Quo Vadis, Data Retention?

Nedávný rozsudek Nejvyššího soudu ve věci provozních a lokalizačních údajů elektronických komunikací (sp. zn. 30 Cdo 2556/2025-335) zaznamenala nejen komunita odborníků v oblasti ochrany osobních údajů, ale – jak je mně známo – i mnozí jiní právníci, profesionálové v oblasti informační bezpečnosti a další. Rozsudek vyvolal také řadu otázek, např. Proč byla předmětem rozhodování „jen“ omluva? Proč Nejvyšší soud nepodal u Ústavního soudu návrh na zrušení posuzovaných ustanovení zákona o elektronických komunikacích? Proč nepožádal Soudní dvůr EU o rozhodnutí o předběžné otázce? A jaké vlastně budou v praxi dopady tohoto rozsudku?

Pojďme si stručně rozebrat hlavní z nich. Zaměříme se přitom na celkový kontext problematiky Data Retention, resp. obecněji plošného uchovávání osobních údajů, kterým se věnuji již řadu let. Vím, že mnozí právníci byli po prvním projití z rozsudku trochu rozpačití. Po podrobném pročtení však musím říci, že Nejvyšší soud („NS“) rozsudek vypracoval na základě hluboké úvahy a vhledu do posuzované problematiky, jak o tom svědčí detailní a velmi propracované odůvodnění.  

Dosavadní vývoj ve věci

O co tedy ve věci vlastně jde? Žalobce, fyzická osoba, se žalobou domáhal náhrady nemajetkové újmy proti České republice – Ministerstvu průmyslu a obchodu („ČR-MPO“), způsobené tím, že mobilní operátor uchovává povinně, na základě zákona, po určitou dobu provozní a lokalizační údaje týkající se žalobce (povinnost označovaná obvykle jako „Data Retention“). Žalobní petit požadující omluvu za přijetí právní úpravy uchovávání provozních a lokalizačních údajů, porušující Směrnici o soukromí a elektronických komunikacích, neformuloval žalobce omylem či snad z nezkušenosti. Naopak, žaloba byla součástí „bitevního plánu“ Iuridicum Remedium, z.s., pečlivě připraveného již před několika lety.

NS v této věci rozhodoval již podruhé poté, kdy v březnu 2024 (rozsudek NS sp. zn. 30 Cdo 3909/2023 ze dne 27. 3. 2024,) zrušil předchozí rozsudky Obvodního soudu pro Prahu 1 a Městského soudu v Praze. Soudy nižších stupňů totiž původně žalobu zamítly s odůvodněním, že žalobcem tvrzená újma je pouze újmou potenciální a že žalobce netvrdil ani neprokázal vznik konkrétní újmy. Žalobce se podle nich spíše než ochrany vlastních osobnostních práv domáhal ochrany veřejného zájmu. Nejvyšší soud svým předchozím rozhodnutím tyto rozsudky nižších soudů zrušil a upozornil, že z práva EU vyplývá povinnost státu nahradit újmu vzniklou porušením unijních norem, a to i v případech porušení unijního práva legislativní činností členského státu.

V návaznosti na to Obvodní soud pro Prahu 1 i podruhé žalobu zamítl, když „neuvěřil, že v případě žalobce došlo ke vzniku škody představující duševní útrapy či pocity nejistoty a obavy o profesní budoucnost“. Žalobce dle mínění soudu sledoval spíše „odborný zájem o projednávanou problematiku“. Městský soud v Praze jako soud odvolací však tento rozsudek změnil, žalobě vyhověl a žalované, tedy ČR-MPO uložil povinnost omluvit se žalobci. Dle odvolacího soudu existuje k Data Retention jednoznačná judikatura Soudního dvora EU („SDEU“), dle níž je preventivní plošné a nerozlišující uchování provozních a lokalizačních údajů přípustným „pouze v případě závažného ohrožení národní bezpečnosti, které je bezprostřední, aktuální a reálné“, i v takovém případě pouze na dobu nezbytně nutnou, při zachování zásady minimalizace zásahu. ČR-MPO pak tento rozsudek napadla dovoláním, o kterém rozhodoval NS.

Argumentace Nejvyššího soudu

NS v prvé řadě odmítl většinu dovolacích námitek ČR-MPO s tím, že nemohou založit přípustnost dovolání. Takto se NS vypořádal též s argumentem ČR-MPO opřeným o absenci vyslovení protiústavnosti právní úpravy Data Retention Ústavním soudem. Dle NS není „pro posouzení odpovědnosti České republiky za újmu způsobenou legislativní činností“ rozhodné, „zda byl konkrétní předpis odporující unijnímu právu zrušen Ústavním soudem pro jeho protiústavnost či nikoliv“. Přípustnost dovolání pak NS založil primárně na posouzení otázky, „zda tvrzeně porušené normy unijního práva přiznávají práva jednotlivcům a zda tedy jejich porušením může vzniknout odpovědnost státu za způsobenou nemajetkovou újmu“, a také otázky, zda „zda tuzemská právní úprava uchovávání provozních a lokalizačních údajů naplňuje znaky plošného a nerozlišujícího uchovávání ve smyslu rozhodovací praxe Soudního dvora“. Ani jedna z nich dosud nebyla v rozhodovací praxi dovolacího soudu „dostatečně vyřešena“. Nutno dodat, že pro oblast ochrany osobních údajů je zásadní především druhá z těchto otázek.

NS k těmto otázkám konstatoval, že „mimo jakoukoliv pochybnost“ byla „nesprávnou implementací směrnice 2002/58 (…) porušena ustanovení unijního práva, která přiznávají práva jednotlivcům“. O plošné a nerozlišující uchovávání se pak dle NS jedná, pokud toto uchovávání jednak „zahrnuje údaje blíže nevymezeného okruhu uživatelů“ a jsou tak „uchovávány údaje prakticky všech uživatelů služeb elektronických komunikací“ a současně, pokud je „samotná povinnost uchovávání údajů konstruována jako obecné pravidlo, jehož nastoupení a rozsah je neodvislý od konkrétní situace či od naplnění dalších předem stanovených podmínek“. Obě kritéria, „nerozlišování“ a „plošnost“ uchovávání, pak NS podrobně vysvětluje a dokládá argumentací z rozhodnutí SDEU. Rozhodování SDEU k Data Retention označuje NS za „dlouhodobě stabilní“ a svou argumentaci uzavírá zásadním konstatováním, že „stávající tuzemská právní úprava uchovávání provozních a lokalizačních dat musí být klasifikována jako plošná a nerozlišující“.  Na základě toho je dle NS nutno „tuzemskou úpravu uchovávání provozních a lokalizačních údajů považovat za rozpornou s požadavky práva Evropské unie“.

Judikaturu SDEU k Data Retention považuje NS za „velmi pregnantní a navzájem provázanou“, včetně výkladu čl. 15 Směrnice o soukromí a elektronických komunikacích⁵, který dle NS „představuje „tzv. acte éclairé“. Z tohoto důvodu NS v této věci „neshledal ani povinnost, ani vhodnost zahájení řízení o předběžné otázce“ u SDEU. Ze všech těchto důvodů NS dovolání zčásti zamítl a v podstatné části jej odmítl.

Jednoznačný závěr NS o právní úpravě Data Retention platné v ČR lze patrně považovat za odpověď na otázku, proč NS nepodal u Ústavního soudu návrh na zrušení posuzovaných ustanovení zákona o elektronických komunikacích.  Byť se k tomu NS v odůvodnění rozsudku výslovně nevyjádřil, je z celého odůvodnění zřejmý zásadně odlišný názor NS na problematiku Data Retention oproti názoru Ústavního soudu, jak byl vyjádřen v posledním nálezu, v němž se Ústavní soud otázkou Data Retention zabýval (například nález Ústavního soudu sp. zn. Pl. ÚS 45/17 ze dne 14. května 2019). To, že se závěry Ústavního soudu v tomto nálezu výrazně liší od rozhodovací praxe např. německého Ústavního soudu (Bundesverfassungsgericht. Urteil vom 2. März 2010. 1 BvR 256/08, 1 BvR 263/08, 1 BvR 586/08.), ale také Ústavného súdu SR (nález Ústavného súdu Slovenskej republiky ze dne 29. dubna 2015, sp. zn. Pl. ÚS 10/2014.), stejně jako nedostatečně provedený test proporcionality již v jeho druhém kroku, je zřejmé každému, kdo se oblastí ochrany osobních údajů zabývá. Vezmeme-li v úvahu velmi podrobný a erudovaný výklad povinnosti Data Retention, který v diskutovaném rozsudku provedl NS, bylo to patrně zřejmé i NS. Můžeme pouze spekulovat, zda se NS obával, že by Ústavní soud mohl znovu rozhodnout v souladu se svým předchozím nálezem, a proto se NS rozhodl věc posoudit sám a vyjádřit se k Data Retention velmi jednoznačně, byť bez možnosti zrušit platnou právní úpravu.

Jedním z klíčových bodů rozsudku NS je také jednoznačné vysvětlení v reakci na argumentaci ČR-MPO, že Data Retention představuje dva odlišné a samostatné zásahy do základních práv. Prvním je samotné uchovávání údajů, druhý pak představuje přístup k uchovávaným údajům. Tento závěr je zásadním proto, že zatímco samotné uchovávání provozních a lokalizačních údajů v rámci povinnosti Data Retention se týká všech účastníků a uživatelů služeb elektronických komunikací v ČR, přístup oprávněných orgánů k uchovávaným údajům nastává pouze u jejich velmi malého zlomku.

V celém odůvodnění byl NS vůči argumentaci ČR-MPO v dovolání velmi kritický, svou kritiku však vždy pečlivě opřel o konkrétní logické úvahy a závěry. Například argumentaci ČR-MPO odůvodňující potřebu uchovávání provozních a lokalizačních údajů bezpečnostní situací související s válkou na Ukrajině označil NS za „cynický ex post odkaz na závažné události a skutečnosti“, když projednávaná žaloba byla podána již 25. května 2021.  

Závěry k rozsudku Nejvyššího soudu

Diskutovaný rozsudek NS je pouze rozhodnutím v konkrétní věci, navíc ve věci omluvy. Formálně právně tak nemá bezprostřední obecný dopad na právní úpravu Data Retention, obsaženou především v zákoně o elektronických komunikacích, ani na povinnosti operátorů elektronických komunikací uchovávat provozní a lokalizační údaje, pro jejich možné vyžádání oprávněnými orgány. Přesto však nelze opomenout jeho vliv nepřímý, spočívající v tom, že Nejvyšší soud formuloval jednoznačný závěr o rozporu platné právní úpravy ČR s unijním právem a tento svůj závěr podložil velmi důkladným rozborem. Pokud bude jiný soud v budoucnu rozhodovat ve věci týkající se této oblasti, jen nesnadno může tento závěr ignorovat, jakkoli není závazný pro jiné případy. Kromě toho je tento rozsudek pouze jedním z kroků dle plánu postupu Iuridicum Remedium proti právní úpravě Data Retention v právním řádu ČR, lze tedy očekávat další právní kroky.  

Obecně však platí to, co uvedl Nejvyšší soud v závěru odůvodnění, v bodě, v němž se soud tak trochu omlouvá za to, jak rozhodl, a uvádí, že nemohl rozhodnout jinak. Kromě možných diskusí o nové úpravě Data Retention na úrovni EU je známo, že taktéž v ČR diskutují příslušná ministerstva o možnosti novelizovat zákon o elektronických komunikacích, v reakci na diskutovaný rozsudek Nejvyššího soudu.

Obecně k plošným a nerozlišujícím zpracováním osobních údajů

Je nutno si uvědomit, že provozní a lokalizační údaje elektronických komunikací jsou pouze jedním z případů plošného a nerozlišujícího zpracování osobních údajů značného množství osob, k nimž v současnosti dochází dle právního řádu ČR, zpravidla založeného na právu unijním. Jde např. o plošné zpracování osobních údajů povinnými systémy v osobních automobilech, plošné zpracování údajů leteckých cestujících, plošné zpracování osobních údajů systémy dopravních kamer a další (Podrobně k těmto případům viz UŘIČAŘ, M. Soukromí v digitální době. 1. vydání. Praha: C. H. Beck, 2025.. Ostatně, z některých těchto případů je zřejmé, že lokalizační údaje konkrétních osob jsou v současnosti generovány (a plošně uchovávány) i mimo oblast elektronických komunikací.

Nerad bych však zakončil tento text pesimisticky. Ve vztahu k plošným zpracováním osobních údajů a zejména k využívání takto zpracovávaných údajů existují efektivní kontrolní mechanismy. Mnohé z nich se vyvinuly právě v oblasti elektronických komunikací, byť v současnosti mnohdy nejsou v platné právní úpravě důsledně zakotveny a v důsledku toho ani v praxi aplikovány. Za jeden z takových mechanismů osobně považuji pravidelné zveřejňování statistických údajů o celkovém množství uchovávaných údajů a o počtech žádostí o tyto údaje oprávněnými orgány, který lze uplatnit nejen v oblasti elektronických komunikací, nýbrž i v dalších oblastech plošných zpracování. Takovéto zveřejněné statistiky nijak nenarušují práci oprávněných orgánů, přitom však umožňují velmi snadnou veřejnou kontrolu celkové míry zásahů do práva na ochranu soukromí prostřednictvím diskutovaných povinných plošných zpracování.

‍