ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ
Pplk. Sochora 27, 170 00 Praha 7
tel.: 234 665 111, fax: 234 665 444
posta@uoou.cz, www.uoou.cz	*UOOUX00ETQIG*	

Vážená paní
Ing. Tereza Pavlíčková
Pověřenec pro ochranu osobních údajů
Ministerstvo zdravotnictví
Palackého náměstí 375/4
128 01 Praha 2
ID DS: pv8aaaxd

Čj. UOOU-02877/21-1
Vyřizuje: Ing. David Mrňák, DiS.

Praha 23. června 2021 

Vážená paní pověřenkyně,

Úřad pro ochranu osobních údajů (dále jen „Úřad“) obdržel v souvislosti s vydanými mimořádnými opatřeními Ministerstva zdravotnictví (dále jen „ministerstvo“) řadu dotazů, zejména ve vztahu k povinnému testování zaměstnanců, žáků a prokazování podstoupení testování i očkování u poskytovatelů služeb. Úřad se snažil správcům v souvislosti s prvním mimořádným opatřením ve vztahu k povinnému testování zaměstnanců správcům s výkonem nové povinnosti a zpracování osobních údajů napomoci. Ze strany ministerstva však Úřad nezaznamenal adekvátní reakci v podobě právně relevantního stanovení rozsahu nařízeného zpracování, vydání metodických pokynů či odstranění systémového deficitu odůvodnění mimořádných opatření, jak např. ve svém rozsudku nařídil Nejvyšší správní soud sp. zn. 8 Ao 1/2021-133 ze dne 14. dubna 2021.

Dle čl. 36 odst. 4 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) má členský stát povinnost konzultovat s dozorovým úřadem během přípravy návrhu legislativního opatření, které má přijmout vnitrostátní parlament, nebo návrhu regulačního opatření založeného na takovém legislativním opatření, jež souvisí se zpracováním. Lze pochopit tíži situace v daném čase, ale již nelze odhlédnout od skutečnosti, že s Úřadem nebyla konzultována mimořádná opatření ani za uklidňující se epidemiologické situace a nedostatky nebyly zhojeny ani ex post. 

Správcům osobních údajů, tedy zaměstnavatelům, školám a jednotlivým poskytovatelům služeb tak byla uložena povinnost zpracovávat osobní údaje bez stanovení potřebných parametrů, přičemž i odůvodnění této povinnosti trpí nedostatky, na což, jak uvádím výše, poukázal Nejvyšší správní soud, ale také Úřad ve vztahu k prokazování výsledků testů na nákazu Covid-19 u poskytovatelů služeb. Postupuje-li správce na základě mimořádného opatření, je to v případně pochybností o konkrétních povinnostech a podobě správné praxe právě ministerstvo, které musí sdělit podrobnosti k aplikaci mimořádného opatření a v jakém rozsahu je právním předpisem nařízeno též zpracování osobních údajů, vysvětlit účel takového zpracování apod. To jsou informace, kterými Úřad objektivně nedisponuje, neboť závisí výlučně na rozhodnutí a postupu gestora. Pro úplnost se dodává, že povinnost gestora nebude splněna zpětným odkazem na zde zmiňovaná stanoviska Úřadu, neboť ta na mezerovitost a neurčitost mimořádných opatření (právě) poukazují.

S ohledem na výše uvedené Vám, jakožto jmenované pověřenkyni pro ochranu osobních údajů ministerstva, postupuji dotazy v souladu s čl. 39 odst. 1 písm.  d) obecného nařízení o ochraně osobních údajů, které Úřad obdržel v souvislosti s vydanými mimořádnými opatřeními ministerstva. Bylo přihlédnuto k zákonné kompetenci a metodické působnosti ministerstva a vyhodnoceno, že je v dané situaci jediné způsobilé zodpovědět nastolené otázky správci i subjekty údajů. O provedeném vypořádání poskytnutého prosím předejte úplnou informaci Úřadu s uvedením způsobu a obsahu vypořádání k výše uvedené spisové značce. Jednotliví petenti byli Úřadem o postoupení dotazů ministerstvu informováni.

S pozdravem
		
		Mgr. Ladislav Hejlík				vedoucí oddělení konzultací				(podepsáno elektronicky)