Konzultace

JUDr. Petr Kolman,
Právnická fakulta Masarykovy univerzity

Ochrana osobních údajů: nové správní sankce

Druhá část harmonizační novely zákona o ochraně osobních údajů – tedy zákon č. 439/2004 Sb., kterým se mění zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů - vstoupila v účinnost od počátku roku 2005. Přídavné jméno “harmonizační” pozornějšímu čtenáři naznačuje, že máme co do činění s novelou, ke které zákonodárce vedla především potřeba vyšší úrovně sjednocení podmínek ochrany osobních údajů v ČR s evropským právním prostředím. Právo EU je tu zejména postaveno na dvou pilířích: na Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních dat č. 108 a na Směrnici Evropského parlamentu a Rady 95/466/ES o ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1).

U takřka každé novely - a tato jistě není a nebude výjimkou - vedou teoretici i praktici diskusi, zda je vůbec nutná. V případě “čtyřistatřicetdevítky” tuto potřebnost skutečně vidím, jelikož zákon o ochraně osobních údajů si o ni říkal již od času svého vzniku (2000). “I když již v roce 2000 byla snaha tvůrců zákona maximálně se těmto dokumentům přiblížit (myšleny dva výše zmíněné euro-dokumenty- pozn. P.K.)”, konstatovala výstižně náměstkyně předsedy Úřadu pro ochranu osobních údajů A.Kučerová, “zůstaly některé instituty stranou jejich hlavního zájmu; to bylo nezbytné nyní napravit.” (2) Harmonizace s evropským právem nebyla jediným cílem, byla jím přirozeně i snaha o zkvalitnění (precizování) textu zákona, aby se znesnadnilo jeho porušování a obcházení ze strany fyzických a právnických osob a tím pádem došlo k zefektivnění ochrany ústavního práva na soukromí.

Majoritní část zákona č.439/2004 Sb. je sice účinná již ode dne vyhlášení - 26. července 2004 - a absence jakékoli legisvakanční doby byla zákonitě kritizována nejen správci (3) osobních údajů, ale i pracovníky Úřadu pro ochranu osobních údajů (4). Nicméně ustanovení týkající se sankcí za porušení zákona nabyla účinnosti až prvním lednovým dnem roku 2005. A právě “novým sankcím” na úseku ochrany osobních údajů se budeme věnovat v následujícím textu.

A) Přestupky

Správně-právní odpovědnost za přestupky je samostatnou podmnožinou správně-právní odpovědnosti, která vykazuje znaky - relativně samostatné - specifické odvětvové právní odpovědnosti (5). K problematice přestupků si obecně připomeňme, že je to zaviněné jednání, které porušuje nebo ohrožuje zájem společnosti a je za přestupek výslovně označeno v zákoně o přestupcích či v jiném zákoně (což je případ našeho článku), k legální definici přestupku rovněž patří, že se nesmí jednat buď o tzv. jiný správní delikt postižitelný podle zvláštních právních předpisů a nebo dokonce o trestný čin. Z pohledu naší problematiky: Totéž závadné jednání na úseku ochrany osobních údajů nemůže být současně přestupkem a jiným správním deliktem či přestupkem a trestným činem. Přestupkem není jednání, jímž někdo odvrací přiměřeným způsobem přímo hrozící nebo trvající útok na zájem chráněný zákonem nebo nebezpečí přímo hrozící zájmu chráněnému zákonem, jestliže tímto jednáním nebyl způsoben zřejmě stejně závažný následek než ten, který hrozil, a toto nebezpečí nebylo možno v dané situaci odvrátit jinak (6).

Jednou z nejzákladnějších povinností na úseku ochrany osobních údajů je mlčenlivost. Zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Je důležité připomenout, že tato povinnost není časově ohraničena dobou pracovního (či jiného poměru), povinnost mlčenlivosti trvá - § 15 odst.1 zákona č. 101/2000 Sb. - i po skončení zaměstnání nebo příslušných prací. Pokud je tato povinnost porušena, dopouští se fyzická osoba přestupku dle ustanovení § 44 z.č.101/2000 Sb. Předmětného přestupku se může ex lege dopustit jak fyzická osoba, která je ke správci nebo zpracovateli osobních údajů v pracovním nebo jiném obdobném poměru, tak i osoba, která vykonává pro správce nebo zpracovatele činnosti na základě dohody. Pracovní poměr ke správci (resp. zpracovateli) tedy není condicio sine qua non proto, aby mohl být spáchán tento přestupek. Přestupku porušení mlčenlivosti se může také dopustit osoba, která v rámci plnění zvláštním zákonem uložených oprávnění a povinností přichází u správce nebo zpracovatele do styku s osobními údaji. Za tento přestupek možno nyní uložit pokutu až do výše 100 000 Kč, do konce roku 2004 to bylo maximálně 50 000. K projednávání přestupků a k udělování pokut za ně je oprávněn Úřad pro ochranu osobních údajů (dále jen ÚOOÚ) (7), který má postavení nezávislého orgánu. Pavel Mates zdůrazňuje, že toto jeho nezávislé postavení je zajištěno tím, že ve svojí činnosti se řídí pouze zákony a jinými právními předpisy (není tedy vázán směrnicemi, pokyny ani jinými akty řízení, včetně usnesení) a do jeho činnosti lze zasahovat pouze na základě zákona (8). Díky svému nezávislému postavení bývá tento úřad v právní teorii dokonce označován jako tzv. speciální ombudsman (9).

Nyní si představme tzv. “milionové přestupky”, tj. takové zaviněné jednání, za které lze uložit pokutu do magické výše jednoho milionu korun. Při rozhodování o konkrétní výši pokuty ÚOOÚ přihlíží zejména k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno. Takovým typem přestupku je případ, že fyzická osoba (ať už jako správce nebo zpracovatel) při zpracování osobních údajů nestanoví účel, prostředky nebo způsob zpracování osobních údajů, či stanoveným účelem zpracování poruší povinnost nebo překročí oprávnění vyplývající ze zvláštního zákona.

Další možnou skutkovou podstatou je, že fyzická osoba v pozici zpracovatele zpracovává nepřesné osobní údaje. Zákon č.101/2000 Sb. stanoví povinnost zpracovat pouze přesné osobní údaje, které jsou získány v souladu s tímto zákonem, není tedy možné zpracovávat například údaje ukradené nebo opatřené pomocí protiprávní lsti či podvodu (10). Když je to nezbytné, má zpracovatel za povinnost osobní údaje aktualizovat. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, má za povinnost provést – a to bez zbytečného odkladu - přiměřená opatření, zejména zpracování blokovat (11) a osobní údaje opravit nebo doplnit, jinak má za povinnost osobní údaje zlikvidovat. Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6., což jsou různé “krajní případy”, tedy například k zajištění bezpečnosti ČR nebo obrany ČR nebo k zajištění veřejného pořádku a vnitřní bezpečnosti. Nepřesné osobní údaje se musí ex lege jako nepřesné označit. Informaci o blokování, opravě, doplnění nebo likvidaci (12) osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům.

Dalším typem přestupku je skutek, kdy fyzická osoba shromažďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu. K otázce zmíněného rozsahu shromažďování: Učebnicovým příkladem “nadměrného” shromažďování osobních údajů byly (zejména v minulém století) návštěvně-evidenční knihy (v menších organizacích spíše sešitky), kde byly vrátnými či jinými pověřenými pracovníky od návštěvníků získávány nejen osobní indicie v podobě jména a příjmení (popřípadě vysílající právnické osoby), ale i jejich rodná čísla (13), v dnešní době je tento protiprávní nešvar již vzácností.

Dle zákona č. 101/2000 Sb. lze uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné. S touto povinností časově omezené správy souvisí i další skutková podstata - přestupku dle § 44 odst.2 zákona č.101/2000 Sb. se dopustí i ten, kdo uchovává osobní údaje po dobu delší než nezbytnou k účelu zpracování.

Další skutkovou podstatou je fakt, že fyzická osoba zpracovává osobní údaje bez souhlasu subjektu údajů. Toto se však nevztahuje na případy uvedené v ustanovení § 5 odst. 2 a § 9 zákona č.101/2000 Sb., tedy například jestliže správce provádí zpracování nezbytné pro dodržení právní povinnosti správce (např. veřejná vysoká škola postupující dle zákona č.101/1998 Sb. nebo jedná-li se o zpracování výlučně pro účely archivnictví.

Mezi přestupky, za které je možné uložit maximálně i jeden milion korun pokuty, je neposkytnutí subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem, správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, stejně tak o právu na opravu osobních údajů.

Požádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat (14). Další skutkovou podstatou přestupku je odmítnutí subjektu údajů poskytnout požadované informace (§ 12 a 21).

Každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může

a) požádat správce nebo zpracovatele o vysvětlení,

b) požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů. Odmítnutí subjektu údajů poskytnout tyto požadované informace je rovněž přestupkem dle § 44 odst.2.

Ve zkratce řečeno, dalšími přestupky dle § 44 odst.2 je jednání, kdy fyzická osoba nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů, dále nesplnění oznamovací povinnosti podle ustanovení §§ 16 (15) a 27 (16) zákona č.101/2000 Sb.

Tím jsme ve stručnosti popsali skupinu “milionových” přestupků, nicméně zákon č.101/2000 Sb. ukotvuje i přestupky (nikoliv jiné správní delikty) s možností pětinásobné sankce – tedy skupinu přestupků, za které lze uložit pokutu až do maximální výše pěti milionů korun. Opět se jedná o skutky, které může spáchat jen fyzická nikoliv právnická osoba.

Fyzická osoba se jako správce nebo zpracovatel může závažnějšího, tedy až “pětimilionového”, přestupku dopustit tím, že při zpracování osobních údajů poruší zákon č.101/2000 Sb. některým z výše popsaných způsobů (mimo porušení povinnosti mlčenlivosti), ale při stejném jednání

a) ohrozí větší počet osob (17) svým neoprávněným zasahováním do soukromého a osobního života,

b) poruší povinnosti pro zpracování citlivých údajů. Citlivým (senzitivním) (18) údajem se ex lege rozumí osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin (19), o zdravotním stavu a sexuálním životě subjektu údajů a jakýkoliv biometrický (například otisk prstu) (20) nebo genetický údaj subjektu údajů. Ochrana těchto citlivých údajů je pro subjekt údajů senzitivnější a tudíž potřeba ochrany je společensky významnější, proto zde zákonodárce reglementoval možnost vyšší maximální sankce. V souvislosti se senzitivními údaji je dobré připomenout, že údaj nepozbývá právního postavení citlivého údaje jen proto, že se stane veřejně známým – tedy například bulvární média přinesou informace o sexuálním životě starosty nakaženého pohlavní chorobou, nicméně to nic nemění na tom, že z právního hlediska to je stále citlivý údaj spadající pod zesílenou ochranu garantovanou zákonem č.101/2000 Sb.

Úplný text je v časopise Veřejná správa č. 26/2005.

Poznámky:

  1. Kučerová, A.: Úvaha nad novelou zákona o ochraně osobních údajů, Právní zpravodaj č.12/2004, C.H.Beck, Praha 2004
  2. Tamtéž
  3. Správcem se pro naši problematiku rozumí každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za ně - § 4 písm.j) zákona č.101/2000 Sb.
  4. Matoušová, M.: Pohled praxe na novelu zákona o ochraně osobních údajů, Právní rádce 11/2004, Praha
  5. Průcha, P.: Správní právo, obecná část, MU v Brně, 1999, str.271 a násl.
  6. Např. občan poživší dvě desetistupňová piva, odvážející v akutním případě z hůře dostupné lesní samoty těhotnou manželku do nemocnice, z právního hlediska nepáchá přestupek, byť jinak by jeho jednání přestupkem bylo. Vždy je zde ovšem nutné dbát zásady přiměřenosti, což bývá v praxi nepochybně problém
  7. § 29 odst.1 zákona č.101/2000 Sb.
  8. Mates,P.: Ochrana soukromí ve správním právu, Linde Praha, 2004, str. 218
  9. Pavlíček, V. a kol.: Ústavní právo a státověda, Praha 2001, str.483
  10. Mates, P.: Ochrana osobních údajů, Karolinum, UK Praha, 2002, str.45
  11. Blokováním osobních údajů se z právního hlediska rozumí vytvoření takového stavu, při kterém je osobní údaj určitou dobu nepřístupný a nelze jej jinak zpracovávat – viz.§ 4 písm.h) zákona č.101/2000 Sb.
  12. Likvidací osobních údajů se rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování - viz.§ 4 písm. i) zákona č.101/2000 Sb.
  13. Na problematiku nadbytečného získávání rodných čísel na vrátnicích a recepcích mj. opakovaně upozornil i plzeňský docent správního práva P.Mates, a to i v populárním tisku (např. týdeník EURO, r.2000)
  14. Pozor, správce má právo za poskytnutí informace požadovat přiměřenou úhradu, ovšem nepřevyšující náklady nezbytné na poskytnutí informace. Tudíž nejedná se tu o možnost výdělečné aktivity pro správce, právo na pokrytí nákladů má za úkol odradit potenciální “šikanozní” žádosti o informace
  15. Oznamovací povinnost: Ten, kdo hodlá jako správce zpracovávat osobní údaje nebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v § 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů. Oznámení musí obsahovat tyto informace: a) identifikační údaje správce, u fyzické osoby, která není podnikatelem, jméno, popřípadě jména, příjmení, datum narození a adresu místa trvalého pobytu, u jiných subjektů obchodní firmu nebo název, sídlo a identifikační číslo, pokud bylo přiděleno, a jméno, popřípadě jména, a příjmení osob, které jsou jejich statutárními zástupci, b) účel nebo účely zpracování, c) kategorie subjektů údajů a osobních údajů, které se těchto subjektů týkají, d) zdroje osobních údajů, e) popis způsobu zpracování osobních údajů, f) místo nebo místa zpracování osobních údajů, g) příjemce nebo kategorie příjemců, h) předpokládaná předání osobních údajů do jiných států, i) popis opatření k zajištění ochrany osobních údajů podle § 13.
  16. Volný pohyb osobních údajů nemůže být omezován, pokud jsou údaje předány do členského státu Evropské unie. Do třetích zemí mohou být osobní údaje předány, pokud zákaz omezování volného pohybu osobních údajů vyplývá z mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána, nebo jsou osobní údaje předány na základě rozhodnutí orgánu Evropské unie. Informace o těchto rozhodnutích zveřejňuje Úřad ve Věstníku.
  17. Např. pracovník v pozici zpracovatele rozsáhlých datových souborů v rámci veřejné správy, jako je například obchodní rejstřík, živnostenský rejstřík, katastr nemovitostí.
  18. Zákon používá pojem citlivý údaj, v právní teorii se můžeme setkat i s alternativním označením senzitivní údaj – např. in Mates, P.: Ochrana osobních údajů, UK Karolinum, Praha, 2002, str.44
  19. Zde došlo k nahrazení slov "trestné činnosti" slovy "odsouzení za trestný čin", pro praxi znamená, že s tzv. čistým výpisem z rejstříku trestů nemusejí zaměstnavatelé nakládat jako s citlivým údajem – srov. Ambrosová, H.: K některým povinnostem zaměstnavatelů při ochraně osobních údajů, (MaPP. 2004, 9:32), ASPI lit. Č.24808
  20. V oblasti biometrie je třeba upozornit např. na vědeckou konferenci “Tělo jako osobní údaj” konané v Melbourne (září 2003), kde byla hlavním tématem biometrie ve vztahu k ochraně osobních údajů (resp. ochraně soukromí), blíže výroční zpráva ÚOOÚ za rok 2003
Další informace [nápis]
Číslo 26/2005
Časopis Veřejná správa č. 26/2005
Časopis Veřejná správa
Další
E-mail