakéhokoliv typu), ale identifikovat jednání právnické osoby, která pouze prostřednictvím dané fyzické osoby jedná. Ani v projednávané věci se stěžovatel nedotazoval na informace o jakékoliv identifikovatelné fyzické osobě; chtěl pouze získat kopii správního rozhodnutí, na které je podpis úřední osoby vykonávající veřejnou moc. Stejnou logikou by § 8a odst. 2 zákona o svobodném přístupu k informacím bylo možné vnímat jako aplikující se pouze na informační žádosti o veřejně činných osobách, tedy vůbec se nevztahující na situace, kdy určitá fyzická osoba coby osoba úřední státní moc sama přímo vykonává. Pod § 8a odst. 2 zákona o svobodném přístupu k informacím by pak spadaly pouze dotazy týkající se identifikovaných fyzických osob (kupř. jaké odměny pobíral zaměstnanec XY za minulý rok?), nikoliv dotazy týkající se přímo výkonu veřejné moci (kupř. jaký je obsah rozhodnutí správního orgánu?). V prvním případě je informace o fyzické osobě cílem informačního dotazu. V druhém případě je cílem informačního dotazu jednání právnické osoby či korporace, do kterého daná fyzická osoba vstupuje pouze z titulu výkonu své funkce v dané osobě. Nejedná se tak o informaci o fyzické osobě, ale o informaci o jednání osoby právnické, respektive orgánu veřejné moci.
[20] Logika citované a nyní projednávané věci je v určitém ohledu skutečně obdobná: v obou případech není cílem zpracování osobních údajů získat informace o určité fyzické osobě, která jedná jménem právnické osoby (ať se již jedná o obchodní korporaci, či veřejnoprávní korporaci či orgán jakéhokoliv typu), ale identifikovat jednání právnické osoby, která pouze prostřednictvím dané fyzické osoby jedná. Ani v projednávané věci se stěžovatel nedotazoval na informace o jakékoliv identifikovatelné fyzické osobě; chtěl pouze získat kopii správního rozhodnutí, na které je podpis úřední osoby vykonávající veřejnou moc. Stejnou logikou by § 8a odst. 2 zákona o svobodném přístupu k informacím bylo možné vnímat jako aplikující se pouze na informační žádosti o veřejně činných osobách, tedy vůbec se nevztahující na situace, kdy určitá fyzická osoba coby osoba úřední státní moc sama přímo vykonává. Pod § 8a odst. 2 zákona o svobodném přístupu k informacím by pak spadaly pouze dotazy týkající se identifikovaných fyzických osob (kupř. jaké odměny pobíral zaměstnanec XY za minulý rok?), nikoliv dotazy týkající se přímo výkonu veřejné moci (kupř. jaký je obsah rozhodnutí správního orgánu?). V prvním případě je informace o fyzické osobě cílem informačního dotazu. V druhém případě je cílem informačního dotazu jednání právnické osoby či korporace, do kterého daná fyzická osoba vstupuje pouze z titulu výkonu své funkce v dané osobě. Nejedná se tak o informaci o fyzické osobě, ale o informaci o jednání osoby právnické, respektive orgánu veřejné moci.
[21] Na druhou stranu je však rovněž pravdou, že přístup Soudního dvora k výkladu již tak široce pojatého „osobního údaje“ dle GDPR je profylaktický až bezbřehý (viz rozsudek velkého senátu ze dne 13. 5. 2014, Google Spain a Google, C-131/12, bod 53, jakož i rozsudek ze dne 27. 9. 2017, Puškár, C-73/16, bod 38). Nejinak je tomu u výkladu ostatních definičních pojmů GDPR, jako jsou kupříkladu „osobní údaje“, anebo „zpracovávání“ či „správce“, který je velice široký (rozsudky velkého senátu Google Spain a Google, bod 34, jakož i ze dne 5. 6. 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, bod 28). Je rovněž pohříchu abstraktně definiční, odtržen od jednotlivého procesu zpracování, který by měl definovat rámec zpracování osobních údajů skrze smysl a účel dané operace.
[21] Na druhou stranu je však rovněž pravdou, že přístup Soudního dvora k výkladu již tak široce pojatého „osobního údaje“ dle GDPR je profylaktický až bezbřehý (viz rozsudek velkého senátu ze dne 13. 5. 2014, Google Spain a Google, C-131/12, bod 53, jakož i rozsudek ze dne 27. 9. 2017, Puškár, C-73/16, bod 38). Nejinak je tomu u výkladu ostatních definičních pojmů GDPR, jako jsou kupříkladu „osobní údaje“, anebo „zpracovávání“ či „správce“, který je velice široký (rozsudky velkého senátu Google Spain a Google, bod 34, jakož i ze dne 5. 6. 2018, Wirtschaftsakademie Schleswig-Holstein, C-210/16, bod 28). Je rovněž pohříchu abstraktně definiční, odtržen od jednotlivého procesu zpracování, který by měl definovat rámec zpracování osobních údajů skrze smysl a účel dané operace.
[22] Klíčové pro odlišení nyní projednávané věci od probíhajícího řízení o předběžné otázce ve věci C-710/23 je nicméně skutečnost, že pro tam projednávanou otázku podstatný úvodní bod č. 14 preambule k GDPR se vztahuje pouze na komerční právnické osoby, nikoliv na veřejnoprávní korporace. Nezdá se tudíž, že by incidenční poskytování osobních údajů v úředních dokumentech, a to včetně údajů o samotných úředních osobách, mělo být mimo působnost GDPR. Tuto skutečnost potvrzuje rovněž čl. 86 GDPR, který (patrně dále nad rámec titulů čl. 6 GDPR?) zdůrazňuje možnost přístupu veřejnosti k úředním dokumentům, a to včetně osobních údajů v těchto údajích obsažených. Právě přístup veřejnosti k informacích o veřejně činné osobě je rovněž předmětem detailní vnitrostátní úpravy prostřednictvím zákona o svobodném přístupu k informacím, což je opět úprava, která s ohledem na fyzické osoby jednající za komerční právnické osoby chybí.
[23] Za těchto okolností proto Nejvyšší správní soud neshledal důvod pro přerušení řízení dle § 48 odst. 3 písm. d) s. ř. s. za účelem vyčkání rozhodnutí Soudního dvora ve věci C-710/23.
[24] Skutečnost, že informace psané rukou mohou obsahovat dodatečné, grafologické informace o dané osobě, Soudní dvůr již rovněž potvrdil, byť v mírně odlišném kontextu. V rozsudku ze dne 20. 12. 2017, Nowak, C-434/16, bodě 37, Soudní dvůr vnímal rukou psané odpovědi účastníka odborné zkoušky jako údaje o jeho osobě, které zachycují nejenom jeho myšlenkové pochody, úsudek a kritické myšlení, ale rovněž jeho grafologické informace, které vnímal jako samostatný typ osobního údaje o dané fyzické osobě.
[25] Nicméně i pokud by (nepřímé) poskytnutí informací o identifikovatelné fyzické osobě coby osobě úřední v rámci informačního dotazu bylo zpracováváním osobních údajů o této osobě, pak se v případě poskytnutí vlastnoručního provedení podpisu jedná o poskytnutí informace, která vypovídá o úřední činnosti dané osoby ve smyslu § 8a odst. 2 zákona o svobodném přístupu k informacím, respektive čl. 6 odst. 1 písm. c), případně e) GDPR.
[25] Nicméně i pokud by (nepřímé) poskytnutí informací o identifikovatelné fyzické osobě coby osobě úřední v rámci informačního dotazu bylo zpracováváním osobních údajů o této osobě, pak se v případě poskytnutí vlastnoručního provedení podpisu jedná o poskytnutí informace, která vypovídá o úřední činnosti dané osoby ve smyslu § 8a odst. 2 zákona o svobodném přístupu k informacím, respektive čl. 6 odst. 1 písm. c), případně e) GDPR.
[26] Jak již konstatoval Nejvyšší správní soud v rozsudku ze dne 30. 7. 2024, čj. 1 As 93/2024-26, střet práva na informace s ochranou osobních údajů řeší § 8a zákona o svobodném přístupu k informacím. Podle § 8a odst. 1 tohoto zákona platí, že informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje povinný subjekt poskytne jen v souladu s právními předpisy, upravujícími jejich ochranu. Tímto předpisem je dnes kromě občanského zákoníku především GDPR. Ustanovení § 8a odst. 2 zákona o svobodném přístupu k informacím však stanoví zvláštní pravidlo vůči § 8a odst. 1 téhož zákona: Povinný subjekt poskytne osobní údaje o veřejně činné osobě, funkcionáři nebo zaměstnanci veřejné správy, které vypovídají o jeho veřejné nebo úřední činnosti nebo o jeho funkčním nebo pracovním zařazení.
[27] Povinný subjekt proto poskytne informaci při současném splnění tří zákonných podmínek: 1) musí jít o osobní údaj týkající se 2) zaměstnance veřejné správy a 3) vypovídající o jeho úřední činnosti nebo o jeho funkčním nebo pracovním zařazení.
[28] Žalovaný se mýlí, pokud ve svém vyjádření ke kasační stížnosti dovozuje podmínku další, tedy že informace podle § 8a odst. 2 zákona o svobodném přístupu k informacím bude poskytnuta pouze tehdy, pokud povinný subjekt nedospěje při posuzování žádosti k závěru, že ochrana soukromí subjektu údajů převažuje nad veřejným zájmem na poskytnutí informace.
[29] Je jistě pravdou, že přiměřenost při nakládání s osobními údaji je vlastní celému GDPR coby právnímu předpisu, a to přinejmenším v horizontálním ustanovení „minimalizace údajů“ dle čl. 5 odst. 1 písm. c) GDPR (zásady zpracování osobních údajů). Česká republika nicméně § 8a odst. 2 zákona o svobodném přístupu k informacím přijala specifickou vnitrostátní úpravu předvídanou čl. 6 odst. 2 a 3 GDPR, přičemž otázku přiměřenosti rozsahu poskytování osobních údajů upravila již na úrovni legislativní: pokud se osobní údaj týká veřejné osoby a rovněž vypovídá o její veřejné činnosti, pak se předpokládá, že je jeho poskytnutí přiměřené. Poskytnutí relevantní informace o veřejně činné osobě, která vypovídá o její úřední činnosti, je totiž ex lege nezbytné s ohledem na účel, pro který je daná informace poskytována: informování veřejnosti o činnosti veřejné správy a jejích výstupech. Pokud daný osobní údaj pod toto vymezení spadne, další, samostatné posuzování přiměřenosti se neprovádí.
[29] Je jistě pravdou, že přiměřenost při nakládání s osobními údaji je vlastní celému GDPR coby právnímu předpisu, a to přinejmenším v horizontálním ustanovení „minimalizace údajů“ dle čl. 5 odst. 1 písm. c) GDPR (zásady zpracování osobních údajů). Česká republika nicméně § 8a odst. 2 zákona o svobodném přístupu k informacím přijala specifickou vnitrostátní úpravu předvídanou čl. 6 odst. 2 a 3 GDPR, přičemž otázku přiměřenosti rozsahu poskytování osobních údajů upravila již na úrovni legislativní: pokud se osobní údaj týká veřejné osoby a rovněž vypovídá o její veřejné činnosti, pak se předpokládá, že je jeho poskytnutí přiměřené. Poskytnutí relevantní informace o veřejně činné osobě, která vypovídá o její úřední činnosti, je totiž ex lege nezbytné s ohledem na účel, pro který je daná informace poskytována: informování veřejnosti o činnosti veřejné správy a jejích výstupech. Pokud daný osobní údaj pod toto vymezení spadne, další, samostatné posuzování přiměřenosti se neprovádí.
[30] Nejvyšší správní soud souhlasí s krajským soudem, že podpis oprávněné úřední osoby je nezbytnou obsahovou náležitostí písemného vyhotovení správního rozhodnutí podle § 69 správního řádu. Doplňuje nicméně, ve shodě se stěžovatelem, že tento podpis vypovídá o úřední činnosti dané úřední osoby. Tím je naplněna rovněž třetí podmínka výše citovaného § 8a odst. 2 zákona o svobodném přístupu k informacím. Ostatně krajský soud ve své argumentaci ani neosvětluje, o čem jiném by podpis oprávněné úřední osoby na správním rozhodnutí dle jeho názoru vlastně vypovídal. Patrně se z povahy věci nebude jednat o projev osobní povahy či soukromí fyzické osoby ve smyslu § 8a odst. 1 uvedeného zákona, který se coby projev intimní sféry fyzické osoby nahodile zhmotnil na správním rozhodnutí. Jediným důvodem pro podpis úředního dokumentu je status dané fyzické osoby coby osoby úřední. Jedná se o potvrzení projevu vůle oprávněné úřední osoby, že daná listina skutečně obsahuje její rozhodnutí, což svým podpisem v rámci výkonu své funkce stvrzuje.
[31] Byť je § 8a odst. 2 zákona o svobodném přístupu k informacím výjimkou z obecné ochrany projevů osobní povahy § 8a odst. 1 zákona o svobodném přístupu k informacím, a obecně ochrany soukromí fyzické osoby podle GDPR, respektive občanského zákoníku, v kontextu svobodného přístupu k informacím nelze toto ustanovení vykládat natolik zužujícím způsobem, aby došlo k vyprázdnění jeho obsahu. Proto bude obecně platit, že pokud dochází v rámci výkonu veřejné moci k incidenčnímu sdělení osobního údaje úřední osoby, pokud je sdělení dané informace o úřední osobě nezbytné pro řádný výkon veřejné správy, pak tento údaj bude spadat pod § 8a odst. 2 zákona o svobodném přístupu k informacím.
[31] Byť je § 8a odst. 2 zákona o svobodném přístupu k informacím výjimkou z obecné ochrany projevů osobní povahy § 8a odst. 1 zákona o svobodném přístupu k informacím, a obecně ochrany soukromí fyzické osoby podle GDPR, respektive občanského zákoníku, v kontextu svobodného přístupu k informacím nelze toto ustanovení vykládat natolik zužujícím způsobem, aby došlo k vyprázdnění jeho obsahu. Proto bude obecně platit, že pokud dochází v rámci výkonu veřejné moci k incidenčnímu sdělení osobního údaje úřední osoby, pokud je sdělení dané informace o úřední osobě nezbytné pro řádný výkon veřejné správy, pak tento údaj bude spadat pod § 8a odst. 2 zákona o svobodném přístupu k informacím.
[32] Opačný přístup při výkladu třetí podmínky § 8a odst. 2 zákona o svobodném přístupu k informacím, spočívající v dodatečném ověřování subjektivní vypovídající hodnoty sdělení osobního údaje o úřední osobě pro žadatele o informaci, by mohl dříve či později vést rovněž k závěru, že správní orgán nemůže vést ústní jednání, neboť v jeho rámci dochází k zpřístupňování osobních údajů úřední osoby, a to dokonce zvláštní kategorie citlivých biometrických údajů – tedy zevní biometrický popis úřední osoby či záznam jejího hlasu (čl. 9 odst. 1 GDPR). Pokud by se ústní jednání již muselo konat, pak by patrně bylo přiměřené, aby úřední osoba seděla v místnosti plně zahalena či za plentou a její hlas byl digitálně pozměněn, neboť účastník řízení, který s ní bude jednat poprvé, si rovněž nemůže ověřit, zda jmenovka na stolku před úřední osobou či na dveřích její kanceláře odpovídá skutečnosti, a je přeci zapotřebí chránit soukromí úředních osob.
[33] Lapidárně řečeno, pokud se daná informace skutečně týká veřejné osoby při výkonu veřejné funkce, pak taková osoba žádného práva na soukromí nepožívá. Výkon veřejné moci není soukromou záležitostí veřejných osob. Na druhou stranu pochopitelně platí, že existuje celá škála informací o úřední osobě soukromé povahy, která nevypovídá o její úřední činnosti. Zda je úřední osoba fanouškem FC Baník Ostrava, zda hraje ve volném čase fotbal nebo golf, či zda má na zahradě bazén, nebude vypovídat ničeho o její úřední činnosti. Žádná z těchto informací nebude bez dalšího informací o úřední činnosti úřední osoby v kontextu § 8a odst. 2 zákona o svobodném přístupu k informacím.
[34] Z těchto důvodů spekulace krajského soudu na téma, zda žadatel o informaci obecně či stěžovatel v projednávané věci zvláště něco z daného provedení podpisu zjistí či nezjistí, zda mu k něčemu bude či nebude, nejsou namístě. Jediným relevantním zjištěním je, zda podpis úřední osoby na správním rozhodnutí vypovídá o úřední činnosti dané osoby. Pokud ano, není úlohou ani povinného subjektu, ani správních soudů, hodnotit účelnost či smysluplnost informačních dotazů žadatelů, a to ani obecně, ani ve specifickém rámci výkladu § 8 odst. 2 zákona o svobodném přístupu k informacím. Jejich úlohou je pouze posoudit, zda daný žadatel může daný typ informace obdržet. Ostatně žadatel není povinen sdělovat účel či cíl svého informačního dotazu.
[34] Z těchto důvodů spekulace krajského soudu na téma, zda žadatel o informaci obecně či stěžovatel v projednávané věci zvláště něco z daného provedení podpisu zjistí či nezjistí, zda mu k něčemu bude či nebude, nejsou namístě. Jediným relevantním zjištěním je, zda podpis úřední osoby na správním rozhodnutí vypovídá o úřední činnosti dané osoby. Pokud ano, není úlohou ani povinného subjektu, ani správních soudů, hodnotit účelnost či smysluplnost informačních dotazů žadatelů, a to ani obecně, ani ve specifickém rámci výkladu § 8 odst. 2 zákona o svobodném přístupu k informacím. Jejich úlohou je pouze posoudit, zda daný žadatel může daný typ informace obdržet. Ostatně žadatel není povinen sdělovat účel či cíl svého informačního dotazu.
[35] To samé platí i o spekulacích jak správních orgánů, tak krajského soudu na téma možné zneužitelnosti znalosti vlastnoručního provedení podpisu úřední osoby jakýmkoliv žadatelem, který jej získá. I za předpokladu, že „úřední“ podpis úřední osoby by byl stejný jako její podpis „civilní“, tak nic nebrání dané úřední osobě, pokud by využívání plné verze svého jediného podpisu v úředním styku vnímala jako problém, aby jí vyhotovované správní rozhodnutí podepisovala pouze elektronicky.
[36] V tomto ohledu Nejvyšší správní soud uzavírá, že pod vyžádaným usnesením povinného subjektu, založeným ve spise krajského soudu, je kromě označení úřední osoby „J. S., referent oddělení správních deliktů “, podpisu úřední osoby a otisku úředního razítka, rovněž připojena kurzívou poznámka „oprávněná úřední osoba elektronicky podepsáno “. S ohledem na skutečnost, že jde o soudní spis v tištěné podobě, není možné ověřit, zda se jedná skutečně o vlastnoruční podpis oprávněné úřední osoby, anebo zda je tento podpis pouze zvolenou grafickou vizualizací digitálně (elektronicky) podepsaného dokumentu, čemuž by nasvědčovala poznámka „elektronicky podepsáno“. V každém případě však opět platí, že pokud by úřední osoba vnímala poskytování grafického znázornění svého vlastnoručního podpisu jako problémové, může zvolit elektronický podpis, a to ideálně ve verzi, která nezobrazí v digitálním podpisu grafické provedení podpisu vlastnoručního.