Nález Ústavného súdu Slovenskej republiky č. k. PL. ÚS 25/2019-117 z 10. novembra 2021 vo veci vyslovenia nesúladu ustanovenia § 8a ods. 1 zákona č. 289/2008 Z. z. o používaní elektronickej registračnej pokladnice a o zmene a doplnení zákona Slovenskej národnej rady č. 511/1992 Zb. o správe daní a poplatkov a o zmenách v sústave územných finančných orgánov v znení neskorších predpisov v časti „unikátny identifikátor kupujúceho, ak je predložený kupujúcim pred zaevidovaním prijatej tržby“ s čl. 16 ods. 1, čl. 19 ods. 2 a 3 Ústavy Slovenskej republiky

Ak majú byť údaje zbierané podľa § 8a ods. 1 ZoERP do budúcna dostupné širšie medzi ostatnými štátnymi orgánmi, musí tak zákonodarca explicitne uviesť v kontexte týchto údajov. Nestačí pritom jednoduchá legislatívna poznámka s demonštratívnym výpočtom možných predpisov, ako to je v prípade poznámky k § 17 ods. 9 ZoERP. Poznámky pod čiarou nie sú súčasťou právneho predpisu a majú iba informatívnu hodnotu, a preto nesmú obsahovať údaje, ktoré majú normatívnu povahu. Každý ďalší prístup k údajom podľa § 8a ods. 1 ZoERP predstavuje osobitný zásah do práv, ktorý musí byť spôsobilý prieskumu ústavným súdom. To je možné len pri explicitnej zákonnej právnej úprave normatívneho charakteru.

3.1.3. Kvalitný nezávislý dohľad:

96.

Kvalitný nezávislý dohľad znamená, že musí existovať nezávislá inštitúcia, ktorá dokáže vopred odfiltrovať alebo následne korigovať prípadné nedodržiavanie rozsahu a účelu právnej normy (PL. ÚS 13/2020, bod 92). Kvalitný nezávislý dohľad nemožno vykonávať bez dostatočného udelenia oprávnení a nástrojov kontroly. S nezávislým dohľadom súvisí aj potreba transparentnosti, ktorá umožňuje verejnú kontrolu nakladania s osobnými údajmi. Bez toho, aby bolo nutné ohroziť ochranu osobných údajov jednotlivcov alebo bezpečnosť systémov, sa má verejnosť možnosť oboznámiť s rozsahom používania prístupu k spracovávaným údajom (napr. štatistické ukazovatele, typy použitia, rozsah zabezpečenia a pod.).

97.

Nad používaním údajov z e-kasy neexistuje žiadny osobitný dohľad. Úrad na ochranu osobných údajov má však všeobecnú pôsobnosť. Podľa § 29 ods. 6 ZoFS musí byť každý prístup k údajom protokolovaný, čím sa umožňuje spätná kontrola toho, kto a kedy mal prístup k akým dátam. Keďže úrad na ochranu osobných údajov má možnosť v rámci svojej kontroly skúmať aj tieto protokoly, existujú podmienky na efektívny dohľad používania údajov. Tento mechanizmus je ale efektívny len pri použitiach vo vnútri organizácie, keďže po odovzdaní údajov iným organizáciám už nedochádza k protokolovaniu z ich strany.

98.

Z čl. 35 GDPR vyplýva podľa ústavného súdu jednoznačná povinnosť vykonať posúdenie vplyvu na ochranu údajov [pozri aj Christopher Kuner, Lee A. Bygrave, Christopher Docksey and Laura Drechsler: EU General Data Protection Regulation (GDPR): A Commentary (OUP, 2019), s. 531, 665]. Ako už bolo skôr vysvetlené, je nepochybné, že v prípade systému e-kasa ide o typ spracúvania s využitím nových technológií, ktorý s ohľadom na povahu, rozsah, kontext a účely spracúvania pravdepodobne povedie k vysokému riziku pre práva a slobody fyzických osôb. Toto konštatovanie platí o to viac, ak ho finančná správa využíva na automatizované posudzovanie rizikovosti podnikateľov, a preto čl. 35 GDPR poskytuje jednu zo záruk, ktorá vyplýva zo všeobecne aplikovateľnej úpravy.

99.

Hoci čl. 35 GDPR nepredpisuje zverejnenie takéhoto posúdenia, dotknutí jednotlivci sa môžu domáhať jeho sprístupnenia podľa zákona č. 211/2000 Z. z. o slobodnom prístupe k informáciám a o zmene a doplnení niektorých zákonov (zákon o slobode informácií) v znení neskorších predpisov (ďalej len „zákon o slobode informácií“). Len tak totiž môže jednotlivec uplatniť svoje práva prostredníctvom úradu na ochranu osobných údajov, ktorý môže vidieť aj nevyčiernené časti a reálne používanie údajov na základe protokolovania podľa § 29 ods. 6 ZoFS. Sprístupnenie takéhoto posúdenia podľa čl. 35 nemožno v celku odmietnuť podľa § 9 až 11 zákona o slobode informácií s poukazom na autorské práva, ochranu dotknutých osôb alebo obchodného tajomstva. Keďže v praxi je táto otázka zjavne vysoko problematická a bráni jednotlivcom pri uplatnení ich práv [pozri situáciu opísanú v článku Šimona Chvojku: Ochrana soukromí v česko-slovenských chytrých karanténách (2021) 23. In: Revue pro právo a technologie, s. 18, poznámka pod čiarou č. 66 odkazujúca na rozhodnutie Úradu verejného zdravotníctva Slovenskej republiky č. OK/10825/2020], ústavný súd uvádza niekoľko základných východiskových bodov.

100.

Pokiaľ ide o autorské práva, ako už ústavný súd judikoval, zákon č. 185/2015 Z. z. Autorský zákon v znení neskorších predpisov (ďalej aj „autorský zákon“ alebo „AutZ“) priznáva autorom rôzne vylúčené práva k určitým spôsobom použitia ich diel tretími osobami na vopred stanovený čas. Keďže autor takto získava možnosť zakázať šíriť svoje dielo inými, na jemu zverené práva je nutné nahliadať ako na spôsob obmedzenia všeobecnej slobody prejavu (II. ÚS 647/2014, ods. 30, Funke Medien, C‑469/17, body 73 a 74; Spiegel Online, C-516/17, body 57, 58, 81, 82; Pelham, C‑476/17, bod 34; ESĽP: Ashby Donald a ďalší v. Francúzsko, 36769/08; Neij a Sunde Kolmisoppi v. Švédsko, 40397/12). V prvom rade právno-technické posúdenie podľa kritérií, ktoré uvádza čl. 35 GDPR, poskytuje len extrémne minimálny priestor na tvorivý vklad (pozri II. ÚS 647/2014, ods. 34, pozri SDEÚ, Brompton Bicycle, C‑833/18, body 24 až 27). Je preto ťažko predstaviteľné, že autorskoprávna ochrana k určitým častiam dokumentu podľa čl. 35 GDPR vôbec existuje. Autorské právo nechráni všetko, čo napíše človek, hoci aj na základe erudovanosti a rokov poctivého štúdia. Chráni len výtvory, ktoré umožňujú tvorcovi preniesť do diela odtlačok svojej osobnosti (SDEÚ, Painer, C‑145/10, ale aj II. ÚS 647/2014, bod 34 a III. ÚS 651/2016, bod 23 a nasl.). Takýto scenár je pri mechanickom právno-technickom posúdení vplyvu na ochranu osobných údajov prakticky nepredstaviteľný. Úsilie nemožno dať na úroveň autorskoprávnej tvorivosti.

101.

Navyše, akékoľvek hypotetické autorské práva externých firiem, ktoré sa prácne podieľali na príprave dokumentu, nie sú dotknuté vzhliadnutím informácie. Autorský zákon fyzické vzhliadnutie informácie nepovažuje za právne relevantné použitie diela (pozri § 18, § 19 AutZ). Autorský zákon, ak sa vôbec aplikuje, prakticky môže obmedzovať vyhotovenie kópie alebo umiestnenie diela na internete. Fyzické vzhliadnutie je možné vždy. Napokon aj keby tento dokument (resp. jeho časť) bol z osobitne tvorivých dôvodov chránený (napr. je napísaný vo veršoch), autorský zákon vylučuje mnohé predmety zo svojej ochrany pre verejný záujem [napr. právny predpis a technickú normu ako úradné dielo, ale aj posudky znalcov podľa § 5 písm. b) a h) AutZ] alebo ich podrobuje osobitným obmedzeniam práve z dôvodu verejného záujmu vrátane ochrany slobodného prístupu k informáciám (II. ÚS 647/2014, bod 35). Autorským právom sa nikdy nechráni myšlienka, „spôsob, systém, metóda, koncept, princíp, objav alebo informácia, ktorá bola vyjadrená, opísaná, vysvetlená, znázornená alebo zahrnutá do diela“ [§ 5 písm. a) AutZ], a preto aj vyhotovenie kópie autorského diela tretej osoby, hoci je autorskoprávne relevantným použitým diela, nemožno obmedziť len preto, lebo s ním držiteľ práv nesúhlasí. Práve na tieto účely autorský zákon vytvára tzv. zákonné licencie, ktoré majú umožniť vyhotovenie kópií na osobnú potrebu, účel výskumu, úradné účely, citáciu alebo informačné účely aj bez súhlasu autora (pozri napr. § 37, § 39, § 44, § 53 AutZ, pričom dielo poskytnuté orgánom verejnej moci na plnenie ich povinností je vždy zverejnené podľa § 6 AutZ). Autorské právo nestojí vzhliadnutiu alebo kopírovaniu dokumentu podľa čl. 35 GDPR v ceste. Je pritom nepodstatné, čo stanovuje zmluva medzi orgánom verejnej moci a dodávateľom posúdenia, pretože ide o kogentné zákonné ustanovenia, t. j. autorské právo nemožno zmluvne rozšíriť alebo výnimky chrániace slobodu prejavu vylúčiť.

102.

Osobitnú situáciu bude predstavovať prípad, ak je dokument podľa čl. 35 vytvorený interne zamestnancami orgánu verejnej moci. Ak nejde o diela vylúčené z ochrany podľa § 5 písm. b) AutZ, vykonávateľom autorských práv bude zamestnávateľ, t. j. orgán verejnej moci (§ 90 AutZ). Ak by však orgán verejnej moci mohol sám sebe odmietnuť udeliť súhlas na použitie diela, napr. pre účely skopírovania dokumentu, išlo by zjavne o obchádzanie zákona a povýšenie drobného ekonomického záujmu štátu nad právo na prístup k informáciám na účely jeho kontroly. Keďže odovzdanie hoci aj kópie dokumentov neznamená možnosť ich bezbrehého použitia zo strany žiadateľa, obmedzovanie prístupu k informáciám, ak je vykonávateľom autorských práv orgán verejnej moci, by bolo zjavne neproporcionálne.

103.

Pokiaľ ide o obchodné tajomstvo, z jeho zákonnej definície rovnako vyplýva, že obsah posúdenia toho, či orgán verejnej moci spĺňa zákonné požiadavky ochrany svojich občanov, nemôže predstavovať obchodné tajomstvo. Je pochopiteľné, že externé firmy si chránia svoje know-how, za to však nemožno vydávať štruktúru, koncept a kroky posúdenia ochrany osobných údajov podľa čl. 35 GDPR. Obchodné tajomstvo nemôže chrániť bežnú aplikáciu právneho predpisu. Skutočnosti obchodnej povahy sú skôr „informácie o zákazníkoch a dodávateľoch, obchodných plánoch a výskume a stratégiách týkajúcich sa trhu“ [odôvodnenie č. 2 smernice č. 2016/943 z 8. júna 2016 o ochrane nesprístupneného know-how a obchodných informácií (obchodného tajomstva)], nie štruktúra alebo spôsob aplikovania ustanovení právneho predpisu, ktoré sú aj tak bežne prístupné osobám v kruhoch, ktoré sa dotknutým druhom informácií zaoberajú [čl. 2 ods. 1 písm. a) smernice č. 2016/943]. Aj keby dokument vytvorený na účely posúdenia toho, ako orgán verejnej moci chráni osobné údaje, mal obsahovať v nejakej časti takéto informácie, ochrana nie je absolútna. Aj bez súhlasu držiteľa práv totiž možno obchodné tajomstvo sprístupniť na účely ochrany slobody prejavu vrátane prístupu k informáciám, odhalenia pochybenia či protiprávneho konania alebo na účely ochrany oprávneného záujmu, ktorým je aj uplatnenie práv dotknutej osoby (pozri čl. 5 smernice č. 2016/943 a jeho transpozíciu v § 51 ods. 6 až 8 Obchodného zákonníka). Z toho vyplýva, že obchodné tajomstvo nemôže byť dôvodom na odmietnutie celého dokumentu podľa čl. 35 GDPR, keďže z povahy veci nejde o obchodné tajomstvo a tam, kde je aj obsiahnuté v časti dokumentu, je jeho sprístupnenie často ospravedlnené priamo zákonom aj bez súhlasu jeho držiteľa (pozri aj analogicky II. ÚS 647/2014, body 31 až 40). Napokon ostatné práva duševného vlastníctva, ako napríklad ochrana patentov alebo databáz, neprichádzajú z povahy dokumentu podľa čl. 35 GDPR do úvahy.

104.

Z už uvedeného vyplýva, že čl. 35 GDPR spolu so zákonom o slobode informácií vytvárajú dostatočné podmienky kvalitného dohľadu nad použitím údajov v rámci finančnej správy.

105.

Finančná správa sa však na existenciu záruk zo všeobecnej úpravy na ochranu osobných údajov nemôže odvolať vo vzťahu k poskytovaniu údajov externým subjektom, a teda najmä štátnym orgánom. Ako už ústavný súd (PL. ÚS. 13/2020, PL ÚS 10/2014) judikoval, ak sú údaje, ktoré predstavujú závažný alebo obzvlášť závažný zásah do práv, odovzdávané mimo organizácie vykonávajúcej zber, je nevyhnutné, aby nad týmto prístupom existoval kvalitný nezávislý dohľad. Ten musí byť upravený v zákone, ktorý tento zásah predpisuje. Nestačí preto odkaz na všeobecnú úpravu ochrany osobných údajov a všeobecnú pôsobnosť úradu na ochranu osobných údajov. Takáto právna úprava dnes chýba. Aj preto nemožno na základe ústavnokonformného výkladu údaje zo systému e-kasa poskytnúť iným štátnym orgánom.

3.1.4. Zabezpečenie vysokej úrovne ochrany a bezpečnosti:

106.

Zabezpečenie vysokej úrovne ochrany a bezpečnosti pomocou technologických a organizačných opatrení znamená, že čím sú údaje citlivejšie, tým je potrebnejšie trvať na kvalitnejších spôsoboch ochrany údajov proti zneužitiu (napr. formou asymetrického šifrovania, implementovaním certifikácie v oblasti bezpečnosti, obmedzením prístupu k údajom alebo vyškolením zodpovedných osôb). Tieto musia byť v prípade obzvlášť závažných zásahov upravené osobitne a zodpovedať najnovším vysokým štandardom používaným v odborných kruhoch (PL. ÚS 13/2020, bod 93). Na rozdiel od obzvlášť závažných zásahov do súkromia a osobných údajov, pri ktorých je nutné zabezpečiť „mimoriadne“ vysokú úroveň ochrany (PL ÚS 13/2020, bod 93), v kontexte závažných zásahov postačí zabezpečenie vysokej úrovne ochrany a bezpečnosti.

107.

V § 29 ods. 6 ZoFS existuje povinnosť finančnej správy „zabezpečiť ochranu informácií a osobných údajov pred ich neoprávneným zverejnením, poskytovaním alebo sprístupnením“. Finančná správa uviedla jednu konkrétnejšiu normu interného charakteru, ktorá ma zabezpečovať ochranu osobných údajov zo systému e-kasa. Tá je však z júla 2018, t. j. pred zavedením e-kasy (zákon č. 368/2018 Z. z. bol platný k 20. decembru 2018 a účinný k 1. októbru 2019). Navyše, podľa vyjadrení „neboli zo strany finančnej správy prijaté špeciálne opatrenia na ochranu osobných údajov“ týkajúce sa systému e-kasa.

108.

Ústavný súd v tomto smere poukazuje na to, že na finančnú správu sa vzťahujú predpisy jednak v oblasti ochrany osobných údajov, ako aj v oblasti kybernetickej bezpečnosti. V oblasti ochrany osobných údajov musí finančná správa zhodnotiť riziká vyplývajúce zo spracúvania osobných údajov. Súčasťou týchto opatrení sú aj už spomínané opatrenia zabezpečiť bezpečnosť spracúvania svojich údajov podľa čl. 32 GDPR, notifikovať úrad na ochranu osobných údajov a dotknutú osobu v prípade incidentov podľa čl. 33 a 34 GDPR a vykonať posúdenie podľa čl. 35 GDPR. V oblasti kybernetickej bezpečnosti zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „ZoKB“), ako aj zákon č. 95/2019 Z. z. o informačných technológiách vo verejnej správe a o zmene a doplnení niektorých zákonov v znení neskorších predpisov (ďalej len „ZoITVS“) stanovujú finančnej správe ďalšie konkrétne povinnosti v oblasti bezpečnosti.

109.

Systém e-kasa prevádzkovaný finančnou správou zjavne musí spadať pod pojem „základnej služby“ podľa jednej alebo viacerých alternatív v rámci § 3 písm. k) ZoKB. Z čl. 3 smernice č. 2016/1148 o opatreniach na zabezpečenie vysokej spoločnej úrovne bezpečnosti sietí a informačných systémov v Únii, ktorých je ZoKB implementáciou, je zrejmé, že vyňatie z tohto režimu je možné len pri zabezpečení vyššej osobitnej ochrany, ktorej v tomto prípade niet. Vzhľadom na zákonnú povinnosť podľa § 17 ods. 1 ZoKB existuje povinnosť finančnej správy posúdiť a následne notifikovať Národný bezpečnostný úrad (ďalej len „NBÚ“) o prekročení dopadových kritérií podľa § 18 ZoKB. Keďže e-kasa je plošný systém, na ktorý sú naviazané obchodné transakcie v celej krajine v reálnom čase, je pomerne ťažké si predstaviť záver, že tieto kritériá nie sú splnené. Akýkoľvek útok na e-kasu alebo únik dát z nej môžu mať nedozerné dôsledky pre dotknutých podnikateľov, ich podnikateľskú činnosť a obyvateľstvo. Ako dôsledok má finančná správa niekoľko zásadných bezpečnostných povinností vrátane povinnosti prijať bezpečnostné opatrenia v personálnej a technologickej oblasti, povinnosti detegovať, evidovať, oznamovať NBÚ a aktívne riešiť bezpečnostné incidenty (§ 19, § 20 ZoKB), ako aj povinnosti podrobovať sa dohľadu NBÚ a nezávislým auditom (§ 28, § 29 ZoKB). Podobné povinnosti pritom prevádzkovateľovi e-kasy vyplývajú aj zo ZoITVS, pričom tie sa uplatnia, ak sú prísnejšie [§ 2 ods. 2 písm. e) ZoKB], ako napríklad § 23 ods. 3 ZoITVS pri notifikácii bezpečnostných incidentov.

110.

NBÚ, ako aj iné štátne orgány v tomto smere disponujú aj širokou možnosťou vykonávať kontrolu na poli bezpečnosti. Podľa § 29 ods. 5 ZoKB môže NBÚ kedykoľvek vykonať audit kybernetickej bezpečnosti s cieľom potvrdiť účinnosť prijatých bezpečnostných opatrení a plnenie požiadaviek stanovených týmto zákonom. Po vykonaní kontroly alebo ak audit ukáže nedostatky, môže NBÚ vydať rozhodnutie o uložení opatrení na nápravu a uložiť pokutu za priestupok alebo iný správny delikt [§ 5 ods. 1 písm. u), § 28, § 29 ods. 4 ZoKB].

111.

Tieto povinnosti sú realizáciou ústavnej povinnosti štátu aktívne chrániť dôvernosť a integritu informačných systémov, ktoré obsahujú osobné údaje jednotlivca. Právo na ochranu dôvernosti a integrity informačných systémov predstavuje súčasť ochrany podľa čl. 19 ods. 3 a čl. 22 ústavy (podobne BVerfG, 1 BvR 370/07, 1 BvR 595/07, BVerfG 120). Zároveň sú tieto opatrenia predpokladom akceptovateľného závažného zásahu do práva na ochranu osobných údajov (SDEÚ, Digital Rights Ireland, C-293/12 and C-594/12, ods. 66 – 67). V kontexte prevádzkovania e-kasy je preto aj povinnosťou finančnej správy riadne uplatňovať na svoje fungovanie ustanovenia ZoKB.

112.

Z právnej úpravy, ktorá reguluje finančnú správu, jej preto vyplývajú konkrétne a obšírne požiadavky na bezpečnosť. Tie možno považovať za dostatočné.

3.1.5. Časová podmienenosť zničenia a vyrozumenie dotknutých osôb:

113.

Časová podmienenosť zničenia znamená, že ak pominuli dôvody na spracúvanie údajov, musia byť zneškodnené (vymazané). Táto podmienka je vyjadrením toho, že tak, ako sa subsidiarita vzťahuje na vyžiadanie údajov, uplatňuje sa aj na ich následné spracúvanie. Ak teda odpadne dôvod na ich spracúvanie v danej kvalite, štátna moc musí riziko zneužitia minimalizovať tým, že nepotrebné údaje čím skôr znehodnotí alebo úplne zničí (PL. ÚS 13/2020, bod 94). Zničenie údajov zo systému finančnej správy nie je súčasťou právnej úpravy a vyplýva podľa finančnej správy z legislatívy len nepriamo, a to z právnych predpisov o účtovníctve (§ 35 zákona o účtovníctve) v spojení s § 20 ZoFS.

114.

Finančná správa konkrétne na otázku doby uchovávania odpovedala, že táto je „plánovaná na obdobie 10 rokov“ pre potreby správcu dane, ale pre potreby finančnej správy budú „zobrazované údaje do doby uplynutia práva vyrubiť daň – 5-7 rokov“.

115.

Z § 20 ods. 6 a 7 ZoFS subsidiárne vyplýva, že finančná správa musí bezodkladne zničiť údaje, ak budú irelevantné pre výkon jej povinností, pre ktoré sú údaje zbierané, čo musí aj periodicky kontrolovať. Ústavný súd konštatuje, že vzhľadom na účel § 8a ods. 1 ZoERP musí finančná správa podľa § 20 ods. 6 a 7 ZoFS údaje zo systému e-kasa odstrániť automaticky hneď, ako uplynie doba uchovávania nevyhnutná pre kontrolu ZoERP. Štátny orgán totiž dopredu vie, kedy uplynie táto doba, pretože jej ukončenie nezávisí od iných okolností ako plynutia času. Zákonodarca by mal takúto dobu vždy jasne upraviť, ale ak to nie je možné, ale doba aspoň jasne zo súvisiacich predpisov vyplýva, záruku zničenia dát možno považovať za splnenú.

116.

Požiadavka vyrozumenia dotknutých osôb znamená, že pokiaľ je to možné, je nutné o rozsahu a spôsobe použitia údajov upovedomiť dotknutú osobu, a to hoci aj dodatočne. Je vyjadrením požiadavky na prístup k súdu a efektívnej súdnej ochrane (PL. ÚS 13/2020, bod 95). Keďže ústavný súd posudzuje v tomto kroku len údaje predajcov ako dotknutých osôb, je zrejmé, že k nim títo majú prístup. Podnikateľ má právo vidieť svoje údaje v klientskej zóne.

117.

Údaje zbierané podľa § 8a ZoERP sú dnes predmetom dostatočných záruk, avšak len na ich používanie v kontexte tohto zákona. Zákon neustanovuje dostatočné záruky na to, aby tieto údaje boli poskytnuté mimo finančnej správy alebo používané na iné účely. Je na zákonodarcovi, či chce takýto prístup upraviť, avšak musí sa vysporiadať s potrebou už načrtnutých záruk. Musí tak urobiť explicitne, rešpektujúc riadnu legislatívnu techniku, ktorá umožňuje prieskum ústavným súdom.

3.1.6. Posudzovanie rizikovosti podnikateľov v rámci finančnej správy:

118.

Z vyjadrení finančnej správy vyplýva, že údaje z e-kasy sú dnes využívané aj „pre účel analytického vyhodnocovania... rizikovosti daňových subjektov z pohľadu evidencie tržieb“. Údaje sú potom prepojené s ďalšími databázami. Údaje z e-kasy teda slúžia na hodnotenie podnikateľov podľa ich rizikovosti. Takáto analytická činnosť predstavuje tzv. profilovanie, ktoré sa v literatúre a podústavných normách chápe ako „akákoľvek forma automatizovaného spracúvania osobných údajov, ktoré pozostáva z použitia týchto osobných údajov na vyhodnotenie určitých osobných aspektov týkajúcich sa fyzickej osoby, predovšetkým analýzy alebo predvídania aspektov dotknutej fyzickej osoby súvisiacich s výkonnosťou v práci, majetkovými pomermi, zdravím, osobnými preferenciami, záujmami, spoľahlivosťou, správaním, polohou alebo pohybom“ [pozri čl. 4 ods. 4 GDPR (vlastné zvýraznenie) a širšie: HILDEBRANDT, M. (2008) Defining Profiling: A New Type of Knowledge? In: HILDEBRANDT, M., GUTWIRTH, S. (eds) Profiling the European Citizen. Springer, Dordrecht. Dostupné na: ˂https://doi.org/10.1007/978-1-4020-6914-7_2˃].

119.

Hodnotenia rizikovosti sú potom využívané v kontexte vykonávania kontrolnej činnosti štátnymi zamestnancami finančnej správy. Automatizované posudzovanie rizikovosti však nemá dostatočnú oporu v zákone. Je síce možné, že v konkrétnom prípade takáto operácia spadá pod konkrétny legitímny cieľ a účel zberu dát podľa ZoERP, no jej realizácia na podklade súčasného zákona, a to ani v rámci finančnej správy, nespĺňa požiadavky zákonnosti a existencie záruk týkajúcich sa kvality dohľadu.

120.

Automatizované posudzovanie jednotlivca na základe plošného zberu dát predstavuje zásah do práva na informačné sebaurčenie bez ohľadu na to, či pre neho má určitý následok. Aj preto napríklad Spolkový ústavný súd Nemecka považoval automatizované posudzovanie evidenčných čísiel áut za zásah aj pri osobách, u ktorých kontrola neviedla k žiadnemu negatívnemu výsledku (BVerfG, sp. zn. 1 BvR 142/15, body 45 a 51). Rovnako SDEÚ vo svojom stanovisku č. 1/15 zastáva názor, že automatizované posudzovanie osôb v leteckej preprave prestavuje osobitný zásah do práva na ochranu súkromia a osobných údajov (stanovisko SDEÚ č. 1/15, ods. 168 a nasl.). Každé takéto posudzovanie štátom bez ohľadu na to, či spôsobuje nepríjemnosť alebo negatívny dôsledok u jednotlivca, totiž obmedzuje jeho slobodu. Štát ním uplatňuje svoju moc nad jednotlivcom tým, že ho sleduje, hodnotí alebo kontroluje. Tým sa u jednotlivca vytvára pocit sledovania zo strany štátu (BVerfG, sp. zn. 1 BvR 142/15, bod 98).

121.

Ako aj sudcovia ESĽP Lemmens, Vehabovic a Bošnjak vo svojom nedávnom súhlasnom stanovisku k rozhodnutiu vo veci Big Brother Watch a ďalší proti Spojenému kráľovstvu zdôraznili, „[S]amotný pocit, že jednotlivec je konštantne sledovaný a posudzovaný inými, môže mať vážny dopad na jeho psychické a fyzické zdravie. Núti totiž jednotlivcov príliš internalizovať ich spoločenské správanie, čím sa cítia vinní alebo zahanbení za svoje pocity, myšlienky, túžby alebo konania, ktoré by nechceli vyjadriť verejne“ (pozri súhlasné stanovisko sudcu Lemmensa, Vehabovica a Bošnjaka v Big Brother Watch a ďalší proti Spojenému kráľovstvu, č. 58170/13, 62322/14, 24960/15, bod 4).

122.

Každé automatizované posúdenie vyžaduje minimálne spojenie údajov s určitými kritériami, modelmi alebo inými databázami (napr. evidenčné číslo auta sa porovná s existujúcimi zoznamami alebo činnosť podnikateľa so zvyčajným správaním porovnateľného podnikateľa). Vo väčšine prípadov sa využíva algoritmus s cieľom, niečo z údajov odvodiť, navrhnúť určité usporiadanie alebo poskytnúť odporúčanie pre zamestnanca orgánu verejnej moci či dokonca predpripraviť mu rozhodnutie alebo jeho časť. Keďže automatizované posúdenie jednotlivca predstavuje zásah do jeho práva na informačné sebaurčenie, musí byť podľa čl. 13 ods. 2 ústavy stanovené zákonom. Základom tejto požiadavky je, aby adresáti právnych noriem vedeli posúdiť, ako sú obmedzené ich práva a aké to má pre nich následky (pozri Leander proti Švédsku [1987] č. 9248/81, bod 50; Margareta and Roger Andersson proti Švédsku [1992] č. 12963/87, bod 75). Zákon obmedzujúci základné práva musí byť dostatočne konkrétny, aby jeho aplikácia bola predvídateľná. Problematické obmedzenie práv sa nemôže skrývať pod lepšie znejúce alebo nič nehovoriace abstraktné znenie (PL. ÚS 13/2020, bod 84). Táto požiadavka sama osebe nevylučuje možnosť prijatia všeobecnej právnej úpravy v oblasti verejnej správy. Legislatíva však musí dostatočne jasne poskytovať občanovi náležitú indikáciu okolností a podmienok, za akých je verejná moc zmocnená na takéto zásahy do jeho práva. Pripustenie vysokej neurčitosti právnej normy by obmedzilo aj reálnu kontrolu súladu ustanovenia zákona s ústavou, a tým znemožnilo ústavnému súdu vykonávať svoju kontrolnú funkciu.

123.

„Mlčiaci zákon“ nemôže slúžiť ako podklad pre automatizované posudzovanie jednotlivca, či už je jeho výsledkom rozhodnutie, alebo nečinnosť. Automatizované posudzovanie rizikovosti nemôže byť len dôsledkom manažérskeho rozhodnutia orgánu verejnej správy, ale má byť predmetom verejnej debaty premietnutej v legislatívnom procese. Nedostatok explicitného odobrenia zákonodarcom sa prejavuje aj nedostatkom úpravy infraštruktúry dohľadu nad takýmto posudzovaním. Už z kontextu mocenského vzťahu medzi štátom a jednotlivcom je zrejmé, že dopad automatizovaného posúdenia jednotlivca a jeho okolností je spravidla zásadný pre jeho adresáta. Často bude dôležitým vstupom pre následné správanie zamestnanca orgánu verejnej moci, ktorý výsledok tohto automatizovaného posúdenia nebude dostatočne kriticky alebo vôbec korigovať.

124.

V preskúmavanej právnej úprave akákoľvek osobitná alebo všeobecná právna norma tohto typu chýba.

125.

Po splnení zákonnosti (legality) takéhoto obmedzenia musí zákonodarca zabezpečiť aj legitimitu a proporcionalitu svojho riešenia. Ak je automatizované posudzovanie plošné, a teda nevzťahuje sa na obmedzený okruh „podozrivých“ osôb, je nutné osobitne zvážiť, či záujmy chránené takýmto posudzovaním dostatočne prevážia nad všeobecným pocitom sledovania, ktorý sa tak umocňuje. Nemožno uplatniť automatizáciu všade, kde je technicky možná a užitočná, len preto, lebo verejnej moci, a teda aj daňovým poplatníkom šetrí prostriedky. Spolkový ústavný súd Nemecka dospel napríklad k záveru, že neobmedzené automatizované kontrolovanie evidenčných čísiel áut na cestách na účely ochrany pred akýmkoľvek nebezpečím by bolo neproporcionálne (BVerfG, sp. zn. 1 BvR 142/15, bod 104). Aj v slovenskom kontexte preto nasadenie automatizovaného posudzovania na základe osobných údajov bude nutné skúmať ad hoc pre konkrétne použitie. Samotný fakt, že existuje dostatočný verejný záujem na zbere určitých údajov, totiž ešte neznamená, že rovnaký záujem existuje aj na ich ďalšom použití (analogicky Satakunnan Markkinapörssi Oy and Satamedia Oy proti Fínsku, č. 931/13, body 172 – 178 a 198).

126.

Ako ESĽP pripomína, každý štát, ktorý na seba prevezme rolu vývoja a použitia nových technológií, nesie osobitnú zodpovednosť, aby zabezpečil správny balans so základnými právami (S. a Marper proti Spojenému Kráľovstvu, č. 30562/04, 30566/04, bod 112). Predovšetkým nemožno podceniť fakt, že vývoj technológií zákonite povedie k novým nepredvídateľným spôsobom, ako zbierané informácie a ich použitie môžu dopadnúť na jednotlivca (S. a Marper proti Spojenému Kráľovstvu, č. 30562/04, 30566/04, bod 71). Nasadenie technológií si preto vyžaduje komplexné posúdenie vo svetle stále nových možností ich použitia (napr. Gaurghran proti Spojenému Kráľovstvu, č. 45245/15, body 67 až 70 vo vzťahu k používaniu rozpoznávania tváre na staršie data-sety).

127.

Dôsledkom uplatnenia technologického pokroku vo verejnej správe nemôže byť neosobný štát, ktorého rozhodnutia sú nevysvetliteľné, nepreskúmateľné a zároveň za nich nie je nik zodpovedný.

128.

Osobitosť automatizovaného posudzovania spočíva v tom, že sa často týka veľkej skupiny osôb a používané kritéria, vzory alebo prepojené databázy nie sú ľahko pochopiteľné pre adresáta, hoci môžu obsahovať chyby alebo viesť k chybným záverom o jednotlivcovi. Takéto nedostatky systému preto vytvárajú systémové riziko pre spoločnosť a jednotlivca (prof. Pasquale v tomto smere hovorí o riziku tzv. čiernych skriniek v spoločnosti, pozri PASQUALE, F. The Black Box Society: The Secret Algorithms that Control Money and Information. Harvard University Press, 2015.). V zahraničí už dnes možno badať prípady, keď sa jasne prejavujú takéto zásadné riziká používania automatizovaného posudzovania bez dostatočného dohľadu, na čo nedávno reagovala aj Rada Európy [pozri odporúčanie CM/Rec(2020)1 Rady ministrov členským štátom týkajúce sa ľudskoprávnych aspektov algoritmických systémov z 8. apríla 2020, ako aj deklaráciu Decl(17/03/2021)2 Rady ministrov týkajúcu sa rizík rozhodnutí v oblasti sociálneho zabezpečenia, ktoré sú asistované výpočtovou technikou alebo umelou inteligenciou, zo 17. marca 2021; pre konkrétne kauzy pozri algoritmické upravovanie maturitných známok vo Veľkej Británii z roku 2020 – HUSOVEC, M., MESARČÍK, M. a ANDRAŠKO, J. Právo informačných a komunikačných technológií 1 (TINCT 2020). s. 108, a kauzu odhaľovania zneužívania sociálneho systému v Holandsku známu ako tzv. Systeem Risico Indicatie (SyRI) – dostupné na: ˂https://www.hrw.org/news/2019/11/08/welfare-surveillance-trial-netherlands˃].

129.

Aj po zvolení proporcionálneho uplatnenia technológie je preto nutné zabezpečiť existenciu záruk dohľadu ich ďalšieho používania. SDEÚ v kontexte automatizovaného posudzovania leteckých cestujúcich zdôraznil, že „vopred stanovené vzory a kritériá mali byť na jednej strane konkrétne a spoľahlivé“ a „na druhej strane nediskriminačné“, pričom databázy, s ktorými sa údaje porovnávajú, musia byť „spoľahlivé a aktuálne“ (stanovisko SDEÚ č. 1/15, ods. 172), a preto aj „každý pozitívny výsledok získaný v nadväznosti na automatizované spracovanie uvedených údajov“ má byť „podrobený individuálnemu preskúmaniu prostredníctvom neautomatizovaných prostriedkov pred prijatím individuálneho opatrenia“, ktoré by malo na osoby „negatívny dopad“ (stanovisko SDEÚ č. 1/15, ods. 173). Ako dôsledok sa výsledok automatizovaného posúdenia „nemôže rozhodujúcim spôsobom zakladať iba na výsledku automatizovaného spracúvania údajov“ (stanovisko SDEÚ č. 1/15, ods. 173).

130.

Automatizované posúdenie založené na osobných údajoch v systéme e-kasa spolu s ďalšími kritériami, vzormi alebo databázami vedie k vyhodnoteniu určitých podnikateľov ako rizikovejších, a teda vhodných na podrobnejšiu kontrolu. Ústavný súd nedisponuje konkrétnosťami týkajúcimi sa fungovania tohto systému. Vzhľadom na nedostatok legality tohto systému však ani nie sú potrebné pre posúdenie veci. Z opisu finančnou správou je zrejmé, že minimálne v medzikroku používa analytický systém, ktorý automatizovane pripisuje konkrétnemu podnikateľovi určité riziko. To, že systém sám nerobí aj rozhodnutie o tom, či sa vykoná daňová alebo iná kontrola, nie je z pohľadu práva na informačné sebaurčenie podstatné. Z jeho pohľadu je podstatné, že sa automatizácia vzťahuje na hodnotenie osoby na základe jej osobných údajov.

131.

Ak by osobné údaje netvorili podklad konania štátu, situácia by spadala mimo rozsahu čl. 19 ods. 3 a čl. 22 ods. 1 ústavy (podobne BVerfG, sp. zn. 1 BvR 142/15, bod 48), hoci stále bude spadať pod iné ustanovenia ústavy. Relevantné v tomto ohľade sú najmä právo na spravodlivý proces, zákaz nerovného zaobchádzania, ako aj sloboda prejavu či sloboda zhromažďovania. Je totiž zrejmé, že najmä algoritmické posudzovanie môže mať dopad na jednotlivca a jeho základné práva aj vtedy, ak jeho podkladom nie je osobný údaj [pozri odporúčanie CM/Rec(2020)1, časť A, bod 4]. Zároveň treba pripomenúť, ako bolo obšírne v bodoch odsekov 38 až 46 tohto nálezu vysvetlené, že ústavnoprávna ochrana práva podľa čl. 19 ods. 3 a čl. 22 ods. 1 ústavy nie je vždy obmedzená na osobné údaje fyzických osôb, ako to je bežné v podústavnom práve.

132.

Zákonodarca má ako jediný možnosť prostredníctvom konkrétnych zákonných ustanovení vo všeobecnom alebo v osobitnom predpise zabezpečiť, aby používané kritéria, modely alebo prepojené databázy v kontexte automatizovaného posudzovania boli aktuálne, spoľahlivé a nediskriminačné. Nad rozsah všeobecných záruk, ktoré sú nevyhnutné pri spracovaní osobných údajov, tak robí prostredníctvom osobitných záruk: (i) transparentnosti, (ii) individuálnej ochrany a (iii) kolektívneho dozoru [podobne BVerfG, sp. zn. 1 BvR 142/15, bod 101, stanovisko SDEÚ č. 1/15, ods. 168 a nasl., ako aj odporúčanie CM/Rec(2020)1, časť B, body 4 a 5]. Tieto záruky musia zohľadňovať osobitnosť obstarávania a nasadzovania automatizovaných systémov, ktorých činnosť bude mať dopad na jednotlivca a jeho základné práva a slobody.

133.

V prvom rade dotknutý jednotlivec preto musí mať informácie o tom, že správanie orgánu verejnej moci, napríklad jeho rozhodnutie, je ovplyvnené použitím takéhoto automatizovaného systému [odporúčanie CM/Rec(2020)1, časť B, bod 4]. Jednotlivec musí mať možnosť vedieť o existencii, rozsahu a dopadoch posúdenia jeho osoby automatizovanými prostriedkami, či už prostredníctvom verejných registrov, špecifických poučení, alebo inak. Len ak je adresátovi zrejmé, že je predmetom automatizovaného posúdenia v určitom rozsahu, dokáže sa efektívne brániť proti prípadným chybám. Je na zákonodarcovi, ako zhmotní túto požiadavku.

134.

Povinnosť transparentnosti môže vyplývať orgánu verejnej moci čiastočne aj zo všeobecnej podústavnej úpravy práva na ochranu osobných údajov (čl. 12 až 15 GDPR). V kontexte automatizovaného posúdenia bude spravidla vznikať orgánu verejnej moci povinnosť vykonať posúdenie vplyvu ochrany údajov podľa čl. 35 GDPR. Na rozdiel od iných spracovateľských operácií sa však posúdenie vplyvu musí sústrediť na celkový ľudskoprávny dopad automatizovaných systémov na jednotlivca [odporúčanie CM/Rec(2020)1, časť B, bod 5.2]. V rámci neho je potom nutné aj identifikovať konkrétne riziká, ako aj dokumentovať rozsah ľudského a automatizovaného posúdenia v jednotlivých krokoch procesu spracúvania údajov, spôsob testovania „data-set“ a použitých modelov, ako aj alternatívne šetrnejšie riešenia [pozri Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (2018), s. 29 a odporúčanie CM/Rec(2020)1, časť B, body 3 a 5]. Dostatočnosť tejto všeobecnej úpravy bude závisieť od okolností a závažnosti zásahu do práva na informačné sebaurčenie.

135.

V prípade, ak je technické riešenie poskytované štátu treťou stranou, štát musí splniť rovnaké podmienky transparentnosti. Práva duševného vlastníctva, obchodné tajomstvo alebo bezpečnosť systému nemôžu byť dôvodom na odopretie efektívneho prístupu k potrebným informáciám [rovnako odporúčanie CM/Rec(2020)1, časť B, bod 5.2]. V opačnom prípade by jednoduché rozhodnutie o zapojení externých dodávateľov ukrátilo práva jednotlivca, a preto ak štátny orgán používa riešenia od externých dodávateľov, musí zabezpečiť efektívny prístup k potrebným informáciám. Ako už bolo v odsekoch 97 až 104 tohto nálezu uvedené, podzákonná úprava týchto práv poskytuje široký priestor na realizáciu práva na prístup k informáciám. To však neznižuje povinnosť orgánov verejnej moci konať zodpovedne už v štádiu verejného obstarávania týchto systémov [rovnako odporúčanie CM/Rec(2020)1, časť A, bod 12].

136.

V druhom rade nad používaním takéhoto systému musí existovať nezávislá kolektívna kontrola, ktorá funguje ako ex-ante (pre zavedením), tak aj ex-post (po zavedení). V tomto smere sa nemožno spoliehať len na infraštruktúru z oblasti práva na ochranu osobných údajov, keďže tá funguje na princípe ochrany práv jednotlivca. Jednotlivcovi však nemožno klásť za úlohu, aby prostredníctvom svojej situácie pravidelne korigoval systematické problémy verejnej správy. Kolektívna kontrola, či už prostredníctvom nezávislých štátnych inštitúcií, certifikácie, zapojenia občianskej spoločnosti, alebo akadémie, preto dopĺňa individuálnu ochranu pred ujmami kolektívneho charakteru (pozri EDWARDS, L., VEALE, M. Slave to the Algorithm? Why a 'right to an explanation' is probably not the remedy you are looking for (2017). In: Duke Law & Technology Review 18, s. 22.).

137.

To znamená, že kontrola musí umožňovať posúdenie kvality systému, jeho komponentov, chybovosti a nedokonalostí pred tým, ako je uvedený do prevádzky, ako aj po tom, keď sa začne používať (napríklad prostredníctvom auditov, skúmaním kvality vzorky rozhodnutí, podávaním správ a štatistík a pod.). Čím komplexnejší systém, tým hlbšia musí byť jeho kolektívna kontrola. Ak má systém slabé alebo slepé miesta, musia štátni zamestnanci, ktorí s ním budú pracovať, tieto miesta preukázateľne poznať, keďže ich neznalosť môže byť práve zdrojom chýb. Používanie systému musí byť predmetom dokumentácie a protokolovania, aby sa jednak umožnil kolektívny dozor, ale aj zjednodušilo vymáhanie práv jednotlivca [BVerfG, sp. zn. 1 BvR 142/15, body 156 a 157, rovnako aj odporúčanie CM/Rec(2020)1, časť A, body 3 a 4].

138.

Napokon dohľad nad automatizovaným posúdením musí umožňovať jednotlivcovi efektívne sa brániť proti nedokonalostiam a chybám systému. Je na zákonodarcovi, aké presne prostriedky zvolí. Musia byť však efektívne a dostupné a zároveň zverené nezávislým orgánom dohľadu [rovnako aj odporúčanie CM/Rec(2020)1, časť A, body 4.5]. Vzhľadom na rôzne spôsoby posudzovania neexistuje jeden spôsob, ako ochrániť jednotlivca pred chybami systému. Efektívnosť prostriedkov, či už vo forme práva odvolať sa, korigovať vstupy alebo kritéria posúdenia, alebo dostať prístup k logike dotknutého rozhodnutia alebo individuálneho posúdenia človekom, bude závisieť od toho, či automatizované posúdenie používa vzory, modely alebo ďalšie databázy a či vedie k rozhodnutiu alebo nečinnosti orgánu verejnej moci. Taktiež bude závisieť od rizikovosti daného systému.

139.

Použitie týchto už uvedených záruk dohľadu musí byť však schopné dosiahnuť zmenu správania orgánu verejnej moci. Ako ústavný súd už v minulosti zdôraznil, kvalitný nezávislý dohľad nemožno vykonávať bez dostatočného udelenia oprávnení, finančných zdrojov a nástrojov kontroly. Ak preto orgán verejnej moci nedokáže rýchlo korigovať chyby alebo vysvetliť diskriminačné účinky posudzovania, musí existovať možnosť štátneho orgánu alebo súdu prikázať verejnému orgánu tieto chyby alebo nedokonalosti napraviť. V krajnom prípade musí existovať aj možnosť systém v jeho problematickej podobe prikázať prestať používať.

140.

Vo všeobecnej rovine právo EÚ už dnes v čl. 22 a iných ustanoveniach GDPR čiastočne poskytuje určité záruky proti automatizovanému posudzovaniu vo forme profilovania alebo automatizovaného rozhodovania [pozri podrobnejšie Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 (2018)]. Článok 22 GDPR vyžaduje explicitnú autorizáciu výlučne automatizovaných rozhodnutí právom členského štátu, resp. právom EÚ [pozri čl. 22 ods. 2 písm. b) GDPR]. V takýchto situáciách, a to vrátane kontextu „monitorovania podvodov a daňových únikov a ich predchádzania“, núti aj sekundárne právo EÚ slovenského zákonodarcu, aby vytvoril osobitný právny základ, ktorý bude garantovať právo na ľudský zásah zo strany orgánu verejnej moci, právo jednotlivca vyjadriť svoje stanovisko a právo napadnúť rozhodnutie (pozri čl. 22 ods. 3 a odôvodnenie č. 71 GDPR). To isté platí aj v kontexte odhaľovania trestnej činnosti podľa čl. 11 smernice č. 2016/680 o ochrane fyzických osôb pri spracúvaní osobných údajov príslušnými orgánmi na účely predchádzania trestným činom, ich vyšetrovania, odhaľovania alebo stíhania alebo na účely výkonu trestných sankcií a o voľnom pohybe takýchto údajov. Toto ustanovenie taktiež vyžaduje osobitný právny základ a existenciu osobitných záruk v špecializovaných vertikálnych vzťahoch.

141.

Priestor pre slovenského zákonodarcu sa nevyčerpáva týmito dvomi uvedenými ustanoveniami. Napriek tomu, že pre mnoho otázok predstavuje GDPR plnú harmonizáciu (pozri bod 30 tohto nálezu), nie je to tak v tejto právnej otázke. GDPR predstavuje len neúplnú harmonizáciu v otázke spracúvania osobných údajov orgánmi verejnej moci na účely výkonu verejnej moci. To vyplýva z čl. 6 ods. 2 v spojení s čl. 6 ods. 1 písm. e) GDPR, ktorý výslovne predpokladá, že členské štáty môžu zachovať alebo zaviesť špecifickejšie ustanovenia s cieľom prispôsobiť uplatňovanie pravidiel tohto nariadenia v kontexte, ak spracúvanie je nevyhnutné na splnenie úlohy realizovanej vo verejnom záujme alebo pri výkone verejnej moci zverenej prevádzkovateľovi. Slovenský zákonodarca je preto oprávnený presnejšie stanoviť osobitné požiadavky na spracúvanie, ako aj prijať ďalšie opatrenia, ktorými sa „zaistí zákonné a spravodlivé spracúvanie“, a to prípadne aj prevzatím častí nariadenia do slovenskej legislatívy (čl. 6 ods. 2 a odôvodnenie č. 8 GDPR). Už uvedené ústavné požiadavky sú preto úplne kompatibilné s implementačným priestorom slovenského zákonodarcu a riadne zohľadňujú jeho mantinely stanovené čl. 6 ods. 2, pričom rozvíjajú aj požiadavky čl. 6 ods. 3 GDPR. Na rozdiel od prípadu vedeného pred SDEÚ a týkajúceho sa automatizovaného posudzovania bonity jednotlivca neštátnymi aktérmi v kontexte ich podnikateľskej činnosti je preto otázka implementačného priestoru slovenského zákonodarcu pomerne jasná (pozri SCHUFA Holding, C-634/21, prejudiciálna otázka Správneho súdu Wiesbaden z 1. októbra 2021, sp. zn. 6 K 788/20.WI dostupná na: ˂https://www.jurpc.de/jurpc/show?id=20210144˃).

142.

Ústavný súd konštatuje, že zákonodarca musí posúdiť, ako čo najlepšie zužitkovať benefity automatizácie bez toho, aby tým zároveň ohrozil základné hodnoty právneho štátu a miesto jednotlivca v ňom. Aktuálne neexistuje zákon, ktorý by umožňoval finančnej správe osobné údaje zo systému e-kasa používať na automatizované posudzovanie jednotlivcov. Ak chce zákonodarca umožniť takéto automatizované posudzovanie na základe osobných údajov, musí zabezpečiť splnenie ústavnoprávnych záruk, ktoré už ústavný súd podrobne uviedol.

143.

Ústavný súd považuje lokálny zber daňového identifikačného čísla a zoznamu tovarov a služieb na pokladničných blokoch [§ 8 ods. 1 písm. b) a g) ZoERP] za súladné s ústavnou ochranou súkromia a osobných údajov. Zbieranie a odosielanie pokladničných blokov predajcov spolu s ich DIČ v rámci systému e-kasa vytvára permanetné systematické monitorovanie podnikateľov týkajúce sa toho, čo a za koľko, kedy a kde predávajú. Sleduje však legitímny cieľ boja proti daňovým únikom. Zber samotného DIČ nie je neproporcionálny vzhľadom na tento účel. Proporcionalita zberu iných údajov nebola navrhovateľmi zahrnutá do prieskumu. Z uvedených dôvodov ústavný súd v tejto časti návrhu navrhovateľov nevyhovel (bod 2 výroku)

144.

Zbieranie a odosielanie unikátneho identifikátora kupujúceho do centrálnej databázy finančnej správy podľa § 8a ods. 1 ZoERP považuje ústavný súd za protiústavné z dôvodu absencie legitímnosti zásahu. Ústavný súd pritom upozorňuje, že prípadné rozšírenie na tieto údaje by znamenalo zásadné zintenzívnenie zásahu do práva na ochranu súkromia a osobných údajov, pokiaľ by nebolo realizované na základe preukázateľnej dobrovoľnosti, a preto ústavný súd rozhodol, že uvedené ustanovenie § 8a ods. 1 ZoERP v časti „unikátny identifikátor kupujúceho, ak je predložený kupujúcim pred zaevidovaním prijatej tržby“ nie je v súlade s čl. 16 ods. 1, čl. 19 ods. 2 a 3 ústavy (bod 1 výroku)

145.

Na základe vykonania detailného ústavnokonformného výkladu ústavným súdom je súčasné legislatívne nastavenie spracúvania a prístupu k údajom v systéme e-kasa možné považovať za súladné s ústavou. Podľa tohto výkladu však údaje zo systému e-kasa možno používať len zo strany finančnej správy a len na účely kontroly povinností vyplývajúcich zo ZoERP. Rozšírenie okruhu štátnych orgánov si vyžaduje explicitnú právnu úpravu a jej osobitné posúdenie, čo sa týka proporcionality.

146.

Ústavný súd zároveň identifikoval niekoľko existujúcich zákonných povinností, ktoré zatiaľ neboli dostatočne štátnym orgánom implementované.

147.

Napokon ústavný súd ozrejmil, prečo ústavnokonformný výklad súčasnej právnej úpravy neumožňuje finančnej správe používať údaje zo systému e-kasa na automatizované analytické posudzovanie rizikovosti podnikateľov. Aby to bolo možné, je nevyhnutná zmena zákona, ktorá zabezpečí takéto posudzovanie pred chybami.

148.

Znenie charty a dohovoru, ktorých ustanovenia a súvisiaca judikatúra už boli obsiahlo a konkrétne ústavným súdom zohľadnené, podporujú tu vyslovené závery ústavného súdu.

S poukazom na závery uvedené v čl. III.2 tohto odôvodnenia ústavný súd návrhu navrhovateľov na vyslovenie nesúladu dotknutých ustanovení s čl. 8 dohovoru a čl. 7, čl. 8 a čl. 52 ods. 1 charty nevyhovel (bod 2 výroku).

149.

Podľa čl. 125 ods. 3 ústavy ak ústavný súd svojím rozhodnutím vysloví, že medzi právnymi predpismi uvedenými v odseku 1 je nesúlad, strácajú príslušné predpisy, ich časti, prípadne niektoré ich ustanovenia účinnosť. Orgány, ktoré tieto právne predpisy vydali, sú povinné do šiestich mesiacov od vyhlásenia rozhodnutia ústavného súdu uviesť ich do súladu s ústavou, ústavnými zákonmi a medzinárodnými zmluvami vyhlásenými spôsobom ustanoveným zákonom. Ak tak neurobia, také predpisy, ich časti alebo ustanovenia strácajú platnosť po šiestich mesiacoch od vyhlásenia rozhodnutia.

150.

Podľa čl. 125 ods. 6 ústavy rozhodnutie ústavného súdu vydané podľa odsekov 1, 2 a 5 sa vyhlasuje spôsobom ustanoveným na vyhlasovanie zákonov. Právoplatné rozhodnutie ústavného súdu je všeobecne záväzné.

151.

Podľa § 68 ods. 2 zákona o ústavnom súde rozhodnutia ústavného súdu v konaní o súlade právnych predpisov, v konaní o súlade medzinárodných zmlúv, v konaní o súlade predmetu referenda, v konaní o výklade ústavy a ústavných zákonov, v konaní o sťažnosti proti výsledku referenda, v konaní o sťažnosti proti výsledku ľudového hlasovania, v konaní o uvoľnení funkcie prezidenta a v konaní o neplatnosti právnych predpisov sa vyhlasujú v Zbierke zákonov Slovenskej republiky v rozsahu ustanovenom týmto zákonom.

152.

Podľa § 91 ods. 1 zákona o ústavnom súde právny predpis, jeho časť alebo jeho ustanovenie, ktorých nesúlad s právnym predpisom vyššej právnej sily ústavný súd vyslovil, strácajú účinnosť dňom vyhlásenia nálezu ústavného súdu v Zbierke zákonov Slovenskej republiky a platnosť za podmienok ustanovených v § 91 ods. 2 zákona o ústavnom súde.

P o u č e n i e : Proti tomuto rozhodnutiu ústavného súdu nemožno podať opravný prostriedok.

V Košiciach 10. novembra 2021

Ivan Fiačan v. r. predseda Ústavného súdu Slovenskej republiky