Poskytnutá informace dne 24. února 2015
Úřad pro ochranu osobních údajů (dále jen „Úřad“) obdržel dne 18. února 2015 žádost o informace podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů. Žadatelka svoji žádost následně doplnila dne 20. února 2015.
Žadatelka požadovala poskytnutí informací týkajících se registračního řízení vedeného Úřadem a některých dalších otázek právní úpravy a výkladu ochrany osobních údajů.
Požadované informace byly žadatelce poskytnuty dne 20. února 2015 a 24. února 2015. Konkrétně jí bylo sděleno následující:
Oznamovací, registrační, povinnost je upravena částečně odlišně v českém a slovenském zákoně o ochraně osobních údajů. Podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, konkrétně dle jeho § 16, se Úřadu oznamuje každé zpracování osobních údajů. Výjimky z oznamovací povinnosti jsou upraveny v § 18 odst. 1 zákona. Podle tohoto ustanovení oznamovací povinnost nedopadá na: další zpracování oprávněně zveřejněných osobních údajů (např. při využití údajů z veřejné části obchodního rejstříku, živnostenského rejstříku, katastru nemovitostí apod.), dále na takové zpracování, které je správci uloženo zákonem nebo které je nezbytné k uplatnění práv a povinností vyplývajících ze zvláštního zákona (např. povinnost vést zdravotnickou dokumentaci, povinnost banky identifikovat klienta, povinnost zaměstnavatele vést daňovou, personální a mzdovou agendu atd.) a rovněž na zpracování údajů, prováděné v rámci činnosti sdružení či spolku, přičemž toto zpracování se týká předmětu činnosti spolku a jeho členů nebo osob, se kterými je spolek v pravidelném kontaktu (typicky vedení členské evidence členů spolku, evidence sympatizantů, se kterými je spolek v pravidelném kontaktu, evidence dárců atd.).
Registr oznámených zpracování je veřejně dostupný na internetových stránkách Úřadu v rubrice Registr / Veřejný registr zpracování osobních údajů. Pokud ponecháte všechna textová pole prázdná a stisknete tlačítko Hledat, systém Vám nabídne výpis všech oznámených zpracování osobních údajů, resp. výpis všech správců údajů, kteří jimi prováděné zpracování u Úřadu registrovali. Ke dni 20. února 2015 jich bylo celkem 47.737.
Úřad v současné době využívá jeden registrační formulář. V případě, že správce oznamuje zpracování osobních údajů prostřednictvím kamerového systému se záznamovým zařízením, formulář automaticky doplní další specifické otázky. Formulář je dostupný na internetových stránkách Úřadu v rubrice Registr / Registrační formulář.
V rámci registračního procesu Úřad automaticky neověřuje identitu osoby, která oznámení učinila, a to ani vyžadování použití ověřeného elektronického podpisu. V případě, kdy určitá osoba jedná jménem osoby jiné, je vyžadováno doložení kopie plné moci. K ověření identity určité osoby by tak došlo pouze tehdy, pokud by v rámci registračního řízení vyvstaly pochybnosti o tom, zda je oprávněna jednat za daného správce osobních údajů.
Při vzniku českého zákona o ochraně osobních údajů nebyl institut zmocněnce pro ochranu údajů, odpovědné osoby, běžný. Zřejmě z tohoto důvodu se zákonodárce rozhodl pro využití registračního řízení. Důvodová zpráva k § 16 zákona o ochraně osobních údajů k tomu uvádí pouze toto: „Smyslem oznamovací povinnosti je zajistit výkon dozoru ze strany Úřadu. Ukládá se povinnost informovat Úřad před zahájením zamýšleného zpracování osobních údajů. Tento režim výslovně vyžaduje Směrnice EU, která také stanovuje minimální rozsah údajů v tomto oznámení. Pokud Úřad oznámení zaregistroval, nevydává rozhodnutí podle správního řádu. To se vydává pouze v případě, že Úřad nepovoluje nebo zakazuje osobní údaje zpracovávat. V zájmu právní jistoty oznamovatele se stanoví, jaké následky má sdělení i marné uplynutí lhůty.“
Podle názoru Úřadu, který je aplikován i v jeho praxi, je fotografie jako taková toliko, stejně jako např. záznam z kamery, nosičem údajů, jak osobních, tak obvykle i citlivých. Pro určení, zda se v konkrétním případě bude jednat o zpracování osobních nebo citlivých údajů, je rozhodný účel zpracování a z něj odvozený rozsah zpracovávaných údajů. Jinak řečeno pokud např. zaměstnavatel zveřejňuje fotografie některých svých zaměstnanců na internetových stránkách za účelem usnadnění komunikace se zákazníky, pak smyslem jeho činnosti není zpracovávat citlivé údaje (např. o rasovém či etnickém původu), a proto se v tomto případě o zpracování citlivých údajů nejedná. Pokud by však správce údajů např. na základě záznamů z kamer vytvářel databázi zákazníků a odlišoval by je či by jinak evidoval jejich rasový či etnický původ, o zpracování citlivých údajů by se již jednalo.
Návrh nového nařízení o ochraně osobních údajů je v současné době projednáván v rámci Rady EU. Na této adrese lze najít původní návrh Komise spolu s komentáři Evropského parlamentu: http://www.europarl.europa.eu/sides/getDoc.do?pubRef=-//EP//TEXT+TA+P7-TA-2014-0212+0+DOC+XML+V0//SK .
Úřadu je z jeho úřední činnosti známa jedna komparativní analýza (viz níže) týkající se využívání institutu zmocněnce pro ochranu údajů, kterou v roce 2012 publikoval CEDPO, Konfederace evropských organizací pro ochranu dat.