Source: https://tablet.epravo.cz/epm-4-18/page-149/
Timestamp: 2019-03-22 17:10:54+00:00
Document Index: 20824596

Matched Legal Cases: ['čl. 6', 'čl. 87', '§\u202f13', 'čl. 5', '§\u202f13', 'čl. 6', 'čl. 87', 'čl. 5', 'čl. 9', 'soud ', 'čl. 10', '§\u202f4', 'zákona č. 256', '§\u202f64', 'zákona č. 111']

Page 149 | EPM 4/18 | EPRAVO.CZ Reader
z právní praxe ním titulem zpracování ve smyslu čl. 6 odst. 1 písm. c) GDPR - splnění právní povinnosti správce. nejedná se o zvláštní podmínku zpracování ve smyslu čl. 87 GDPR. Pokud tedy správce má výslovnou povinnost rodné číslo zpracovávat, ale zároveň mu podmínky zpracování uvedené ve zvláštním předpise neumožňují toto provést za současného zachování záruk pro práva a svobody subjektů údajů, měl by s ohledem na aplikační přednost unijního práva primárně postupovat v souladu s právní úpravou GDPR. Je však samozřejmě možné, že povinnost zpracovat rodné číslo byla již od počátku stanovena tak, že ji je nemožné splnit a zároveň se nedostat do rozporu se zásadami ochrany osobních údajů. V takovém případě by bylo dle názoru autorů v zásadě opět nutné (jako za minulé právní úpravy) vyčkat změny legislativy.
Ad c) Se souhlasem subjektu údajů Mimo orgány veřejné správy a případy upravené zvláštními zákony lze rodná čísla v souladu s § 13c odst. 1 písm. c) zákona o evidenci obyvatel zpracovávat pouze na základě souhlasu subjektu údajů. Tento souhlas musí samozřejmě splňovat všechny náležitosti souhlasu dle GDPR. Nově je tedy např. postaveno najisto, že podpis smlouvy, v níž jsou uvedena rodná čísla, nelze bez dalšího považovat za souhlas s jejich zpracováním dle GDPR.
Zásady zpracování osobních údajů Jak již bylo uvedeno výše, dodržování základních zásad zpracování osobních údajů dle čl. 5 GDPR je samo o sobě nejobecnější zárukou šetření práv a svobod subjektů údajů. Správce by proto měl dbát naplňování těchto zásad i při zpracování rodných čísel. Základ pro zásadu zákonnosti je stanoven v § 13c odst. 1 zákona o evidenci obyvatel. Pokud je subjekt pouze oprávněn ke zpracování rodných čísel, ale nemá pro konkrétní případ k tomu stanovenou žádnou povinnost ani jiný předem daný právní titul, musí sám stanovit jeden z právních titulů obsažených v čl. 6 odst. 1 GDPR. V naprosté většině takových případů bude právním titulem oprávněný zájem, plnění úkolu ve veřejném zájmu nebo zpracování při výkonu veřejné moci. V ostatních případech bude přípustný právní titul již dán přímo zákonodárcem bez ohledu na vůli správce. Pro dodržování zásady účelového omezení je důležité mít na zřeteli, že česká judikatura poskytla relativně přesné vymezení účelu
nakládání s rodnými čísly. Dle závěrů judikatury je účelem zpracování rodných čísel „zajišťování co nejrychlejšího a nejefektivnějšího zpracování a vyhledávání údajů, neboť rodné číslo se jako identifikátor objevuje v mnoha evidencích a počítačových systémech“.4 Pokud tedy výše uvedený účel v konkrétním případě odpadá (např. z toho důvodu, že příslušné evidence využívají jiný způsob identifikace), měl by správce, pokud je to možné, zpracování rodného čísla ukončit. Jak bylo nastíněno již v úvodu tohoto článku, ze zpracování samotného rodného čísla lze dovodit datum narození, věk a pohlaví fyzické osoby, které bylo rodné číslo přiděleno. To může být problematické v případě zpracování rodných čísel v databázích veřejné správy, které slouží k jednoznačnému ztotožnění fyzické osoby a ke kterým může mít v řadě případů přístup široká veřejnost. Z hlediska zásady minimalizace údajů, dle níž je správce oprávněn za stanoveným účelem zpracovávat toliko nezbytný rozsah osobních údajů, se dle názorů autorů jeví jako nadbytečné, aby byl tento identifikátor složen z dalších osobních údajů. Tento problém má být v budoucnu vyřešen přechodem na osobní identifikátor, jehož podoba nebude na stávajících osobních údajích závislá.5
v případech, kdy zákonodárce nerespektuje judikatorně vymezený účel, a to: „zajišťování co nejrychlejšího a nejefektivnějšího zpracování a vyhledávání údajů, neboť rodné číslo se jako identifikátor objevuje v mnoha evidencích a počítačových systémech“. Správce by za takového právního stavu měl splnit zákonnou povinnost rodné číslo zpracovat. Zároveň by se však měl pokusit využít pravidla přednosti unijního práva a vnitrostátní podmínky zpracování ve vhodném rozsahu nahradit ustanoveními GDPR. V této souvislosti je proto nutné apelovat na zákonodárce, aby především respektoval výše uvedený účel zpracování rodných čísel a vždy stanovil podmínky zpracování daného osobního údaje přiměřené tomuto účelu.
Mgr. Ing. Kateřina Mencnerová, advokátka Mgr. Bc. Radek Tupec, advokátní koncipient CÍSAŘ, ČEŠKA, SMUTNÝ s.r.o., advokátní kancelář
Závěr S příchodem GDPR nedošlo pouze ke změně formy unijní úpravy ochrany osobních údajů ze směrnice na nařízení, ale rovněž k zúžení zmocnění členských států pro přijetí zvláštních podmínek zpracování rodných čísel. Dle čl. 87 GDPR je rodná čísla možné zpracovávat pouze, pokud jsou správcem danému subjektu údajů při zpracování poskytnuty vhodné záruky práv a svobod. Pojem vhodných záruk práv a svobod sice není výslovně definován, správci však vždy musí postupovat v souladu se základními zásadami zpracování osobních údajů dle čl. 5 GDPR. Naplňování základních zásad by obecně nemělo činit potíže, pokud je správci dána pouhá možnost rodná čísla zpracovávat. V takovém případě bude muset správce sám zvážit, zda má přípustný právní titul a účel zpracování a následně zda je schopen poskytnout vhodné záruky zpracování tohoto osobního údaje. Problémy však nelze vyloučit v případech, kdy je správci sice dána povinnost rodné číslo zpracovat, to však nemůže učinit v souladu s vnitrostátní úpravou a se současným zachováním vhodných záruk dle GDPR. K uvedenému může dojít především
Poznámky: 1	Jedná se o taxativní výčet osobních údajů uvedených v čl. 9 GDPR, které jsou považovány vůči subjektu údajů za citlivé a jimž je proto poskytnuta zvýšená ochrana při jejich zpracování. 2	Např. zrušení povinnosti uvádění daňového identifikačního čísla (DIČ) na každé účtence. Ústavní soud v tomto případě dospěl k závěru, že užívání DIČ není šetrné k právu na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním osobních údajů podle čl. 10 odst. 3 Listiny. Viz Nález ÚS ČR, sp. zn. Pl. ÚS 26/16, ze dne 12. prosince 2017. 3	Např. § 4 odst. 2 písm. b) zákona č. 256/2013 Sb., o katastru nemovitostí. 4	Nález ÚS ČR, sp. zn. Pl. ÚS 26/16, ze dne 12. prosince 2017. 5	Např. dle § 64 odst. 2 zákona č. 111/2009 Sb., o základních registrech, lze při vytváření registru obyvatel pro jednoznačnou identifikaci fyzické osoby využívat rodné číslo nejdéle do 31. prosince 2025.