Není to tak dávno, co Úřad pro ochranu osobních údajů (ÚOOÚ) uložil Státnímu ústavu pro kontrolu léčiv (SÚKL či Ústav) pokutu 2,3 milionu Kč za nezákonné nakládání s osobními údaji pacientů v centrálním úložišti elektronických receptů. Soud toto rozhodnutí zrušil a vrátil věc ÚOOÚ k dalšímu řízení.

SÚKL se proti uložení pokuty bránil rozkladem, o němž v červnu 2010 rozhodl předseda ÚOOÚ. Následně proti rozhodnutí o rozkladu SÚKL podal žalobu k Městskému soudu v Praze, který svým rozsudkem ze dne 29. 6. 2011 (č. j. 7A110/2010-34-42) zrušil obě rozhodnutí. Soud shledal celkem šest důvodů pro zrušení rozhodnutí ÚOOÚ. Vážných, ale nikoli podstatných. Principiálně se s ÚOOÚ ztotožnil. Seznamme se s nejzajímavějšími pasážemi rozsudku.

Nevěrohodné tvrzení

Soud se nejdříve vypořádal s prvním argumentem SÚKL. Ten tvrdí, že se při nastavení sběru dat řídil stanoviskem ÚOOÚ, jímž bylo odpovězeno na dotaz zástupce provozovatelů lékáren tak, že zamýšlený postup žalobce je v souladu se zákonem. Soud označil tvrzení SÚKL o tom, že přistoupil k vytvoření systému sběru dat v dobré víře v obsah stanoviska ÚOOÚ, za nevěrohodné, neboť žádost zástupce provozovatelů lékáren byla vyvolána právě deliktní činností SÚKL, který již před vydáním stanoviska začal konat přípravné kroky k zavedení centrálního úložiště. Stanovisko ÚOOÚ soud shledal pouze nikoli významnou polehčující okolností, která mohla mít vliv na výši pokuty, ale nemohla SÚKL vyvinit.

Je SÚKL oprávněn či povinen shromažďovat osobní údaje?

V další části rozsudku soud výstižně definoval základní otázku celé kauzy: Byl SÚKL ze zákona oprávněn, respektive povinen shromažďovat osobní údaje příjemců lékařských receptů? SÚKL vždy tvrdil, že ano. Své tvrzení pak opíral o slova zákona: Provozovatelé jsou povinni poskytovat Ústavu údaje o vydaných léčivých přípravcích s tím, že rozsah údajů a způsob jejich poskytování formou hlášení Ústav zveřejní ve svém informačním prostředku (§ 82 odst. 3 písm. d) zákona o léčivech /ZoL/). Pokud byl SÚKL upozorňován na to, že zákon jej tímto nezmocňuje ke sběru osobních a citlivých údajů, vždy se odkázal na jinou část ZoL, podle níž se údaje po jejich zpracování poskytují a zveřejňují tak, aby s přihlédnutím k okolnostem nebylo možné určit subjekt údajů (§ 99 odst. 5 ZoL). A co na to soud? Ze zákona o léčivech pouze plyne povinnost lékáren poskytovat Ústavu údaje o vydaných léčivých přípravcích. Zákon nestanoví, že lékárny mají poskytovat kromě údajů o léčivech také údaje o jejich příjemcích. Vzhledem k povaze osobních údajů a jejich ústavní ochraně je nutné, aby takovýto rozsah byl stanoven přímo zákonem, nikoli opatřením SÚKL.

Bezobsažné ustanovení

Zákonodárce nemůže delegovat oblast zákonné úpravy na moc výkonnou a tím rezignovat na svoji zákonodárnou povinnost. Tím spíše si pak výkonná moc nemůže právo na takovou úpravu přisvojit sama s odvoláním na zákon, ze kterého neplyne jednoznačný úmysl shromažďovat osobní údaje pacientů. Ostatně, jak plyne ze zápisů o jednání poslanecké sněmovny o zákoně o léčivech, rozprava zákonodárců se vůbec netýkala shromažďování osobních dat příjemců léčiv dle listinných lékařských receptů. Tudíž nejen z textu zákona o léčivech, ale ani z přípravy zákona nelze dovodit úmysl zákonodárce zřídit centrální úložiště dat s osobními údaji pacientů bez jejich souhlasu.
Pokud § 99 odst. 5 věta poslední zákona o léčivech „bere na vědomí“ možnou povahu poskytnutých osobních údajů, jde o bezobsažné ustanovení, neboť shromážděné osobní údaje podléhají režimu zákona o ochraně osobních údajů vždy, nestanoví-li zákon jinak. Nelze z něj dovodit úmysl zákonodárce shromažďovat žalobcem osobní údaje pacientů bez jejich souhlasu vzhledem k výše uvedenému požadavku výslovnosti takové úpravy. Zde je vhodné doplnit, že soud navíc ani neuvažoval skutečnost, že osobním údajem je i údaj o poskytovateli dat, kterému je také nutné dopřát ochranu.

Lichá argumentace farmakovigilancí

Soud dále konstatuje, že SÚKL sice zřídil centrální úložiště elektronických receptů, avšak úložiště úkoly dle zákona neplnilo a v rozporu s ním shromažďovalo údaje týkající se pacientů a léčiv dle listinného předpisu. Pokud SÚKL zřídil centrální úložiště elektronických receptů za účelem shromažďování údajů týkajících se jiných receptů než elektronických, postupoval v rozporu se zákonem o léčivech.
Soud se vypořádal i s Ústavem oblíbeným ospravedlňováním sběru dat farmakovigilancí. Farmakovigilance je natolik obecně vymezenou činností, že nevyvstává nevyhnutelná povinnost Ústavu zpracovat data v předmětném rozsahu. ZoL ani evropské směrnice nestanoví povinnost Ústavu ihned adresně informovat pacienta o nežádoucím účinku jemu předepsaného přípravku. Spojení rodného čísla s vydaným léčivým přípravkem již přesahuje povinnost Ústavu plynoucí z farmakovigilance i při velmi extenzivním výkladu této povinnosti. Zákonný systém farmakovigilance je z časového hlediska koncentrován do stadia registrace a distribuce, nikoli však již výdeje pacientovi. Nutnost zpracování údajů o léčivých přípravcích s osobními údaji jejich uživatelů nevychází ze zákonné povinnosti uložené Ústavu.

Dobrý úmysl úřadu není polehčující okolností

Od jisté doby SÚKL tvrdí (ve snaze zříci se části odpovědnosti za bezpečnost údajů), že lékárny jsou vedle něj samostatnými správci osobních údajů. Soud na to reaguje tak, že lékárny mohou být ve vztahu k plnění některých povinností v postavení správců osobních údajů, avšak ve vztahu k centrálnímu úložišti jsou pouze zpracovateli. Stranou pozornosti soudu nezůstal ani poukaz Ústavu na to, že jím budovaný systém má pacientům přinést výhody a zjednodušení. Ve vztahu k jednání správního úřadu ovšem nelze přihlížet k úmyslu úřadu, neboť z povahy úřadu samého musí tento vždy jednat v souladu s veřejným zájmem. Dobrý úmysl správního úřadu je tudíž předpokladem jeho jednání, jakkoli protiprávního, a nemá proto povahu polehčující okolnosti.

Zásadní zásah do práva jednotlivce

Stěžejní úvaha soudu je pak vyjádřena v následujících slovech: V daném případě shromážděná data umožňovala identifikaci pacienta a jemu vydávaných léčivých prostředků, které vzhledem k jejich účinkům mohly vést ke zjištění jeho zdravotního stavu. Je nutné mít na zřeteli, že nejde jen o banální onemocnění, ale i onemocnění, jejichž vědomost může být zneužita v oblasti politické, pracovní, ale i osobní, zejména pokud byl takto rozsáhlý plošný sběr dat centralizován v jednom místě. Státu nic nebrání mít přehled o povaze jím hrazených výdajů – konkrétních léčiv a jejich účinků, avšak spojení informace o léčivu s konkrétní osobou v takovém rozsahu je natolik výrazným zásahem do práv jedinců, že takový zásah musí být výslovně uveden v zákoně, tedy podroben diskusi zákonodárce.

Pyrrhovo vítězství

Lze očekávat, že ÚOOÚ odstraní nedostatky vytýkané soudem a v novém rozhodnutí uloží Ústavu pokutu znovu, i když pravděpodobně v nižší výši. Již nyní je ale zřejmé, že soud přesvědčivě vyvrátil všechny Ústavem užívané argumenty ve prospěch prosazovaného systému sběru dat, které souvisí s osobními údaji. Nezůstal ani jediný. Ústřednímu správnímu orgánu je tento rozsudek Pyrrhovým vítězstvím a jeho přístup k výkladu zákona špatnou vizitkou.

Mgr. MUDr. Jaroslav Maršík, právní poradce České lékárnické komory