Rozsah osobních údajů zpracovávaných při vykupování odpadů
Podnětem z června 2008 bylo jeho podatelem úřadu oznámeno, že v květnu 2008 odvezl železný šrot do sběrny ve Městě X, přičemž zaměstnanec sběrny po něm požadoval občanský průkaz a opsal si celou adresu, rodné číslo a číslo občanského průkazu. V červnu 2008 podatel podnětu svůj podnět doplnil o sdělení, že se ve sběrně kovošrotu informoval, proč evidují rodné číslo, a obdržel odpověď, že to musí zapisovat. K tomuto doplnění podnětu připojil kopii výkupky č. C008036D z května 2008.
Kontrolou bylo zjištěno, že podnikatel je fyzickou osobou podnikající podle živnostenského zákona nezapsanou v obchodním rejstříku, jenž počínaje dnem 10. srpna 1994 zahájil činnost mimo jiné v oboru nakládání s odpady. Při vykupování odpadu podnikatel vždy vyhotovuje doklad, nazývaný výkupka. Na výkupce se uvádí také jméno a příjmení osoby, která odpad do zařízení k jeho výkupu dodala, ulice a obec jejího bydliště, číslo jejího průkazu, identifikační číslo a daňové identifikační číslo, pokud jde o subjekt, jemuž tato čísla byla přidělena, a rodné číslo, jde-li o fyzickou osobu, jíž tato čísla přidělena nebyla. V zařízení k výkupu odpadů je výkupka pořizována ve dvou vyhotoveních. Jedno vyhotovení výkupky obdrží osoba, která odpad do zařízení k výkupu dodala, a druhé je ukládáno v dokumentaci podnikatele po dobu pěti let od okamžiku, kdy byl odpad vykoupen. Uložené výkupky se dále nikam nedistribuují, v kanceláři provozovny zařízení k výkupu odpadů jsou drženy v šanonech v otevřených dřevěných skříních. Po půlroce až jednom roku jsou zakládány do archivu podnikatele, který je umístěn v bytě podnikatele. Podnikatel podniká v oblasti výkupu kovového odpadu od ledna 2007, tudíž lhůta pěti let od okamžiku vykoupení odpadu dosud v žádném případě neuplynula, žádné z pořízených výkupek nebyly skartovány a všechny jsou uloženy v dokumentaci podnikatele, dislokované v provozovně zařízení k výkupu odpadů.
Podnikatel užíval rodná čísla při vedení evidence osob, od kterých odpad vykoupil, do srpna 2008. Rodné číslo bylo k uvedenému účelu zpracováno asi v jednom tisíci osmi stech případech. Osoby, jejichž rodná čísla byla při zmíněné evidenci zapisována, zpravidla v tomto opatření nespatřovaly problém, někdy se zeptaly na účel předložení osobních dokladů, nicméně občanský průkaz či jiný doklad totožnosti ke zjištění požadovaných údajů poskytovaly.
V souvislosti s výkupem odpadů podnikatel sděloval osobám, od kterých odpad vykoupil, že potřebuje jejich rodné číslo, číslo občanského průkazu a ostatní identifikační údaje. Činil tak u těch osob, jež se dotázaly na důvod nutnosti předložení osobních dokladů. O jiných skutečnostech podnikatel dotčené osoby neinformoval.
Kontrolou bylo zjišťováno, zda a jak se podnikatel řídí právní úpravou zpracování osobních údajů, kterou je jeho činnost regulována. Zejména se jedná o provádění ustanovení § 5 odst. 1 písm. d) zákon o ochraně osobních údajů (Správce je povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu.) a § 11 odst. 1 zákona o ochraně osobních údajů (Správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21.) a odst. 2 zákon o ochraně osobních údajů (V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné, či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.)
Povinnost podnikatele vést evidenci osob, od kterých vykoupil odpady a další právní poměry s tím související jsou stanoveny v § 18 zákona č. 185/2001 Sb., o odpadech a o změně některých dalších zákonů, ve znění pozdějších předpisů, konkrétně v jeho odst. 3 (Provozovatel zařízení ke sběru nebo výkupu odpadů provádějící sběr nebo výkup odpadů stanovených prováděcím právním předpisem je povinen při odběru nebo výkupu těchto odpadů vést evidenci osob, od kterých odpady odebral nebo vykoupil; k plnění této povinnosti je oprávněn vyžadovat k nahlédnutí jejich osobní průkazy totožnosti. Bez ověření totožnosti tento odpad neodebere ani nevykoupí. Při nakládání s osobními údaji fyzických osob postupuje provozovatel podle zvláštního zákona.) a odst. 4 (Ministerstvo stanoví vyhláškou seznam odpadů, u nichž je oprávněná osoba povinna při jejich odběru nebo výkupu vést evidenci osob, od kterých odpad odebrala nebo vykoupila.). Prováděcím právním předpisem zmíněným v uvedených ustanoveních § 18 zákona o odpadech je vyhláška Ministerstva životního prostředí č. 383/2001 Sb., o podrobnostech nakládání s odpady, ve znění pozdějších předpisů, v jejímž § 8 odst. 2 je stanovena povinnost provozovatele zařízení k výkupu odpadů vést evidenci osob, od nichž byl vykoupen kovový odpad a v odst. 3 téhož paragrafu je kromě povinnosti evidovat druh a množství vykoupeného odpadu vymezen i rozsah zpracování osobních údajů v evidenci podle odst. 2. (Evidence osob podle odstavce 2 obsahuje druh a množství odebraného nebo vykoupeného odpadu podle Katalogu odpadů, jméno, příjmení, místo trvalého pobytu nebo pobytu a číslo občanského průkazu, nebo jiný průkaz totožnosti každé z osob, od které byly odpady odebrány nebo vykoupeny.)
Protože podnikatel ve výše naznačené evidenci osob zpracovával i rodná čísla osob, od nichž byl vykoupen kovový odpad, jeho činnost musí být posuzována i podle příslušných ustanovení zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel), ve znění pozdějších předpisů, jimiž jsou jeho § 13 odst. 7 (Rodné číslo je oprávněna užívat nebo rozhodovat o jeho využívání v mezích stanovených zákonem (dále jen "nakládat s rodným číslem") výlučně fyzická osoba, které bylo rodné číslo přiděleno (dále jen "nositel rodného čísla"), nebo její zákonný zástupce; jinak lze rodné číslo využívat jen v případech stanovených v § 13c tohoto zákona.) a § 13c odst. 1. (Rodná čísla lze využívat jen
- jde-li o činnost ministerstev, jiných správních úřadů, orgánů pověřených výkonem státní správy, soudů, vyplývající z jejich zákonem stanovené působnosti, nebo notářů pro potřebu vedení Centrální evidence závětí,
- stanoví-li tak zvláštní zákon, nebo
- se souhlasem nositele rodného čísla nebo jeho zákonného zástupce.)
Když podnikatel do evidence osob, od nichž vykoupil odpady, mezi které patří také výše uvedený podatel podnětu, zařazoval i rodná čísla těchto osob, nerespektoval ustanovení § 8 odst. 3 vyhlášky č. 383/2001 Sb., o podrobnostech nakládání s odpady, ve znění pozdějších předpisů, podle kterého v evidenci osob, od kterých byly vykoupeny odpady, je povinností zpracovávat jméno, příjmení, místo trvalého pobytu nebo pobytu a číslo občanského průkazu nebo jiný průkaz totožnosti. Označená vyhláška stanoví nezbytný rozsah osobních údajů, které se musí shromažďovat při vedení zmíněné evidence, přičemž rodné číslo mezi těmito údaji obsaženo není. Tím, že podnikatel v řešené evidenci rodná čísla zpracovával, shromažďoval osobní údaje v rozsahu větším než pro naplnění stanoveného účelu nezbytném a jednal tak v rozporu s ustanovením § 5 odst. 1 písm. d) zákon o ochraně osobních údajů.
Popsané jednání podnikatele odporuje paragrafu 5 odst. 1 písm. d) zákon o ochraně osobních údajů rovněž proto, že není v souladu s příslušnými ustanoveními zákona o evidenci obyvatel. Za situace, kdy o užití rodných čísel nerozhodovaly fyzické osoby, jimž bylo rodné číslo přiděleno, bylo nutné, aby pro užití rodných čísel byly splněny podmínky stanovené v § 13c odst. 1 jmenovaného zákona, tedy aby šlo o činnost v tomto ustanovení uvedených orgánů, aby tak stanovil zvláštní zákon či aby rodná čísla byla využívána se souhlasem nositelů rodných čísel nebo jejich zákonných zástupců. Protože podnikatel není žádným z uvedených orgánů a užití rodného čísla v řešeném případě zvláštní zákon nestanoví, první dvě z popsaných podmínek splněny nejsou. Naplněna však není ani podmínka třetí, neboť souhlas nositele rodného čísla nebo jeho zákonného zástupce s využitím rodného čísla je za daných okolností vyloučen.
Podnikatel jen těm osobám, které se na to dotázaly, v souvislosti se zpracováváním jejich osobních údajů při vykupování kovového odpadu sděloval, že potřebuje jejich rodné číslo, číslo občanského průkazu a ostatní identifikační údaje, přičemž jiné informace jim neposkytoval. Další osoby, od kterých vykupoval odpady, při zpracování jejich osobních údajů o ničem neinformoval. Podateli podnětu sdělil, že je povinen poskytnout podnikateli podatelovy osobní údaje tím, že mu umožní nahlédnout do občanského průkazu podatele podnětu, neboť podnikatel musí vést evidenci osob, od kterých vykoupil odpady. Z uvedeného je zřejmé, že podnikatel dílem částečně a dílem vůbec neplnil povinnosti, jež jsou mu uloženy v ustanoveních § 11 odst. 1 a 2 zákon o ochraně osobních údajů, podle nichž je povinen při evidování osobních údajů osob, od kterých vykupuje odpady, informovat tyto osoby (subjekty údajů) o tom, v jakém rozsahu, za jakým účelem, jakým způsobem a kdo bude zpracovávat shromažďované osobní údaje, komu mohou být tyto údaje zpřístupněny, že k nim má dotčená osoba právo přístupu, právo na opravu těchto údajů i další práva podle § 21 zákon o ochraně osobních údajů a též o skutečnosti, že je poskytnutí stanovených osobních údajů při vykupování odpadů povinné a pokud tyto údaje poskytnuty nejsou, nelze odpady vykoupit.
Kontrolou bylo prokázáno, že uvedeným jednáním podnikatele došlo k porušení zákona o ochraně osobních údajů v jeho ustanoveních § 5 odst. 1 písm. d) a § 11 odst. 1 a 2.
Na základě výše uvedeného se správce dopustil jiného správního deliktu, za což mu byla ve správním řízení udělena pokuta.