Zapsaný ústav (UOOU-02741/19)

Kontrola zákonného titulu pro zveřejnění osobních údajů

Úřadu byl dne 10. června 2019 doručen podnět, ve kterém stěžovatel uvedl, že na jím uvedené URL adrese jsou zpracovávány a zveřejněny jeho osobní údaje. Konkrétně se jednalo o jeho jméno, další údaje a informace, převzaté z veřejně dostupných rejstříků, s jejichž zpracováním a uveřejněním v rámci webových stránek ústavu, jakožto i sdílením těchto informací ostatními internetovými vyhledávači, nesouhlasí. Úřad, v rámci úkonů předcházejících kontrole podle § 3 zákona č. 255/2012 Sb., zákon o kontrole (kontrolní řád), projednal s ústavem podanou stížnost. Ten ji po dohodě se stěžovatelem přijal a provedl opatření v souvislosti se zpracováním jeho osobních údajů na webových stránkách ústavu, o čemž byl právní zástupce dne 27. února 2020 sdělením o odložení stížnosti stěžovatele podle § 65 zákona č. 110/2019 Sb., o zpracování osobních údajů informován.  

Úřad 15. dubna 2020 obdržel „Nesouhlas s odložením stížnosti“, odůvodněný skutečností, že ústav nepřijal dostatečná opatření, neboť prostřednictvím internetových vyhledávačů se po zadání jména stěžovatele informace o něm dále zobrazují s odkazem na webový portál ústavu. Na základě toho byla s ústavem jako správcem zahájena kontrola, která se zaměřila na postavení kontrolované osoby a na právní titul pro zpracování (zveřejňování) osobních údajů stěžovatele dle čl. 6 obecného nařízení.  

Kontrolující zjistili, že ústav je provozovatelem předmětných webových stránek. V rámci nich se zaměřuje na transparentnost politického života a dále na využití práva na informace ve smyslu čl. 17 Listiny základních práv a svobod, na posílení důvěry v demokratický právní stát České republiky a ochranu před zneužitím státní moci a veřejných funkcí či zamezení podvodům a korupci. Ústav kontroluje, analyzuje a propojuje smlouvy z registru smluv, veřejné zakázky, dotace, sponzory politických stran i politiky samotné.  

Z kontrolních zjištění vyplynulo, že ústav je v rámci provozování svých internetových stránek v postavení správce k čl. 4 bodu 7 obecného nařízení a zpracovává osobní údaje subjektu údajů dle předmětu kontroly ve smyslu čl. 4 bodu 1 a 2 obecného nařízení. Ústav ve své soukromoprávní databázi provozované na svých webových stránkách shromáždil a dále zveřejňoval osobní údaje stěžovatele.  

Na základě výše uvedeného kontrolující konkrétně hodnotili, zda ústavu jako správci svědčí některý z právních titulů dle čl. 6 obecného nařízení. V daném případě při zpracování osobních údajů stěžovatele (po odvolání jeho souhlasu se zpracováním osobních údajů) přicházel v úvahu pouze právní titul podle čl. 6 odst. 1 písm.  f) obecného nařízení. Při vyhodnocení balančního testu kontrolující dospěli k závěru, že ústav při plnění uvedené povinnosti toto ustanovení porušil a není tak možné na jeho jednání, tj. na zpracování osobních údajů stěžovatele realizované prostřednictvím webových stránek ústavu, aplikovat žádný z právních titulů dle čl. 6, včetně čl. 6 odst. 1 písm. f) obecného nařízení. Ústav proto není oprávněn shromažďovat a dále zveřejňovat osobní údaje stěžovatele. Proti protokolu o kontrole nebyly v řádném termínu podány námitky.  

Vzhledem k tomu, že došlo k nápravě závadného stavu (likvidaci osobních údajů stěžovatele na webu ústavu) v době ukončení kontroly, nebylo s kontrolovanou osobou zahájeno správní řízení o uložení opatření ani zahájeno řízení o uložení pokuty.