VII.
Hlediska ústavněprávního přezkumu zákonné úpravy
127. Ústavní soud musel předně vymezit hlediska ústavněprávního přezkumu, jež jsou relevantní pro posouzení zákonné úpravy NZIS. Agregace a uchovávání osobních dat pacientů, k němuž při naplňování zákonem stanovených cílů NZIS dochází, se bezprostředně dotýká ústavně zaručených práv týkajících se ochrany soukromí a osobních údajů, jež jsou zakotvena v čl. 7 odst. 1 a čl. 10 odst. 2 a 3 Listiny. V posuzované věci jde přitom primárně o tzv. právo na informační sebeurčení (čl. 10 odst. 3 Listiny), jež chrání jednotlivce před neoprávněným shromažďováním, zveřejňováním anebo jiným zneužíváním údajů o jeho osobě [srov. mutatis mutandis body 46 a 47 odůvodnění nálezu ze dne 14. 5. 2019 sp. zn. Pl. ÚS 45/17 (161/2019 Sb.)]. Soukromí představuje jeden ze stěžejních prvků svobody jednotlivce, která patří mezi nejdůležitější hodnoty demokratického státu (viz čl. 1 a čl. 2 odst. 3 Listiny a čl. 2 odst. 4 Ústavy), a jeho ochrana se projevuje v mnoha různých aspektech, o čemž svědčí komplexní zakotvení ochrany soukromí v ustanoveních Listiny, v mezinárodních smlouvách i v právu EU.
128. Právo na respektování soukromého života je tak obsaženo též v čl. 8 Úmluvy o ochraně lidských práv a základních svobod (č. 209/1992 Sb.) a v čl. 17 odst. 1 Mezinárodního paktu o občanských a politických právech (č. 120/1976 Sb.). Ochraně práva na soukromý život se pak zvláště věnuje Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat. Úmluva o lidských právech a biomedicíně speciálně upravuje v čl. 10 odst. 1 a 2 právo každého na ochranu soukromí ve vztahu k informacím o svém zdraví a oprávnění každého znát veškeré informace shromažďované o jeho zdravotním stavu. Úmluva o právech osob se zdravotním postižením (č. 10/2010 Sb. m. s.) ukládá státu zachovávat důvěrnost osobních informací a informací týkajících se zdravotní a rehabilitační péče o osoby se zdravotním postižením, na rovnoprávném základě s ostatními (čl. 22 odst. 2), přičemž postupy získávání a uchovávání informací v podobě statistických dat a výsledků výzkumů musí respektovat jednak zákonem stanovené záruky, včetně záruk vyplývajících ze zákonů o ochraně osobních údajů, s cílem zajistit důvěrnost dat a respektování soukromí osob se zdravotním postižením, jednak mezinárodně uznávané normy na ochranu lidských práv a základních svobod a etické principy získávání dat a využívání statistických údajů (čl. 31 odst. 1); stát současně musí převzít odpovědnost za distribuci těchto statistických dat a zajistit jejich přístupnost pro osoby se zdravotním postižením a další osoby (čl. 31 odst. 3).
129. Právo každého na ochranu osobních údajů, které se ho týkají, zakotvuje rovněž Listina základních práv Evropské unie, která v této souvislosti stanoví, že tyto údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má rovněž právo na přístup k údajům, které o něm byly shromážděny, a na jejich opravu (čl. 8 odst. 1 a 2). Daná ustanovení Listiny základních práv Evropské unie jsou použitelná toliko v případech, kdy Česká republika uplatňuje právo Evropské unie (srov. omezující klauzuli v čl. 51 odst. 1 Listiny základní práv Evropské unie). Tím však není vyloučeno, aby Listina základních práv Evropské unie byla používána jako referenční kritérium pro členské státy Evropské unie také v jejich ryze vnitrostátní působnosti (Arnold, R. In Tichý, L, Arnold, R., Zemánek, J., Král, R., Dumbrovský, T. Evropské právo. 5. vydání. Praha: C. H. Beck, 2014, s. 108).
130. Na úrovni sekundárního práva pak pravidla týkající se ochrany fyzických osob v souvislosti se zpracováním osobních údajů a ochranu práva na ochranu osobních údajů upravuje nařízení (čl. 1 odst. 1 a 2), které zakazuje zpracování osobních údajů o zdravotním stavu, vyjma v něm taxativně uvedených případů (čl. 9 odst. 1 a 2). Mezi tyto výjimky - relevantní pro posuzovaný návrh - patří případy, kdy zpracování je nezbytné z důvodu významného veřejného zájmu na základě práva EU nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů [čl. 9 odst. 2 písm. g)], pro účely preventivního nebo pracovního lékařství, pro posouzení pracovní schopnosti zaměstnance, lékařské diagnostiky, poskytování zdravotní nebo sociální péče či léčby nebo řízení systémů a služeb zdravotní nebo sociální péče na základě práva EU nebo členského státu nebo podle smlouvy se zdravotnickým pracovníkem a při splnění podmínek a záruk uvedených v čl. 9 odst. 4 nařízení [čl. 9 odst. 2 písm. h)], z důvodů veřejného zájmu v oblasti veřejného zdraví, jako je ochrana před vážnými přeshraničními zdravotními hrozbami nebo zajištění přísných norem kvality a bezpečnosti zdravotní péče a léčivých přípravků nebo zdravotnických prostředků, na základě práva EU nebo členského státu, které stanoví odpovídající a zvláštní opatření pro zajištění práv a svobod subjektu údajů, zejména služebního tajemství [čl. 9 odst. 2 písm. i)] a pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely v souladu s čl. 89 odst. 1 nařízení na základě práva EU nebo členského státu, které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky pro ochranu základních práv a zájmů subjektu údajů [čl. 9 odst. 2 písm. j)]. Pro účely uvedené v čl. 9 odst. 2 písm. h) nařízení mohou být tyto osobní údaje zpracovávány pouze pracovníkem vázaným služebním tajemstvím nebo na jeho odpovědnost podle práva EU nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány či jinou osobou, na niž se rovněž vztahuje povinnost mlčenlivosti podle práva EU nebo členského státu nebo pravidel stanovených příslušnými vnitrostátními orgány (čl. 9 odst. 3). Členské státy mohou zachovat nebo zavést další podmínky, včetně omezení, pokud jde o zpracování genetických údajů, biometrických údajů či údajů o zdravotním stavu (čl. 9 odst. 4).
131. Na nařízení navazuje zákon o zpracování osobních údajů, který "k naplnění práva každého na ochranu soukromí upravuje práva a povinnosti při zpracování osobních údajů" (§ 1). Zákon v § 16 odst. 1 ukládá správci nebo zpracovateli povinnost zajistit při zpracování osobních údajů za účelem vědeckého nebo historického výzkumu nebo pro statistické účely dodržování konkrétních (příkladmo vyjmenovaných) opatření k ochraně zájmů subjektu údajů, která odpovídají stavu techniky, nákladům na provedení, povaze, rozsahu, kontextu a účelům zpracování i různě pravděpodobným a závažným rizikům pro práva a svobody fyzických osob. Současně stanoví, že pokud to umožňuje dosáhnout uvedeného účelu, osobní údaje uvedené v čl. 9 odst. 1 nařízení - tedy i údaje o zdravotním stavu - správce nebo zpracovatel dále zpracovává v podobě, která neumožňuje identifikaci subjektu údajů, ledaže tomu brání oprávněné zájmy subjektu údajů.
132. Ústavní soud se již v minulosti k podstatě práva na ochranu soukromí v jeho nejširším smyslu opakovaně vyjádřil a například v nálezu sp. zn. Pl. ÚS 24/10 ze dne 22. 3. 2011 (N 52/60 SbNU 625; 94/2011 Sb., bod 29) zdůraznil, že "právo na respekt k soukromému životu zahrnuje i garanci sebeurčení ve smyslu zásadního rozhodování jednotlivce o sobě samém. Jinými slovy, právo na soukromí garantuje rovněž právo jednotlivce rozhodnout podle vlastního uvážení, zda, popř. v jakém rozsahu, jakým způsobem a za jakých okolností mají být skutečnosti a informace z jeho osobního soukromí zpřístupněny jiným subjektům. Jde o aspekt práva na soukromí v podobě práva na informační sebeurčení, výslovně garantovaný čl. 10 odst. 3 Listiny". V nálezu sp. zn. Pl. ÚS 32/15 ze dne 6. 12. 2016 (N 232/83 SbNU 605; 40/2017 Sb.) nicméně Ústavní soud současně zdůraznil, že právo na informační sebeurčení nepředstavuje absolutní, bezvýjimečnou garanci zákazu veřejné moci shromažďovat, zveřejňovat nebo jiným způsobem využívat údaje o soukromých osobách, když připomněl již dříve vymezené podmínky prolomení tohoto práva: "Zásah do základního práva jednotlivce na soukromí v podobě práva na informační sebeurčení ve smyslu čl. 10 odst. 3 Listiny je možný, avšak jen skrze takovou zákonnou úpravu, která musí především odpovídat nárokům plynoucím z principu právního státu a která naplňuje požadavky vyplývající z testu proporcionality, kdy v případech střetů základních práv či svobod s veřejným zájmem, respektive s jinými základními právy či svobodami je třeba posuzovat účel (cíl) takového zásahu ve vztahu k použitým prostředkům, přičemž měřítkem pro toto posouzení je zásada proporcionality. Taková právní úprava musí být přesná a zřetelná ve svých formulacích a dostatečně předvídatelná, aby potenciálně dotčeným jednotlivcům poskytovala dostatečnou informaci o okolnostech a podmínkách, za kterých je veřejná moc oprávněna k zásahu do jejich soukromí, aby případně mohli upravit své chování tak, aby se nedostali do konfliktu s omezující normou. Rovněž musí být striktně definovány i pravomoci udělené příslušným orgánům, způsob a pravidla jejich provádění tak, aby jednotlivcům byla poskytnuta ochrana proti svévolnému zasahování. Posouzení přípustnosti daného zásahu z hlediska zásady proporcionality (v širším smyslu) pak zahrnuje tři kritéria. Prvním z nich je posouzení způsobilosti naplnění účelu (nebo také vhodnosti), přičemž je zjišťováno, zda je konkrétní opatření vůbec schopno dosáhnout zamýšleného cíle, jímž je ochrana jiného základního práva nebo veřejného statku. Dále se pak jedná o posouzení potřebnosti, v němž je zkoumáno, zda byl při výběru prostředků použit ten prostředek, který je k základnímu právu nejšetrnější. A konečně je zkoumána přiměřenost (v užším smyslu), tj. zda újma na základním právu není nepřiměřená ve vazbě na zamýšlený cíl, tzn., že opatření omezující základní lidská práva a svobody nesmějí, jde-li o kolizi základního práva či svobody s veřejným zájmem, svými negativními důsledky převyšovat pozitiva, která představuje veřejný zájem na těchto opatřeních" [viz bod 37 nálezu sp. zn. Pl. ÚS 24/10; dále srov. bod 56 nálezu sp. zn. Pl. ÚS 32/15 a též body 83, 85, 86 a 88 odůvodnění nálezu sp. zn. Pl. ÚS 26/16 ze dne 12. 12. 2017 (N 227/87 SbNU 597; 8/2018 Sb.)].
133. Současně Ústavní soud přiměřeně vyšel ze závěrů, ke kterým dospěl v navrhovatelkou opakovaně dovolávaném nálezu sp. zn. Pl. ÚS 1/12, v němž podrobil ústavněprávnímu přezkumu předchozí právní úpravu NRZP jako nedílné součásti NZIS. V bodu 304 odůvodnění tohoto nálezu Ústavní soud poznamenal: "Efektivní ochrana práv jednotlivce, jehož osobní údaje jsou bez jeho souhlasu zpracovávány, musí dbát toho, že s ohledem na míru citlivosti může mít zveřejnění těchto údajů pro dotčenou osobu zásadní a neodstranitelné důsledky, které nebude možné žádným způsobem dodatečně plně kompenzovat. Typicky půjde např. o otázky zdravotního stavu nebo majetkových poměrů. Skutečnost, že někdo má přístup k těmto údajům, tak musí být odůvodněna konkrétním účelem. Zákon musí v každém případě jasně definovat okruh osob, jež mají k jednotlivým údajům přístup, v jakém rozsahu jej mají a za jakých podmínek. Zároveň by měl stanovit nejen dostatečné garance, které budou zamezovat neoprávněnému přístupu nebo zneužití oprávněného přístupu (např. povinnost mlčenlivosti), ale v tomto směru i příslušné sankce (srov. v této souvislosti např. závěry Evropského soudu pro lidská práva v rozsudku ze dne 17. prosince 2009 ve věci stížnosti Bouchacourt proti Francii č. 5335/06, body 67 až 69). Jako jednu z garancí nakonec nelze opominout ani povinnost, aby byl údaj veden jen po nezbytnou dobu a poté byl smazán nebo anonymizován, tedy zachováván bez možnosti zjištění jeho subjektu."
134. Pro posuzovanou věc je taktéž podstatný závěr vyjádřený v bodě 316 odůvodnění nálezu sp. zn. Pl. ÚS 1/12, ve kterém Ústavní soud zdůraznil: "Povinné zveřejňování údajů o tom, že určitá osoba vykonává (a tím i splňuje podmínky pro) zdravotnické povolání, jakou má k tomuto výkonu kvalifikaci, jakou má specializaci a kde působí, umožňuje každému ověřit si, zda mu služby poskytuje osoba, která k tomu splňuje všechny právními předpisy stanovené podmínky. Vykonavatelé těchto povolání si musí být vědomi toho, že ačkoliv výkon jejich činnosti slouží ochraně života a zdraví pacienta, jsou s ním rovněž spojena i významná rizika (typicky nesprávné provedení určitého zákroku), a proto možnost ověření si jejich kvalifikace je třeba vnímat jako legitimní prostředek ochrany pacientů." V návaznosti na to Ústavní soud v bodě 317 odůvodnění uvedl, že citované závěry sice odůvodňují zveřejňování některých údajů, nikoliv však údajů všech, neboť v případě "data a místa narození či státního občanství, stejně jako u nezveřejňovaného rodného čísla či místa obvyklého pobytu, se jedná o osobní údaje, u nichž nelze dovodit žádný důvod, pro který by měly být v případě všech uvedených pracovníků veřejně přístupné. To platí i pro evidenci údajů o ztrátě oprávnění k výkonu zdravotnického povolání, o ztrátě zdravotní způsobilosti, ztrátě bezúhonnosti a délce období, na které je výkon činnosti zakázán. Má-li být účelem zveřejnění možnost ověřit si informaci, zda zdravotnický pracovník skutečně splňuje všechny zákonné podmínky pro výkon svého povolání, pak je dostatečně vypovídající již skutečnost, že je v tomto registru veden. Pokud je ale splňovat přestal, respektive přestal vykonávat činnost, pak není důvod jeho údaje zpřístupňovat. Tyto skutečnosti postačí uvést bez dalších konkretizací, tedy bez jakéhokoliv údaje vztahujícího se ke ztrátě bezúhonnosti nebo zdravotní způsobilosti".
135. Současně však nelze přehlížet, že výše uvedené právo na ochranu soukromí ve svém nejširším slova smyslu může kolidovat s ústavně zaručeným právem na ochranu zdraví podle čl. 31 Listiny. Jak ve svém nálezu ve věci zákazu kouření v restauracích [nález ze dne 27. 3. 2018 sp. zn. Pl. ÚS 7/17 (N 55/88 SbNU 727; 81/2018 Sb.)] konstatoval Ústavní soud, "ochrana lidské svobody bez ochrany lidského života, zdraví a životního prostředí, které život i jeho svobodu umožňuje, by postrádala smysl. Zpráva na ochranu zdraví (čl. 31 Listiny) vyplývá pozitivní povinnost státu konat a chránit zdraví nejrůznějšími potřebnými opatřeními ... Je povinností státu, aby za účelem zajišťování a naplnění práva na ochranu zdraví ... přijal adekvátní opatření, mimo jiné i prostřednictvím zlepšování všech stránek vnějších životních podmínek. V případech přesahujících právní sféru jednotlivce má stát povinnost chránit zdraví i proti vůli dotčených osob". Nositelem ústavního práva na ochranu zdraví je přitom každý člověk, na rozdíl od práva na bezplatnou zdravotní péči na základě veřejného pojištění, jež je ústavně zaručeno pouze občanům České republiky [nález ze dne 3. 5. 2017 sp. zn. Pl. ÚS 2/15 (N 69/85 SbNU 193; 185/2017 Sb.)].
136. Rovněž v nynější věci se Ústavní soud musí zaměřit na to, zda zákonodárce respektoval zásadu přiměřenosti a dosáhl spravedlivé rovnováhy mezi soupeřícími zájmy. K tomu lze tradičně použít test proporcionality, který zahrnuje tři kritéria. Prvním z nich je posouzení způsobilosti naplnit sledovaný legitimní cíl (kritérium vhodnosti). Zjišťuje se, zda konkrétní opatření může dosáhnout zamýšleného cíle, kterým je ochrana jiného než omezeného základního práva nebo ochrana veřejného statku. Dalším kritériem je posouzení nezbytnosti. V jeho rámci se zkoumá, zda byl při výběru vhodných prostředků použit ten prostředek, který jek omezenému základnímu právu nejšetrnější. Jako poslední je třeba posoudit přiměřenost (v užším smyslu), tj. zda újma na základním právu není nepřiměřená ve vazbě na sledovaný legitimní cíl. Opatření omezující základní lidská práva a svobody nesmějí svými negativními důsledky převyšovat pozitiva, která přináší kolidující zájem na přijetí těchto opatření.