Source: https://www.equica.cz/poradenstvi-pro-verejnou-spravu/gdpr/prehled-novinek-z-oblasti-gdpr-pro-obce/
Timestamp: 2020-06-06 22:54:18+00:00
Document Index: 53235602

Matched Legal Cases: ['§ 13', 'zákona č. 133', '§ 28', 'zákona č. 120', 'soud ', 'zákona č. 110', 'zákona č. 106', '§ 8', 'zákona č. 106', '§ 8', 'zákona č. 106', '§ 316', '§ 316', '§ 84', '§ 102', 'zákona č. 128', '§ 16', '§ 17', 'zákona č. 128', 'zákona č. 500', '§ 25', '§ 282', '§ 84', 'zákona č. 89', '§ 89', '§ 89', 'zákona č. 89', 'čl. 5', '§ 30', 'zákona č. 262', 'čl. 6', 'zákona č. 132', '§ 3', '§ 4', 'zákona č. 101', '§ 4', 'čl. 5', '§ 100', 'zákona č. 40', '§ 14', '§ 50', 'zákona č. 111']

Přehled novinek z oblasti GDPR pro obce | Equica
Poradenství pro veřejnou správu GDPR Přehled novinek z oblasti GDPR pro obce
Problematika poskytování informací o klientech sociální práce
Obecnou povinnost mlčenlivosti úředníka územního samosprávného celku definuje zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů. Podle tohoto zákona je jednou z povinností úředníka, jímž je i sociální pracovník obecního úřadu, v rozsahu stanoveném zvláštními právními předpisy zachovávat mlčenlivost o skutečnostech, které se dozvěděl při výkonu zaměstnání a v souvislosti s ním. To neplatí, pokud byl povinnosti mlčenlivosti zproštěn, přičemž povinnosti zachovávat mlčenlivost může úředníka zprostit vedoucí obecního úřadu, jím pověřený vedoucí úředník nebo příslušný správní úřad podle zvláštních právních předpisů, nestanoví-li zvláštní právní předpis jinak.
Zákon č. 108/2006 Sb., o sociálních službách a zákon č. 111/2006 Sb., o pomoci v hmotné nouzi definují úkoly sociálních pracovníků obecních úřadů při realizaci činností sociální práce a ukládají povinnost mlčenlivosti sociálnímu pracovníkovi obecního úřadu. Povinnost mlčenlivosti sociálního pracovníka obecního úřadu je tedy „zpřísněna“ zákonem o sociálních službách a zákonem o pomoci v hmotné nouzi – podle těchto speciálních právních předpisů může totiž povinnosti mlčenlivosti zprostit sociálního pracovníka pouze ten, v jehož zájmu tuto povinnost mají, tj. klient sociální práce.
Dle aktuálního výkladu výše zmíněných zákonů a vzhledem k tomu, že výkon činností sociální práce je výkonem přenesené působnosti, není možné informace o situaci konkrétního klienta sociální práce sdělit v žádném případě starostovi, žádnému jinému členu zastupitelstva obce ani jeho výboru či komisi rady obce. Ke konkrétním informacím o klientech sociálního pracovníka rovněž nemůže mít přístup tajemník obecního úřadu či vedoucí odboru sociálního, pokud současně nevykonávají činnosti sociální práce.
Zveřejňování dokumentů třetích stran na úřední desce obce
Při vyvěšování dokumentů třetích stran (orgánů veřejné správy nebo orgánů veřejné moci) obecní úřady nezačerňují osobní údaje uvedené na dokumentu, protože jde o dokument třetí strany a zaměstnanec obecního úřadu není kompetentní k tomu, aby sám posoudil nadbytečnost zpracování osobních údajů. Tj. obecní úřad obsah dané písemnosti orgánu veřejné správy či orgánu veřejné moci nezkoumá, nemůže ji měnit ani do ní jakkoliv zasahovat.
U dokumentů zveřejňovaných na úřední desce, které nepochází od jiných orgánů veřejné správy nebo orgánů veřejné moci, je třeba při jejich zveřejnění na úřední desce dbát na to, aby rozsah zveřejňovaných osobních údajů byl přiměřený a omezený na nezbytné minimum (zásada minimalizace údajů).
Uvádění rodného čísla při exekuci, v dražební vyhlášce
Rodné číslo lze – v souladu s § 13c zákona č. 133/2000 Sb., o evidenci obyvatel – využívat, jen jde-li o činnost ministerstev, jiných správních úřadů, orgánů pověřených výkonem státní správy, soudů, vyplývající z jejich zákonem stanovené působnosti, nebo notářů pro potřebu vedení Centrální evidence závětí. Podle § 28 zákona č. 120/2001 Sb., exekuční řád se úkony exekutora při provádění exekuce považují za úkony exekučního soudu, proto je soudní exekutor oprávněn využívat při své činnosti rodná čísla. Nejvyšší správní soud v rozsudku (sp. zn. 1 As 36/2008-77) judikoval, že účelem zpracování rodného čísla je zjištění co nejrychlejšího a nejefektivnějšího provedení exekuce a smyslem poskytnutí rodného čísla osoby, na jejíž majetek byla prohlášena exekuce, je umožnit vyšetření majetkové situace povinného exekutorem.
Exekutor tak využívá znalost rodného čísla při podávání žádosti o součinnost dle exekučního zákona, avšak žádné procesně právní předpisy neukládají exekutorovi povinnost označovat osoby ve svých rozhodnutích či jiných listinách rodným číslem. Exekutor tedy nemůže neomezeně nakládat s rodným číslem, ale musí při jeho používání současně respektovat ustanovení zákona č. 110/2019 Sb., o zpracování osobních údajů. To, že účastník může být v návrhu (tj. v úkonu činěném jiným účastníkem) označen rodným číslem, nezakládá soudnímu exekutorovi právní titul k tomu, aby používal rodná čísla neomezeně ve všech listinách, které označení povinného vyžadují.
Pro dražební vyhlášku je z logiky věci nejpodstatnější otázka předmětu dražby. Kdo je povinným není pro konání dražby z hlediska možného zásahu do práv jakýchkoli osob nijak rozhodující, a tedy není zjevné, proč účastník řízení trvá na identifikaci rodným číslem právě v tomto typu listiny.
Transparentní účet a ochrana osobních údajů
Transparentní účet − bankovní účet, do kterého může nahlížet veřejnost − obsahuje údaje (název účtu, zpráva pro příjemce, výše, datum a typ platby), na jejichž základě lze ztotožnit konkrétní osobu.
Majitel transparentního účtu je povinen dostatečně informovat o povaze tohoto účtu osoby, které zasílají finanční plnění na tento účet, tj. musí být zřejmé, že se nejedná o běžný účet, u kterého se příchozí a odchozí platby spolu s dalšími informacemi nezveřejňují. Při provedení platby nelze jako variabilní symbol použít rodné číslo, protože rodné číslo je specifický identifikátor, jehož účely použití stanoví zákon o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon č. 133/2000 Sb.). Jako variabilní symbol je tedy nezbytné volit jinou číselnou kombinaci, která neobsahuje další informace o dané osobě.
Vzhledem k veřejnosti transparentního účtu nelze tento typ bankovního účtu používat např. k výplatě mezd zaměstnancům. Případné související převody peněz mezi běžným a transparentním účtem je třeba provádět souhrnně (např. výplaty, poplatky, pokuty).
Transparentní účet kraje / obce / městské části
Transparentní účet nelze doporučit využívat pro platby, které jsou přímo spojeny s výkonem veřejné moci ve vztahu k fyzickým osobám, tj. transparentní účet by neměl sloužit pro individuální příjem správních poplatků, uložených pokut, výplatu sociálních dávek, svědečného, znalečného atd. Z transparentního účtu nebo na transparentní účet lze především provádět takové platby, které by kraj / obec / městská část byly povinny poskytnout jako povinný subjekt podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.
Nadace zveřejňuje v souladu s občanským zákoníkem (zákon č. 89/2012 Sb.) ve své výroční zprávě přehled o osobách, které poskytly nadační dar nebo jim byl poskytnut příspěvek v hodnotách vyšších než 10.000,- Kč, tedy pokud dárce a příjemce nepožádali o zachování své anonymity (přičemž anonymitu lze u těchto příspěvků zachovat jen v některých zvláštních situacích).
V případě uchovávání a předložení originálu (nikoliv kopie) Evropského průkazu zdravotního pojištění zdravotnickému zařízení se nejedná o zpracování osobních údajů. Stále platí že není doporučováno, pořizovat a ukládat kopie kartiček pojišťovny.
Pořizování a vyhodnocování kamerového záznamu obcí
Kamerový záznam (obrazový, videozáznam) je osobním údajem za předpokladu, že lze ze snímku přímo či nepřímo identifikovat konkrétní fyzickou osobu. Obec má pravomoc pořizovat záznam z kamerového systému ke sledování budov a objektů v jejím vlastnictví či nájmu proto, aby ochránila svůj majetek, kontrolovala své zaměstnance a klienty úřadu (v těchto případech se jedná o ochranu majetku obce, ne o ochranu obecné bezpečnosti a veřejného pořádku). Obec ale nemá pravomoc provozovat kamerové systémy k jiným účelům, např. k odhalovací činnosti. Odhalovací činnost nemůže provádět obec sama, neboť se jedná o dohled nad veřejným pořádkem či dodržování předpisů v rámci provozu na pozemních komunikacích (tuto pravomoc má Policie ČR nebo obecní policie; pokud obec nemá obecní policii, může uzavřít veřejnoprávní smlouvu se sousední obcí, která obecní policii zřízenou má).
Veřejná prostranství může sledovat zaměstnanec obce on-line, z pohledu ochrany osobních údajů není provozování bezzáznamového kamerového systému považováno za zpracování osobních údajů. Může se ale stále jednat o zásah do práva na soukromí, a to v režimu občanského zákoníku. Je tedy vždy nezbytné důkladně zvážit nasazení a provozování bezzáznamového kamerového systému.
Při provozování kamerového systému musí obec zajistit informování subjektů údajů snímaných kamerami (informování o daném monitorování a využití kamerových záznamů). Informování by mělo být v souladu se zásadou transparentnosti dostatečně jasné a jednoduché.
Poskytování informací o platu a odměnách zaměstnance obce
Podle Metodiky Ministerstva vnitra ČR může zaměstnavatel odmítnout poskytnout žadateli informace o platu či odměnách zaměstnance obce vyžádané na základě ustanovení § 8b zákona č. 106/1999 Sb., o svobodném přístupu k informacím, pokud nejsou splněny všechny následující podmínky:
Rozsah anonymizovaných údajů fyzické osoby při zveřejňování smlouvy o nákupu či prodeji nemovitosti v registru smluv a při podání návrhu na vklad do KN
Při zveřejnění smluv v registru smluv je vždy třeba provést anonymizaci osobních údajů. ÚOOÚ doporučuje vzhledem k právní úpravě zpracování osobních údajů dle Nařízení GDPR, aby povinné subjekty přijaly taková opatření, která zabrání neoprávněnému uveřejňování osobních údajů v registru smluv (tj. nastavení mechanismu anonymizace smluv a metadat). Rozsah osobních údajů, které mohou být v registru smluv uvedeny, je uveden v Metodickém návodu Ministerstva vnitra ČR k aplikaci zákona o registru smluv (viz www.mvcr.cz/clanek/registr-smluv).
Při nákupu či prodeji nemovitostmi (po uzavření smlouvy s fyzickou osobou) obec podává návrh na vklad do Katastru nemovitostí, který obsahuje všechny potřebné informace, včetně rodného čísla fyzické osoby, plné (neanonymizované) verze uzavřené smlouvy apod. Obec je současně povinna uzavřenou smlouvu zveřejnit i v registru smluv, a to dle pravidel ochrany osobních údajů v anonymizované podobě.
V rozsahu anonymizovaných údajů fyzické osoby při zveřejňování smlouvy v registru smluv jsou Katastrální úřady Českým úřadem zeměměřickým a katastrálním (ČÚZK) metodicky vedeny následujícím způsobem: „Identifikačními údaji uváděnými v registru smluv jsou u fyzických osob údaje minimálně v rozsahu ustanovení § 8b odst. 3 zákona č. 106/1999 Sb., o svobodném přístupu k informacím, v platném znění, tedy jméno, příjmení, rok narození a obec, kde má příjemce trvalý pobyt. Je potřeba, aby tyto údaje byly uvedeny v metadatech i v elektronickém obrazu textového obsahu smlouvy.“
Důvodem je skutečnost, že Katastrální úřad je oprávněn provést vklad do Katastru nemovitostí až v okamžiku nabytí účinnosti kupní smlouvy, ke kterému dochází až okamžikem zveřejnění smlouvy v registru smluv. Pro ověření, že smlouva nabyla účinnosti, je tedy nezbytné, aby ve smlouvě, zveřejněné obcí v registru smluv, byly zachovány základní identifikační údaje v rozsahu jméno, příjmení, rok narození a obec.
V rámci zpracování osobních údajů je důležité provádět pravidelná školení zaměstnanců obce v oblasti ochrany osobních údajů. Obecně je doporučeno proškolit zaměstnance v oblasti ochrany osobních údajů v rámci vstupního školení pro nové zaměstnance – nastupující zaměstnanec standardně vždy projde základním vstupním školením, tj. BOZP, požární ochrana, IT školení atd., k těmto školením je tedy vhodné přidat i ochranu osobních údajů. Všichni zaměstnanci obce by měli být seznámeni se základy GDPR, měli by minimálně znát základní pojmy a umět identifikovat osobní údaje.
U současných zaměstnanců je doporučeno školení v oblasti ochrany osobních údajů provádět 1x ročně. V případě změny právní úpravy je vhodné uspořádat pro zaměstnance mimořádné školení v oblasti ochrany osobních údajů.
Všechna provedená školení doporučujeme zdokumentovat prezenční listinou.
Využívání online rezervačního systému z pohledu ochrany osobních údajů
Při využívání online rezervačního systému zadávají klienti do systému své jméno a telefonní číslo. Jsou-li tyto osobní údaje poskytovány v souvislosti se vznikem právního vztahu, např. v souvislosti s uzavřením smlouvy (tj. klient si rezervuje službu, ohledně které se uzavírá smlouva), je pro vznik a realizaci daného právního vztahu nezbytná oboustranná výměna informací. V případě následné rezervace služby není tedy potřeba souhlasu subjektu se zpracováním osobních údajů a plně postačuje splnění informační povinnosti o zpracování osobních údajů na webových stránkách.
Doložení trestní bezúhonnosti (výpisu z Rejstříku trestů) u zaměstnanců z pohledu GDPR
Opodstatněnost doložení trestní bezúhonnosti – výpisu z Rejstříku trestů v průběhu trvání pracovněprávního vztahu, či před jeho uzavřením, je buď zákonem stanovená povinnost, nebo je dána povahou pracovní náplně zaměstnance obecního / městského úřadu.
Předložení výpisu z Rejstříku trestů zaměstnavateli omezuje přímo zákoník práce ve svém ustanovení § 316 odst. 4. Ačkoli toto ustanovení zmiňuje pouze zaměstnance, panuje shoda v tom, že v souladu s pravidlem a maiori ad minus se toto omezení zaměstnavatele vztahuje jednoznačně i na jeho požadavky vůči uchazečům o zaměstnání. Zaměstnavatel může v souladu s ustanovením § 316 odst. 4 zákoníku práce chtít po zaměstnancích pouze ty informace, které bezprostředně souvisejí s výkonem práce a se základním pracovněprávním vztahem. Výpis z Rejstříku trestů je jedna z informací, kterou zaměstnavatel po zaměstnancích požadovat nesmí. Ustanovení zákoníku práce ale obsahuje i výjimky, kdy informace o trestněprávní bezúhonnosti zaměstnavatel požadovat smí. Je tomu tak v případech, kdy je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a současně, je-li tento požadavek přiměřený anebo v případech, kdy to stanoví právní předpis. Existuje mnoho profesí, u kterých právní předpisy stanoví jako předpoklad trestní bezúhonnost.
Pokud tedy předpoklad trestněprávní bezúhonnosti není stanoven zákonem, je možné požadovat výpis z Rejstříku trestů jen v případě, když existuje vážný věcný důvod spočívající v povaze práce. Záleží tedy na typu pracovní pozice – zda u dané pracovní pozice existují či neexistují věcné důvody pro vyžádání výpisu z Rejstříku trestů, např. v případě mzdové účetní, jež manipuluje s hotovostí, má přístup do trezoru atd., by neměl požadavek na výpis z Rejstříku trestů představovat problém; u pracovní pozice typu údržbář, topič, uklízečka atd. ale věcný důvod k požadavku na doložení trestní bezúhonnosti neexistuje.
Zveřejňování informací o pronajatých bytech v usnesení orgánů města
Zastupitelstvo města a Rada města (orgány s pravomocí rozhodovat o záležitostech patřících do samostatné působnosti města, ve smyslu § 84 odst. 1 a § 102 odst. 2 a 3 zákona č. 128/2000 Sb., o obcích) jsou oprávněni na svém zasedání projednávat otázky dispozic s majetkem města i otázky týkající se nájmu bytů ve vlastnictví města, a to včetně způsobů vymáhání dlužného nájemného. Při projednávání těchto záležitostí mají na základě zvláštních zákonů povinnost účastníky právních vztahů identifikovat, a proto mohou zpracovávat osobní údaje dotčených osob i bez jejich souhlasu.
V případě majetkových dispozic lze považovat za důvodný a účelný, tedy v souladu se zákonem, takový postup, kdy by ve zveřejněné verzi usnesení byla přesně identifikována pouze předmětná nemovitost a uvedeno, jak bylo rozhodnuto (např. prodá se, pronajme se). Takto redukované usnesení stále dostatečně informuje o tom, jaké záležitosti byly na zasedání orgánu města projednávány. Ohledně zveřejňování osobních údajů dlužníků (nájemníků, kteří dluží městu na nájemném) je nutno konstatovat, že tento postup je v podstatě opakovaným postihem těchto osob. Jelikož se jedná o postupy v rámci činností stanovených zákonem, je nutno takové jednání považovat za nedovolené. Zveřejnění osobních údajů uvedených osob by bylo možné, pokud by k tomu předem daly souhlas. Současně je vhodné ve zveřejněné verzi usnesení upozornit na právo osob vymezených v § 16 a § 17 zákona č. 128/2000 Sb., o obcích (obecní zřízení), na nahlédnutí do úplného znění usnesení nebo zápisu z jednání.
Zveřejňování osobních údajů na úřední desce
Při doručování veřejnou vyhláškou, tedy prostřednictvím úřední desky se jedná o náhradní způsob doručení písemnosti, který je podle zákona č. 500/2004 Sb., správní řád krajním způsobem řešení situace při doručování. Ke zveřejnění písemnosti na úřední desce (které je zásahem do práv subjektu údajů) tedy dochází v případě, že je takové zveřejnění nezbytné k dosažení účelu, pro který jsou osobní údaje zpracovány. To znamená, že v první řadě, musejí být (v souladu se zákonem) vždy zvoleny způsoby doručení, při kterých nejsou osobní údaje subjektu údajů zveřejněny. Až v případě, že se těmito způsoby nepodařilo písemnost doručit, může dojít k doručení, při kterém jsou údaje subjektu údajů zveřejněny na úřední desce. V takovém případě je zveřejnění osobních údajů, které jsou součástí veřejné vyhlášky, legitimní, jelikož se jedná o zpracování nezbytné pro splnění právní povinnosti.
Účelem zveřejnění písemnosti na úřední desce je umožnit adresátovi písemnosti uplatnit jeho práva a oprávněné zájmy. Je tedy nezbytné písemnost vyvěsit v celém svém rozsahu, s celým odůvodněním a uvedením všech práv a povinností, která dané osobě vznikají. V případě doručování veřejnou vyhláškou tedy nemá správní orgán možnost pro zajištění ochrany osobních údajů písemnost pozměnit, např. začerněním osobních údajů či podobnou úpravou. Proto, jestliže písemnost obsahuje osobní údaje, které lze považovat za citlivé, postupuje správní orgán tak, že na úřední desce a elektronické úřední desce vyvěsí namísto samotné písemnosti oznámení o možnosti převzít písemnost u příslušného správního orgánu (§ 25 odst. 2 správního řádu).
Správní řád neupravuje kritéria pro volbu daného způsobu, obec jako správní orgán by měla tedy zvážit okolnosti konkrétního případu, resp. obsah doručované písemnosti v jednotlivém případě. Vyvěšení písemnosti by mělo být primárním způsobem, pro vyvěšení pouhého oznámení by měly existovat důvody bránící vyvěšení samotné písemnosti (typicky její velký rozsah), anebo důvody, dané ochranou osobních údajů, tedy například případy, kdy písemnost samotná obsahuje rovněž osobní údaje jiných osob než adresáta, osobní údaje zvláštních kategorií apod.
Zprávy, u kterých uplynula lhůta pro zveřejnění (datum sejmutí), musejí být z úřední desky odstraněny, neboť pro jejich zveřejnění již neexistuje zákonné oprávnění. Pokud je v zájmu obce archivní zprávy zveřejňovat, mělo by se jednat pouze o seznam dříve zveřejněných zpráv, neobsahujících žádné osobní údaje, tedy bez uvedení osobních údajů v názvu zprávy (nelze „KAREL NOVÁK − DRAŽEBNÍ VYHLÁŠKA MOVITÝCH VĚCÍ“) a bez připojeného dokumentu. V případě potřeby zveřejnění připojeného dokumentu, musel by být tento dokument anonymizován.
Po uplynutí lhůty pro zveřejnění je potřeba dokument znepřístupnit a to tak, aby nebyl dohledatelný ani internetovými prohlížeči (tedy nestačí odstranit pouze odkaz na úřední desce, je potřeba odstranit celý dokument z webového serveru).
Doporučujeme také zamezit vyhledatelnosti zprávy internetovými prohlížeči po jejím odstranění z úřední desky. K tomu lze přijmout jednoduchá technická opatření – jedná se především o nástroje, které zamezí indexování příslušných webových stránek a zveřejněných dokumentů a nástroj, který zamezí jejich ukládání do cache internetového vyhledávače. (Účelem zpřístupnění osobních údajů, respektive konkrétních dokumentů uvedeným způsobem totiž není „automatické“ umožnění předat a sdružovat údaje zveřejněné na jednotlivých úředních deskách do úložišť mimo působnost orgánů veřejné správy, ani trvale uchovávat, prohledávat nebo profilovat dokumenty s osobními údaji, u nichž zákon přesně stanovil některé způsoby zpracování, a to včetně doby tohoto zpracování.)
Další uchovávání zpráv a dokumentů ve Spisové službě obce a dalších evidencích až do doby uplynutí skartační lhůty a zařazení do skartačního řízení je v souladu s pravidly ochrany osobních údajů.
Je také třeba vždy posoudit, zda je daný dokument skutečně určen ke zveřejnění na úřední desce a vždy určit, zda se skutečně jedná o zákonnou povinnost nebo ne.
Účastník řízení (obec) je povinen došlou písemnost např. od soudního exekutora, případně jiného orgánu veřejné moci, nejprve posoudit podle jejího obsahu, a poté učinit závěr, zda je povinen v souladu s příslušným procesním předpisem (např. občanský soudní řád, zákon o správě daní a poplatků) doručený dokument na své úřední desce zveřejnit. Pokud dospěje k závěru, že ano, poté je povinen tento dokument zveřejnit, aniž by jakkoliv zasahoval do jeho obsahu, neboť odpovědnost je poté na tom, kdo zveřejnění požaduje. Pokud ovšem žádný právní předpis zveřejnit došlý dokument neukládá, nese odpovědnost za zveřejněné osobní údaje přímo účastník řízení, a to bez ohledu na to, zda mu byla písemnost doručena omylem, nebo cíleně (např. proto, že byla soudním exekutorem nařízena exekuce srážkami ze mzdy zaměstnance účastníka řízení, což musí být samozřejmě zaměstnavateli oznámeno, viz § 282 odst. 2 občanského soudního řádu, viz https://www.uoou.cz/postup-obce-pri-nakladani-s-listinou-zaslanou-exekutorem-aniz-je-obec-jejim-opravnenym-prijemcem/d-1777). Doporučujeme na tuto skutečnost opakovaně upozornit odpovědné pracovníky.
Zveřejňování článků a fotografií v obecních / radničních novinách a v obecním kalendáři
Zveřejnění článku o určité události nebo případu s uvedením jmen jejich účastníků v obecních / radničních novinách není posuzováno jako zpracování osobních údajů, pokud nedochází k systematickému shromažďování osobních údajů o určité kategorii osob a dalším operacím s takto získanými údaji. Pro takové operacepro novinářské účely stanovuje výjimky z GDPR zákon o zpracování osobních údajů.
Režimu GDPR nepodléhá ani běžné zveřejňování fotografií v médiích, které se řídí ustanoveními § 84 až 90 zákona č. 89/2012 Sb., občanský zákoník, který v § 89 stanoví: Podobizna nebo zvukový či obrazový záznam se mohou bez svolení člověka také pořídit nebo použít přiměřeným způsobem též k vědeckému nebo uměleckému účelu a pro tiskové, rozhlasové, televizní nebo obdobné zpravodajství.
V případě obecního kalendáře lze zpracovávat dobové fotografie v souladu s § 89 zákona č. 89/2012 Sb., občanský zákoník, dle kterého se podobizna nebo zvukový či obrazový záznam mohou bez svolení člověka pořídit nebo použít přiměřeným způsobem k vědeckému nebo uměleckému účelu a pro tiskové, rozhlasové, televizní či obdobné zpravodajství. V ostatních situacích je však vždy třeba dbát na to, zda není vyobrazená stavba předmětem ochrany autorského práva.
V případě použití fotografií pro propagaci – letáky, plakáty, pozvánky, publikace, dárkové předměty – je vždy nutný souhlas subjektu údajů.
Uvádění osobních údajů na dopisech (dodejky s modrým či červeným pruhem) v praxi obecního úřadu
S ohledem na Nařízení GDPR a zásadu minimalizace osobních údajů je pro identifikaci adresáta dostatečně rozlišovacím osobním údajem pro účely doručení dopisu v rámci správního řízení či při vymáhání pokut uvedení jména, příjmení, popř. titulu a roku narození adresáta.
Při uvádění osobních údajů na dopisech je třeba zohlednit zásadu účelového omezení a minimalizace osobních údajů zakotvenou v čl. 5, odst. 1, písm. b) a c) Nařízení GDPR. Účelem zpracovávání osobních údajů je doručování písemností správním orgánem (viz zákon č. 500/2004 Sb., správní řád). Takto doručované písemnosti mohou dle stanoviska Ministerstva vnitra ČR obsahovat citlivé osobní údaje, jako např. i informaci o spáchaném přestupku. Je poměrně běžné, že na doručovací adrese bydlí dvě a více osob shodného jména a příjmení, naopak je vysoce nepravděpodobné, že by takové osoby měly i stejný rok narození.
Předání osobních údajů ubytovateli
Z toho tedy plyne, že např. v případě pobytu na škole v přírodě, ubytovatel v evidenční knize vede pouze údaje o dospělých ubytovaných, nikoliv o dětech.
Předávání osobních údajů přijímaných prvňáčků mezi zřizovatelem (obcí) a školou
Zaměstnavatel (obec) smí dle ustanovení § 30 odst. 2 zákona č. 262/2006 Sb., zákoník práce, vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy.
Zveřejněná informace o možnosti zasílat motivační dopisy a životopisy na danou pracovní pozici musí obsahovat konkrétní kontakt pro zaslání těchto dokumentů (nemělo by se tedy jednat o obecnou adresu přístupnou několika zaměstnancům) a dále musí obsahovat poučení o tom, jak budou chráněny osobní údaje uchazeče / potenciálního zaměstnance, které zaměstnavatel ve výběrovém řízení získá.
Doložení trestní bezúhonnosti (výpisu z Rejstříku trestů) u úřednických a neúřednických pozic z pohledu GDPR
Zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů, vyžaduje u úředníků doložení trestní bezúhonnosti – výpis z Rejstříku trestů.
Pokud ale předpoklad trestněprávní bezúhonnosti není sta­noven zákonem, je možné požadovat výpis z Rejstříku trestů jen v případě, když existuje vážný věcný důvod spočíva­jící v povaze práce. Záleží tedy na typu pracovní pozice – zda u dané pracovní pozice existují či neexistují věcné důvody pro vyžádání výpisu z Rejstříku trestů, např. v případě mzdové účetní, jež manipuluje s hotovostí, má přístup do trezoru atd., by neměl po­žadavek na výpis z Rejstříku trestů představovat problém; u pracovní pozice typu údržbář, topič, uklízečka atd. ale věcný důvod k požadavku na doložení trestní bezúhonnosti neexistuje.
Při zajišťování bezpečnosti a ochrany zdraví při práci a požární ochrany zaměstnavatel (obec) zpracovává osobní údaje zaměstnanců. Zaměstnavatel je povinen zabezpečit osobní údaje zaměstnanců bez ohledu na to, zda si plnění povinností BOZP a PO zajišťuje sám (svým zaměstnancem), nebo prostřednictvím externí společnosti.
S ochranou osobních údajů úzce souvisí i doba uchovávání jednotlivých dokumentů obsahujících osobní údaje (naplnění zásady omezení uložení). Je jedno, zda se jedná o dokumenty v listinné, nebo elektronické podobě. Z hlediska zajištění souladu s GDPR osobní údaje mohou být v dokumentech uvedené pouze po dobu trvání účelu, pro který byly osobní údaje získány a zpracovávány (doba uchování dokumentů).
Dobu uchovávání dokumentů vztahujících se k BOZP a PO řeší Spisový a skartační řád obce, v některých případech je doba uchování upravena přímo právním předpisem, např.:
V souvislosti s ověřováním / dokládáním totožnosti subjektu údajů v rámci některých agend obce je dále třeba zřetelně vyjasnit pojmy „doložit“, „předložit“ a „připojit“. Pokud příslušný zákon říká, že je nutné doklad totožnosti připojit, měl by podatel (subjekt údajů) sám příslušný doklad totožnosti ke svému podání připojit. Pokud se tak nestane, úřad by měl podatele následně k doložení dokladu vyzvat. Obdobně by mělo být postupováno i v případě, kdy je v zákoně stanovena povinnost podatele příslušný doklad totožnosti doložit. Pokud je podle zákona stanovena povinnost doklad totožnosti pouze předložit, nejedná se o stejnou situaci jako v případě připojení či doložení dokladu. Je proto na zvážení úřadu, zda v těchto případech vyhotovit fotokopii dokladu totožnosti nebo jiným způsobem zaznamenat informaci o tom, že byl požadovaný doklad totožnosti předložen.
Pro účely zaslání pozvánky k vítání občánků, vypracování jmenného seznamu dětí, které jsou pak vyvolávány na dané akci, nebo zaslání gratulací k životním jubileím občanům obce, orgán obec nemusí mít přihlášku zákonného zástupce / občana a souhlas se zpracováním osobních údajů. Zpracování těchto osobních údajů lze opřít o čl. 6 odst. 1 písm. e) Nařízení GDPR.
Lze totiž dojít k závěru, že ve veřejném zájmu je pořádání obecních akcí, které slouží k podpoře života obce jako společenství občanů. K tomu patří jak vítání občánků a jejich příp. zápis do kroniky obce (není ale důvod uvádět v kronice konkrétní data narození, postačuje uvést, které děti se narodily v určitém časovém úseku), tak gratulace k významným životním výročím. Zpracování osobních údajů musí být vždy přiměřené danému účelu.
Osobní údaje uvedené v kronice obce
Osobní údaje uvedené v kronice obce musí být přiměřené danému účelu zpracování. Obec je podle zákona č. 132/2006 Sb., o kronikách obcí, povinna vést kroniku obce, do níž se zaznamenávají zprávy o důležitých a pamětihodných událostech v obci pro informaci i poučení budoucím generacím. Je nepochybné, že tyto chronologicky zapisované zprávy i přílohy kroniky obce (písemné, obrazové nebo zvukové dokumenty doplňující zápis v kronice), obsahují v nezbytně nutném rozsahu i údaje o osobách, které se pamětihodných událostí obce zúčastnily.
Podle § 3 zákona o kronikách obcí (Zápis do kroniky) rozhoduje o zápisu do kroniky obec. Jako důležitou událost hodnou zaznamenání může obec posoudit případně i událost týkající se soukromého života určité osoby, např. sňatek v obci známé osoby, narození dítěte v její rodině, významné životní jubileum i úmrtí takové osoby, případně veřejně známé okolnosti s těmito událostmi spojené. Zápis v kronice o takové události ale nesmí rozsahem uváděných osobních údajů zasahovat do soukromého života těchto osob nepřiměřeným způsobem.
Zákon o kronikách obcí však nepředpokládá, že v kronice budou uváděny jakékoli soupisy místních občanů, které jsou zpracováním osobních údajů ve smyslu § 4 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů. Pro zařazení takového soupisu v rozsahu údajů: jméno a příjmení, přesná adresa bydliště, případně datum nebo rok narození a další osobní údaje, např. soupis jubilantů v určitém roce nebo soupis osob, které se přistěhovaly nebo odstěhovaly, je proto třeba získat souhlas těchto subjektů údajů. V případě soupisu nově narozených dětí je třeba získat souhlas jejich zákonných zástupců.
Vzhledem k tomu, že povinnost získat souhlas subjektu údajů je vztažena pouze k žijícím osobám, není zařazení soupisů zemřelých osob do kroniky obce bez souhlasu blízkých osob zemřelých porušením zákona o ochraně osobních údajů, pokud nejsou tyto údaje získávány z evidence obyvatel nebo z matriky, což neumožňují příslušné zvláštní zákony. Blízké osoby zemřelých však mohou případně uplatňovat právo na ochranu jejich osobnosti podle občanského zákoníku.
Zákon o kronikách obcí umožňuje vedení kroniky v elektronické podobě, nepředpokládá však její zveřejňování na webových stránkách obce. Podmínky pro zpřístupňování kroniky stanoví § 4 zákona o kronikách obcí (Nahlížení do kroniky a využití kroniky) – do kroniky může každý nahlédnout ve vymezené době na obecním úřadě.
Novela vyhlášky o poskytování údajů z katastru nemovitostí
Dnem 1.1.2019 nabyla své účinnosti vyhláška č. 256/2018 Sb., kterou se mění vyhláška č. 358/2013 Sb., o poskytování údajů z katastru nemovitostí, ve znění vyhlášky č. 354/2015 Sb. Jedná se relativně o rozsáhlou novelu o bezmála třech desítkách změnových bodů. Český úřad zeměměřický a katastrální (ČÚZK) jí především reaguje na přijetí a účinnost obecného nařízení o ochraně osobních údajů (Nařízení GDPR). Jejím prostřednictvím mají být rovněž optimalizovány formy poskytování údajů katastru a výše úplat.
Novela vyhlášky o poskytování údajů z katastru nemovitostí upravuje následující body vyhlášky:
Kopie z katastrálního operátu v případech, ve kterých nejde o poskytnutí údajů ve formě veřejných listin.
Výstupy a kopie z katastrálního operátu v případech, ve kterých nejde o poskytnutí údajů ve formě veřejných listin.
Šíření údajů katastru.
Šíření údajů katastru za úplatu.
Bezúplatné šíření údajů katastru.
Dopad Nařízení GDPR na práci členů orgánů obce
S ohledem na proběhnuvší komunální volby (volby do zastupitelstva obcí 2018) si dovolujeme upozornit, že Nařízení GDPR má dopad i na práci jednotlivých členů orgánů obce. Zastupitel obce je z pohledu GDPR běžnou fyzickou osobou a může být postižen stejnou sankcí jako každý jiný subjekt. Vztah zastupitele a obce je z pohledu nakládání s osobními údaji poměrně složitý – jsou si vzájemně zpracovateli, dodavateli a poskytují si aktiva k výkonu činnosti správce. Zastupitel potřebuje, jako kdokoliv jiný, zákonný důvod (přesněji zákonné oprávnění), k nakládání s osobními údaji jiných.
Pokud ho nemá, nebo ho má k jinému účelu, musí si zajistit souhlas subjektu údajů. To platí i na případy, kdy zastupitel obce komunikuje s občany, zabývá se jejich podněty, fotografuje se s nimi na společenské akci apod. Stejně opatrně a zodpovědně musí zastupitel obce nakládat s osobními údaji svých asistentů, smluvních partnerů či obce.
Zastupitel obce je oprávněn používat osobní údaje vždy pouze za tím účelem, za kterým mu byly poskytnuty (např. pokud je kontaktován občanem s žádostí o informaci, je oprávněn použít osobní údaje občana pouze za účelem poskytnutí odpovědi, nikoliv pro následné oslovení občana v jiných věcech).
Zastupitel obce, stejně jako kterýkoliv jiný správce nebo zpracovatel osobních údajů, by měl být v oblasti ochrany osobních údajů řádně vyškolen. Každý zastupitel obce by se měl sám, nebo s pomocí obce seznámit alespoň v minimální míře s právy a povinnostmi při zpracování osobních údajů. Jeho vztah s obcí by měl být v této oblasti formalizován, stejně jako jeho vztah s asistentem a dalšími osobami. Obec může poskytnout zastupiteli vzory souhlasů a smluv, stejně jako přístup k základnímu proškolení v oblasti GDPR.
Využití politických názorů občanů
V souvislosti s volbami do Senátu a Zastupitelstev obcí 2018 je na místě připomenout, že údaje vypovídající o politických názorech občanů patří do zvláštní kategorie osobních údajů, pro které GDPR stanovuje zákaz jejich zpracování s přísně stanovenými výjimkami.
Využití osobních údajů ze sociálních sítí a komunikací na webových stránkách pro účely volební kampaně bez výslovného souhlasu voliče je porušením zásad GDPR.
Vedení a archivace personální agendy musí korespondovat se schváleným Spisovým a skartačním plánem původce (obce). Pokud jsou položky z oblasti personalistiky ve Spisovém a skartačním plánu obce uvedeny pod samostatnými spisovými znaky, musí je zaměstnanci obce i takto ukládat a nelze je vkládat do spisu, který má spisový znak a skartační režim jiný než zbytek dokumentů (viz vyhláška č. 259/2012 Sb., o podrobnostech výkonu spisové služby).
Osobní spis zaměstnance obce má být koncipován jako typový spis s více součástmi – je chápán jako složka zaměstnance bez skartačního režimu, do které budou vkládány k němu se vážící dokumenty se svými skartačními režimy. Tyto dokumenty se budou průběžně ze složky zaměstnance skartovat poté, co jim uplynou přidělené skartační lhůty. Vyskartováním posledního dokumentu osobní spis zaměstnance zanikne.
Mzdovou agendu, tj. doklady, které byly zaměstnavatelem (obcí) vytvořeny či získány při zpracování mezd zaměstnanců a týkající se sociálního a zdravotního pojištění zaměstnanců, odvádění daní atd., je nutné uchovávat po dobu určenou zákonem:
Některé úřady v návaznosti na transparentnost činností obce a dostupnost služeb poskytovaných občanům zveřejňují na webových stránkách obce (prostřednictvím docházkového systému úřadu) informace o přítomnosti či nepřítomnosti jednotlivých zaměstnanců úřadů na pracovišti. Takové zveřejnění osobních údajů představuje nedůvodný zásah do práv subjektů údajů (zaměstnanců úřadů) na ochranu jejich osobního a soukromého života a není proto v souladu se základními zásadami vyjádřenými v čl. 5 Nařízení GDPR.
Zveřejnění informace o přítomnosti zaměstnance úřadu na pracovišti navíc nevede k vyšší informovanosti veřejnosti. Občan z uvedené informace pouze zjistí, že konkrétní zaměstnanec úřadu je v danou chvíli přítomen v zaměstnání. Zveřejněná informace ovšem nezaručuje přítomnost zaměstnance úřadu na jeho pracovišti po celou pracovní dobu, resp. po dobu úředních hodin, kdy se občané na úřad obracejí.
Součástí některých formulářů obce mohou být navíc i doplňující údaje, mezi které patří kontaktní údaje osob (subjektu údajů), např. telefon, e-mailová adresa, datová schránka atd.
Ministerstvo vnitra ČR bezplatně nabízí zaměstnancům orgánů veřejné moci nástroj pro anonymizaci dokumentů. Pomocí tohoto anonymizačního nástroje zaměstnanci úřadu jednoduše a rychle provedou anonymizaci smluv obce, které pak vloží do registru smluv.
Anonymizační nástroj naleznete na webové stránce https://anonymizace.gov.cz/crossroad/. Pro přihlášení do anonymizačního nástroje je nutné znát přihlašovací údaje do datové schránky obce nebo JIP (Jednotný identitní prostor Czech POINT).
Zveřejnění neaktuálních dokumentů obsahujících osobní údaje fyzických osob na stránkách obce
Typické jsou neaktuální listiny dostupné na elektronických stránkách obce, obsahující osobní údaje fyzických osob (např. dražební vyhlášky). Dokumenty mají být zveřejněny pouze po dobu, která je určena právním předpisem, či je plněn účel, pro který byl zveřejněn. Není dostačující převést do „archivu“, je nutné z webových stránek kompletně smazat – stává se, že je odstraněna pouze přímá cesta na dokument z webu, ale dokument je pořád vyhledatelný např. Googlem (typicky zadáním jména, příjmení a názvu obce či domény), nebo nechat pouze informaci o zveřejnění bez přiloženého dokumentu a osobních údajů.
Zabezpečení osobních údajů nejen v rámci správního řízení
Je potřeba věnovat pozornost i pracovnímu prostředí zaměstnanců ve vztahu k dokumentům, kterém mají ve své správě. Nemělo by docházet k situaci, kdy zaměstnanci, které v rámci výkonu činnosti navštěvuje veřejnost, mají na stole či jinde volně přístupné dokumenty. Jedná se o riziko úniku neveřejných informací (minimálně v rozsahu jméno, příjmení, č.j. a samotná informace o existenci tohoto řízení ve vztahu k identifikovatelné fyzické osobě).
Neoprávněné nahlížení úředníků do registrů
Nahlížení do registru obyvatel atd. se musí dít za jasným účelem v rámci výkonu státní správy. Zneužití lze v závažných případech kvalifikovat i jako trestný čin dle § 100 zákona č. 40/2009 Sb., trestní zákoník. Nelze nahlížet do registrů za účelem uspokojení zvědavosti či pro osobní potřebu. Občané se mohou dozvědět, jaký orgán a pro jaký účel využíval z Registru obyvatel údaje… (na základě žádosti o vydání výpisu z Registru obyvatel podle § 14 odst. 4 a § 50 zákona č. 111/2009 Sb., o základních registrech).
Kamerový systém obce na veřejných prostranstvích