Neoprávněné sdružování osobních údajů nezletilých
Usnesením vlády ČR bylo Republikovému výboru pro prevenci kriminality uloženo provést výzkum dalších osudů všech osob, jež do nabytí zletilosti pobývaly ve školských zařízeních pro výkon ústavní výchovy nebo ochranné výchovy (dále jen „zařízení“) a v letech 1995 až 2004 z nich odešly do běžného života (dále jen „dotčené osoby“). Zejména byla zjišťována míra jejich konfliktů se zákony a možná vazba mezi institucionální péčí o ně a jejich obtížným začleňováním do běžného života, případně kriminální kariérou. Stalo se tak proto, že v praxi orgánů sociálně-právní ochrany dětí a kurátorů pro dospělé dlouhodobě existují signály upozorňující na skutečnost, že institucionální péče negativně ovlivňuje vstup mladých lidí do života a může být významným kriminogenním faktorem. Obdobný výzkum, jehož cílem bylo v případě zjištění potřeby přijmout účinná opatření k nápravě současné situace, dosud nebyl v České republice prováděn. Výzkum sestával ze dvou částí - kvantitativní, spočívající ve sběru a uspořádání stanovených dat, a kvalitativní, v jejímž rámci byla uskutečněna analýza výsledků sebrání dat, jejich podrobná interpretace a byly připraveny návrhy nezbytných opatření ke zlepšení situace v řešené oblasti.
Realizaci výzkumu provedl odbor orgánu veřejné správy (dále jen „odbor“). Jeho hlavními partnery v tomto výzkumu byly odbor speciálního školství a skupina vybraných ředitelů a jiných pracovníků zařízení, sdružených v Asociaci (dále jen „pracovní skupina“). Mezi orgánem veřejné správy a Asociací byla v roce 2005 sjednána smlouva, kterou bylo specifikováno, jaké činnosti, v jakých lhůtách a za jakou odměnu Asociace na základě zadání odboru v rámci předmětného výzkumu provede. Smlouva také stanovila součinnost orgánu veřejné správy při plnění úkolů Asociací, neobsahovala však žádné konkrétní záruky Asociace, týkající se technického a organizačního zabezpečení ochrany osobních údajů.
Sbírání dat probíhalo od března 2005, přičemž prostřednictvím vzorového dotazníku zpracovaného odborem a rozeslaného elektronickou poštou bylo ohledně každé ze 17 454 dotčených osob shromažďováno mimo rodného čísla ještě celkem dvanáct dalších typů údajů v rozsahu pohlaví, věk při umístění do ústavní péče, typ nařízeného opatření, typ ústavu, do kterého byla dotčená osoba umístěna, délka pobytu v zařízení včetně smluvního pobytu, věk při odchodu, důvod odchodu, prostředí, do kterého dotčená osoba odešla, počet krátkodobých útěků, počet dlouhodobých útěků, počet dní na krátkodobém útěku, počet dní na dlouhodobém útěku a také číselné označení diagnostického ústavu, jehož pracovníkem byla shromažďovaná data sebrána. Veškerý prvotní sběr dat prováděli určení pracovníci všech dvanácti diagnostických ústavů ve spádových oblastech těchto ústavů, kteří oslovili vybrané pracovníky zařízení, spadajících do působnosti příslušných diagnostických ústavů, čímž bylo výzkumem pokryto celé území České republiky. Shromažďovaná rodná čísla sloužila k identifikaci dotčených osob. Při transferu sbíraných údajů z jednotlivých zařízení do diagnostických ústavů nebyla používána elektronická pošta. Kontrolu údajů, sebraných v jejich spádové oblasti, prováděly diagnostické ústavy.
Data, která ze zařízení ve spádových oblastech jednotlivých diagnostických ústavů zpracovali jejich určení pracovníci, byla posléze spojena z celého území České republiky pracovní skupinou. Cílem spojení bylo vytvoření souboru dat, s nímž bylo ve výzkumu dále pracováno a od kterého bylo možné oddělit soubor rodných čísel za účelem jejich předání příslušnému orgánu k doplnění údajů o trestné činnosti dotčených osob.
Kontrolou bylo zjištěno, že při provádění výzkumu nebyl opatřován souhlas se zpracováním osobních údajů od osob, jejichž osobní údaje byly zpracovávány, což znamená, že tyto údaje byly zpracovány bez souhlasu.
Dále bylo kontrolou zjišťováno, zda a jak správce realizoval práva a povinnosti upravené zejména v ustanoveních §§ 5, 6, 9 a 20 zákona o ochraně osobních údajů, zejména v jeho ustanoveních, kdy správce je povinen uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví a kdy správce je povinen zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas a kdy správce je povinen nesdružovat osobní údaje, které byly získány k jinému účelu. Ze zákona o výkonu ústavní výchovy nebo ochranné výchovy ve školských zařízeních a o preventivně výchovné péči ve školských zařízeních a o změně dalších zákonů, se podává, že zařízení mohou informace o dětech na žádost poskytovat pouze diagnostickému ústavu, v jehož územním obvodu se nacházejí, zákonným zástupcům a orgánům sociálně-právní ochrany dětí. Podle zákona o sociálně-právní ochraně dětí údaje obsažené ve spisové dokumentaci týkající se dítěte je obecní úřad obce s rozšířenou působností oprávněn využít pouze v zájmu dítěte při zajišťování sociálně-právní ochrany. Za situace, kdy orgán veřejné správy u sebe shromáždil osobní údaje o dotčených osobách pocházející od zařízení a z důvodu výzkumu na úseku prevence kriminality některé z nich zejména studovalo, analyzovalo, třídilo a sumarizovalo, přičemž se tak stalo bez souhlasu dotčených osob, orgán veřejné správy tak jednal v rozporu s ustanovením § 5 odst. 1 písm. f) zákona o ochraně osobních údajů, protože zpracovával osobní údaje k jinému účelu, než ke kterému byly shromážděny, aniž by k tomu daly subjekty údajů předem souhlas.
Uspořádáním údajů o dotčených osobách, pocházejících ze zařízení, jež byly opatřeny za účelem zajištění náhradní výchovné péče v zájmu zdravého vývoje, řádné výchovy a vzdělávání těchto osob s údaji o případné kriminalitě stejných osob a pátráních po nich poskytnutými Policií České republiky, kde jsou používány k plnění jejích zákonem stanovených úkolů, do výsledného zkompilovaného souboru údajů uloženého v elektronické podobě na odboru orgánu veřejné správy, kontrolovaný subjekt nerespektoval povinnost vyplývající ze zákona o ochraně osobních údajů nesdružovat osobní údaje, které byly získány k rozdílným účelům, a porušil tím ustanovení jeho § 5 odst. 1 písm. h). Orgán veřejné správy jako správce při zpracování osobních údajů dotčených osob (nezletilých) postupoval v rozporu se zákonem o ochraně osobních údajů, protože neuchovával osobní údaje pouze po dobu, která byla nezbytná k účelu jejich zpracování, nezpracovával osobní údaje pouze v souladu s účelem, k němuž byly shromážděny, přičemž k tomu nedaly subjekty údajů předem souhlas, sdružoval osobní údaje, které byly získány k rozdílným účelům, nezpracovával citlivé údaje jen v mezích oprávnění stanovených v zákoně a neprovedl likvidaci osobních údajů, jakmile pominul účel, pro který byly osobní údaje zpracovány.
Kontrolou bylo prokázáno, že uvedeným jednáním orgánu veřejné správy došlo k porušení zákona o ochraně osobních údajů v některých jeho ustanoveních a proto mu byla uložena opatření k nápravě.