Konzultace |
Druhá část harmonizační novely zákona o ochraně osobních údajů – tedy zákon č. 439/2004 Sb., kterým se mění zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů - vstoupila v účinnost od počátku roku 2005. Přídavné jméno “harmonizační” pozornějšímu čtenáři naznačuje, že máme co do činění s novelou, ke které zákonodárce vedla především potřeba vyšší úrovně sjednocení podmínek ochrany osobních údajů v ČR s evropským právním prostředím. Právo EU je tu zejména postaveno na dvou pilířích: na Úmluvě o ochraně osob se zřetelem na automatizované zpracování osobních dat č. 108
a na Směrnici Evropského parlamentu a Rady 95/466/ES o ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (1).
U takřka každé novely - a tato jistě není a nebude výjimkou - vedou teoretici i praktici diskusi, zda je vůbec nutná. V případě “čtyřistatřicetdevítky” tuto potřebnost skutečně vidím, jelikož zákon o ochraně osobních údajů si o ni říkal již od času svého vzniku (2000). “I když již v roce 2000 byla snaha tvůrců zákona maximálně se těmto dokumentům přiblížit (myšleny dva výše zmíněné euro-dokumenty- pozn. P.K.)”, konstatovala výstižně náměstkyně předsedy Úřadu pro ochranu osobních údajů A.Kučerová, “zůstaly některé instituty stranou jejich hlavního zájmu; to bylo nezbytné nyní napravit.” (2) Harmonizace s evropským právem nebyla jediným cílem, byla jím přirozeně i snaha o zkvalitnění (precizování) textu zákona, aby se znesnadnilo jeho porušování a obcházení ze strany fyzických a právnických osob a tím pádem došlo k zefektivnění ochrany ústavního práva na soukromí.
Majoritní část zákona č.439/2004 Sb. je sice účinná již ode dne vyhlášení - 26. července 2004 - a absence jakékoli legisvakanční doby byla zákonitě kritizována nejen správci (3) osobních údajů, ale i pracovníky Úřadu pro ochranu osobních údajů (4). Nicméně ustanovení týkající se sankcí za porušení zákona nabyla účinnosti až prvním lednovým dnem roku 2005. A právě “novým sankcím” na úseku ochrany osobních údajů se budeme věnovat v následujícím textu.
A) Přestupky
Správně-právní odpovědnost za přestupky je samostatnou podmnožinou správně-právní odpovědnosti, která vykazuje znaky - relativně samostatné - specifické odvětvové právní odpovědnosti (5). K problematice přestupků si obecně připomeňme, že je to zaviněné jednání, které porušuje nebo ohrožuje zájem společnosti a je za přestupek výslovně označeno v zákoně o přestupcích či v jiném zákoně (což je případ našeho článku), k legální definici přestupku rovněž patří, že se nesmí jednat buď o tzv. jiný správní delikt postižitelný podle zvláštních právních předpisů a nebo dokonce o trestný čin. Z pohledu naší problematiky: Totéž závadné jednání na úseku ochrany osobních údajů nemůže být současně přestupkem a jiným správním deliktem či přestupkem a trestným činem. Přestupkem není jednání, jímž někdo odvrací přiměřeným způsobem přímo hrozící nebo trvající útok na zájem chráněný zákonem nebo nebezpečí přímo hrozící zájmu chráněnému zákonem, jestliže tímto jednáním nebyl způsoben zřejmě stejně závažný následek než ten, který hrozil, a toto nebezpečí nebylo možno v dané situaci odvrátit jinak (6).
Jednou z nejzákladnějších povinností na úseku ochrany osobních údajů je mlčenlivost. Zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Je důležité připomenout, že tato povinnost není časově ohraničena dobou pracovního (či jiného poměru), povinnost mlčenlivosti trvá - § 15 odst.1 zákona č. 101/2000 Sb. - i po skončení zaměstnání nebo příslušných prací. Pokud je tato povinnost porušena, dopouští se fyzická osoba přestupku dle ustanovení § 44 z.č.101/2000 Sb. Předmětného přestupku se může ex lege dopustit jak fyzická osoba, která je ke správci nebo zpracovateli osobních údajů v pracovním nebo jiném obdobném poměru, tak i osoba, která vykonává pro správce nebo zpracovatele činnosti na základě dohody. Pracovní poměr ke správci (resp. zpracovateli) tedy není condicio sine qua non proto, aby mohl být spáchán tento přestupek. Přestupku porušení mlčenlivosti se může také dopustit osoba, která v rámci plnění zvláštním zákonem uložených oprávnění a povinností přichází u správce nebo zpracovatele do styku s osobními údaji. Za tento přestupek možno nyní uložit pokutu až do výše 100 000 Kč, do konce roku 2004 to bylo maximálně 50 000. K projednávání přestupků a k udělování pokut za ně je oprávněn Úřad pro ochranu osobních údajů (dále jen ÚOOÚ) (7), který má postavení nezávislého orgánu. Pavel Mates zdůrazňuje, že toto jeho nezávislé postavení je zajištěno tím, že ve svojí činnosti se řídí pouze zákony a jinými právními předpisy (není tedy vázán směrnicemi, pokyny ani jinými akty řízení, včetně usnesení) a do jeho činnosti lze zasahovat pouze na základě zákona (8). Díky svému nezávislému postavení bývá tento úřad v právní teorii dokonce označován jako tzv. speciální ombudsman (9).
Nyní si představme tzv. “milionové přestupky”, tj. takové zaviněné jednání, za které lze uložit pokutu do magické výše jednoho milionu korun. Při rozhodování o konkrétní výši pokuty ÚOOÚ přihlíží zejména k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno. Takovým typem přestupku je případ, že fyzická osoba (ať už jako správce nebo zpracovatel) při zpracování osobních údajů nestanoví účel, prostředky nebo způsob zpracování osobních údajů, či stanoveným účelem zpracování poruší povinnost nebo překročí oprávnění vyplývající ze zvláštního zákona.
Další možnou skutkovou podstatou je, že fyzická osoba v pozici zpracovatele zpracovává nepřesné osobní údaje. Zákon č.101/2000 Sb. stanoví povinnost zpracovat pouze přesné osobní údaje, které jsou získány v souladu s tímto zákonem, není tedy možné zpracovávat například údaje ukradené nebo opatřené pomocí protiprávní lsti či podvodu (10). Když je to nezbytné, má zpracovatel za povinnost osobní údaje aktualizovat. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, má za povinnost provést – a to bez zbytečného odkladu - přiměřená opatření, zejména zpracování blokovat (11) a osobní údaje opravit nebo doplnit, jinak má za povinnost osobní údaje zlikvidovat. Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6., což jsou různé “krajní případy”, tedy například k zajištění bezpečnosti ČR nebo obrany ČR nebo k zajištění veřejného pořádku a vnitřní bezpečnosti. Nepřesné osobní údaje se musí ex lege jako nepřesné označit. Informaci o blokování, opravě, doplnění nebo likvidaci (12) osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům.
Dalším typem přestupku je skutek, kdy fyzická osoba shromažďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu. K otázce zmíněného rozsahu shromažďování: Učebnicovým příkladem “nadměrného” shromažďování osobních údajů byly (zejména v minulém století) návštěvně-evidenční knihy (v menších organizacích spíše sešitky), kde byly vrátnými či jinými pověřenými pracovníky od návštěvníků získávány nejen osobní indicie v podobě jména a příjmení (popřípadě vysílající právnické osoby), ale i jejich rodná čísla (13), v dnešní době je tento protiprávní nešvar již vzácností.
Dle zákona č. 101/2000 Sb. lze uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné. S touto povinností časově omezené správy souvisí i další skutková podstata - přestupku dle § 44 odst.2 zákona č.101/2000 Sb. se dopustí i ten, kdo uchovává osobní údaje po dobu delší než nezbytnou k účelu zpracování.
Další skutkovou podstatou je fakt, že fyzická osoba zpracovává osobní údaje bez souhlasu subjektu údajů. Toto se však nevztahuje na případy uvedené v ustanovení § 5 odst. 2 a § 9 zákona č.101/2000 Sb., tedy například jestliže správce provádí zpracování nezbytné pro dodržení právní povinnosti správce (např. veřejná vysoká škola postupující dle zákona č.101/1998 Sb. nebo jedná-li se o zpracování výlučně pro účely archivnictví.
Mezi přestupky, za které je možné uložit maximálně i jeden milion korun pokuty, je neposkytnutí subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem, správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, stejně tak o právu na opravu osobních údajů.
Požádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat (14). Další skutkovou podstatou přestupku je odmítnutí subjektu údajů poskytnout požadované informace (§ 12 a 21).
Každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může
a) požádat správce nebo zpracovatele o vysvětlení,
b) požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů. Odmítnutí subjektu údajů poskytnout tyto požadované informace je rovněž přestupkem dle § 44 odst.2.
Ve zkratce řečeno, dalšími přestupky dle § 44 odst.2 je jednání, kdy fyzická osoba nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů, dále nesplnění oznamovací povinnosti podle ustanovení §§ 16 (15) a 27 (16) zákona č.101/2000 Sb.
Tím jsme ve stručnosti popsali skupinu “milionových” přestupků, nicméně zákon č.101/2000 Sb. ukotvuje i přestupky (nikoliv jiné správní delikty) s možností pětinásobné sankce – tedy skupinu přestupků, za které lze uložit pokutu až do maximální výše pěti milionů korun. Opět se jedná o skutky, které může spáchat jen fyzická nikoliv právnická osoba.
Fyzická osoba se jako správce nebo zpracovatel může závažnějšího, tedy až “pětimilionového”, přestupku dopustit tím, že při zpracování osobních údajů poruší zákon č.101/2000 Sb. některým z výše popsaných způsobů (mimo porušení povinnosti mlčenlivosti), ale při stejném jednání
a) ohrozí větší počet osob (17) svým neoprávněným zasahováním do soukromého a osobního života,
b) poruší povinnosti pro zpracování citlivých údajů. Citlivým (senzitivním) (18) údajem se ex lege rozumí osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin (19), o zdravotním stavu a sexuálním životě subjektu údajů a jakýkoliv biometrický (například otisk prstu) (20) nebo genetický údaj subjektu údajů. Ochrana těchto citlivých údajů je pro subjekt údajů senzitivnější a tudíž potřeba ochrany je společensky významnější, proto zde zákonodárce reglementoval možnost vyšší maximální sankce. V souvislosti se senzitivními údaji je dobré připomenout, že údaj nepozbývá právního postavení citlivého údaje jen proto, že se stane veřejně známým – tedy například bulvární média přinesou informace o sexuálním životě starosty nakaženého pohlavní chorobou, nicméně to nic nemění na tom, že z právního hlediska to je stále citlivý údaj spadající pod zesílenou ochranu garantovanou zákonem č.101/2000 Sb.
Úplný text je v časopise Veřejná správa č. 26/2005.
Poznámky: