Odvolatelnost souhlasu se zpracováním osobních údajů

Zpracování osobních údajů se souhlasem subjektu údajů je podle zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“), jednou ze základních zásad zpracování osobních údajů. Obsahem tohoto úkonu je podle § 4 písm. n) zákona o ochraně osobních údajů svolení subjektu údajů se zpracováním osobních údajů. Žádný zákon však již neřeší, zda v případě, kdy je dán tento souhlas, se jedná o souhlas neodvolatelný, či zda jej lze odvolat, a pokud ano, za jakých podmínek.

Abychom dokázali odpovědět na výše položené otázky, je nutné si uvědomit, o jaký úkon se v případě souhlasu se zpracováním osobních údajů vlastně jedná. Obecně je možné říci, že poskytnutí souhlasu je právním úkonem, a to právním úkonem, který je svým charakterem jednoznačně jednostranným. Nejedná se tedy o žádnou dohodu mezi správcem nebo zpracovatelem na straně jedné a subjektem údajů – fyzickou osobou – na straně druhé, což je klíčové z hlediska případné možnosti souhlas odvolat.

Podle definice uvedené v zákoně o ochraně osobních údajů je souhlas svobodným projevem vůle. A právě svoboda souhlasu je většinou tou nejproblematičtější vlastností, kterou lze u již udělených souhlasů často zpochybnit. Jak už bylo řečeno výše, souhlas se zpracováním osobních údajů je svým charakterem jednostranný právní úkon, a ani jeho zapracováním do dokumentu, který je součástí dvoustranného právního vztahu, se ze souhlasu nestává úkon dvoustranný. Teoreticky se tedy nejedná o úkon, který by bylo možné odvolat pouze po dohodě, ale o úkon, jenž je zcela podřízený vůli subjektu údajů.

Souhlasem subjektu údajů je dále vědomý projev vůle, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Takovýto souhlas může tedy být poskytnut i konkludentně, tzn. jinak než výslovně.

Aby bylo možné udělený souhlas skutečně považovat za vědomý, je nutné, aby byl také tzv. informovaný. Tuto informovanost vyžaduje již § 5 odst. 4 zákona o ochraně osobních údajů, podle něhož musí být subjekt údajů při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období, a dále § 11 odst. 1 a 2 zákona o ochraně osobních údajů, které vyžadují, aby správce při shromažďování osobních údajů subjekt údajů informoval o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 zákona o ochraně osobních údajů. V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobních údajů povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí tohoto poskytnutí osobních údajů.

Tyto podmínky je ale správce podle zákona o ochraně osobních údajů nutno vykládat pouze v celém kontextu souboru práv a povinností a dbát na to, že i přes udělený souhlas je nezbytné, aby správce dodržoval i další principy ochrany dat, a to především legitimitu, přiměřenost a účelnost zpracovávaných osobních údajů.

Zcela jednoznačnou povinností, stanovenou správcům osobních údajů, je prokázat souhlas se zpracováním, a to po celou dobu, po kterou jsou osobní údaje zpracovávány. Zákon o ochraně osobních údajů však vůbec nestanoví formu nebo způsob. Dovolává se toliko schopnosti správce souhlas prokázat.

Ani zákon o ochraně osobních údajů, ani Směrnice Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a s volným pohybem těchto údajů výslovně odvolatelnost souhlasu se zpracováním osobních údajů nestanoví. Pouze pracovní skupina pro ochranu osobních údajů při Evropské komisi [pracovní skupina zřízená podle čl. 29 směrnice 95/46/ES (WP 164)] uvedla, že:

Úřad pro ochranu osobních údajů proto uvádí, že na úrovni Evropské unie není pochyb o tom, že udělený souhlas lze vždy odvolat.¹⁾

Budeme-li vycházet z české právní úpravy, je nutné konstatovat, že platí, že co není zákonem zakázáno, je povoleno. Odvolání souhlasu se zpracováním osobních údajů zakázáno není, je tedy v zásadě možné. Vzhledem k tomu, že souhlas se zpracováním je jednostranným právním úkonem, zcela podřízený vůli subjektu údajů, může být jako takový kdykoliv odvolán. Bylo možno zachytit snahy některých správců uzavírat se subjekty údajů jakési kvazidohody, když mezi informace, které následně subjekt údajů měl podepsat, byly vsunuty formulace, jako například: Lze usoudit, že ani taková formulace nezbavuje subjekt údajů jeho práva souhlas kdykoliv odvolat a odvolaný souhlas by musel správce bez dalšího respektovat.

Pro podpoření tohoto argumentu je možno využít analogicky zákon, který je zákonu o ochraně osobních údajů velmi blízký a který sám upravuje ochranu osobnosti a ochranu soukromí. Tím je zákon č. 89/2012 Sb., občanský zákoník (dále jen „občanský zákoník“), který v § 87 odst. 1 uvádí, že Využití tohoto ustanovení je vhodné i proto, že se zabývá zpracováním podobizny nebo zvukového či obrazového záznamu, což znamená zpracováním osobních údajů.

Neočekávané odvolání souhlasu se zpracováním osobních údajů, který byl dříve udělen, může správci osobních údajů přinést velké komplikace a také vysoké náklady. Typickým příkladem může být instalace kamerového systému se záznamem a souhlas se zpracováním osobních údajů jeho prostřednictvím. V případě odvolání takového souhlasu se může stát, že kamerový systém bude muset být vypnut a náklady na jeho pořízení budou zcela zbytečné. I v tomto případě lze hledat inspiraci pro řešení situace v občanském zákoníku, a to v § 87 odst. 2, podle nějž bylo-li svolení udělené na určitou dobu odvoláno, aniž to odůvodňuje podstatná změna okolností nebo jiný rozumný důvod, nahradí odvolávající škodu z toho vzniklou osobě, které svolení udělil.

Důvodová zpráva k tomu uvádí, že

Závěrem je proto možno říci, že souhlas se zpracováním osobních údajů je odvolatelný, nicméně za určitých podmínek může jeho odvolání mít pro subjekt údajů nepříjemné důsledky. Podmínky, za nichž byl souhlas odvolán, a dopad tohoto kroku do sféry činnosti správce, jemuž byl souhlas původně udělen, je nutno posuzovat vždy individuálně. S ohledem na to, že se bude jednat o přiznání náhrady škody, je třeba uplatnit nárok u soudu.