Přístup subjektu údajů k informacím o využívání osobních údajů evidence obyvatel

Právo na přístup k informacím o zpracování osobních údajů, které je v obecné poloze zakotveno v ustanovení § 12 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, (dále jen „zákon o ochraně osobních údajů“), se promítlo i do praxe poskytování osobních údajů z informačních systémů veřejné správy na základě zvláštního zákona. Na základě novelizovaného znění § 12 s účinností od 26. července 2004 doznala změn i praxe. To platí rovněž pro informační systém evidence obyvatel (dále též jen „informační systém“). Informační systém obsahuje zákonem taxativně stanovené údaje o občanech a o cizincích s povolením k pobytu na území České republiky a o osobách, kterým byl udělen azyl na území České republiky. Právo na přístup k informacím upravuje § 8 zákona 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o evidenci obyvatel“).

O poskytnutí údajů lze požádat Ministerstvo vnitra, krajský úřad nebo obecní úřad obce s rozšířenou působností. Vzor tiskopisu Žádost o poskytnutí údajů z informačního systému stanoví prováděcí vyhláška k zákonu o evidenci obyvatel: vyhláška č. 296/2004 Sb., kterou se provádí zákon o evidenci obyvatel a kterou se mění vyhláška č. 177/2000 Sb., kterou se provádí zákon o evidenci obyvatel, zákon o občanských průkazech a zákon o cestovních dokladech, ve znění pozdějších předpisů. Informace o tom, kdo a za jakých podmínek může o takové informace žádat, jsou zveřejněny také na webových stránkách Ministerstva vnitra. Na žádost se poskytují výpisy z informačního systému ve shodné obsahové struktuře a se shodnou formální úpravou. Takto lze požádat i o záznam o výdeji údajů. Žadatel obdrží přehled ve formě výpisu z datového souboru. Všechny výpisy mají stejnou formální strukturu a obsah. Obsahují záznam o datu a hodině výdeje a o tom, komu byly údaje poskytnuty. Údaj o příjemci osobních údajů se uvádí ve formě názvu státního orgánu nebo orgánu veřejné správy. Příjemcem se rozumí výhradně orgán, který požádal o přidělení uživatelského oprávnění.

Na základě takových výpisů podali v březnu, dubnu a červenci 2007 tři stěžovatelé Úřadu stížnost. Všichni se na základě přehledu informací o tom, komu byly jejich osobní údaje z informačního systému poskytnuty, domnívali, že jejich osobní údaje byly využívány neoprávněně. Někteří se domnívali, že na základě podané stížnosti jim bude poskytnut jmenný seznam lidí, kteří „zneužili“ jejich osobní údaje.

Správnost a vypovídací hodnota výstupu, tedy poskytnutí osobních údajů z informačního systému, který vypracovalo vždy Ministerstvo vnitra, byly předmětem kontroly. Bylo zjištěno, že struktura, rozsah a věcný obsah informací uvedených ve zprávě, jímž je subjektu údajů na jeho žádost předávána informace o zpracování osobních údajů, neodpovídají v části záznamy o výdeji údajů obsahu ustanovení § 12 odst. 2 písm. d) zákona o ochraně osobních údajů, v prvé řadě tím, že nedostojí legitimnímu očekávání úplnosti a dále tím, že nejsou subjektu údajů srozumitelné a nakonec tím, že nesplňují ani požadavky § 8 odst. 6 zákona o evidenci obyvatel.

Výpis pro stěžovatele Z. pokrývá období od 24. července 2000 do 20. března 2007, pro stěžovatelku T. od 20. července 1998 do 17. dubna 2007 a pro stěžovatelku J. podchycuje auditní záznamy od 6. ledna 1998 do 27. dubna 2007. U stěžovatelky T. výpis uvádí šest příjemců. Praha hl. město je uvedena jako příjemce ve dvou případech v roce 1999, tedy v době, kdy příjemcem nebyla. U stěžovatele Z. jsou uvedeni tři příjemci, u stěžovatelky J. sedm příjemců. Městský úřad Havlíčkův Brod a Magistrát hlavního města Prahy jsou uvedeni také jako příjemci v době, kdy přístupem do informačního systému, jehož výrazem záznamy o výdeji jsou, nedisponovali. U několika auditních záznamů byl zjištěn nesoulad s údajem poskytnutým žadateli: např. z deseti záznamů, kdy byly během jednoho dne automaticky zaznamenány dva a více vstupů, je uveden pouze první; v jiném případě byl uveden z šesti záznamů, kdy byly během jednoho dne automaticky zaznamenány dva a více vstupů, pouze první. Zjištěn byl dále rozdíl v označení příjemce. Jako příjemce je ve všech výpisech uvedeno samo Ministerstvo vnitra. Je tomu tak v případech, kdy osobní údaje stěžovatelů použilo k vyřízení žádosti o poskytnutí údajů z informačního systému. Ve výpisech poskytnutých stěžovatelům je uvedeno vyhledání Ministerstvem ještě v dalších 14 případech: ministerstvo tyto záznamy označilo jako chybně připsané. Doložilo ještě použití osobních údajů jednoho ze stěžovatelů k vyřízení žádosti o vystavení lustračního osvědčení.

Z informačního systému se informace o poskytnutí osobních údajů sdělují na základě záznamů, které Ministerstvo vede ve stejném rozsahu a ve shodné formě již od dob před nabytím účinnosti jak zákona o evidenci obyvatel, tak zákona o ochraně osobních údajů. To se jeví jako zdroj problémů pro subjekt údajů a posléze i ve vztahu k zákonu o ochraně osobních údajů. Záznamy o předání mohou být pro subjekt údajů nevysvětlitelné. Pro jejich správnou interpretaci je nutná znalost vývoje právní úpravy evidence obyvatel: údaj o výdeji je zaznamenán i při každém použití pro potřeby vedení datových souborů s osobními údaji, o nichž tak stanoví zákon, např. výkonu státní správy na úseku občanských průkazů nebo cestovních dokladů. Ministerstvo se ještě v době kontroly rozhodlo aplikovat názor, že výpis z informačního systému bude poskytován od data, k němuž nabyl účinnosti zákon o evidenci obyvatel. Naproti tomu auditní záznamy k informačnímu systému nepodchycují zpracování hromadných výdejů, uskutečňovaných na základě zákona. Objem takových sestav a rozsah v nich uvedených osobních údajů byl v předchozích letech značný. V době, kdy byla kontrola Úřadu prováděna, byly takové sestavy s osobními údaji zpracovávány pouze pro Všeobecnou zdravotní pojišťovnu. Ostatní příjemci osobních údajů z informačního systému již mají být uváděni adresně v auditních záznamech ve spojení s vlastním uživatelským oprávněním.

Na základě výsledků kontroly uložil Úřad opatření k nápravě. Každému stěžovateli byly zaslány doplněné a opravené záznamy o hodině a datu výdeje podle ustanovení § 8 odst. 6 zákona o evidenci obyvatel. Splnění ostatních uložených opatření přímo zaznamenávají všichni žadatelé o poskytnutí záznamu o výdeji údajů. Přesto je třeba počítat s tím, že přijímaná opatření směřují do budoucnosti a kompenzovat nedostatky minulého stavu je možné jen do určité míry. Záznamy o výdejích pořízené před 1. zářím 2006 nelze považovat za úplné. Žadatelé o takové informace z informačního systému by měli věnovat pozornost doprovodným informacím, poskytovaným Ministerstvem vnitra, nebo se seznámit podrobně s právní úpravou.

S účinností od 1. září 2006 se v informačním systému evidence obyvatel vedou podle § 3 odst. 8 záznamy o přístupech do informačního systému, které obsahují: přidělené uživatelské jméno zpracovatele údajů, den, měsíc, rok a čas zpracování, rodné číslo obyvatele, jehož údaje jsou poskytovány, nebo jiný údaj, který je pro vyhledání tohoto obyvatele rozhodující. Vyhledání příslušného obyvatele se přitom uskuteční prostřednictvím dalších obyvatel, pro něž je rozhodující údaj společný a důvod a konkrétní účel přístupu do informačního systému. Tyto záznamy jsou podkladem pro podání zprávy žadatelům. Lze tak předpokládat, že záznamy o poskytnutí osobních údajů jiným příjemcům, vypovídající o sdělení osobních údajů po tomto datu, již nebudou zdrojem podobných problémů.

Stížnosti, na jejichž základě byla tato kontrola provedena, spojovalo ještě očekávání, že úkolem Úřadu je prověřit veškeré souvislosti jimi napadeného nakládání s osobními údaji a svá zjištění jim poskytnout. Tato očekávání nemají ovšem oporu v zákoně, a nemohou proto být naplněna. Informace o zpracování – v daném případě výpis z informačního systému - je přímým naplněním práva člověka jako subjektu údajů být informován o zpracování. Takto nabytý přehled za podmínek stanovených zvláštním zákonem je základem pro případné uplatnění práv vůči správci a zpracovateli postupem podle § 21 zákona o ochraně osobních údajů. Tento zákon dává člověku právo reagovat na nesrozumitelné nebo nepravdivé, či jen nepřesné, sdělení od správce a požádat o vysvětlení, případně o nápravu zjištěného nesprávného stavu, bez ohledu na to, zda postup při získání výchozích informací o zpracování je upraven zvláštním zákonem. Pokud žádost adresovaná správci nebo zpracovateli o vysvětlení nebo nápravu závadného stavu nevede k objasnění a popř. nápravě, vytváří důvodné podklady pro uplatnění dozorových povinností Úřadu.

Stížností na poskytování informací o zpracování osobních údajů v informačním systému evidence obyvatel tak na jedné straně nenaplnily očekávání stěžovatelů, na straně druhé přispěly k vytvoření podmínek pro lepší naplňování práva subjektu údajů ve zpracování, jež má význam pro všechny obyvatele České republiky.