II.
Argumentace navrhovatelky
5. Úvodem návrhu navrhovatelka konstatuje, že NZIS tvoří katalog registrů, v nichž jsou podle kritéria předmětu informace hromaděna data o poskytovatelích zdravotních služeb, o zdravotnických pracovnících, o pacientech a jejich diagnózách a o poskytnutých hrazených službách. Fakticky však neuvedl registry v život zákon o zdravotních službách, ale jsou historickým reliktem centrálně řízeného zdravotnictví, kdy mělo právo na soukromí v podobě ochrany dat zcela okrajový význam. Ani později, v 90. letech 20. století, nebyla problematice registrů věnována významnější pozornost. Až v roce 2001 došlo k formálnímu zakotvení existujících registrů do tehdy platného zákona č. 20/1966 Sb., o péči o zdraví lidu, a to s ohledem na přijetí zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, (dále jen "zákon o ochraně osobních údajů") a Úmluvu na ochranu lidských práv a důstojnosti lidské bytosti v souvislosti s aplikací biologie a medicíny: Úmluvu o lidských právech a biomedicíně (č. 96/2001 Sb. m. s.), jakož i potřebu se přizpůsobit evropské ochraně dat před vstupem do Evropské unie (dále též jen "EU"). V roce 2011 bylo původní řešení registrů bez koncepčních změn víceméně "překlopeno" ze zrušeného zákona o péči o zdraví lidu do zákona o zdravotních službách. Podle navrhovatelky si tak metodika vedení registrů zachovává "celkově paternalistický duch", kdy se berou jen minimální ohledy na ochranu práv těch, o nichž jsou data zpracovávána, včetně práv základních.
6. Navrhovatelka připomíná, že úprava registrů obsažená v zákoně o zdravotních službách byla ještě v době legisvakance zákona předložena Ústavnímu soudu, který nálezem ze dne 27. 11. 2012 sp. zn. Pl. ÚS 1/12 (N 195/68 SbNU 333; 437/2012 Sb.) zrušil NRZP. Dospěl totiž k závěru, že příslušná právní úprava stanoví veřejný přístup k zpracovávaným osobním údajům v takovém rozsahu a po takovou dobu, které nelze odůvodnit žádným ústavně aprobovaným účelem, a stejně tak nelze takový účel dovodit ani u oprávnění některých subjektů, jejichž pracovníkům má ministerstvo vymezit rozsah přístupových práv.
7. Právní důvody, které vedly ke zrušení NRZP, podle navrhovatelky dopadají i na pacientské registry a vůbec na některé aspekty vedení NZIS. Je pravda, že formálně bylo v řízení sp. zn. Pl. ÚS 1/12 navrženo přezkoumat zákon o zdravotních službách jako celek, avšak Ústavní soud do meritorního přezkumu "pustil" jen námitky týkající se NRZP, jelikož věcná argumentace navrhovatele byla namířena pouze proti této části zákona. K jakémukoliv pozdějšímu návrhu ovšem Ústavní soud výslovně uvedl, že nález nad rámec provedeného přezkumu NRZP nevytváří vůči § 70 až 78 zákona o zdravotních službách překážku věci rozhodnuté, a tedy nic nebrání, aby byl proti těmto ustanovením podán nový návrh.
8. Z formulací obsažených v odůvodnění nálezu Ústavního soudu sp. zn. Pl. ÚS 1/12, obsahujících východiska nazírání na nároky právní ochrany při shromažďování dat, je podle navrhovatelky patrné, že by Ústavní soud hodnotil kriticky i jiná ustanovení týkající se NZIS a že mělo jít o varování legislativě, že nebude-li využita šance napravit daný stav při přípravě nového registru zdravotnických pracovníků, pak k návrhu podanému v budoucnu bude muset rušit i registry další. Ministerstvo však tohoto varování nedbalo, když předložilo novelu zákona, vyhlášenou jako zákon č. 147/2016 Sb., kterým se mění zákon č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění pozdějších předpisů, jíž byl do zákona zaveden zrušený NRZP zcela v duchu předchozí úpravy. Dále byly provedeny v nastavení NZIS některé drobnější změny, ale z hlediska problematického stanovení rozsahu sbíraných dat, jejich ochrany, vymezení okruhu osob, které k nim mají přístup apod., zůstala pravidla nezměněna. Naopak přibyl další registr - Národní registr hrazených zdravotních služeb (§ 77a zákona o zdravotních službách), čímž byl sběr dat dále zintenzivněn. Ministerstvo bylo touto novelu pověřeno zřídit Ústav (§ 70 odst. 3 zákona o zdravotních službách) jako správce NZIS. Uvedené změny nejenže ústavněprávní deficit původní právní úpravy neodstranily, ale naopak spíše prohloubily. K "nastavení" NZIS navrhovatelka uvádí, že napadá především samotnou koncepci sběru dat do systému, když ta je vedena nikoliv žádoucí ideou sbírat data o nemocech, ale primárně sbírat data o nemocných. V testu proporcionality by podle jejího přesvědčení napadená úprava neprošla.
9. Navrhovatelka poukazuje na některá ustanovení napadené úpravy, jež jsou podle ní klíčová, konkrétně na § 70 odst. 2 písm. a) a § 71 odst. 3, 4 a 12 zákona o zdravotních službách. Podle prvně zmíněného ustanovení se pro zpracování osobních údajů v NZIS podle odstavce 1 písm. b) a c) (tj. k vedení tam uvedených registrů a ke zpracování údajů v nich vedených) předávají bez souhlasu subjektu údajů - pacienta - jeho vyjmenované údaje, tj. údaje potřebné k jeho identifikaci, údaje související s jeho zdravotním stavem týkající se onemocnění a jeho léčby, jakož i identifikační údaje poskytovatele zdravotních služeb i posledního zaměstnavatele, u kterého pracoval pacient, u něhož vznikla nemoc z povolání. K tomu navrhovatelka namítá, že všech cílů vytyčených v § 70 odst. 1 zákona o zdravotních službách lze dosáhnout i bez identifikace pacientů pouze na základě neosobních, anonymních dat. Účel vedení jednotlivých registrů a zpracování dat v nich je podle navrhovatelky zcela nepoužitelný a nelegitimuje naprosto nic. Samotné vedení evidence je totiž zásahem do práva na informační sebeurčení, nemůže být proto účelem samo o sobě.
10. Pokud jde o ustanovení § 71 odst. 3 a 4 zákona o zdravotních službách, která vymezují rozsah shromažďovaných údajů, většinu těchto údajů považuje navrhovatelka za údaje se zdravotním stavem nijak nesouvisející ani jej nepodmiňující, a tudíž za zbytečné [mezi ně řadí např. údaje o místě, okrese a popř. i státu narození, o státním občanství, údaje o místě a době trvalého pobytu, o omezení svéprávnosti, o jméně, příjmení a rodném číslu otce, matky, popř. jiného zákonného zástupce, o rodinném stavu, datu jeho změny a místu uzavření manželství, datu a místě vzniku registrovaného partnerství, jméně, příjmení a rodném číslu manžela nebo registrovaného partnera a dítěte či údaje o osvojenci v uvedené v odst. 3 písm. o)]. Podle navrhovatelky jsou to citlivé osobní údaje a je zbytečné vystavovat jejich subjekty riziku jejich zneužití či neoprávněného přístupu k nim.
11. Úpravě pravidel následného nakládání se shromážděnými údaji, obsažené v § 71 odst. 12 (od 24. 4. 2019 v odst. 11) zákona o zdravotních službách, navrhovatelka vytýká, že v ní schází bližší upřesnění, kdo konkrétně má k jednotlivým datům přístup, jak s nimi bude nakládat, jaké mají subjekty údajů záruky před neoprávněným nakládáním, jaký je mechanismus nápravy v případě, že některá data budou postupována bezdůvodně či neoprávněně atd. Jediným korektivem je pravidlo obsažené v § 71 odst. 11 (nyní odst. 10), dle něhož v konkrétním případě lze z poskytovaných či zjišťovaných údajů použít vždy jen takové údaje, které jsou nezbytné ke splnění daného úkolu. Za závažný deficit považuje navrhovatelka i to, že zcela chybí úprava možnosti subjektu údajů domáhat se, aby byla některá o něm shromažďovaná data vymazána.
12. Co se týče NRZP, napadená úprava opustila jeho účel, aprobovaný nálezem Ústavního soudu sp. zn. Pl. ÚS 1/12, jímž byla "možnost veřejnosti ověřit si kvalifikaci osoby, která jí poskytuje zdravotní službu". Je-li nyní tento registr konstruován jako neveřejný, zmizel tím zřejmě jediný smysl, proč jej vést takovým způsobem, aby údaje v něm byly ztotožnitelné s konkrétními osobami. Podle navrhovatelky je taktéž nepřiměřený a zbytečný rozsah v něm shromažďovaných údajů. Současně nová úprava opomněla stanovit časový limit, po který budou údaje o zdravotnických pracovnících evidovány, a nestanovila žádná pravidla pro jejich vymazání ani podmínky, za kterých se může vymazání údajů domáhat sám jejich subjekt.
13. Jde-li o tzv. pacientské registry, ty se podle navrhovatelky dle napadené úpravy vytvářejí a plní zcela bez ohledu na souhlas či nesouhlas toho, koho se data týkají. Za legitimní považuje navrhovatelka sběr statistických dat, tj. anonymizovaných, nikoli osobních, jež jsou zpracovávána pro potřebu ministerstva a k nimž mohou mít přístup i soukromé osoby (vědci, poskytovatelé zdravotních služeb, pacientská veřejnost); k tomuto shromažďování není třeba souhlasu pacientů, protože z předaných údajů nelze identifikovat konkrétního jedince. Oproti tomu sběr citlivých dat o průběhu a výsledcích léčby je ústavněprávně korektním jen se souhlasem pacienta (byť např. i v podobě souhlasu předpokládaného s možností "opting-out ") a bez něj jen ve výjimečných případech, v nichž existuje silný veřejný zájem na shromažďování dat o cílené léčbě vážného onemocnění s úzce v zákoně vymezeným účelem využití těchto dat a s přísným zabezpečením. Zákonodárce však nevolil šetrnější cestu presumovaného souhlasu s tím, že by byly zakotveny podmínky a pravidla pro vyslovení nesouhlasu dotčených osob se shromažďováním dat a pro postup vedoucí k jejich výmazu. Na úpravu jakékoliv možnosti dosáhnout výmazu vybraných dat na žádost jejich subjektu zákon vůbec nemyslel. Stejně tak zákon nezakotvuje žádné záruky před neoprávněným přístupem k datům a před jejich případným zneužitím ani žádná opatření k nápravě, kdyby se tak stalo. Důvodem svědčícím proti akceptování sběru tohoto typu dat bez souhlasu pacienta je i to, že jednotlivé registry jsou zavedením Národního registru hrazených zdravotních služeb, sdružujícím osobní data, propojeny. Vytváří se tak ohromná databáze hromadící data velmi dlouhou dobu, aniž by bylo zřejmé, že to je nutné. Nedostatečně a vágně je přitom definován zejména okruh osob, které mají k těmto datům přístup, v zákoně nejsou nastaveny žádné záruky proti zneužití, alespoň v podobě povinnosti mlčenlivosti nebo sankcí. Podle navrhovatelky je vedení takovéto databáze jako neanonymní vedle běžné zdravotní dokumentace zbytečné, nevhodné a nešetrné. Není jediný důvod, pro který by mohl zájem na vytvoření takové databáze převážit nad právem pacientů rozhodovat o nakládání s údaji o jejich osobě. Mělo-li by být účelem sběru dat pacientů řízení kvality nemocnic, k tomuto účelu registry nejsou a nemají být určeny, neboť "k řízení individuální kvality" jsou určeny jiné zákonné nástroje a instituce, konkrétně zdravotní pojišťovny (a jejich revizní lékaři), zřizovatelé nemocnic, krajské úřady, profesní komory, subjekty provádějící hodnocení kvality (akreditátoři licencovaní ministerstvem) a Státní ústav pro kontrolu léčiv (dále jen "SÚKL"). Rolí ministerstva je tyto procesy "supervizovat" a zajistit jejich fungování, nikoliv suplovat jejich funkce tím, že si pro řízení kvality zřídí další obrovskou databázi dat.
14. Ohledně Národního registru hrazených zdravotních služeb navrhovatelka namítá, že jde-li o sběr dat pro potřeby řízení úhrad zdravotních služeb, je systém úhrad založen na zdravotních pojišťovnách a zajištění dostupnosti hrazené péče i financování smluvní sítě poskytovatelů je jejich povinností, nikoli ministerstva. V situaci, kdy data o úhradách shromažďují zdravotní pojišťovny, nelze vidět žádný legitimní důvod na zdvojení databáze v podobě uvedeného zdravotnického registru. Kromě toho je navrhovatelka přesvědčena, že nelze "vyvést" ("outsourcovat") dohled nad úhradami či tvorbu úhradových mechanismů z politicky vedeného ministerstva na nepříslušný statistický úřad a vybavovat jej za tím účelem rozsáhlým přístupem k osobním datům. Požadovaného cíle lze dosáhnout, aniž budou sbírána data bez souhlasu jejich subjektů.
15. Konečně navrhovatelka poukazuje i na § 78 zákona o zdravotních službách, jenž svěřuje podzákonnému předpisu stanovit vyjmenované podrobnosti vedení zdravotnických registrů. Poukazuje přitom na písmeno d), podle něhož jsou to i náležitosti žádosti o oprávnění k přístupu k osobním údajům a dalším údajům vedeným ve zdravotnických registrech a o zrušení tohoto oprávnění. Podle navrhovatelky je toto zmocnění nedostatečné za situace, kdy § 73 odst. 2 zákona o zdravotních službách vymezuje okruh osob oprávněných přistupovat k údajům vedeným ve zdravotnických registrech toliko široce a neurčitě tak, že to je "oprávněný pracovník". Přesné vymezení okruhu osob oprávněných k přístupu k datům je z hlediska ochrany ústavního práva stěžejní. Zákon o zdravotních službách podle navrhovatelky "oprávněného pracovníka" nedefinuje, fakticky to tedy přenechává podzákonnému předpisu, což je nepřijatelné.
16. K § 41a odst. 1 zákona č. 48/1997 Sb. navrhovatelka uvádí, že jeho zrušení musí být nutným důsledkem derogace právní úpravy NZIS. Současně se navrhovatelka domnívá, že výstupy Ústavu vytvořené na základě dat zpracovaných v rozporu se základními právy dotčených subjektů nutně musí být taktéž ústavněprávně vadné. Navrhovatelka v této části návrhu vytýká též neexistenci zákonných pravidel výpočtu nákladovostí, což znamená zejména, že: není zřejmé, zda budou započteny též investiční náklady poskytovatelů zdravotních služeb či nikoliv; vstupní data budou zatížena chybovostí vyplývající z toho, že se poskytovatelé při poskytování i vykazování péče přizpůsobují každoročně sjednávaným úhradovým dodatkům, které se mezi sebou podstatně liší; u zdravotnických prostředků chybí dostatečná právní úprava jejich úhrad, není tak zřejmé, zda bude uznatelným nákladem tržní cena či vykazovaná číselníková cena; u léčiv není zřejmé, jak se ve výpočtu nákladovostí zohlední rozdílné ceny původce, marže, vykazované ceny a refundace mezi některými výrobci a zdravotními pojišťovnami; pro nedořešené předpisy o kvalifikacích lékařů a ostatních zdravotnických pracovníků a pro markantní rozdíly v personálním zajištění mezi centrem a regiony není zřejmé, jak bude kalkulována personální nákladovost. Po právní stránce není vyjasněn ani vztah činnosti Ústavu při tvorbě Klasifikace hospitalizovaných pacientů IR-DRG (Mezinárodní zpřesněné skupiny vztažené k diagnóze - dále jen "IR-DRG") a určení relativní nákladovosti skupin ke stávajícím metodikám výpočtu úhrad zdravotních výkonů, tedy ke stávajícím procesům dohodovacího řízení, k tvorbě seznamu zdravotních výkonů s bodovými hodnotami, k vydávání úhradových vyhlášek, k procesu tvorby úhrad léčiv či k individuálním úhradovým dodatkům. V předmětném ustanovení zákona chybí jakákoliv kritéria stanovení nákladovosti, jimiž by se musel Ústav řídit, jakákoliv pravidla procesu ochrany práv a nároků poskytovatelů s možností odvolání či jakákoliv opatření proti libovůli a podjatosti Ústavu jako zpracovatele rozhodných dat. Ústav takto zasahuje do soutěže některých poskytovatelů zdravotních služeb, neboť jejich hospodaření je bezprostředně ovlivněno výpočtem nákladovosti, aniž by ovšem proti těmto výstupům mohli využít jakoukoliv institucionalizovanou ochranu ve smyslu čl. 36 odst. 1 a 2 Listiny; v této souvislosti navrhovatelka poukazuje na nález sp. zn. Pl. ÚS 36/05 ze dne 16. 1. 2007 (N 8/44 SbNU 83; 57/2007 Sb.) s tím, že napadené ustanovení by mělo být zrušeno ze stejných důvodů, pro které bylo tímto nálezem zrušeno i zmocnění pro vydávání "lékové vyhlášky" a stanovování úhrad léčiv v tzv. kategorizační komisi.
17. Závěrem navrhovatelka navrhla odložit vykonatelnost nálezu na dobu přiměřenou pro přijetí nové právní úpravy, která by odpovídala požadavkům ústavnosti.
18. Podáním doručeným Ústavnímu soudu dne 12. 5. 2020 navrhovatelka svůj návrh doplnila a rozšířila jeho petit s ohledem na novelizace zákona o zdravotních službách a zákona č. 48/1997 Sb., provedené zákony č. 192/2016 Sb., č. 290/2017 Sb., č. 282/2018 Sb. a č. 111/2019 Sb., které byly přijaty po podání návrhu. K dopadu těchto novelizací navrhovatelka uvedla, že důvody derogačního návrhu stojí na tom, že celá napadená část zákona o zdravotních službách upravující NZIS tvoří ucelený soubor pravidel, z něhož lze vytrhávat jednotlivá ustanovení bez dopadu na celek jen obtížně. Proto je navrhována ke zrušení jako celek. Je přitom zcela evidentní, že žádná z provedených novelizací se nedotkla ani celkové koncepce sběru dat do systému v aspektech kritizovaných navrhovatelkou, ani jednotlivých dílčích pravidel nastavení jednotlivých registrů. Rozpor nastavení NZIS s ústavními pravidly tak nadále trvá, neboť žádná ze schválených změn nereagovala na žádnou z výhrad, které navrhovatelka vůči zdravotnické databázi vznesla. Pokud jde o § 41a odst. 1 zákona č. 48/1997 Sb., tak ani po účinnosti novely provedené zákonem č. 192/2016 Sb. (správně: zákonem č. 282/2018 Sb. - pozn. Ústavního soudu) se na jeho provázanosti s právní úpravou NZIS nic nemění, ustanovení doznalo jen bezvýznamné terminologické změny v označení Ústavu. Novelizací se nezměnilo nic ani na tom, že koncepce systému je vedena ideou sbírat data primárně nikoliv o nemocech, ale o nemocných. Beze změny totiž zůstal sběr citlivých neanonymizovaných dat o průběhu a výsledcích léčby konkrétních nemocných pacientů bez jejich souhlasu. Nadále nejsou vymezeny výjimečné případy, kdy mimořádně silný veřejný zájem na shromažďování dat o cílené léčbě vážných nemocí převáží nad požadavkem souhlasu subjektu údajů. Beze změny zůstává vágní definice okruhu osob, které se mohou s těmito daty seznamovat, jakož i absence garancí proti zneužití dat (navrhovatelka poukazuje zejména na aktuální úspěšné útoky hackerů na informační systémy zdravotnických zařízení). Beze změn zůstal rovněž vadný sběr dat o pacientech za účelem řízení kvality nemocnic a úhradového systému, když pro tyto procesy již jsou data pacientů sbírána do jiných systémů, a vytváření další databáze dat pacientů - bez jejich souhlasu - je nadbytečné. Do § 70 zákona o zdravotních službách zasáhly novelizace jen okrajově, když do odstavce 3 bylo doplněno, že v čele Ústavu stojí ředitel a do odstavce 4 přibyly další dvě organizační složky státu předávající data do NRZP. Novelami nedotčena zůstala problematická ustanovení § 71 odst. 3 a 4 zákona o zdravotních službách, která stanoví rozsah osobních údajů poskytovaných do databáze Ústavu. Rovněž NRZP zůstává z hlediska kritizovaných aspektů beze změn, naopak novelizace provedená zákonem č. 111/2019 Sb. shromažďovaná data rozšířila o další, a to o číslo diplomu, o druh pracovního poměru a rozsah týdenní pracovní doby a o záznamy o zápisu do seznamu členů komory. Přístup k údajům získalo po novele navíc Ministerstvo práce a sociálních věcí a dále osoby, které do registru předávají data, a to v rozsahu těchto předávaných dat. Plíživě tedy jak rozsah databáze, tak i okruh osob, jimž je přístupná, dále rostou. Co do namítaného nesouladu pacientských registrů se základními právy taktéž novely nepřinesly žádnou změnu, naopak novela č. 111/2019 Sb. přidala mezi data poskytovaná Ústavu informace o úmrtí pacienta. Jinak je databáze nadále vedena bez podmínky souhlasu pacienta, a to jako neanonymizovaná, bez záruk ochrany před neoprávněným přístupem k datům a jejich zneužitím. Aktuální nadále zůstávají i výhrady vůči § 77a zákona o zdravotních službách; také v tomto případě byla zákonem č. 290/2017 Sb. rozšířena zpracovávaná data o údaje o pohlaví pojištěnců a o kód obce adresy místa pobytu pojištěnce. Nahrazení identifikačního čísla pojištěnce agendovým identifikátorem fyzické osoby (dále jen "AIFO") je změnou "kosmetickou". Novelami zůstalo nedotčeno i zmocňovací ustanovení § 78 zákona o zdravotních službách. Navrhovatelka proto "s ohledem na legislativní změnu" petit "jen technicky" doplnila tak, že navrhla zrušit též § 71a, 71b a 71c zákona o zdravotních službách.