36. K navrhovatelkou předkládané problematice ochrany osobních údajů v NZIS vláda uvádí, že smyslem shromažďování rodných čísel nebo čísel pojištěnců v registrech NZIS není identifikace konkrétního jedince - nadto pouze z jednoho takového údaje nelze kompletní ztotožnění dovodit. Celé české zdravotnictví s více než 29 000 poskytovateli zdravotních služeb využívá rodné číslo a číslo pojištěnce jako propojovací (linkovací) kód mezi různými záznamy o témže člověku při opakovaném hlášení v čase. To je i případ existujících zdravotních registrů, např. národní onkologický registr, založený v roce 1976, sbírá hlášení od tisíců zpravodajských jednotek, a to opakovaně v čase. Nebude-li přitom existovat nástroj umožňující opakovaná hlášení takového systému propojit na daného jedince, nebude možné hodnotit úspěšnost léčby, dostupnost následné nebo paliativní péče ani výsledky v podobě přežití pacientů. Nelze proto souhlasit s tvrzením, že např. exaktního hodnocení determinant zdraví české populace, kvantifikace účelově vynakládaných prostředků na léčbu konkrétních chorob ve vazbě na dosahované výsledky apod. lze dosáhnout jinými prostředky. Schopnost zdravotnických registrů a NZIS jako celku propojovat záznamy v čase je zcela zásadní podmínkou hodnocení léčby.
37. NZIS při sběru a zpracování dat ani při analytických procedurách nevyužívá a nepotřebuje komplexní ztotožnění jedince. Proto také nejsou v žádném registru tvořícím NZIS současně sbírány komplexní osobní údaje umožňující ztotožnění - tedy např. triáda jméno, datum narození a rodné číslo. Rodné číslo a číslo pojištěnce slouží jedině k propojení mezi jednotlivými záznamy. Při vlastním zpracování dat v NZIS v žádném případě již identifikace konkrétní osoby není třeba a také není používána; veškeré výstupy NZIS jsou agregované a neumožňují přímou ani nepřímou identifikaci konkrétní osoby. Předávání dat poskytovatelům a zdravotním pojišťovnám je pak jednou ze základních funkcionalit NZIS. Takto jsou realizovány procesy umožňující poskytovatelům srovnávat výsledky a kvalitu vlastní péče s celkem, tedy s agregovanými daty národními či regionálními. Obdobně synchronizace a předávání dat z Národního registru poskytovatelů umožňuje zdravotním pojišťovnám efektivní sledování sítě poskytovatelů.
38. K ustanovením § 71 odst. 3 a 4 zákona o zdravotních službách upravujícím rozsah shromažďovaných údajů pak vláda doplňuje, že jde o dílčí záznamy konkrétních registrů, nikoli o plošné sběry dat. To je patrné i z oficiálně publikovaných metodik k registrům NZIS. Záznam o místu narození a o státním občanství je součástí vybraných resortních statistik; místo trvalého pobytu je uvedeno jako povinná část statistiky o zemřelých; informace o rodičích či o partnerech jsou mezinárodně sbíranou entitou ve statistikách o vrozených vývojových vadách; informace o omezení způsobilosti (svéprávnosti) jsou součástí registru sledujícího užívání drog a návykových látek. Ve všech případech jde o velmi vážné agendy, ve kterých ministerstvo sleduje údaje fakticky nepostradatelné pro řadu navazujících agend jeho či dalších státních institucí a také pro potřeby mezinárodní spolupráce. Nelze tedy v žádném případě hovořit o plošném sledování výše uvedených parametrů ve všech registrech tvořících NZIS.
39. K namítané absenci možnosti subjektu shromažďování a zpracování osobních údajů požádat o výmaz dat vláda uvádí, že umožnění nahodilého výmazu dat by bylo v rozporu se základními principy statistického sledování zdravotního stavu obyvatel, kvality péče i její ekonomické efektivnosti. Výsledkem by byl chaotický a zcela nereprezentativní zdroj dat. Ze zkreslených dat by pak vznikly pouze zkreslené závěry, což by nutně vedlo k chybám v řízení péče, v hodnocení její dostupnosti či kvality. Jde tedy o požadavek, který by znemožnil exaktní hodnocení kvality péče a v konečném důsledku by pacienty poškodil. Nepřípustnost výmazu údajů na žádost a s tím spojené omezení práva na informační sebeurčení stanovené Listinou jsou proto dle vlády legitimní.
40. Ke znovuzavedení NRZP vláda uvádí, že uvedený registr je základním a řídícím registrem jakéhokoli funkčního systému "eHealth" (v této souvislosti vláda připomíná, že v důsledku neexistence dlouhodobých řad referenčních dat o pracovnících neexistují přesné údaje o distribuci kapacit v systému poskytovatelů zdravotní péče). V případě (opětovného) zrušení NRZP budou databáze shromažďující shodná data patrně vznikat dílčím způsobem na různých úřadech a institucích, což jen zvýší rizika jejich zneužití.
41. Napadená právní úprava NRZP podle vlády plně respektuje nález Ústavního soudusp. zn. Pl. ÚS 1/12, neboť koncipuje tento registr jako referenční a agendový systém, který je neveřejný. Účel zřízení registru se též oproti předchozí, Ústavním soudem zrušené, právní úpravě zásadně posunul - a to do oblasti řízení "eHealth", kde takový systém nemůže nahradit žádný jiný systém ani registry profesních komor. Vláda je proto přesvědčena, že shromažďování dat v NRZP nelze označit jako nadbytečné.
42. K problematice pacientských registrů vláda uvádí, že právě zdravotnické registry tvoří páteřní část NZIS a jako takové jsou pro řadu segmentů medicíny nepostradatelné. Např. navrhovatelkou zmiňovaný Národní registr hospitalizovaných je jediným zdrojem dat umožňujícím hodnotit vývoj, zátěž, dostupnost a kvalitu lůžkové péče. Důvodem vzniku tohoto registru však v žádném případě není měnit dohled nad úhradami či modifikovat postavení a roli zdravotních pojišťoven. Důvodem jeho existence je potřeba využít již existující a pravidelně sbíraná data o péči placené z veřejného zdravotního pojištění ke komplexním analýzám zdravotního stavu obyvatel, nemocnosti a jejích rizik, dostupnosti péče a její kvality a také k analýzám slabých míst sítě poskytovatelů zdravotních služeb. Kdyby byl předmětný registr zrušen, dílčí nemocniční informační systémy ve více než 350 nemocnicích jej nemohou nahradit. Samy nemocnice by zároveň přišly o možnost srovnávat svoje výsledky s celkem.
43. K námitce neurčitosti vymezení okruhu osob oprávněných přistupovat k údajům vedeným ve zdravotnických registrech vláda uvádí, že okruh oprávněných osob (tzv. oprávněných pracovníků) je zcela jednoznačně stanoven zákonem (§ 73 odst. 2 zákona o zdravotních službách) a neponechává jej prováděcímu právnímu předpisu, jak uvádí navrhovatelka. Prováděcí vyhláška pak, ve smyslu § 78 zákona o zdravotních službách, stanoví mimo jiné pouze náležitosti žádosti o oprávnění přístupu k osobním údajům a dalším údajům vedeným ve zdravotnických registrech a o zrušení tohoto oprávnění.
44. K § 41a odst. 1 zákona č. 48/1997 Sb. vláda uvedla, že jím upravený sběr dat je založen na dobrovolnosti a je zakotven smluvně. K tvrzení navrhovatelky o zasahování Ústavu do volné soutěže poskytovatelů vláda konstatuje, že Ústav není správním orgánem, ale je organizační složkou státu, jejímž zřizovatelem je ministerstvo. Jakékoliv rozhodnutí Ústavu je proto přezkoumatelné na základě stížnosti podané ministerstvu, jehož rozhodnutí o stížnosti lze přezkoumat ve správním soudnictví.
III./c Postoj Ministerstva zdravotnictví
45. Jakkoli Ústavní soud obdržel vyjádření vlády zastoupené ministrem zdravotnictví, považoval za potřebné, aby i ministerstvo poskytlo své vyjádření k návrhu na zahájení řízení, zejména pak aby sdělilo, za jakým účelem jsou z pohledu ministerstva předávány osobní údaje uvedené v § 70 odst. 2, § 71 odst. 1 až 5, 7 a 9, § 74 odst. 1 a 2, § 76 odst. 1 a § 77a odst. 3 zákona o zdravotních službách do NZIS, a to jednotlivě u každého z těchto údajů. Ministerstvo však své vyjádření ani po opakované výzvě neposkytlo.
III./d Sdělení Veřejné ochránkyně práv
46. Veřejná ochránkyně práv Ústavnímu soudu sdělila, že se rozhodla nevyužít svého práva vstoupit řízení.
III./e Vyjádření Úřadu pro ochranu osobních údajů
47. Úřad úvodem uvádí, že nemá námitky vůči samotnému zavedení a existenci systému zdravotních registrů, které využívají současné možnosti technologického rozvoje pro zdraví a dobro člověka v nejširším smyslu. Smyslem zavedení zdravotních registrů by nepochybně mělo být zlepšování podmínek pro poskytování zdravotní péče prostřednictvím např. optimalizace zdravotních systémů a efektivní alokace finančních prostředků vybíraných v systému zdravotního pojištění. Právě oblast zdravotnictví má mimořádně velký potenciál pro využití nových možností, které přinášejí informační technologie. Úřad ovšem požaduje, aby využívání nových technologií a dat ve zdravotnictví bylo provázáno s ochranou osobních údajů a soukromí a s požadavky na ochranu dat. Vychází přitom z toho, že rychlé tempo technologických změn a globalizace od základů změnily rozsah a způsob sběru, používání a přístupu k datům. Je skutečností, že dochází k exponenciálnímu narůstání objemu shromážděných dat. Ve společnosti mají tyto informace široké použití, využívají se např. pro účely různých druhů analýz. Analýzy datových souborů mají typicky využití v oblasti zdraví či zdravotní politiky, lze je využít k boji s nemocemi. Zpracování dat má velký význam pro společnost jako celek, dokonce se ví, že řadu problémů v oblasti zdraví a zdravotnictví bude možno v budoucnu řešit pouze tímto způsobem. Uvedené trendy lze charakterizovat tak, že v současné době dochází ke komplexnímu propojování digitálního a fyzického světa. To ovšem může přinášet i četná rizika. Neobsahují-li velké objemy shromážděných dat osobní informace, nepředstavují žádná rizika pro ochranu osobních údajů. Ovšem většina v současnosti generovaných dat zahrnuje osobní údaje a rozsáhlé datové soubory zvyšují rizika pro lidské soukromí a ochranu osobních údajů. Hodnota informací přitom nespočívá pouze v jejich prvotním účelu, ale v jejich druhotném použití, tedy zpracování pro jiné účely, než k jakým byly původně shromážděny. Při shromažďování velkého objemu dat může dojít k hrozbám pro osobní údaje a soukromí, ale i k opomenutí etických otázek, lidské důstojnosti a individuality.
48. Data velkého rozsahu jsou rovněž zmíněna jako možné riziko v nařízení Evropského parlamentu a Rady (EU) č. 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) - (dále jen "nařízení"). Nařízení nekoncipuje právo na ochranu osobních údajů jako absolutní, nýbrž uvádí, že musí být posuzováno v souvislosti se svou funkcí ve společnosti a v souladu se zásadou proporcionality musí být v rovnováze s dalšími základními právy (viz jeho preambuli).
49. Vzhledem k tomu, že nálezsp. zn. Pl. ÚS 1/12odkazuje na principy, na kterých je založena Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat (č. 115/2001 Sb. m. s.) a nyní již neplatná směrnice Evropského parlamentu a Rady č. 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen "směrnice"), jsou pro posouzení návrhu relevantní změny právního rámce, jak je s platností od 25. 5. 2018 vymezen nařízením.
50. Pokud jde o zdravotní registry, obecně je z pohledu ochrany soukromí zásadní především skutečnost, že jsou založeny na shromažďování a využívání velkého množství zdravotních údajů. Tyto údaje jsou považovány za citlivé a fyzické osoby je mnohdy považují za citlivější než ostatní údaje. Řada komerčních i jiných subjektů totiž využívá nebo má zájem využívat tzv. profilování, tedy rozlišování, které může být založeno i na využívání zdravotních údajů. To se může projevit v řadě situací, např. při sjednávání bankovního úvěru, poskytnutí hypotéky či hledání zaměstnání, nebo jedinec může být vystaven společenské stigmatizaci ve spojení s duševními chorobami. Právě úniky citlivých dat ve zdravotnictví jsou jedním z největších problémů bezpečnosti dat. Zdravotní údaje mají totiž mimořádně velkou hodnotu, a to i tržní. Množí se také druhy útoků zacílených na zdravotní údaje, např. útoky mající za cíl zašifrovat a znepřístupnit data pacientů nebo případy, kdy si útočník z dostupných rozhraní (monitory, tablety apod.) vlastním zařízením (nejčastěji mobilním telefonem) vyfotí zobrazené informace. V České republice nejsou k dispozici publikované statistické údaje o úniku citlivých dat ve zdravotnictví a teprve po účinnosti nařízení vznikla povinnost je hlásit.
51. Úřad dále poukázal na definici zdravotních údajů, jež je obsažena v čl. 4 odst. 15 nařízení a podrobně rozvedena v jeho preambuli, a na to, že nařízení řadí údaje o zdravotním stavu mezi zvláštní kategorie osobních údajů, pro jejichž zpracování stanoví čl. 9 nařízení přísnější pravidla, než je tomu u zpracování běžných osobních údajů podle jeho čl. 6. Zpracování zvláštních kategorií osobních údajů je zakázáno, není-li stanovena výjimka podle čl. 9 odst. 2 nařízení. Výjimky z tohoto zákazu jsou však užší a specifičtější než důvody pro zpracování běžných kategorií osobních údajů uvedené v čl. 6 nařízení. Správce proto musí pečlivě zvážit, zda mu svědčí některý z deseti zde uvedených důvodů. V případě veřejného zájmu je přitom použito adjektivum "významný veřejný zájem", které zjevně zvyšuje požadavky stanovené pro zpracování.
52. Napadená právní úprava NZIS podle Úřadu vytváří velkorysý a zcela otevřený rámec pro činnost zdravotních registrů, které mohou vznikat podle aktuálních potřeb. Zákon o zdravotních službách předpokládá pro účely zdravotních registrů shromažďování snad všech existujících osobních údajů, které jsou poskytovány Ministerstvem vnitra, Policií České republiky a Českým statistickým úřadem ze základních registrů a dalších informačních systémů veřejné správy.
53. V kontextu argumentace obsažené v návrhu je podle Úřadu důležité, že práva subjektu údajů ve vztahu k celému NZIS nemohou vycházet ze souhlasu subjektu údajů, ačkoli institut souhlasu u zpracování osobních údajů je primárním naplněním práva na informační sebeurčení. Plnění úkolů při ochraně veřejného zdraví a poskytování lékařské péče vyžaduje pevný a spolehlivý právní základ, který umožní rovný přístup všech, komu mají být péče a určité služby poskytovány, a to při současném respektování aktuální situace a budoucích potřeb každého jednotlivce i poskytovatelů péče. Souhlas subjektu údajů svou odvolatelností však těmto požadavkům nevyhovuje. Za takové situace musí být proto k dispozici veškeré dostupné záruky.
54. Ochraně osobních údajů a právům subjektů údajů není v hlavě třetí části šesté zákona o zdravotních službách vůbec věnována pozornost, respektive byla v kontextu zdravotních registrů opomenuta. Právní úprava je v tomto směru nevyvážená a jednostranná, a navazuje tak, jak se v návrhu konstatuje, na předchozí právní úpravu podle zákona o péči o zdraví lidu. Principy a pravidla ochrany osobních údajů tudíž nebyly dostatečně promítnuty ani do právní úpravy zdravotních registrů, ani NRZP, u něhož ke změně došlo jen v tom, že registr byl změněn na neveřejný. Nálezusp. zn. Pl. ÚS 1/12nebyla v mezidobí věnována pozornost a zdravotní registry nebyly uvedeny do souladu s jeho požadavky. Z účelu zdravotních registrů, tak jak je zákon o zdravotních službách vyjmenovává v § 70 odst. 1 a § 73, je přitom zřejmé, že na plnění některých účelů by byly postačující pouze údaje anonymizované. Jinými slovy, uvedená hlava zákona požaduje, aby do zdravotních registrů byly předávány citlivé osobní údaje, které jsou uchovávány po dlouhou dobu, aniž bylo např. v důvodové zprávě vyloženo, proč a v jakém rozsahu každý ze sledovaných účelů požaduje zpracování citlivých osobních údajů a proč nepostačuje práce např. s údaji agregovanými. Účelů, které mají plnit zdravotní registry, by bylo možno dosáhnout tak, že by zdravotnická zařízení předávala NZIS již anonymizované údaje. Takové údaje by se nemohly stát předmětem úniku.
55. Závěrem svého vyjádření Úřad uvádí, že zvýšilo-li nařízení v mezidobí od přijetí nálezusp. zn. Pl. ÚS 1/12standard ochrany osobních údajů oproti směrnici, vzrostly i požadavky na ochranu osobních údajů a soukromí, které představují základní práva chráněná ústavním pořádkem. Potom platí, že napadená právní úprava neobstojí tím spíše, když není dostatečným právním základem pro vedení zdravotních registrů a neexistují v ní dostatečné záruky k ochraně uvedených práv dotčených osob.
III./f Vyjádření Ústavu zdravotnických informací a statistiky České republiky
56. Ústav předně uvádí, že kompletní zrušení úpravy obsažené v § 70 až 78 zákona o zdravotních službách by vedlo k úplné likvidaci NZIS, a tedy k likvidaci jediného centrálně kontrolovaného sběru dat ve zdravotnictví. Většina funkčních a vysoce potřebných zdravotních registrů existuje celá desetiletí, řada z nich byla upravena nebo nově iniciována novelou zákona o zdravotních službách z roku 2016. Vždy jde o registry, které vede jako významné informační systémy většina států Evropské unie (např. onkologický, kardiochirurgický) a jejichž data se mezi členskými státy srovnávají. Tvrzení, že moderní sledování lékařské péče je reliktem totalitního režimu, nemůže ve světle objektivních mezinárodních srovnání obstát. Naopak moderní medicína a její hodnocení se musí opírat o velmi robustní národní data. Metodika všech registrů v NZIS přitom vychází z průběžně vydávaných mezinárodních doporučení.
57. Způsob vzniku registrů byl podle Ústavu řádně projednáván odbornými společnostmi i s profesními komorami a byl podroben širokému a otevřenému připomínkovému řízení. Výsledkem bylo předložení novely zákona o zdravotních službách (vyhlášené jako zákon č. 147/2016 Sb.) Legislativní radě vlády bez rozporu, a to s maximálním respektem k ochraně osobních údajů a k pravidlům kybernetické bezpečnosti. Novela přitom sleduje jediný zásadní cíl: zvýšit informační hodnotu NZIS využitím v českém zdravotnictví již existujících dat, a to dat výhradně generovaných zdravotními službami hrazenými z veřejného zdravotního pojištění. Využitím těchto dat se přitom nijak neomezuje podnikání ani hospodářská činnost jakéhokoli subjektu.
58. Smyslem NZIS není sledování pacientů, neboť veškeré analýzy probíhají nad plně anonymizovanými a agregovanými daty. Jeho smyslem je sledování parametrů péče - k tomu je ovšem nutné danou péči přiřadit k pacientovi, který ale není nijak ztotožněn. Vzhledem k tomu, že jde o data zpracovávaná bez jeho souhlasu, je zde dána přednost v rámci hodnotové úvahy veřejnému zájmu, a dochází tak k omezení práva jednotlivce na informační sebeurčení, aby byla naplněna jeho práva podle čl. 31 Listiny. Ochrana základních práv je zajištěna plně v souladu s platnými právními předpisy. Za celou dobu existence NZIS nebyl zaznamenán jediný incident zneužití v něm shromážděných dat.
59. K navrhovatelkou odkazovanému nálezu Ústavního soudusp. zn. Pl. ÚS 1/12Ústav uvádí, že se týkal NRZP, který byl koncipován jako veřejný. Nedopadá tedy ani na pacientské registry, ani na NZIS, jež jsou vedeny za zcela odlišných podmínek. Vyslyšen tak byl apel Ústavního soudu, aby byl přísněji "nastaven" účel registrů tvořících NZIS a okruh oprávněných osob majících přístup do registru. Zákonem č. 147/2016 Sb. byl nový NRZP ustaven jako zcela neveřejný, referenční, agendový systém, budovaný na principech "eGovernmentu", a zákon výslovně a jasně stanovil práva a podmínky přístupu k danému registru, respektive okruh k tomu oprávněných pracovníků (§ 70 a 73). NRZP je základním řídícím registrem jakéhokoli funkčního systému "eHealth". Kdyby stát takový registr nevybudoval, budou tyto databáze vznikat dílčím způsobem na různých úřadech a institucích, což riziko práce s daty podstatně zvýší. NRZP nemůže být nahrazen žádným jiným systémem ani registry profesních komor a nejde u něj o data nadbytečná k dílčím systémům různých institucí.
60. Mylné je tvrzení, že jsou dostačující obecně sbíraná agregovaná data v tzv. výkazech poskytovatelů zdravotních služeb (státní statistická služba). Tato hlášení totiž umožňují pouze hrubý epidemiologický pohled na systém a nadto zdaleka ne u všech významných onemocnění a zdravotních problémů. Tato data tedy neumožňují exaktní hodnocení kvality a efektivnosti vynakládání prostředků na zdravotní péči.
61. Zákon č. 147/2016 Sb. nezavedl "masu" nových registrů pro jejich vzájemná propojování. Místo toho je zde inovací Národní registr hrazených zdravotních služeb, který pouze využívá pro zpracování data již předtím sbíraná bez souhlasu pacienta zdravotními pojišťovnami. Tvrzení navrhovatelky, že ke sběru dat pacientů za účelem řízení kvality nemocnic jsou určeny jiné zákonné nástroje a instituce, Ústav odmítá s tím, že základním principem hodnocení kvality zdravotní péče je, že musí jít o transparentní systém založený na objektivních (referenčních) datech. Právě takový systém představuje NZIS, neboť kvalitu péče nemůže hodnotit sám zřizovatel. Uvedená novela zákona o zdravotních službách přitom byla zpracována pro naplnění dohledové povinnosti ministerstva nad zdravotními pojišťovnami, a zprostředkovaně tak nad celým systémem veřejných zdravotních služeb. Důvodem existence tohoto registru je tedy využít již existující a pravidelně sbíraná data o péči placené z veřejného zdravotního pojištění ke komplexním analýzám zdravotního stavu obyvatel, nemocnosti a jejích rizicích, dostupnosti péče a její kvalitě a k analýzám slabých míst sítě poskytovatelů zdravotních služeb.
62. K ustanovením § 71 odst. 3 a 4 zákona o zdravotních službách Ústav uvádí, že jde o dílčí záznamy konkrétních registrů, nikoli o plošné sběry dat, což je patrné i z oficiálně publikovaných metodik k registrům NZIS. Nejde o plošné sledování všech parametrů ve všech registrech, což by jistě bylo problematické. K § 71 odst. 10 ("údaje, které jsou nezbytné ke splnění daného úkolu") pak Ústav uvádí, že jde o zákonem přesně specifikovaný okruh údajů, a to údaje z registrů dle § 71 odst. 1 písm. a) a d) a od Českého statistického úřadu.
63. K chybějící možnosti subjektu údajů požádat o výmaz dat z registru Ústav uvádí, že jde o požadavek, který by znemožnil exaktní hodnocení kvality péče a v konečném důsledku by pacienty poškodil. V té souvislosti klade otázku, jaký by mělo smysl sledovat např. objem a kvalitu péče o matku a novorozené dítě, kdyby subjekty údajů nechávaly zcela náhodně databázi promazat, a odpovídá, že výsledkem by byl chaotický a nereprezentativní zdroj dat. Obdobně Národní registr hospitalizovaných je jediným zdrojem dat umožňujícím hodnotit vývoj, zátěž, dostupnost a kvalitu lůžkové péče. Kdyby byl anulován, dílčí nemocniční informační systémy ve stovkách nemocnic jej nemohou nahradit a nemocnice by přišly o možnost srovnávat své výsledky s celkem.
64. K § 78 zákona o zdravotních službách Ústav poukazuje na to, že okruh oprávněných pracovníků je jednoznačně stanoven v § 73 odst. 2 téhož zákona. Prováděcí vyhláška pak stanoví pouze náležitosti žádosti o oprávnění k přístupu k osobním údajům a dalším údajům vedeným ve zdravotnických registrech a o zrušení tohoto oprávnění.
65. K § 41a odst. 1 zákona o veřejném zdravotním pojištění Ústav uvádí, že tento sběr dat je dobrovolný, je zakotven smluvně a není součástí NZIS. Referenční síť poskytovatelů (nemocnic) je zveřejněna ve Věstníku Ministerstva zdravotnictví č. 8/2016 a bude každoročně aktualizována. Pravidla jsou navrhována formou metodiky a veškeré metodické dokumenty v rámci DRG jsou veřejně dostupné a podléhají oponentuře a korekcím. Předmětem zákonné úpravy není definice podrobné metodiky, pouze zakotvení povinnosti Ústavu předávat ministerstvu v definovaných lhůtách "aktuální údaje a metodiky". Ústav pouze provádí analytická hodnocení a vypracovává metodiku k oceňování hospitalizačního případu, její aplikace do praxe však není v jeho působnosti (definice stávajících procesů je pod gescí ministerstva). Je zpracována souslednost kroků v právních aspektech souvisejících se změnami/optimalizací systému DRG. K tomu Ústav poukazuje na sdělení Českého statistického úřadu č. 313/2016 Sb., o aktualizaci Klasifikace hospitalizovaných pacientů (IR-DRG) [poslední sdělení Českého statistického úřadu o aktualizaci Klasifikace hospitalizovaných pacientů (IR-DRG) bylo vyhlášeno s účinností od 1. 1. 2019 pod č. 218/2018 Sb. - pozn. Ústavního soudu].
66. V závěru svého vyjádření Ústav doporučuje návrh zamítnout.
67. Výzvou Ústavního soudu ze dne 6. 10. 2020 byl Ústav dále požádán o vyjádření, respektive zodpovězení následujících otázek. V prvé řadě jej Ústavní soud vyzval, aby ke každému konkrétnímu účelu NZIS (§ 70 odst. 1 a § 73 odst. 1 zákona o zdravotních službách) uvedl konkrétní rozsah jednotlivých údajů, jejichž shromažďování je nezbytné k jejich naplnění, jakož i to, zda je k jejich naplnění nutná identifikace pacientů. Vyjádřit se měl pak zejména k údajům o omezení svéprávnosti, rodinném stavu, datu jeho změny a místu uzavření manželství nebo registrovaného partnerství, jménu, příjmení a rodném čísle manžela či registrovaného partnera [viz § 71 odst. 3 písm. m) nebo odst. 4 písm. n) zákona o zdravotních službách], jménu, příjmení a státním občanství dítěte, osvojenci, osvojiteli, správním vyhoštění, rodných číslech matky a otce a datu nabytí právní moci rozhodnutí o osvojení nebo rozhodnutí o zrušení osvojení. Zadruhé měl Ústav zodpovědět, nakolik je upraveno technické zabezpečení uchovávání údajů a nakolik je možno sledovat nebo zaznamenat, které osoby, kdy a proč do NZIS skutečně nahlížejí. Zatřetí se měl vyjádřit k tomu, zda napadená právní úprava obsahuje záruky před neoprávněným přístupem k údajům a před jejich případným zneužitím, popř. opatření k nápravě.
68. Úvodem Ústav odkázal na své dřívější vyjádření a zopakoval, že napadená právní úprava je podle něj slučitelná s ústavním pořádkem. K účelu NZIS (§ 70 odst. 1 a § 73 odst. 1 zákona o zdravotních službách) uvedl, že "všechny konkrétní údaje vedené ve zdravotnických registrech slouží k plnění ustanovení, stanovených v citovaných ustanoveních". Zákonem vymezené osobní údaje pak systém "nutně potřebuje k tomu, aby dokázal správně přiřadit konkrétního poskytovatele zdravotních služeb, konkrétní úhradu za tyto služby, konkrétní obsah poskytovaných služeb ke konkrétnímu výsledku, jako je např. výskyt nežádoucích událostí, komplikací, dosaženého přežití pacienta apod.". Jinak než neanonymizovaným sběrem dat podle něj nelze zákonem stanoveného účelu dosáhnout. Identifikace pacienta, a to i jako pojištěnce, je potřebná a důležitá pro všechny systémy v rámci NZIS.
69. Ústav dále uvedl, že právním základem pro zpracování osobních údajů v NZIS je čl. 9 odst. 2 písm. h) až j) nařízení. Jako správce osobních údajů byl Ústav několikrát prověřen Úřadem pro ochranu osobních údajů, přičemž poslední kontrola byla ukončena dne 6. 3. 2018. Ve svém vyjádření Ústav shrnul závěry z kontrolního protokolu. Zejména zdůraznil, že má uzavřeny smlouvy podle § 6 zákona o ochraně osobních údajů, které obsahují záruky o dostatečném technicko-organizačním zabezpečení osobních údajů. Ústav dále přijal taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, respektive jejich zneužití. Stejně tak Ústav zpracoval a dokumentuje přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů, a to v souladu s § 13 odst. 2 zákona o ochraně osobních údajů. V oblasti automatizovaného zpracování osobních údajů Ústav zajišťuje, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby [§ 13 odst. 4 písm. a) zákona o ochraně osobních údajů]. Ústav rovněž v souladu s § 13 odst. 4 písm. c) zákona o ochraně osobních údajů pořizuje elektronické záznamy, umožňující určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány. Zaznamenán je veškerý přístup k osobním údajům.
70. Samotná provozní bezpečnost NZIS je zajištěna systémem opatření vycházejících z ISO 27001 a vyhlášky č. 82/2018 Sb., o bezpečnostních opatřeních, kybernetických bezpečnostních incidentech, reaktivních opatřeních, náležitostech podání v oblasti kybernetické bezpečnosti a likvidaci dat (vyhláška o kybernetické bezpečnosti), jakož i "sadou technických nástrojů pro sledování a vyhodnocování provozu, správy logů, propracovaným systémem Business continuity a dalšími nástroji a opatřeními". Ústav dále odkazuje na provozní metodiky NZIS, které podle něj plně odpovídají právním předpisům, jakož i standardům ISO/IEC 27001:2013 a ISO 10001:2007.
III./g Vyjádření České lékařské komory
71. Úvodem svého vyjádření ČLK uvedla, že se necítí kompetentní posuzovat z právního hlediska otázku, která je předmětem řízení u Ústavního soudu, pokud jde o test proporcionality mezi ochranou osobních údajů na straně jedné a veřejným zájmem na informacích o stavu obyvatelstva na straně druhé.
72. ČLK ovšem zastává stanovisko, že informace poskytované podle napadených ustanovení zákona o zdravotních službách jsou obecně potřebné pro rozhodování státu o opatřeních v rámci zdravotní péče o obyvatelstvo. Předmětné informace mohou být dobrým podkladem pro znalost demografických podmínek z hlediska výskytu jednotlivých závažných chorob a poskytování zdravotních služeb v jednotlivých krajích a z tohoto pohledu se ČLK domnívá, že existuje veřejný zájem na jejich poskytování.
73. Úplné zrušení všech napadených ustanovení zákona o zdravotních službách nepovažuje ČLK za vhodné, žádoucí ani nezbytné z hlediska případné ochrany osobních údajů občanů. I kdyby totiž Ústavní soud poskytl zákonodárci určitou lhůtu a odložil vykonatelnost nálezu na dobu přiměřenou pro přijetí nové právní úpravy, mohla by i v takovém případě, zejména v posledním roce před parlamentními volbami, nastat situace, kdy zákonodárce novou právní úpravu již nestihne přijmout a dojde k tomu, že uvedená ustanovení zákona, která nepochybně mají svůj účel z hlediska řízení péče o zdraví obyvatelstva, nebudou ničím nahrazena, a veškerý informační systém českého zdravotnictví tím na určitou dobu zanikne.
74. Pokud jde o registr jednotlivých chorob, hospitalizací apod., ČLK se domnívá, že mnohem podrobnější přehled o jednotlivých občanech - pojištěncích a jejich zdravotním stavu mají zdravotní pojišťovny, jejichž zaměstnanci mají sice stanovenu povinnost mlčenlivosti, nejsou však úředními osobami ani státními zaměstnanci. ČLK má za to, že mají-li příslušné informace v mnohem větším rozsahu zaměstnanci (i soukromých) zdravotních pojišťoven, nemůže jít o ohrožení ochrany osobních údajů, budou-li s citlivými osobními údaji sdělovanými v rámci NZIS disponovat pouze k tomu určení státní zaměstnanci zavázaní povinnou mlčenlivostí pod trestní sankcí.
75. Národní registr poskytovatelů je podle názoru ČLK rovněž potřebný, neboť každý, kdo má oprávnění k poskytování zdravotních služeb, by měl být státem evidován, podobně jako jsou živnostníci evidováni v živnostenském rejstříku.
76. Otázkou podle ČLK je, zda je nutno vést registr všech zdravotnických pracovníků, včetně všech osobních údajů, které mají být v tomto registru podle zákona vedeny, zvláště za situace, kdy registry lékařů, zubních lékařů a farmaceutů vede profesní komora zřízená zákonem, a jde tedy o částečně duplicitní registr. Na zvážení je i rozsah údajů, které jsou o jednotlivých zdravotnických pracovnících v tomto registru vedeny. ČLK tím však netvrdí, že by existence NRZP byla v rozporu s ústavním pořádkem.
77. Závěrem ČLK vyjádřila přesvědčení, že kromě registru zdravotnických pracovníků všechny ostatní registry mohou přispět k lepší ochraně zdraví a kvalitnějšímu rozhodování o přijetí zákonů a dalších opatření ve zdravotnictví, neboť bez těchto informací by rozhodování o opatřeních ke zlepšení zdravotního stavu obyvatelstva bylo mnohem obtíženější. Veřejný zájem na existenci těchto registrů nepochybně existuje.
III./h Vyjádření Všeobecné zdravotní pojišťovny České republiky
78. VZP ve vyjádření zaslaném jejím ředitelem uvádí, že NZIS byl určen i k tomu (což je zdůrazněno novou úpravu Národního registru hrazených zdravotních služeb), aby byla plošně sbírána neanonymizovaná data o osobách čerpajících zdravotní služby hrazené z veřejného zdravotního pojištění a o těchto zdravotních službách. Dle VZP je nezbytné respektovat ústavněprávní požadavek, že pouhým zákonem stanovený rámec pro zpracování osobních údajů nestačí, ale že zpracování těchto údajů musí být nezbytné, důvodné, účelné, logické a obhajitelné pro sledované cíle. K tomu VZP konstatuje, že NZIS a informace, které jsou jeho prostřednictvím vyhodnotitelné a využitelné, jsou jednoznačně přínosem pro kvalitu zdravotní péče. Umožňují lépe vyhodnotit dostupnost i bezpečnost zdravotní péče, včetně sledování její kvality. Na základě těchto dat bude při jejich správném využití možno zavést spolehlivý systém kontroly a optimalizace léčebné péče pro různé sociální a demografické skupiny a provést žádoucí optimalizaci sítě poskytovatelů zdravotní péče. NZIS tak představuje transparentní nástroj ke zjišťování veřejného zájmu vymezeného v § 17 odst. 2 zákona č. 48/1997 Sb. Pro VZP jsou tyto aspekty NZIS natolik důležité a veřejný zájem natolik silný, že by měl Ústavní soud potvrdit soulad napadených ustanovení s ústavním pořádkem.
79. Podle VZP je nová úprava NZIS racionální a odůvodněná ve vztahu ke sledovaným cílům, jež jsou vymezeny sice obecně, ale přesto jednoznačně v zákoně o zdravotních službách. VZP se proto nemůže ztotožnit s názorem, že účel NZIS a samotných registrů je vágní či všezahrnující. Uvedený zákon přitom kromě účelu NZIS rovněž podrobně popisuje, o kom a kdy se údaje anonymizují nebo kdo má k údajům, které nejsou určeny ke zveřejnění, přístup. Jiný než v něm stanovený způsob zacházení s nimi není možný.
80. Zrušení napadené úpravy by mělo podle VZP nenapravitelné důsledky. Při zrušení NZIS by totiž došlo ke ztrátě zdravotnické statistiky resortu zdravotnictví o zdravotním stavu obyvatelstva a stejně tak by se to dotklo i státní statistické služby. Tyto údaje jsou sbírány již mnoho let a je jich úspěšně využíváno nejen v systému zdravotnictví v České republice, ale i při srovnání s ostatními zeměmi EU a světa. Informace z registrů totiž slouží k dlouhodobému sledování a analýze výskytu sledovaných onemocnění a léčebných metod v České republice, přičemž zjištěná data jsou zpracovávána v epidemiologických studiích a slouží zdravotnickému výzkumu. Dle informací VZP je NZIS také registrován jako tzv. agendový resortní registr ve vztahu k základním registrům podle zákona č. 111/2009 Sb., o základních registrech, ve znění pozdějších předpisů, a v důsledku jeho zrušení by byla narušena funkce těchto registrů jako jednoho z nástrojů snížení administrativní zátěže a odbřemenění veřejné správy. Znemožnilo by se i plnění mezinárodních závazků vůči mezinárodním organizacím.
81. Nová úprava NZIS vznikla především z potřeby naplnění veřejného zájmu, a protože stát shledal, že dosavadní úprava není dostatečná. Nejzásadnější změnou je zřízení Národního registru hrazených zdravotních služeb, který zpracovává data již předtím sbíraná zdravotními pojišťovnami bez souhlasu pojištěnce. Tento registr je koncipován i jako nástroj ministerstva pro naplnění jeho dohledové povinnosti. Nadto má ministerstvo povinnost definovat podle zákona o veřejném zdravotním pojištění i veřejný zájem na stabilitě systému veřejného zdravotního pojištění, čehož bez tohoto nástroje nelze objektivně dosáhnout, pročež předchozí právní stav nebyl ani z pohledu zdravotních pojišťoven vyhovující, natož pak transparentní. Ministerstvo tak bude mít prostřednictvím údajů v tomto registru nezkreslený pohled na hodnocení zdravotní péče.
82. K tvrzení navrhovatelky o nadbytečnosti získávání některých údajů, např. rodného čísla, VZP uvádí, že NZIS nepočítá s využitím tohoto údaje nad rámec nezbytně nutný. Rodné číslo zde nemá sloužit k identifikaci jednotlivého pojištěnce - pacienta, ale ke "svázání" údajů o poskytnuté péči, jakož i sociodemografických údajů, které se k němu váží. Rodné číslo je jediným údajem, který toto pojítko tvoří v místě i čase - je tedy jedinou konstantou, která takové "svázání" umožňuje. Z toho navíc vycházejí i stávající registry, např. onkologický registr fungující již od 2. poloviny 70. let 20. století. Pakliže by se v rámci NZIS na užívání rodného čísla rezignovalo, bylo by třeba vytvořit nový identifikační kód, který by umožnil opakovaně propojit informace ze záznamů v místě a čase. Bez takového propojení a navázání na jednotlivce není možné dosáhnout vytyčeného cíle, tedy mimo jiné sledovat dostupnost, průběh a výsledky poskytnuté péče.