Source: http://www.sagit.cz/info/e-government-a-osobni-udaje
Timestamp: 2017-05-27 04:24:11+00:00

Document:
E-government a osobní údaje - Nakladatelství Sagit, a.s.
Zdroj: Právo a podnikání, č. 10/2005, str. 14 až 22, autor: Doc. JUDr. Pavel Mates, CSc.
Uplatnění e-governmentu přináší výhody, pokud jde o rychlost fungování orgánů veřejné moci, zjednodušení agendy, flexibility, lepší dostupnost pro občany, snížení nákladů na jejich činnost a větší otevřenost,1) má, však i svoje stinné stránky. Mezi ně patří i větší riziko napadení či poškození elektronicky vedených informačních systémů, resp. jejich obsahu. Je to nebezpečí o to závažnější, že dík moderním technologiím lze snadno soustředit mnohem větší množství informací, než je tomu při použití klasických prostředků, a rychle a snadno je předávat po celém světě. Tesaurování a předávání údajů v této podobě také umožňuje jejich napadení nebo únik a to, že k tomu došlo se zjistí až po delší době, případně vůbec.2)
Další problém elektronického zpracování údajů se objevuje, nahlížíme-li se na něj pohledem těch, jejichž údaje jsou dotčeny. Také demokratické a právní státy musí zabezpečovat fungování svého mocenského aparátu, starat se o veřejný pořádek a bezpečnost, garantovat sociální služby a plnit množství dalších funkcí. Přitom je s osobními údaji nejrůznějším způsobem disponováno a tím postihováno právo na soukromí těch, o jejichž údaje jde.3)
Orgány veřejné moci mají tradičně tendenci shromažďovat a uchovávat maximum osobních údajů, někdy bez ohledu na to, zda je opravdu pro svoje funkce potřebují, a prostředky výpočetní techniky k tomu přímo lákají. Důsledkem toho je, že občan se ztrácí v jejich informačním monopolu a může s ním být i manipulováno ve prospěch určitých mocenských, ekonomických a politických zájmů a potřeb.4)
Vzhledem k tomu musí být rozsah a důvod shromažďování osobních údajů, doba, po kterou mohou být uchovávány, a další náležitosti jejich zpracování, pokud se tak děje ve vertikálních vztazích, tj. orgány veřejné moci, stanoven zákonem.5)
Hlavní impuls přišel v tomto ohledu z nadnárodních struktur. Zmínit je třeba zejména Úmluvu o ochraně osob se zřetelem na automatizované zpracování osobních dat, uzavřenou na půdě Rady Evropy v roce 1981, a Směrnici Evropského parlamentu a rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů.6) Tyto normy se staly východiskem pro naši úpravu, která byla přijata v roce 2000 v podobě zák. č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, do současnosti desetkrát novelizovaným.
Třebaže se zákon vztahuje na zpracování osobních údajů, k němuž dochází v jakékoliv formě, v praxi se dnes již více méně s jinou než elektronickou formou inspektoři a zaměstnanci Úřadu pro ochranu osobních údajů nesetkávají.
Zákon se vztahuje na osobní údaje, které zpracovávají veškeré subjekty, tj. státní orgány, orgány územní samosprávy, jiné orgány veřejné moci i soukromé fyzické a právnické osoby. Zcela je působnost zákona vyloučena tam, kde fyzická osoba provádí zpracování výlučně pro svoji potřebu, což zřejmě nebude situace, která by přicházela v souvislosti s e-governmentem v úvahu (půjde např. o shromažďování údajů o příbuzných nebo známých osobách k udržování společenských vztahů).7)
Další výluka z působnosti zákona je stanovena tam, kde dochází pouze k nahodilému zpracování osobních údajů, pokud tyto nejsou dále zpracovány. Tato výjimka v praxi dopadá vesměs na neautomatizované shromažďování, např. neuspořádané spisy, systémy vedené v elektronické podobě však pod ni pojmově nemohou spadat vzhledem k tomu, že jsou podle určitých kritérií uspořádány.8)
Dílčí výjimky platí podle § 3 odst. 6 pro případy, kdy dochází ke zpracování osobních údajů pro plnění povinností správců např. za účelem zajištění bezpečnosti a obrany České republiky, veřejného pořádku a vnitřní bezpečnosti, předcházení, vyhledávání a odhalování trestné činnosti, významného hospodářského zájmu republiky nebo Evropské unie, výkonu kontroly, dozoru, dohledu9) a další. Na tato zpracování se nevztahují ustanovení zákona týkající se povinnosti správců podle § 5 odst. 1 a informační povinnosti správce podle § 11 a 12 zákona; ostatní režim zákona platí i pro ně.10)
Mezi klíčové pojmy úpravy patří pojem osobní údaj, který je v § 4 definován jako každá informace, která se týká určeného či určitelného subjektu údajů, jímž je fyzická osoba. Ten se považuje za určený či určitelný, pokud lze subjekt údajů identifikovat, a to i nepřímo, na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu (v úvahu mohou ovšem přicházet i jiné identifikátory). Východiskem je tedy určenost či určitelnost osoby, stav, kdy tato nemůže být zaměněna s jinou. K tomu dochází na základě určitých identifikátorů, jimiž mohou být zejména jméno, příjmení a rodné číslo, případně datum narození a adresa. Má-li správce k dispozici tyto či další údaje, může provést přímou identifikaci. V této souvislosti je třeba připomenout, že se vzrůstajícím věkem se počet identifikačních údajů zvyšuje (např. o údaje o vzdělání, povolání, tělesných znacích), dále jediným neměnným znakem je datum a místo narození a konečně, čím větší je komunita, tím je zpravidla třeba více identifikačních znaků. Hovoří-li se o určitelnosti, jde o situaci, kdy správce má objektivní možnost na základě osobních údajů, k nímž má přístup, osobu určit, určenost pak stav, kdy správce disponuje přímými identifikačními údaji.11) Tam, kde dochází k elektronickému zpracovávání osobních údajů s možností přístupu, resp. dálkového přístupu do systémů jiných správců, se míra určitelnosti subjektů údajů zvětšuje.12)
Specifickou skupinu osobních údajů představují citlivé (senzitivní) osobní údaje. Jde o ty, které vypovídají o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů, a každý biometrický nebo genetický údaj subjektu údajů.
Dalším pojmem je anonymní údaj, jímž je ten, který buď v původní podobě, nebo po zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů. Od počátku anonymní jsou např. statistické údaje, které nelze vztáhnout k žádné konkrétné osobě, třebaže zprvu byly od nich získány. K následné anonymizaci dochází tím, že z řady znaků budou trvale vyloučeny ty, které umožňují identifikaci provést (např. seznam adres, od nichž budou oddělena jména a příjmení osob).
Pojmem procházejícím celým zákonem je zpracování. Jím je jakákoliv operace nebo jejích soustava, které správce či zpracovatel systematicky provádějí s osobními údaji, automatizovaně nebo jinými prostředky. Jedná se například o shromažďování údajů, jejich ukládání na nosiče, zpřístupňování, vyhledávání, zveřejňování, uchovávání, třídění a likvidace. Rozhodujícím je systematičnost, která je chápána jako opak nahodilosti. Zákon pak blíže definuje některé z forem zpracování, konkrétně shromažďování uchováváním, blokování a likvidaci.13)Rozhodující postavení při zpracování osobních údajů má správce. Jím je subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele. Ten má odvozené postavení, stává se jím buď na základě zvláštního zákona, nebo pověření správcem a jeho posláním je zpracovávat osobní údaje. Správcem se subjekt stává bez dalšího, pokud uskutečňuje uvedené činnosti, není tedy třeba, aby svoje postavení deklaroval. Některé zákony takto výslovně určité orgány pojmenovávají (např. podle zákona o evidenci obyvatel, zák. č. 133/2000 Sb., je správcem evidence obyvatel Ministerstvo vnitra a zpracovatelem krajské úřady, obecní úřady obcí s rozšířenou působností a ohlašovny), u jiných tak plyne z uvedené definice. Správcem je i ten, kdo provádí zpracování v rozporu se zákonem.14) Jestliže zmocnění není stanoveno zákonem, musí správce se zpracovatelem uzavřít smlouvu podle § 6 zákona.15)
Zveřejněným je osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu (např. obchodní rejstřík, letecký rejstřík, námořní rejstřík); zveřejněným je tak každý údaj, který je přístupný prostřednictvím Internetu.
Evidence či datový soubor osobních údajů je jakýkoliv soubor osobních údajů uspořádaný nebo zpřístupnitelný podle společných nebo zvláštních kritérií. Osobní údaje jsou nejčastěji vedeny právě jako datový soubor. Pojmovým znakem je jeho uspořádanost podle určitých kritérií, například časové posloupnosti, slov, číselných znaků. V případě elektronického zpracování je souborem každá sestava automatizovaného zpracování údajů.16)Zákon na řadě míst požaduje, aby ke zpracování, resp. při zpracování osobních údajů byl dán souhlas subjektu údajů (např. podle § 5 odst. 1 písm. f/, odst. 2 nebo odst. 4 je kvalifikovaný souhlas třeba dát pro zpracování senzitivních údajů). Souhlasem je svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Současně musí být dodržena také ustanovení občanského zákoníku ohledně právních úkonů, např. určitelnost, srozumitelnost a možnost plnění (§ 34 a následující).Protože existuje určitých okruh subjektů, kterým mohou být osobní údaje zpřístupněny, poskytnuty, atd., aniž by šlo o správce či zpracovatele, vymezuje zákon pojem příjemce. Jeho zakotvením je garantována ochrana práv subjektu údajů i tam, kde se jeho osobní údaje dostávají do dispozice toho, kdo není správce či zpracovatel, což má zvláštní význam právě v souvislosti s elektronickými databázemi v oblasti veřejné správy.
Jádro zákona je soustředěno v ustanoveních, kde jsou vymezeny povinnosti správce a zpracovatele v souvislosti se zpracováním osobních údajů.
Správce má především vymezit účel, k němuž mají být osobní údaje zpracovány, a stanovit, jakými prostředky a způsoby se tak bude dít. Stanovení účelu se může stát výslovným proklamování, zřetelným označením určitých činností, v jejichž rámci dochází ke zpracování osobních údajů (např. evidence návštěv, nabídka služeb), apod. Je-li však účel vymezen zákonem (např. vedení evidence za účelem vydávání identifikačních dokladů), nepřichází jeho stanovení správcem v úvahu. Obdobně to platí i o stanovení prostředků a způsobů. Určí-li právní předpis, že se informační systém vede elektronicky nebo v listinné podobě, nepřichází jiný způsob v úvahu; správce ovšem samozřejmě může vymezit technické detaily. Volba by byla v oblasti činnosti orgánů veřejné moci možná jen tam, kde by ji právní předpis buď výslovně umožňoval, nebo prostředky a způsob nestanovil ani nepřímo.
Mezi povinnosti správce patří zpracovávat přesné osobní údaje získané v souladu se zákonem. V oblasti orgánů veřejné moci musí být způsoby získávání předepsány zákonem, resp. na jeho základě (např. údaje z katastru nemovitostí lze dálkovým způsobem získávat pouze za podmínek stanovených vyhláškou č. 162/2001 Sb.), a pokud by nebyly dodrženy, nemohl by je příslušný orgán využívat.
Přesnost osobních údajů je třeba chápat v objektivním smyslu, nikoliv podle přesvědčení správce. Povinností správce je tuto kvalitu osobních údajů ověřovat17) z vlastní iniciativy i z podnětu subjektu údajů (např. podle § 42j zákona o Policii České republiky musí policie k žádosti provést bezplatnou opravu nepravdivých či nepřesných osobních údajů žadatele, obdobně je tomu podle § 4b celního zákona). Jestliže správce zjistí, že osobní údaje, které zpracovává, nejsou vzhledem ke stanovenému účelu přesné, provede bez zbytečného odkladu přiměřená opatření k odstranění tohoto stavu (zablokuje zpracování, údaje doplní, opraví) a nelze-li toho dosáhnout, údaj zlikviduje. Přesnost osobních údajů je třeba dosahovat s ohledem na účel, k němuž jsou osobní údaje zpracovávány, může se tak dít jednorázově (např. odstranění neupřeností v podání) nebo postupně (např. v průběhu dalšího řízení).18)
Shromažďovat je možno jen osobní údaje odpovídající stanovenému účelu a v rozsahu nezbytném pro naplnění tohoto účelu. Jde o požadavek týkající se jak kvalitativní, tak kvantitativní stránky věci. Mezi druhem a počtem údajů a účelem musí tedy být určitý definovaný vztah.19) V oblasti orgánů veřejné moci bývá druh i rozsah shromažďovaných údajů zásadně vymezen zákonem, rozmanitá je míra konkrétnosti, v níž tak zákonodárce činí. Někdy je rozsah zpracování osobních údajů stanoven přesně (např. § 18 správního řádu nebo § 88 zákona o vysokých školách), jindy předpis pouze konstatuje, že správce může shromažďovat osobní údaje (např. zákon o zvláštní ochrane svědka a dalších osob v souvislosti s trestním řízením). Pokroku bylo dosaženo úpravou používání rodného čísla, která omezila možnost využívání tohoto identifikátoru, dosud považovaného za univerzální a nejspolehlivější, který byl často nadbytečně vyžadován i orgány veřejné moci (§ 13 odst. 7 a § 13c zákona o evidenci obyvatel).20)
Účel zpracování je rozhodný též pro vymezení doby, po níž lze osobní údaje uchovávat. V oblasti orgánů veřejné moci bývá tato lhůta mnohdy výslovně stanovena (např. podle zákona občanských průkazech se údaje v evidenci občanských průkazů vedou ještě 15 let po smrti občana). Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, účely vědecké a archivnictví. Dochází-li k likvidaci většího množství souborů s osobními údaji, byť již doba potřebná k jejich zpracování pominula, není tím zákona porušován, jestliže se tak děje podle spisového a skartačního řádu, vzhledem k tomu, že se jedná o zpracování k účelům archivnictví.21)
Další povinností správce je zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze údaje jen v mezích ustanovení § 3 odst. 6 a dal-li k tomu subjekt údajů předem souhlas. Zatímco příslušné státní orgány mohou v uvedených případech provádět zpracování k jinému účelu na základě zákonné licence, tam, kde zpracování není touto výjimkou kryto, musí mít souhlas.
Osobní údaje nutno shromažďovat jen otevřeně a je zakázáno shromažďovat je pod záminkou jiného účelu nebo jiné činnosti. Tato povinnost platí pro všechny státní orgány s výjimkou případů uvedených v § 3 odst. 6 zákona.Vyloučeno je sdružovat osobní údaje, které byly získány k rozdílným účelům.Také z této povinnosti existují některé zákonné výjimky, jako například u ústřední evidence podnikatelů podle § 60 živnostenského zákona, v souvislosti s činnostmi podle zákona o ochraně utajovaných skutečností nebo státního zastupitelství. Příkladem porušení této povinnosti je praxe obecních úřadů přiřazovat k údajům, získaným elektronicky z evidence obyvatel další, čímž se nepovoleně získává obraz o soukromí občanů.22)
Zpracovávat je možno osobní údaje pouze se souhlasem subjektu údajů. Při jeho udělení musí být subjekt údajů informován, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Zákon nepředepisuje formu, v níž má být souhlas dán, jeho existenci však musí být správce schopen prokázat po celou dobu zpracování.
I z této zásady platí několik výjimek a bez souhlasu subjektu údajů lze osobní údaje zpracovávat, např. provádí-li správce zpracování nezbytné pro dodržení svých právních povinností veřejnoprávních (vedení evidencí) i soukromoprávních (jakožto zaměstnavatele, jestliže je to nezbytně třeba k ochraně životně důležitých zájmů subjektu údajů), pokud se jedná o oprávněně zveřejněné osobní údaje v souladu se zvláštním právním předpisem (jde především o údaje, které byly publikovány v hromadných sdělovacích prostředcích a uveřejněných ve veřejných seznamech) nebo pokud poskytuje osobní údaje o veřejně činné osobě, funkcionáři či zaměstnanci veřejné správy, které vypovídají o jeho veřejné anebo úřední činnosti, o jeho funkčním či pracovním zařazení.23) V praxi může dojít k situaci, kdy subjekt údajů bude popírat existenci těchto důvodů a namítat, že by správce měl mít jeho souhlas, zde bude na něm, aby takový stav prokázal.
Zpracování osobních údajů může provádět správce buď sám nebo prostřednictvím zpracovatele, jehož povinnosti jsou obdobné jako správce.24) Ten může být zmocněn přímo zákonem a pak musí být zpracování prováděno právě jím a nikoli správcem (např. Informační centrum zdravotního pojištění je zpracovatelem údajů v souvislosti s kontrolou čerpání finančních prostředků zdravotnickými zařízeními pro všechny zdravotní pojišťovny). Neplyne-li zmocnění z právního předpisu, může správce uzavřít se zpracovatelem smlouvu, která musí mít písemnou formu a obsahovat, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá, a také záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.
Zvláštní kategorii tvoří senzitivní údaje, s nimiž se často setkáváme v elektronicky vedených informačních systémech (např. policie, zdravotních pojišťoven či Rejstříku trestů) a tím i e-governmentu. Vzhledem k jejich povaze je pro jejich zpracování stanoven přísnější režim, než je tomu u ostatních osobních údajů.25)Rovněž citlivé údaje je možno zpracovávat na základě souhlasu subjektu údajů. Při jeho udělení mu musí být poskytnuta informace o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Zákon požaduje, aby tento souhlas byl výslovný a jeho existenci musí být správce schopen prokázat po celou dobu zpracování. Mimo to musí správce předem subjekt údajů poučit o jeho právech na přístup k informacím a ochraně svých práv.
Také zde platí několik výjimek ze zásady, že osobní údaje lze zpracovávat pouze se souhlasem subjektu údajů. Tak je tomu například tam, kde je to nezbytné v zájmu zachování života či zdraví subjektu údajů nebo jiné osoby, a dále, pokud je to nezbytné k odvrácení bezprostředního závažného nebezpečí, které hrozí jejich majetku, za podmínky, že jejich souhlas nelze získat, dále je to případ zpracování při zajišťování zdravotní péče, tam, kde není ohrožen život nebo zdraví, ochrany veřejného zdraví, zdravotního pojištění, plnění povinností a výkonu práv správce v oblasti pracovního práva a zaměstnanosti. Souhlas též není třeba tam, kde zpracování sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti občanského sdružení, nadace nebo jiné právnické osoby nevýdělečné povahy. V praxi tato výjimka dopadá na činnost politických stran, církví, odborů apod.26)
Bez souhlasu lze zpracovávat citlivé údaje, pokud je to nezbytné pro provádění nemocenského pojištění, důchodového pojištění a dalších státních sociálních dávek, sociální péče a sociálně-právní ochrany dětí.27)Bez souhlasu lze zpracovávat citlivé údaje, pokud byly zveřejněny subjektem údajů. Jde o vyjádření zásady, že každý může disponovat svým soukromím, a bylo by nelogické požadovat zvláštní souhlas tam, kde subjekt údaj, který se ho týká, již uveřejnil. Výjimka se ovšem týká právě jen případů, kdy informaci publikoval samotný subjekt údajů, nikoliv jiná osoba.
Jako generální zásada platí, že správce i zpracovatel musí dbát, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti, a také na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů (§ 10).28) Zákon na jedné straně dává oprávnění správce zpracovávat osobní údaje, ale současně mu stanoví určité mantinely, v nichž tak smí činit. Vzhledem k tomu, že chráněn je soukromý a osobní život subjektu údajů, poskytuje se zde ochrana členům jeho rodiny, spolupracovníkům, známým, atd., tedy všem subjektům, které náležejí do oblasti soukromí.29) Právě při zpracování osobních údajů prostředky výpočetní techniky a jejich předávání v rámci e-governmentu je třeba dbát na respektování uvedených zásad vzhledem k tomu, že zásah do soukromí zde může být obzvláště citlivý, například už jen proto, že lze snadno propojovat různé databáze, resp. informace z nich získané.Zvláštní skupinu povinností správců tvoří informační povinnost.30) Správce v první řadě musí při shromažďování subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou následně osobní údaje zpracovány, kdo a jak je bude zpracovávat a komu mohou být zpřístupněny. Tuto povinnost správce nemá, jsou-li uvedené informace subjektu údajů známy. Vždy je naproti tomu povinen jej informovat o právu na přístup k údajům podle § 12 zákona a právech na ochranu podle § 21 zákona.
Získal-li správce údaje přímo od subjektu údajů, musí jej poučit o tom, je-li poskytnutí údajů dobrovolné či povinné, a v tomto případě též o následcích odmítnutí.
Jestliže údaje získal správce od někoho jiného, nemusí subjekt údajů informovat o tom, v jakém rozsahu, pro jaký účel, kdo bude údaje zpracovávat, atd., například jsou-li osobní údaje zpracovávány výlučně pro účely výkonu státní statistické služby, vědecké nebo archivní účely, jestliže zpracování ukládá správci zvláštní zákon (např. správce musí vést evidence jako zaměstnavatel), zpracovávány jsou výlučně oprávněně zveřejněné údaje nebo jsou zpracovávány údaje získané se souhlasem subjektu údajů.
Součástí informační povinnosti je též zákaz činit nebo vydat rozhodnutí, jehož důsledkem je zásah do právních a právem chráněných zájmů subjektu údajů, bez ověření, výlučně na základě automatizovaného zpracování osobních údajů (§ 11 odst. 6). Zákon tu garantuje, že subjekt údajů bude informován o zpracování, o němž by se jinak třeba ani nemusel dozvědět.31) To, že úkon byl učiněn, ověřen, vyjadřuje nejčastěji fakt, že byl odpovědnou osobou podepsán. Tato povinnost stíhá každého správce, ať jde o orgán veřejné moci nebo soukromý subjekt, ledaže by rozhodnutí bylo učiněno ve prospěch subjektu údajů a na jeho žádost (např. automatické zvyšování sociálních dávek).
Informační povinnost zahrnuje též závazek správce a zpracovatele poskytnout subjektu údajů k jeho žádosti informace o zpracování osobních údajů. Minimální rozsah této informace stanoví § 12 odst. 3 zákona. Za takovou informaci může správce požadovat přiměřenou úhradu, která nesmí převyšovat nezbytné náklady (tj. na vytištění a zaslání informace).
Z této informační povinnosti jsou vyňaty případy zpracování podle odst. 6 § 3 zákona. Na druhé straně však některé zvláštní zákony obsahují speciální režim právě pro tyto případy (např. podle zákona o Policii České republiky a celního zákona jsou údaje poskytovány bezplatně; z logiky věci plyne, že vůbec nesdělují obsah svých evidencí zpravodajské služby).
Další skupinu povinností pri zpracování osobních údaju tvoří ty, které se týkají bezpečnosti osobních údaju. Na rozdíl od jiných jde o povinnosti absolutní, tj. neexistují výjimky pro nekterá zpracování, resp. správce, naopak, zvláštní zákony ji ješte zdůrazňují. Správce a zpracovatel jsou povinni přijmout opatření, aby nemohlo dojít k jakémukoliv zásahu do jím zpracovávaných osobních údajů, ať vědomému či nahodilému (změně, zničcení, ztrátě, atd.). Tato povinnost vzniká přímo ze zákona v okamžiku, se začnou údaje zpracovávat, a trvá až do chvíle, kdy je zpracování ukončeno (likvidací údajů, jejich anonymizací).
Jaká konkrétní opatření přijme, bude záležet především na formě zpracování. V každém případe musí správce ci zpracovatel vypracovat dokumentaci o přijatých a provedených technicko-organizacních opatřeních k zajištění ochrany osobních údajů, a to nejen podle nároku zákona o ochraně osobních údajů, ale i jiných zákonů (např. o ochraně utajovaných skutečností nebo krizových zákonů). Specifické požadavky na bezpečnost jsou pak kladeny tam, kde dochází ke zpracování osobních údajů elektronicky a tyto jsou případně zasílány prostřednictvím e-mailu, vzhledem k tomu, že takové soubory mohou být napadeny, aniž by bylo možno vůbec zjistit, že k takovému útoku došlo, případně, kdo se inkriminovaného jednání dopustil. Významným nástrojem ochrany je šifrování, komprese a použití zaručeného elektronického podpisu, ale též instruktáže a školení zaměstnanců a dostatečná kontrola plnění povinností z jejich strany.
Jedním z prostředků k zajištění bezpečnosti osobních údajů, které ukládá přímo zákon (§ 14), je povinnost správců a zpracovatelů stanovit rozsah a podmínky, za nichž mohou jeho zaměstnanci a jiné osoby zpracovávat osobní údaje. Tuto povinnost mohou splnit např. vydáním vnitroorganizačních predpisů, vymezením povinností v pracovní smlouvě nebo stanovením rozsahu zpracování v obchodní smlouvě. Součástí systému garancí je též povinnost mlčenlivosti. Uložena je zaměstnancům správce a zpracovatele, jiným fyzickým osobám, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem (např. podle zákoníku práce, občanského zákoníku nebo obchodního zákoníku), i těm, kteří v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele (auditoři, zaměstnanci orgánů dozoru, znalci). Mlčelivost se týká jednak osobních údajích, jednak bezpečnostních opatření, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Závazek mlčenlivosti vzniká ex lege a není tedy třeba, aby byl podepisován zvláštní závazek nebo dotyčná osoba poučována.
Jedním z předpokladů zajištění efektivního dozoru nad tím, aby byly apriori zajištěny standardy zpracování osobních údajů i následné dodržování zákonných povinností, je oznamovací povinnost a registrace. Podle § 16 zákona32) musí ten, kdo hodlá zpracovávat osobní údaje nebo změnit registrované zpracování, tuto skutečnost písemně oznámit Úřadu, a to před zpracováváním osobních údajů.
Pokud oznámení obsahuje všechny předepsané náležitosti a není-li zahájeno šetření pro podezření z možného porušení zákona, může být po uplynutí lhůty 30 dnů ode dne doručení oznámení Úřadu zahájeno zpracování osobních údajů. Úřad v takovém případě zapíše informace uvedené v oznámení do registru, o čemž vydá k žádosti správce osvědčení.
Nebude-li v oznámení některá z předepsaných náležitostí, vyzve Úřad oznamovatele, aby ji ve stanovené lhůtě odstranil. Pokud se tak nestane, nahlíží na učiněné oznámení tak, jako by nebylo podáno.
Jestliže by podané oznámení vyvolalo důvodnou obavu, že by při zpracování osobních údajů mohlo dojít k porušení zákona o ochraně osobních údajů, zahájí Úřad z vlastního podnětu správní řízení. Jeho výsledkem může být buď zjištění, že z oznámeného zpracováním porušování zákona nehrozí, a Úřad řízení zastaví a provede zápis, nebo takové nebezpečí bude konstatováno a následně vydáno správní rozhodnutí, jímž se zpracování nepovolí.
Registrace může být zrušena:a) zjistí-li úřad, že správce porušuje povinnosti,b) pokud pomine účel.Úřad to může učinit buď z vlastního podnětu, nebo k žádosti správce. Pokud by zjistil, že žádost není důvodná, nemusí jí vyhovět.
Z oznamovací povinnosti a registrace jsou vyňata zpracování osobních údajů, které jsou součástí datových souborů veřejně přístupných (např. veřejných registrů). Zde se předpokládá, že tyto soubory jsou zřizovány na základě zákona, a fakt, že jsou veřejné, je garancí dodržování povinností při jejich vedení. Dále ta zpracování, která správci ukládá zvláštní zákon nebo jsou tyto údaje třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona. Jedná se o zpracování osobních údajů například v souvislosti se soudním a správním řízením, tam, kde správce plní povinnosti jakožto zaměstnavatel apod. Aby byla zajištěna potřebná informovanost subjektů, jejichž údaje jsou takto zpracovávány, musí správci publikovat informace týkající se účelu zpracování, doby uchovávání údajů, atd., a to i způsobem umožňujícím dálkový přístup. Konečně to jsou zpracování, která sledují politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti sdružení. Podmínkou je, že zpracování se týká jen členů sdružení, případně osob, s nimiž je sdružení v opakujícím se kontaktu, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů.
Povinnosti notifikace podléhá nejen zahájení, ale také ukončení činnosti správce. Hodlá-li správce ukončit svoji činnost, musí úřadu neprodleně oznámit, jak naložil s osobními údaj (§ 19). Vzhledem k tomu, že tato povinnost platí, pouze pokud se na zpracování osobních údajů vztahuje oznamovací povinnost, prakticky jsou z ní tedy vyňaty orgány veřejné moci.
Poslední fází zpracování osobních údajů je vesměs jejich likvidace. Povinnost provést ji má správce či na základě jeho pokynu zpracovatel:1) jakmile pomine účel, pro který byly osobní údaje zpracovány (§ 5 odst. 1 písm. a/ zákona),2) na základě žádosti subjektu údajů v souvislosti s ochranou jeho práv podle § 21 zákona.33)
Snadná je situace tam, kde je doba, kdy je třeba provést likvidaci osobních údajů, stanovena zákonem, problémy mohou v praxi vzniknout, pokud tomu tak není Zde je nutno vycházet z deklarovaného, resp. stanoveného účelu (např. osobní údaje neúspěšných žadatelů o přijetí na vysokou školu nebo těch, kteří na ni nenastoupili, by neměly být dále uchovávány).
I po naplnění účelu zpracování mohou být osobní údaje uchovávány, a to pro účely archivnictví a uplatňování práv v občanském soudním řízení, trestním řízení a správním řízení. Jak dlouho mají být uchovávány spisy z občanského, trestného a správního řízení, plyne ze zákona o archivnictví a spisové službě, resp. skartačních řádů vydaných na jeho základě.
Pokud se týče nápravy porušených práv subjektu údajů, předpokládá zákon tři varianty:1) možnost dosažení nápravy na základě jednání mezi správcem a subjektem údajů,2) zásah úřadu na základě denunciace,3) zásah úřad v souvislosti s výkonem jeho dozorčí činnosti.
Subjekt údajů, který zjistí nebo se jen domnívá, že správce nebo zpracovatel provádí zpracování jeho údajů v rozporu s právem na ochranu soukromého a osobního života nebo se zákonem, je může požádat o vysvětlení, případně, aby byl takový závadný stav odstraněn, a to zejména blokováním, provedením opravy nebo likvidací údajů.34) Nápravy se může dožadovat jen subjekt údajů, nikoli např. jeho manžel nebo osoba příbuzná. Shledá-li správce či zpracovatel žádost důvodnou, neprodleně odstraní závadný stav. Nevyhoví-li žádosti, může se subjekt obrátit na Úřad Mimo to se může obrátit na Úřad aniž by podal žádost o nápravu.
Vznikne-li v důsledku vadného zpracování osobních údajů subjektu údajů jiná než majetková újma, postupuje se při uplatňování jejího nároku podle ustanovení občanského zákoníku o ochraně osobnosti. Podle znění zákona před poslední velkou novelou (zák. č. 439/2004 Sb.) judikovaly soudy tak, že rozhodování o nemajetkové újmě náleží Úřadu, třebaže zákonodárce neměl takový postup nepochybně na mysli.35) Novela však tento problém nevyřešila, protože odkázala pouze na hmotněprávní, ale nikoliv procesní úpravu, takže zřejmě i nadále bude o těchto záležitostech rozhodovat Úřad, třebaže záměr zákonodárce byl právě opačný.
Jestliže došlo při zpracování osobních údajů k porušení povinností uložených zákonem u správce nebo u zpracovatele, odpovídají za ně solidárně, a to jak pokud jde o nemajetkovou újmu, tak náhradu škody.
Režim platný pro vady vzniklé při legálním zpracování údajů platí obdobně i na osoby, které shromáždily osobní údaje neoprávněně. Není rozhodné, zda se tak stane náhodně (např. někomu je omylem zaslána e-mailová zpráva s osobními údaji) nebo záměrně (pokud někdo úmyslně neoprávněně vstoupil do cizích databází, tzv. hacker).Výraznou změnu v úpravě pohybu osobních údajů přinesl vstup České republiky do Evropské unie. V souvislosti s tím byla zakotvena zásada, podle níž pohyb osobních údajů nemůže být omezován, pokud jsou údaje předány do členského státu Evropské unie. Imperativně je vyjádřena v článku 1 směrnice 95/46, který stanoví, že členské státy nemohou omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany základních práv a svobod, zejména soukromí. Problém zde ovšem nevzniká, protože ve všech členských státech musí ochrana vyhovovat standardům obsažených ve směrnici.
Do dalších zemí mohou být osobní údaje předány, jestliže omezování volného pohybu osobních údajů vylučuje mezinárodní smlouva nebo jsou osobní údaje předány na základě rozhodnutí orgánu Evropské unie. V úvahu zde přichází zejména úmluva číslo 108, která jako zásadu stanoví volný "tok osobních údajů směřující na území druhé smluvní strany" a možné omezení je výjimkou (viz článek 12).
V jiných případech může správce osobní údaje předávat, prokáže-li, že je splněna některá z podmínek stanovených v § 27 odst. 3 zákona (např. předání údajů se děje se souhlasem nebo na základě pokynu subjektu údajů, ve třetí zemi, kde mají být osobní údaje zpracovány, jsou vytvořeny dostatečné záruky ochrany osobních údajů, např. prostřednictvím jiných právních nebo profesních předpisů a bezpečnostních opatření /tzv. safe harbour/, předání je nezbytné pro jednání o uzavření nebo změně smlouvy, uskutečněné z podnětu subjektu údajů, atd.). Před předáním osobních údajů do třetích zemí je správce povinen požádat Úřad o povolení k předání, pokud zvláštní zákon nestanoví výjimku (např. celní zákona, zákon o sociálně právní ochraně dětí nebo zákon o Vězeňské službě a justiční stráži).
Pokud dojde ke změně podmínek, za nichž bylo povolení vydáno, zejména na základě rozhodnutí orgánu Evropské unie, Úřad toto povolení změní nebo zruší.
Dozor nad dodržováním povinností podle zákona o ochraně osobních údajů, jakož i další funkce (např. vedení registru zpracování osobních údajů, poskytování konzultací v oblasti ochrany osobních údajů a mezinárodní spolupráci) plní Úřad pro ochranu osobních údajů, který je nezávislým orgánem.36) Zmínit je třeba, že inspektor je v případě zjištěné vady je oprávněn uloží opatření k jejímu odstranění a lhůtu, v níž je tak třeba učinit. Konkrétní druh opatření záleží na povaze vady (může spočívat např. v opravit chybné údaje, přestat je zpracovávat určitým způsobem, neshromažďovat nadbytečné údaje apod.).
Specifický režim platí, vzhledem k povaze opatření, tam, kde byla uložena likvidace osobních údajů. Do doby, než se tak stane, musí být osobní údaje blokovány. Proti uložení likvidace může správce podat námitku k předsedovi Úřadu a také zde platí, že do rozhodnutí o námitce musí být osobní údaje blokovány, což je logické, protože není možno připustit, aby s nimi bylo jakkoliv disponováno. Proti rozhodnutí předsedy lze podat žalobu podle předpisů o správním soudnictví a do doby, než bude soudem rozhodnuto, jsou údaje blokovány.
Porušení povinností fyzickými osobami je přestupkem (§ 44),37) právnickými osobami a podnikajícími fyzickými osobami je tzv. smíšeným správním deliktem (§ 45) a neposkytnutí potřebné součinnosti při výkonu kontroly (§ 39) pořádkovým deliktem.
Poznámky:1) R. Polčák: E-government jako nástroj vyšší efektivity veřejné správy z pohledu teoretické právní vědy, Správní právo 3/2005, str. 150.2) V literatuře jsou popisovány případy tzv. hackerů, kteří se dokázali i vícekrát probourat do zdánlivě nedobytných databází, např. Pentagonu, aniž o tom dlouho kdokoliv věděl. 3) K tomuto závěru opakovaně dospěl Evropský soud pro lidská práva, který konstatoval, že i pouhé uchovávání dat týkajících se soukromého života spadá pod rozsah aplikace článku 8 Evropské úmluvy (viz zejména Leander versus Švédsko a také Amann versus Švýcarsko nebo P. G. a J. H. versus Spojené království).4) J. Skála: Zmocněnec k ochraně osobních údajů v informačních systémech, Právník 12/1993, str. 1037; na rizika spojená s ochranou osobních údajů v prostředí Internetu upozorňují např. Ch. Jennings a L. Fena: The Hundredth Windows, New York 2000.5) Ochrana je ovšem poskytována, i pokud se zpracování osobních údajů děje ve vztazích horizontálních, tj. mezi soukromými subjekty, a státy mají také zde povinnost poskytovat osobním údajům patřičnou ochranu (viz např. závěry 25. Mezinárodní konference komisařů pro ochranu osobních údajů konané v Sydney v září 2003, Věstník Úřadu pro ochranu osobních údajů 28/2003, str. 2081-2083).6) Mimo to bylo přijato speciální Doporučení Výboru ministrů Rady Evropy číslo 99/5, o ochraně soukromí na Internetu.7) A. Kučerová, V. Bartík, J. Peca, K. Neuwirt, J. Nejedlý: Zákon o ochraně osobních údajů. Komentář, C. H. Beck, Praha 2003, str. 42-43.8) M. Matoušová, L. Hejlík: Osobní údaje a jejich ochrana, ASPI, Praha 2003, str. 201-202.9) Rozdíl mezi těmito pojmy není ani teoreticky vyjasněn a v právních předpisech bývají uváděny více méně nahodile, spíše s ohledem na tradici užívání tohoto pojmu v souvislosti s určitou činností.10) Mimo to ovšem řada zvláštních zákonů stanoví další výjimky, případně odchylky pro zpracování osobních údajů (např. zák. č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů, celní zákon - zák. č. 13/1993 Sb., zák. č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů, nebo zákon o elektronických komunikacích - zák. č 127/2005 Sb.).11) Komentář, str. 50-51: K problémům z praxe, číslo 1/2001; K pojmu osobní údaj, Věstník Úřadu pro ochranu osobních údajů 3/2001.12) Kdy lze považovat totožnost osoby za určenou, prokázanou, právní předpisy stanoví spíše jen výjimečně (např. § 13 zákona o Policii České republiky, § 12 zákona o obecní policii nebo § 18 zák. č. 500/2004 Sb., správní řád).13) Při elektronickém zpracování osobních údajů je třeba respektovat specifika tohoto zpracování. Likvidovaným nebude např. údaj tam, kde je dán povel delete, protože za jisté situace lze údaj obnovit. Za likvidovaný bude naproti tomu třeba považovat soubor, který sice existuje, ale nebude jej možno žádnými prostředky vyvolat. Viz § 20 a 21 zákona.14) Úřad pro ochranu osobních údajů označil jako správce studenta vysoké školy, který protiprávně okopíroval z informačního systému školy osobní údaje řady studentů a tyto si uložil do svého počítače.15) Tuto smlouvu musí správce uzavřít také v případě, když jej zákon opravňuje k tomu, aby takové pověření učinil (např. orgány ochrany veřejného zdraví mohou pověřit zpracováním osobních údajů určené příspěvkové organizace nebo organizační složky, § 79 zákona o ochraně veřejného zdraví).16) M. Matoušová: Zákon o ochraně osobních údajů. Komentář, Poradce 3/2005, str. 16.17) Úlevu přinese v tomto směru zřízení základních registrů veřejné správy, kde by měla být presumována správnost a přesnost osobních i dalších údajů.18) Nepřesné osobní údaje lze zpracovávat jen tam, kde se tak děje k účelům stanoveným v § 3 odst. 6 zákona. a dále stanoví-li tak zvláštní zákon (např. zákon o Policii České republiky nebo celní zákon). 19) Komentář, str. 71.20) P. Mates, V. Bartík: Používání rodného čísla - nová právní úprava, Právní rádce 5/2004, str. 41-43; rodné číslo lze používat pouze pro činnost stanovených orgánů státní správy, soudů a notářů, dále pokud tak stanoví zvláštní zákon a se souhlasem nositele rodného čísla, resp. jeho zákonného zástupce.21) M. Matoušová, L. Hejlík, cit. práce, str. 247. 22) Komentář, str. 76.23) Viz k tomu J. Morange: Droit de l´hommes et libertés publiques, Paris 1989, str. 152.24) Zvláštní povinností zpracovatele je upozornit správce, že porušuje povinnosti, a současně ukončit zpracování údajů. Neučiní-li tak odpovídá, spolu se správcem solidárně za vzniklou škodu, případně též podle § 21 zákona (zvláštní veřejnoprávní sankci mu však v současnosti nelze uložit).25) Takovou vnitrostátní úpravu předpokládá také článek 6 úmluvy 108.26) Poněkud nezvyklá dikce, kterou zákonodárce zvolil, připadá na vrub faktu, že je zde prakticky doslova opsán článek 8 odst. 2 písm. d) směrnice 95/46.27) Jedná se o zpracování podle zák. č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějších předpisů, zák. č. 117/1995 Sb., o státní sociální podpoře, ve znění pozdějších předpisů, zák. č. 155/1995 Sb., o důchodovém pojištění, ve znění pozdějších předpisů, zák. č. 359/1999 Sb., o sociálně právní ochraně dětí, a dalších zákonů.28) Tato zásada je vyjádřena též v § 5 odst. 3 zákona, který ukládá, aby při zpracování na základě zvláštního zákona správce dbal práva na ochranu soukromého a osobního života subjektu údajů v § 11 odst. 3 písm. a).29) Komentář, str. 120; např. v rozsudku Niemietz versus Německo zdůraznil Evropský soud, že pod pojmem soukromý život je třeba zahrnout právo vytvářet a rozvíjet vztahy k ostatním lidem, zejména příbuzným. Ústavní soud konstatoval, že soukromí tvoří i takové hodnoty, jakými je rodinný život, vztahy mezi příbuzným, vztahy morální a další (nález sp. zn. II ÚS 517/99). Judikatura Evropského soudu již delší čas konstantně zastává stanovisko, že pojem soukromý zahrnuje i život na pracovišti a profesní aktivity (např. Klass versus Německo nebo Halfordová versus Spojené království).30) Místo správce může informační povinnost splnit i zpracovatel, pokud k tomu byl správcem zmocněn.31) M. Matoušová, L. Hejlík, cit. práce, str. 280; srovnej článek 15 směrnice 95/46.32) Náležitosti oznámení obsahuje § 16 odst. 2 zákona. V praxi se oznámení činí vyplněním formuláře, který je publikován i na internetových stránkách úřadu.33) Osobní údaje musí být likvidovány i v dalších zákonem stanovených případech jako např. pokud jsou citlivé údaje zpracovávány bez souhlasu subjektu údajů podle § 9 písm. b), jestliže subjekt údajů odvolá souhlas se zpracováním nebo při neoprávněném zpracování osobních údajů podle § 21 (Komentář, str. 155-156).34) Specifické prostředky dávají některé zvláštní zákony. Např. podle § 42j zákona o Policii České republiky musí policie na základě písemné žádosti provést likvidaci nebo opravu nepravdivých nebo nepřesných osobních údajů žadatele.35) Např. usnesení zvláštního senátu, čj. Konf 11/2003-12, a rozsudek Nejvyššího soudu, sp. zn. 30 Cdo 1183/2004, 36) Mimo to mu náleží plnit funkce i podle dalších zákonů, zejména projednává správní delikty podle § 17e zákona o evidenci obyvatel spočívající v neoprávněném nakládání s rodnými čísly a vykonává dozor nad šířením obchodních sdělení podle zákona č. 480/2004 Sb. a ukládá pokuty za porušení povinností podle tohoto zákona. Podle některých autorů jsou pro úřad charakteristické určité rysy ombudsmanovské instituce, což plyne zejména z toho, že přijímá podměty a stížnosti občanů, zpracovává a zpřístupňuje veřejnosti výroční zprávy o svojí činnosti a poskytuje konzultace v oblasti ochrany osobních údajů (V. Pavlíček a kolektiv: Ústavní právo a státověda II. díl, Ústavní právo České republiky část 1., Linde 200, str. 483). Tato nepochybně lichotivá charakteristika se ovšem zdá být poněkud nadnesená. Důležité ovšem je, že úřad není ústředním orgánem státní správy ve formálním slova smyslu a patří do zatím sice malé, ale perspektivní skupiny nezávislých státních orgánů.37) Porušení povinnosti při zpracování osobních údajů může být ovšem postiženo i jako trestný čin podle neoprávněného nakládání s osobními údaji podle § 178 trestního zákona. Doc. JUDr. Pavel Mates, CSc.
Zdroj: Právo a podnikání, č. 10/2005, str. 14 až 22

References: § 3
 § 5
 § 11
 § 4
 § 6
 § 5
 § 42
 § 4
 § 18
 § 88
 § 13
 § 3
 § 3
 § 60
 § 12
 § 21
 § 12
 § 3
 § 16
 § 21
 § 27
 soud 
 § 13
 § 12
 § 18
 § 20
 § 79
 § 3
 § 21
 § 5
 § 11
 soud 
 § 16
 § 9
 § 21
 § 42
 § 17
 zákona č. 480
 § 178