K jeho nedávnému odvolání mělo údajně přispět právě vydané varování. Podobný nástroj byl přitom použit NÚKIB poprvé v historii. Jeho odůvodnění je velmi omezené a nekonkrétní. Ve svém důsledku je přesto schopno dotčený subjekt zásadně poškodit. Může být tedy snadno zneužito k (podnikatelské) likvidaci jakékoli nepohodlné osoby. Je proto na místě zabývat se jeho právní povahou, dopady a možnostmi právní obrany.
K varování NÚKIB
Dne 17. prosince 2018 vydal NÚKIB varování sp. zn. 110-536/2018, č. j. 3012/2018-NÚKIB-E/110 ve smyslu § 12 odst. 1 zákona č. 181/2014 Sb., o kybernetické bezpečnosti a o změně souvisejících zákonů, ve znění pozdějších předpisů (dále jen „ZKB“) s konstatováním, že použití technických nebo programových prostředků společností HUAWEI Technologies Co., Ltd., Šen-čen, Čínská lidová republika a ZTE Corporation, Šen-čen, Čínská lidová republika včetně jejich dceřiných společností představuje hrozbu v oblasti kybernetické bezpečnosti (dále jen „Varování“).
NÚKIB má postavení ústředního správního úřadu v oblasti kybernetické bezpečnosti včetně ochrany utajovaných informací v oblasti informačních a komunikačních systémů a kryptografické ochrany. Mezi kompetence NÚKIB, krom dalšího, spadá rovněž možnost uložit opatření v podobě varování. V souladu se ZKB vydá NÚKIB varování, dozví-li se zejména z vlastní činnosti, z podnětu provozovatele národního CERT (Computer Emergency Response Team) anebood orgánů, které vykonávají působnost v oblasti kybernetické bezpečnosti v zahraničí, o hrozbě v oblasti kybernetické bezpečnosti.
Varování může dotčenému subjektu způsobit nejen citelný zásah do jeho dobré pověsti, ale i rozsáhlý ušlý zisk snížením poptávky spotřebitelů a soukromých podnikatelských subjektů o jeho produkty. Vážné komplikace mohou vznikat i tehdy, pokud by se chtěla daná osoba ucházet o veřejnou zakázku. Přestože vydané Varování neobsahuje bližší specifikaci či důkazní podložení bezpečnostních rizik, jsou státní orgány povinny se jím řídit, jak nedávno potvrdil Úřad pro ochranu hospodářské soutěže. Ve svém rozhodnutí ze dne 22. 11. 2019, č. j. ÚOHS-S0262/2019/VZ-30266/2019/523/Jma, dospěl k závěru, že varování NÚKIB i přes svou obecnou povahu představuje ospravedlnitelný důvod pro omezení hospodářské soutěže.
Z obsahu vydaného Varování je zjevné, že není ze strany NÚKIB dostatečně konkrétně odůvodněno a jeho základ je dotvářen spekulacemi či přebíráním obecných prohlášení jiných institucí. Takový závěr lze dovozovat například z odst. i. Varování, kde je krom jiného uvedeno cit. „…Tyto společnosti se zároveň také spolupráci se státem povětšinou nebrání; úsilí chránit zájmy zákazníků na úkor zájmům ČLR je v tomto prostředí značně sníženo. Podle dostupných informací existuje organizační a personální propojení mezi těmito společnostmi a státem…“.
Mám za to, že vzhledem ke zcela zásadním účinkům Varování by mělo být ze strany NÚKIB řádně odůvodněno. Přinejmenším dotčená osoba musí mít právo dozvědět se důvody vydání Varování a musí mít možnost na ně reagovat. Pokud (jakýkoli) úřad o někom sdělí, že představuje hrozbu podobného formátu, v právním státě musí mít každý dotčený subjekt možnost se proti takovému sdělení bránit. Jakou má vůbec Varování právní povahu? Jakou obranu proti Varování nabízí český právní řád?
Právní povaha Varování
O právní povaze se samotný text Varování nezmiňuje. Nečiní tak ani ZKB. Z důvodové zprávy k § 12 ZKB se podává: „Účelem varování podle tohoto ustanovení je oficiální publikace informací o bezpečnostní hrozbě, tj. preventivní informování orgánů a osob.“ Podstata Varování tak spočívá v publikaci konkrétní informace o nějaké skutečnosti, přičemž jeho charakter má být ryze preventivní.
Zákon svěřuje NÚKIB pravomoc vydávat tzv. opatření. Rozumí se jimi „úkony, jichž je třeba k ochraně informačních systémů nebo služeb a sítí elektronických komunikací před hrozbou v oblasti kybernetické bezpečnosti nebo před kybernetickým bezpečnostním incidentem anebo k řešení již nastalého kybernetického bezpečnostního incidentu.“ Opatření se dělí dle povahy na tzv. varování, reaktivní opatření a ochranná opatření. Zákon však výslovně hovoří toliko o právní povaze reaktivního opatření a ochranného opatření. O reaktivním opatření uvádí, že může být vydáno buď formou rozhodnutí, nebo opatření obecné povahy - má-li se týkat blíže neurčeného okruhu orgánů nebo osob. Ochranné opatření je pak vydáváno pouze ve formě opatření obecné povahy. K varování zákon žádné podobné vymezení neuvádí.
Lze tedy vyloučit, že by se v případě varování jednalo o rozhodnutí či o opatření obecné povahy. Pokud by zákonodárce považoval varování za rozhodnutí či opatření obecné povahy (kterým navíc neodpovídá ani materiálně), pak by je takto výslovně upravil, když tak učinil v případě reaktivního opatření a ochranného opatření. Varování je naopak třeba vnímat jako úkon správního orgánu s určitou nižší intenzitou právních účinků, než mají správní rozhodnutí, protože se jimi nezakládají, nemění ani neruší práva nebo povinnosti jmenovitě určené osoby, ani se jimi neprohlašuje, že taková osoba práva nebo povinnosti má anebo nemá, čímž odpovídá sdělení ve smyslu § 154 a násl. zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů (dále jen „SŘ“ či „správní řád“).[1]
Možnosti právní obrany a náhrady újmy
Pokud se určitá osoba cítí být vydaným Varováním poškozena, připadá v úvahu vícero právních nástrojů, které může použít. Kromě prostředků dle správního řádu, případně podnětu k Veřejnému ochránci práv, může být významným nástrojem k nápravě žaloba na ochranu před nezákonným zásahem, pokynemnebo donucením správního orgánu. Tato je upravena zákoně č. 150/2002 Sb., soudní řád správní, ve znění pozdějších předpisů (dále jen „SŘS“). Je-li žalobce úspěšný, soud rozsudkem určí, že provedený zásah byl nezákonný, a trvá-li takový zásah nebo jeho důsledky anebo hrozí-li jeho opakování, zakáže správnímu orgánu, aby v porušování žalobcova práva pokračoval, a přikáže, aby, je-li to možné, obnovil stav před zásahem.
Žaloba musí být podána do dvou měsíců ode dne, kdy se žalobce dozvěděl o nezákonném zásahu. Nejpozději lze žalobu podat do dvou let od okamžiku, kdy k němu došlo. Ústavní soud však dovodil, že žalobu lze podat, dokud zásah trvá, neboť lhůta k podání žaloby proti neukončenému trvajícímu zásahu ve skutečnosti začíná každý den znovu[2]. Varování je stále na webu NÚKIB. Lze tedy mít za to, že zásah stále trvá a Varováním zasažené společnosti by tak žalobu mohly podat.
Žaloba na ochranu před nezákonným zásahem je nepřípustná, lze-li se ochrany nebo nápravy domáhat jinými právními prostředky; to neplatí v případě, domáhá-li se žalobce pouze určení, že zásah byl nezákonný.[3] Proti Varování ZKB neupravuje opravný prostředek. Povahu prostředku nápravy nebo ochrany ve smyslu uvedeného ustanovení nesplňují nástroje, které mají povahu podnětu včetně podnětu Veřejnému ochránci práv. Povinné není ani předchozí podání stížnosti dle správního řádu.[4] Případné žalobě napadající Varování tedy nebrání skutečnost, že by byla využita hned jako první právní prostředek k nápravě. Podání žaloby může být efektivním krokem i s ohledem na skutečnost, že dle § 38 SŘS lze zároveň podat i návrh na vydání předběžného opatření. V případě, že soud žalobě nevyhoví, lze jeho rozhodnutí napadnout kasační stížností.
Poté, co budou vyčerpány všechny v úvahu připadající opravné prostředky, je možno podat ústavní stížnost pro nezákonnýzásah do ústavně zaručených práv. V daném případě by tedy musela ústavní stížnosti předcházet výše zmíněná žaloba na ochranu před nezákonným zásahem a kasační stížnost.
Je-li Varováním způsobena dotčené osobě újma, může se domáhat její náhrady. Stát totiž dle zákona č. 82/1998 Sb., ve znění pozdějších předpisů, odpovídá za škodu, jakož i za nemajetkovou újmu způsobenou rozhodnutím a nesprávným úředním postupem. Varování není rozhodnutím, v daném případě by se tedy jednalo o nesprávný úřední postup. Aby byl poškozený se svým nárokem úspěšný, musí být zejména splněny tři předpoklady: (i) nesprávný úřední postup, (ii) vznik škody či nemajetkové újmy a (iii) příčinná souvislost mezi nesprávným úředním postupem a vznikem škody či nemajetkové újmy. Zavinění není vyžadováno, navíc se jedná o tzv. absolutní odpovědnost, neboť odpovědnosti za škodu se v tomto případě nelze zprostit.
Závěr
Varování i přes svou preventivní a informativní povahu vyvolává účinky, které se mohou označených osob velmi citelně dotýkat. Na tom nic nemění ani skutečnost, že NÚKIB své Varování moderoval doplněním, které zdánlivě změkčilo intenzitu jeho prvotního dopadu do obchodní sféry dané společnosti s dodatkem, že nesměřuje primárně na běžného uživatele dané technologie. Varování postrádá dostatečné odůvodnění, které by umožnilo dotčeným osobám předložit účinnou argumentaci na svou obranu. NÚKIB stejně tak neuvádí, jaká konkrétní opatření musí dotčená společnost přijmout, aby bylo Varování NÚKIB zrušeno. Mám za to, že takový postup nelze v právním státě připustit a je třeba se mu bránit. V opačném případě by si nikdo nemohl být jistý, zda se jednoho dne nedočká prostého oznámení: „Sdělujeme Vám, že jste veřejný nepřítel. S pozdravem, Váš NÚKIB.“
[1] Jemelka, L., Pondělíčková, K., Bohadlo, D. Správní řád. Komentář. 6 vydání. Praha: C. h. Beck, 2019, s. 842 - 845.
[2] Nález Ústavního soudu ze dne 17. 7. 2018, sp. zn. III. ÚS 1257/18.
[3] Blažek, T.,Jirásek, J., Molek, P., Pospíšil, P., Sochorová, V., Šebek, P.: Soudní řád správní - online komentář. 3. aktualizace. Praha: C. H. Beck, 2016.
[4] Rozsudek Nejvyššího správního soudu ze dne 17. 12. 2010, č. j. 4 Aps 2/2010-44.
Diskuze k článku ()