Nakládání s citlivými údaji klientů domu pro seniory

Předmětem kontroly u společnosti (dále jen „Kontrolovaný“), která provozovala, a to do doby výpovědi pronajímatele z nájemních prostor pro neplacení nájemného, dům pro seniory, bylo dodržování povinností při zpracování osobních údajů seniorů trpících v různých stádiích Alzheimerovou demencí, demencemi jiného typu, Parkinsonovou nemocí, roztroušenou sklerózou apod. Kontrola se uskutečnila na základě podnětu příbuzného jednoho z ubytovaných klientů. Při kontrole, při níž bylo zjištěno porušení zákona č. 101/2000 Sb. při neoprávněném nakládání s osobními resp. citlivými údaji klientů právnickou osobou podnikající podle zákona č. 513/1991 Sb., obchodního zákoníku, vyplynulo ze součinnosti zejména s veřejným ochráncem práv dále podezření, že právnická osoba poskytovala zdravotní služby bez oprávnění k poskytování zdravotních služeb a podle ustanovení § 107 odst. 1 zákona č. 108/2006 Sb., o sociálních službách, poskytuje sociální služby bez oprávnění k jejich poskytování, tj. bez registrace, o níž rozhoduje krajský úřad příslušný podle sídla právnické osoby.

Výsledkem kontroly bylo prokázání, že Kontrolovaný zpracovával osobní údaje klientů komerčního ubytovacího zařízení prostřednictvím kamerového systému se záznamem, s umístěním na jednotlivých pokojích klientů, chodbách a místnosti označené „sesterna“ v rozporu se zákonem č. 101/2000 Sb. V souladu s ustanovením § 5 odst. 1 písm. d) zákona č. 101/2000 Sb. může správce shromažďovat osobní údaje odpovídající stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Je zřejmé, že pořizování záznamu v jakémkoliv rozsahu z důvodu sledování vývoje zdravotního stavu, případně prevence pádu z postele u ubytovaných klientů je zbytečné. Zásadní pro naplnění tohoto účelu by měla být osobní péče pečovatelek či zdravotních sester doplněná v krajních případech kamerovým systémem s on-line přenosem, což by bylo ovšem možné pouze u zařízení poskytujícího zdravotní nebo sociální služby podle zvláštního zákona. Tuto podmínku však Kontrolovaný nesplňoval, proto nebylo možné kamerový systém s on-line přenosem pro tento účel případně doporučit. Záznam z kamer má spíše funkci dokumentační a nemůže plnit preventivní účel, jak jej stanovil Kontrolovaný. Provozováním kamerového systému se záznamem tak nebyla splněna povinnost stanovená v ustanovení § 5 odst. 1 písm. d) zákona č. 101/2000 Sb. Vzhledem k tomu, že samo shromažďování kamerových záznamů neodpovídalo stanovenému účelu, nebylo možno ani dobu 7 dnů pro uchovávání osobních údajů ve smyslu ustanovení § 5 odst. 1 písm. e) zákona č. 101/2000 Sb. považovat v tomto případě za přiměřenou, ačkoliv v případě účelnosti pořizování záznamu z kamerového systému je tato doba obvykle za přiměřenou považována. Kontrolovaný neprokázal, že by disponoval platným souhlasem všech osob, jejichž osobní údaje byly ve smyslu ustanovení § 5 odst. 2 zákona č. 101/2000 Sb. prostřednictvím kamerového systému zpracovávány, ani nelze uplatnit žádnou z výjimek v tomto ustanovení pod písm. a) – g) uvedenou. Monitorování jednotlivých pokojů obývaných klienty a monitorování zaměstnanců v místnosti, kde se převážně zdržují, je zásahem do jejich soukromí intenzivnější, a proto i v případě individuálního obecného souhlasu nemohl být považován za informovaný ve smyslu ustanovení § 11 odst. 1 zákona č. 101/2000 Sb. Vzhledem k tomu, že se nejednalo ani o splnění podmínek uvedených v ustanovení § 4 písm. n) a § 5 odst. 4 zákona č. 101/2000 Sb., kdy se musí jednat o svobodný a vědomý projev vůle a vyžaduje se informovaný souhlas subjektu údajů, mohl být nekonkrétní souhlas uvedený ve smlouvě o ubytování považován za neplatný souhlas se zpracováváním osobních údajů podle ustanovení § 5 odst. 2 zákona č. 101/2000 Sb. Kontrolovaný rovněž nedisponoval svobodným a informovaným souhlasem klientů, jejichž citlivé osobní údaje zpracovával v jejich osobních kartách. I v případě, že by klienti Kontrolovanému podepisovali svobodně informovaný souhlas se zpracováním osobních údajů, tak by vzhledem k diagnóze klientů, z nichž řada má snížené intelektuální schopnosti související zejména s Alzheimerovou či Parkinsonovou chorobou, bylo v některých případech nutné souhlas považovat za neplatný v souladu s ustanovením § 38 odst. 2 zákona č. 40/1964 Sb., občanského zákoníku, a to ačkoli klient nebyl zbaven ani omezen ve způsobilosti k právním úkonům. Toto posouzení by ovšem bylo nezbytné vztáhnout k jednotlivým klientům a k jejich zdravotnímu stavu v době udělení souhlasu, což vzhledem k obecnému posouzení udělených souhlasů se zpracováním jako neplatných nebylo dále kontrolou zjišťováno.

Instalování a následný provoz kamerového systému se záznamem na pokojích klientů s nepřetržitým monitorováním těchto prostor je zcela zásadním zásahem do práva na soukromí klientů Kontrolovaného. Nepřetržité monitorování těchto klientů v místech, kde by měli požívat té nejvyšší míry soukromí, a to bez jejich souhlasu a bez náležitého informování o jejich právech, jakož i bezdůvodné pořizování záznamu z tohoto monitorování, je zásadním zásahem do lidské důstojnosti klientů zařízení. Tento zásah je o to intenzivnější, že klienti jsou často ve vážném zdravotním stavu, který jim neumožňuje se tomuto nepřetržitému sledování efektivně bránit. Rovněž je nepřípustné s odkazem na zákon č. 262/2006 Sb., zákoník práce, monitorování zaměstnanců Kontrolovaného při jejich práci.

Zdravotnická dokumentace klientů nebo její část, v daném případě Kontrolovaným uváděna jako osobní karta klienta, obsahující citlivé osobní údaje, musí požívat zvýšenou ochranu při nakládání s nimi. Nelze považovat za dostatečné, pokud je tato dokumentace volně přístupná v místnosti označené jako „sesterna“ bez k tomu odpovídajícího zabezpečeného a řádně uzamykatelného prostoru, včetně provedení technicko-organizačních opatření k zajištění ochrany osobních údajů v souladu s ustanovením § 13 zákona č. 101/2000 Sb.

Kontrolovaný rovněž nesplnil oznamovací povinnosti vůči Úřadu podle ustanovení § 16 zákona č. 101/2000 Sb. Jelikož bylo zjištěno, že právnická osoba vedla záznamy o klientech, zejména pak o jejich zdravotním stavu a užívaných lécích, včetně zpráv z ošetření klientů, písemností vážících se k příspěvkům na péči, či k posuzování způsobilosti k právním úkonům a osobní dokumentace obsahovala propouštěcí zprávy při hospitalizaci v nemocnici, a to bez informovaného souhlasu a tyto dokumenty byly uloženy v listinné podobě v nevhodných a nezajištěných prostorách, byla inspektorem uložena opatření k nápravě, a to provést likvidaci osobních včetně citlivých údajů klientů podle ustanovení § 20 zákona č. 101/2000 Sb.

Za porušení povinností uložených zákonem č. 101/2000 Sb. byla Kontrolovanému uložena pokuta.