Ministerstvo školství, mládeže a tělovýchovy
Inspektorka Úřadu provedla ve dnech 1. října 2014 – 27. ledna 2015 kontrolu Ministerstva školství, mládeže a tělovýchovy (dále také „MŠMT“). Kontrola byla provedena na základě Kontrolního plánu Úřadu pro rok 2014 dle zákona
č. 101/2000 Sb. a zákona č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů. Předmětem kontroly bylo dodržování povinností správce osobních údajů stanovených v Hlavě II zákona č. 101/2000 Sb., v souvislosti se zpracováním osobních údajů v dokumentační agendě dotačních titulů realizovaných MŠMT vyhlašovaných jako Státní podpora sportu pro roky 2013 a 2014. V průběhu kontroly došlo k rozšíření předmětu kontroly o zpracování osobních údajů v dokumentační agendě dotačního titulu realizovaného MŠMT vyhlašovaného jako Státní podpora sportu pro rok 2015.
Do Kontrolního plánu Úřadu pro rok 2014 byla na základě poznatků z předcházející kontroly, v níž bylo prokázáno shromažďování značného množství osobních údajů za účelem předložení žádostí o poskytnutí dotace k MŠMT, zařazena kontrola v souvislosti se zpracováním osobních údajů v rámci dotačních programů.
V průběhu kontroly bylo zjištěno, že MŠMT v rámci agendy dotačních titulů, konkrétně v rámci Státní podpory sportu od roku 2012, resp. v žádostech pro rok 2013 požaduje od žádajících subjektů (spolků) doložení evidence členské základny na CD-ROM s tím, že součástí excelové tabulky na CD-ROM jsou i následující údaje o členech jednotlivých žádajících subjektů (spolků) v rozsahu: příjmení; jméno, rok, měsíc a den narození, pohlaví, sportovní klub/tělovýchovná jednota člena, adresa bydliště, výše členského příspěvku, e-mail. Na základě uvedených informací lze osoby uvedené v evidenci členské základny bezpochyby jednoznačně identifikovat; jedná se tedy o osobní údaje ve smyslu § 4 písm. a) zákona č. 101/2000 Sb. Z CD-ROM jsou následně vypracovány přehledné tabulky s uvedením názvu žádajícího subjektu (spolku), uvedením celkového počtu členů a jejich rozdělení na kategorie dospělí a mládež. Tyto přehledné tabulky jsou následně předkládány členům hodnotící komise MŠMT.
MŠMT určilo účel a prostředky zpracování osobních údajů, přičemž účelem shromažďování osobních údajů je transparentní financování sportu. MŠMT stanovilo kritéria a podmínky pro podání žádosti o Státní podporu sportu, formulované v Metodickém postupu poskytování dotací vyhlášených Státní podporou sportu. Metodický postup vychází nejen z obecně stanovených principů pro veřejnou podporu sportu, tedy ve smyslu zákona č. 115/2001 Sb., ale souběžně obsahuje kritéria upravující finanční podmínky pro poskytování veřejných prostředků dle zákona č. 218/2000 Sb. resp. zákona č. 143/2001 Sb. Do roku 2012 MŠMT požadovalo od žádajících subjektů pouze uvedení celkového počtu členů, avšak od roku 2013, resp. žádostí o dotace na rok 2013, v plném rozsahu pak od roku 2014 vyžaduje od žádajících subjektů (spolků) seznam členů s uvedením jejich osobních údajů v rozsahu uvedeném výše za účelem ověřování správnosti, efektivnosti a hospodárnosti použití dotace. Tyto údaje jsou na MŠMT předávány v elektronické podobě. MŠMT je tedy správcem osobních údajů členů žádajících subjektů (spolků) zpracovávaných v rámci Státní podpory sportu vyhlašované MŠMT ve smyslu § 4 písm. j) zákona č. 101/2000 Sb.
K žádostem o dotaci od roku 2012 (žádosti o dotace pro rok 2013) jsou přikládány kompaktní disky CD-ROM s elektronickými údaji o žadateli, resp. se seznamy jednotlivých členů žadatele (spolku), obsahující jejich osobní údaje, a to v rozsahu příjmení, jméno, rok, měsíc a den narození, pohlaví, sportovní klub/tělovýchovná jednota člena, adresa bydliště, výše členského příspěvku, e-mail a další. Z předložených seznamů členů jednotlivých žadatelů (spolků) zpracuje pověřený zaměstnanec MŠMT – zapisovatel evidenci žádostí; setřídění žádostí podle jednotlivých programů, označení žádostí pořadovými čísly a zpracování jejich seznamů. Dále zpracuje souhrnné údaje o počtech členů jednotlivých žadatelů (spolků), které bezprostředně po ukončení registrace předá administrátorům jednotlivých programů k jejich dalšímu zpracování. Zapisovatel bezprostředně po zpracování předá nosiče CD-ROM s údaji o členské základně žadatelů a jejich seznamy likvidační komisi, která zabezpečí likvidaci těchto nosičů CD-ROM a zpracuje protokol o této činnosti. Administrátoři po ukončení celého procesu přidělování dotací včetně jejich vyúčtování předají zapisovateli zpět žádosti, dále pak Rozhodnutí o přidělení dotací a vyúčtování spolu s jejich seznamy. Zapisovatel zabezpečí archivaci těchto dokumentů.
Ze sdělení MŠMT při ústním jednání a místním šetření dne 30. října 2014 však vyplynulo, že nedochází ke kontrole duplicit či triplicit v žádostech resp. přiložených seznamech členů jednotlivých žadatelů (spolků), neboť na otázku „Jaký je postup MŠMT při zjištění duplicity osobních údajů u jednoho nebo u více žádajících subjektů (např. ve vztahu sportovní oddíl – sportovní svaz nebo ve vztahu dvou na sobě nezávislých sportovních oddílů)?“, MŠMT sdělilo, že seznamy členů nejsou předkládány jednotlivými žadateli vždy v takovém formátu (údaje nesprávně vyplněny), aby mohlo dojít ke zjištění duplicit či triplicit. Na otázku zda provádí MŠMT následné kontroly plnění podmínek prostřednictvím kontroly členské základny žadatele (spolku), MŠMT sdělilo, že kontrola není s ohledem na nedostatečnou personální kapacitu odboru sportu MŠMT prováděna.
Dotační programy jsou dle zjištění kontrolujících pravidelně auditovány pracovníky kontrolního odboru MŠMT. Jedná se o kontroly provedené podle zákona č. 320/2001 Sb., o finanční kontrole ve veřejné správě. V průběhu těchto kontrol jsou prováděny i kontroly členské základny (počtu členů) subjektů, jimž byla státní podpora přidělena, a to ve vztahu k výši stanovené dotace a aktuálnímu počtu členů. Tyto kontroly jsou prováděny následně v období po přidělení dotace, tedy v období, kdy jsou seznamy členů žadatelů (spolků) předaných MŠMT na CD-ROM již zlikvidovány.
MŠMT neprovádí žádné kontroly údajů o členech žádajících subjektů (spolků), obdržených ze seznamů na CD-ROM s registračními seznamy jednotlivých žadatelů (spolků), a to ani dle listinné evidence ani dle elektronické evidence členů žádajících subjektů (spolků). Rovněž neprovádí porovnání jmenného seznamu členů žádajících subjektů (spolků) s účetní evidencí žádajících subjektů (spolků) o úhradě členských příspěvků členské základny a rovněž neprovádí kontrolu členů dle kontaktů, které jsou uvedeny v seznamech členů žádajících subjektů (spolků). K uvedenému je nutné konstatovat, že v dokumentu Státní podpora sportu pro rok 2015 (materiál projednaný poradou vedení MŠMT dne 10. července 2014 pod č.j. MŠMT-18969/2014) MŠMT uvádí, že „novým údajem je vyplnění alespoň jednoho kontaktního spojení na člena (adresa bydliště, mob., e-mail) pro následnou kontrolu členské základny. Termín využití nového údaje určí MŠMT – pro stanovení dotace na rok 2016“, z čehož mohlo vyplývat, že takový způsob kontroly má MŠMT v plánu v roce 2016, nicméně z obdržených podkladů vyplývá, že CD-ROM jednotlivých žadatelů (spolků) již byla zlikvidována.
K rozsahu zpracovávaných osobních údajů v rámci dotačních programů Státní podpora sportu kontrolující konstatují, že MŠMT shromažďuje prostřednictvím vyžádaných seznamů na CD-ROM osobní údaje členů žádajících subjektů (spolků), žádajících o finanční státní podporu (dotace), přičemž předání seznamu členů s uvedením jejich osobních údajů v rozsahu: příjmení; jméno; rok, měsíc a den narození, pohlaví, sportovní klub/tělovýchovná jednota člena, adresa bydliště, výše členského příspěvku, e-mail za účelem ověřování správnosti, efektivnosti a hospodárnosti využití dotace, není nezbytné zpracovávat osobní údaje v tak širokém rozsahu. Pro naplnění stanoveného účelu je postačující zpracování osobních údajů: jméno, příjmení, výše členského příspěvku a pro případnou následnou kontrolu členské základny prostřednictvím kontaktování člena za účelem ověření informace, zda je členem daného subjektu (viz výše uvedené informace o následné kontrole členské základny), tedy uvedení jednoho kontaktního spojení.
Z vyjádření MŠMT, resp. odpovědi na výzvu Úřadu vyplývá, že ve své podstatě není MŠMT v rozporu s předběžnými závěry Úřadu v provedené kontrole, přičemž rozdíl je v chápání definice osobní údaj, který MŠMT vztahuje k rodnému číslu, resp. jeho zpracování, ke kterému ze strany MŠMT nedochází. Z textu vyjádření je dle názoru kontrolujících zřejmé, že k naplnění stanoveného účelu i s ohledem na závěry kontrolních orgánů (NKÚ a MF) „měřitelným kritériem je základní údaj o členské základně spolku s členěním na aktivní sportovce, trenéry, rozhodčí, mládež a ostatní“, postačuje celkový údaj o počtu členů žadatelů (spolků) s uvedením vnitřního členění na sportovce, trenéry, rozhodčí, mládež a ostatní“.
Dále inspektorka Úřadu konstatovala, že není zcela zřejmé, jak MŠMT plánuje realizovat následné kontroly členské základny žádajících subjektů (spolků) s využitím kontaktních údajů členů žádajících subjektů (spolků), neboť pověřený pracovník po obdržení CD-ROM zpracuje z těchto souhrnné údaje, tedy vytvoří dokument s údaji o žádajících subjektech (spolcích), který obsahuje pouze evidenční číslo žádosti, PID, specifikaci programu, název žádajícího subjektu, IČ, počet členů kategorie mládeže, počet členů kategorie dospělých a počet předložených CD. Z protokolů o výsledcích kontrol prováděných kontrolním odborem MŠMT (prováděných dle zákona č. 320/2001 Sb. o finanční kontrole ve veřejné správě) vyplývá, že kromě jiného byl kontrolován i stav členské základny a evidence členské základny, avšak pouze celkový počet členů, nikoli kontrola jmenné evidence členů.
Ke kontrole údajů o počtu členů žádajícího subjektu (spolku), a to včetně vnitřního členění, lze nepochybně využít jiných prostředků, aniž by docházelo ke shromažďování a zpracování osobních údajů v takovém rozsahu, který MŠMT stanovil a realizuje. MŠMT má dostatečné kompetence k tomu, aby provádělo kontroly předložených žádostí například porovnáním evidence členské základny přímo u žádajících subjektů (spolků), porovnáním účetních evidencí o vybraných členských příspěvcích.
MŠMT tím, že jako správce osobních údajů shromažďovalo prostřednictvím vyžádaných seznamů členů žádajících subjektů (spolků) osobní údaje členů, aniž by tyto využilo ke stanovenému účelu, dle kontrolující inspektorky porušilo ustanovení § 5 odst. 1 písm. d) zákona č. 101/2000 Sb., neboť v rámci programu Státní podpora sportu v letech 2013, 2014 a 2015 shromažďovalo osobní údaje značného počtu subjektů údajů neodpovídající stanovenému účelu a v rozsahu, který není pro stanovený účel nezbytný.
V rámci navazujícího správního řízení bylo MŠMT uloženo příkazem opatření k nápravě ve smyslu § 40 zákona č. 101/2000 Sb., a to v rámci programu Státní podpora sportu (programu Všeobecná sportovní činnost) bylo účastníkovi řízení uloženo nastavit takové kontrolní mechanismy, které nebudou při zpracování žádostí o státní dotaci sportu vyžadovat k naplnění stanoveného účelu shromažďování nadbytečných osobních údajů členů sportovních svazů a dalších subjektů, jejichž prostřednictvím jsou žádosti účastníkovi řízení předkládány, přičemž pro naplnění stanoveného účelu je postačující zpracování osobních údajů v rozsahu: jméno, příjmení, výše členského příspěvku a pro případnou následnou kontrolu členské základny prostřednictvím kontaktování člena za účelem ověření informace, zda je členem daného subjektu, uvedení údaje o jednom kontaktním spojení. Termín opatření k nápravě byl stanoven na 60 dnů od právní moci příkazu.
Následně byla věc postoupena oddělení správních činností k zahájení správního řízení. Podle § 46 odst. 3 zákona č. 101/2000 Sb. odpovědnost právnické osoby za správní delikt zaniká, jestliže správní orgán o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději však do 3 let ode dne, kdy byl spáchán. Úřad se přitom dozvěděl o shromažďování osobních údajů MŠMT v souvislosti s programem „Státní podpora sportu“ při výkonu kontrolní činnosti v rámci kontroly provedené u Sdružení hasičů Čech, Moravy a Slezska, která proběhla ve dnech 18. dubna 2013 až 1. srpna 2013, nejpozději však vydáním kontrolního protokolu čj. UOOU-02717/13-19 ze dne 27. srpna 2013. Tímto dnem se tak správní orgán dozvěděl o protiprávním jednání a lhůta dle § 46 odst. 3 zákona č. 101/2000 Sb. tak marně uběhla.
Kontrolu řídila inspektorka Jana Rybínová.