Ministerstvo zahraničních věcí (UOOU-02828/23)

Kontrola zpracování osobních údajů při vízovém procesu

Kontrola zpracování osobních údajů při vízovém procesu byla zahájena na základě kontrolního plánu. Úřadu je provádění nezávislého dohledu nad zákonností zpracování osobních údajů ve Vízovém informačním systému uloženo čl. 41 odst. 1 nařízení Evropského parlamentu a Rady (ES) č. 767/2008 ze dne 9. července 2008 o Vízovém informačním systému (VIS) a o výměně údajů o krátkodobých vízech mezi členskými státy (nařízení o VIS), z ustanovení čl. 41 odst. 3 nařízení (ES) č. 767/2008 vyplývá povinnost provádění periodických kontrol. Z ustanovení čl. 43 odst. 9 nařízení Evropského parlamentu a Rady (ES) č. 810/2009 ze dne 13. července 2009 o kodexu Společenství o vízech (vízový kodex) dále vyplývá povinnost Úřadu monitorovat činnost externích poskytovatelů služeb.

Kontrola se zaměřila na zpracování osobních údajů při vyřizování žádostí o krátkodobá (schengenská) víza, a to na dvou vybraných zastupitelských úřadech ve třetích zemích. Členské státy mohou při vízovém procesu využít služeb externích poskytovatelů, kteří provozují tzv. vízová centra. Kontrola se proto zaměřila i na tuto oblast. V rámci kontroly byla realizována místní šetření, a to jak v prostorách zastupitelských úřadů, tak v prostorách příslušných vízových center.

Kontrolou bylo konstatováno pochybení v oblasti plnění informační povinnosti, neboť kontrolovaná osoba subjekty údajů dostatečně podrobným způsobem neinformovala o totožnosti správce ve smyslu čl. 37 odst. 1 písm. a) nařízení (ES) č. 767/2008. S ohledem na skutečnost, že pochybení v oblasti informování do určité míry navazuje mimo jiné na způsob vymezení správce Vízového informačního systému zákonem č. 326/1999 Sb., o pobytu cizinců na území České republiky a o změně některých zákonů, a jedná se tak o hlubší problém, inicioval Úřad (již v návaznosti na shodné zjištění v dřívější kontrole na jiném zastupitelském úřadu) diskuze o správci národní součásti Vízového informačního systému a v roce 2023 realizoval tři setkání se zástupci Ministerstva zahraničních věcí, Ministerstva vnitra a Policie ČR ve snaze napomoci nápravě neuspokojivého stavu.

Plnění povinnosti dané čl. 43 odst. 11 vízového kodexu, tj. povinnosti provádět pravidelné kontroly na místě v prostorách externího poskytovatele služeb (vízovým kodexem je stanoveno, že tyto kontroly musí být prováděny nejméně každých devět měsíců), bylo kontrolovanou osobou prokázáno pouze částečně, přičemž kontrolující museli zohlednit skutečnost, že externí poskytovatel služeb provozuje v daných zemích pro zastupitelské úřady více než jedno vízové centrum.

Při realizaci místních šetření kontrolující dále zjistili pochybení při plnění povinností v oblasti zabezpečení osobních údajů, a to různé úrovně závažnosti. S ohledem na konkrétní zjištění Úřadu bylo v jednom případě na místě zahájeno okamžité prošetření věci zastupitelským úřadem České republiky a též externím poskytovatelem služeb provozujícím vízové centrum, nadto následně (ještě v průběhu kontroly) došlo k realizaci několika významných opatření (např. změny personálního charakteru vč. suspendace pracovníků, nově zavedená organizační i technická opatření) a o celé záležitosti byla informována též skupina místní schengenské spolupráce tak, aby mohly být příslušné postupy prověřeny též zastupitelskými úřady dalších členských států Schengenu. Lze shrnout, že kontrola konstatovala porušení povinností stanovených čl. 32 odst. 1 písm. a), b) a d) GDPR a čl. 43 odst. 8 a 11 písm. b), c) a d) vízového kodexu, přičemž některá opatření k nápravě zjištěného stavu byla kontrolovanou osobou přijata již v době kontroly, jak je shora popsáno.

Proti kontrolním zjištěním kontrolovaná osoba podala námitky, které byly zamítnuty. Kontrolované osobě bylo uloženo ve stanoveném termínu podat písemnou zprávu o odstranění nedostatků zjištěných kontrolou.

Doplňující informace: Schengenská víza jsou jedním z prvků společné vízové politiky Evropské unie a umožňují státním příslušníkům třetích zemí pobývat na území Schengenského prostoru po dobu nepřesahující 90 dnů během jakéhokoliv období 180 dnů. Tato víza jsou zpravidla vydávána konzuláty členských států ve třetích zemích, přičemž postupy a podmínky jejich udělování upravuje zejména vízový kodex.