Aktualizace zpracovávaných osobních údajů

Vydáno: 11 minut čtení

Zákon č. 101/2000 Sb. , o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“), obsahuje celou řadu základních povinností, které v případě, že správce nebo zpracovatel provádí činnosti, které svým charakterem lze označit za zpracovávání osobních údajů ve smyslu § 4 písm. e) zákona o ochraně osobních údajů , tedy za jakoukoliv operaci nebo soustavu operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky, musí splnit. Mezi tyto povinnosti patří i povinnost uvedená v ustanovení § 5 odst. 1 písm. c) zákona o ochraně osobních údajů , které je jedním z nejčastěji porušovaných ustanovení tohoto zákona. Touto povinností je povinnost zpracovávat pouze přesné osobní údaje, které byly získány v souladu s tímto zákonem. Toto ustanovení vychází z článku 6 odst. 1 písm. d) Směrnice 95/46/ES , podle něhož osobní údaje musejí být přesné, a je-li to nezbytné, i aktualizované; musí být přijata veškerá rozumná opatření, aby nepřesné nebo neúplné údaje s ohledem na účely, pro které byly shromažďovány nebo dále zpracovávány, byly vymazány nebo opraveny.

Aktualizace zpracovávaných osobních údajů
JUDr.
Václav
Bartík
JUDr.
Eva
Janečková
Z uvedeného je zřejmé, že každý, kdo zpracovává osobní údaje, musí v závislosti na rozsahu a okolnostech předmětného zpracování přijmout systém opatření, jejichž prostřednictvím zajistí, že nebudou zpracovávány nepřesné či chybné osobní údaje (tj. případné nedostatky v kvalitě údajů budou zjištěny). S tím souvisí skutečnost, že tyto údaje byly správcem získány v souladu se zákonem o ochraně osobních údajů. Zákonný způsob získávání osobních údajů je základním předpokladem pro činnost správce. Nikdy by nemělo dojít k tomu, že správce získá data pro účely svého zpracovávání nějakým nekalým nebo podvodným způsobem.1)
Zpracováním nepřesných osobních údajů podle § 5 odst. 1 písm. c) zákona o ochraně osobních údajů není pouze zpracování nesprávných údajů vzniklých např. gramatickou chybou, ale i zpracování formálně správných údajů v souvislosti s nesprávnou informací. Například zpracování přesných identifikačních údajů spolu s informací o tom, že daná osoba je dlužníkem, ačkoli tomu tak ve skutečnosti není. Ve smyslu § 4 písm. a) zákona o ochraně osobních údajů je totiž nutno pod pojmem osobní údaj rozumět jakoukoli informaci, kterou je možno vztáhnout ke konkrétní osobě.
Povinnost zpracovávat pouze přesné osobní údaje však neznamená, že je vždy nezbytné zpracovávat jen absolutně správné údaje, neboť nepřesnosti mohou vzniknout již při shromažďování dat od samotných subjektů údajů, z čehož nelze vyvozovat odpovědnost daného správce. Na rozdíl od situace, kdy je zdrojem sám subjekt údajů a lze se tedy na pravdivost a přesnost poskytovaných informací mnohem více spolehnout, nedá se vždy očekávat, že zejména veřejně dostupné osobní údaje v sobě tento prvek vždy jednoznačně nesou.
Nicméně zákon o ochraně osobních údajů požaduje, aby správce osobních údajů (případně zpracovatel na základě jeho pověření) prováděl, je-li to vzhledem k účelu zpracování nezbytné, také aktualizaci zpracovávaných osobních údajů, tedy nápravu zjištěných nepřesností. Zákon o ochraně osobních údajů správci neukládá, aby prováděl tuto kontrolu správnosti zpracovávaných údajů nepřetržitě, ale ponechává vyhodnocení způsobu vyrovnání se s touto povinností na dotyčném správci (vyhodnocení splnění této povinnosti je pak úkolem Úřadu v kontrolním nebo v sankčním řízení). Opatření směřující ke zjištění zpracování nesprávných osobních údajů jsou tak nezbytná zejména v systémech, jejichž provoz je zcela či do značné míry automatizovaný, a které jsou intenzivně využívány.2)
Zjištění, že údaje nejsou aktuální, není pro správce, především pro správce, který není orgánem státní správy, jednoduché. Je otázkou, jak takovou informaci může soukromý subjekt vůbec zjistit. Pokud se jedná o informace, údaje, použité ve smlouvě, zejména tedy, adresné, identifikační, mají takoví správci možnost a povinnost aktualizovat informace, osobní údaje přímo ve smlouvě, nebo např. ve Všeobecných obchodních podmínkách. Pokud pak subjekt údajů takovou povinnost nesplní, nelze to jednak přičíst k tíži podnikateli, správci osobních údajů, a navíc může opomenutí mít i různé jiné soukromoprávní důsledky, tedy zejména v případě, že subjekt údajů v důsledku neoznámení změny neobdrží nutnou informaci o změně smlouvy nebo podmínek kontraktu a podobně. Jinou možností, jak k tomuto zjištění dojít, je podnět (námitka) subjektu údajů. Tato námitka nebo žádost bývá vznášena na základě § 21 zákona o ochraně osobních údajů jako žádost o opravu, doplnění či likvidaci zpracovávaných dat. Informaci o tom, že jím zpracovávané údaje nejsou aktuální, může správce také zjistit důsledkem splnění své povinnosti podle § 12 zákona o ochraně osobních údajů, podle něhož požádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat. Obsahem informace je vždy sdělení o účelu zpracování osobních údajů, osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování, včetně veškerých dostupných informací o jejich zdroji, povaze automatizovaného zpracování v souvislosti s jeho využitím pro rozhodování, jestliže jsou na základě tohoto zpracování činěny úkony nebo rozhodnutí, jejichž obsahem je zásah do práva a oprávněných zájmů subjektu údajů, příjemci, případně kategoriích příjemců.
V první řadě jde o informace o účelu zpracování osobních údajů, dále pak o osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování. Je-li to možné, je vhodnější poskytovat informaci o údajích, nikoli pouze o kategoriích osobních údajů. Často se totiž jedná o jedinou možnost, jak správce může zjistit, že jím zpracovávané údaje již nejsou aktuální. Teprve když subjektu údajů sdělí, například jakou jeho adresu bydliště zpracovává, může jej subjekt údajů upozornit na to, že se přestěhoval. Je tedy v zájmu správce sdělovat konkrétní údaje, neboť plnění povinnosti podle § 12 může napomoci i k plnění dalších povinností.
Poněkud lépe, tedy z hlediska udržování aktuálnosti údajů, jsou na tom některé subjekty veřejného práva, resp. jedná se o situace, které veřejné právo předpokládá a také ukládá patřičnou povinnost. Tak např. § 10 odst. 5 zákona o evidenci obyvatel3) stanoví, že změnu místa trvalého pobytu občan ohlásí ohlašovně v místě nového trvalého pobytu. Je-li údaj o místě trvalého pobytu úředně zrušen (§ 12), je místem trvalého pobytu sídlo ohlašovny, v jejímž územním obvodu byl občanovi trvalý pobyt úředně zrušen. V případě osvojení občana do zahraničí se adresou místa trvalého pobytu osvojeného dítěte stává sídlo ohlašovny, v jejímž územním obvodu mělo osvojené dítě poslední místo trvalého pobytu, a současně se trvalý pobyt ukončí.
Jiným příkladem může být povinnost pojištěnce podle § 12 písm. k) zákona o veřejném zdravotním pojištění4) oznámit příslušné zdravotní pojišťovně změny jména, příjmení, trvalého pobytu nebo rodného čísla, a to do 30 dnů ode dne, kdy ke změně došlo; pokud se pojištěnec v místě trvalého pobytu nezdržuje, je povinen příslušné zdravotní pojišťovně oznámit také adresu místa pobytu na území České republiky, kde se převážně zdržuje. Obdobně pak zákon o silničním provozu5) v § 120 odst. 1 stanoví, že jestliže držitel řidičského průkazu změní trvalý pobyt, je povinen oznámit do 5 pracovních dnů změnu obecnímu úřadu obce s rozšířenou působností v místě nového trvalého pobytu. V souvislosti s touto změnou předloží řidičský průkaz. Stejně tak je v § 127 odst. 1 daňového řádu6) stanoveno, že dojde-li ke změně údajů, které je povinen daňový subjekt uvádět při registraci, je povinen tuto změnu oznámit správci daně do 15 dnů ode dne, kdy nastala, popřípadě požádat o zrušení registrace, jsou-li pro to dány důvody. Tak je tedy alespoň v některých případech zajištěno, že aktuální budou alespoň v některých případech údaje subjektů, na něž uvedené předpisy dopadají, resp. které podle nich jednají. Své samozřejmě může v pozitivním smyslu ovlivnit i skutečnost, že pokud jednou budou zcela bezproblémově fungovat registry veřejné správy, resp. základní registry, alespoň orgány veřejné správy by měly mít údaje vždy aktuální potud, pokud subjekt údajů splní svoji zákonnou povinnost a změnu údajů nahlásí.
Zákon o ochraně osobních údajů v případě, že správce zjistí, že jsou na jeho straně zpracovávány nepřesné a nepravdivé osobní údaje, ukládá správci povinnost ihned tyto údaje blokovat. Jde o ochranné opatření, které má zabránit dalšímu možnému zpracovávání nepravdivých nebo nepřesných osobních údajů. Současně správce musí neprodleně zahájit práce na odstranění tohoto závadného stavu, který zákon o ochraně osobních údajů nazývá doplnění nebo oprava.
Nepodaří-li se správci za situace, kdy je mu známa skutečnost, že zpracovává nepravdivé a nepřesné osobní údaje, tyto údaje opravit nebo doplnit v čase bezprostředně následujícím po tomto zjištění, musí tyto osobní údaje bez zbytečného odkladu zlikvidovat, tedy zničit jednou provždy. Zákon o ochraně osobních údajů zde správci neumožňuje, aby po určitou dobu byly tyto údaje blokovány a správce mohl využít všech dostupných prostředků, aby mohl tento stav napravit. Současně však zákon o ochraně osobních údajů správci nestanoví lhůtu, po kterou může provádět veškeré úkony spojené s odstraňováním stavu věci, tedy úkony spojené s opravami nebo doplňováním nepravdivých nebo nepřesných osobních údajů. Jako by zákonodárce chtěl správci na jedné straně poskytnout neomezeně dlouhou dobu pro jeden druh činností a na straně druhé mu uložil, aby dospěje-li k závěru, že tyto údaje opravit nebo doplnit nelze, musí je ihned zlikvidovat.7) Tento časový nepoměr by mohl být motivem pro nejednoho správce, aby v těchto případech pouze „pracoval“ na odstraňování tohoto stavu. Nicméně tento postup by jim ani tak nezajistil, že povinnost zde stanovenou, budou moci obejít. Takový správce by mohl svým jednání porušit jinou zákonnou povinnost, např. podle § 5 odst. 1 písm. f), neboť zpracovávání nepřesných údajů by s největší pravděpodobností nebylo v souladu s prvotním účelem zpracování.
Ve výjimečných případech dává zákon o ochraně osobních údajů správci možnost zpracovávat i nepřesné a nepravdivé údaje, a to v mezích uvedených v § 3 odst. 6. Potřeba zpracovávat nepřesné, resp. nepravdivé údaje plyne z požadavku některých specializovaných oblastí, jako je např. policie, zpravodajské služby apod. Tím je do jisté míry zabezpečen soulad principů ochrany soukromí jednotlivce i v případech, kdy dochází k cílenému a zvláštním zákonem vymezenému zpracování nepřesných informací, jak tomu může docházet například v souvislosti s činností orgánů státu, působících v oblasti obrany nebo bezpečnosti.8) Nepřesné osobní údaje se musí označit. Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům. Je nutné dodat, že formulace „pravdivé a přesné“ může v některých případech působit potíže. Je otázkou, zda výraz znamená také „stále aktuální“. Lze uvážit, že nikoliv nezbytně. Byl-li např. spis veden v jeho historické posloupnosti a obsahuje-li dokumenty o vývoji právního vztahu, lze říci i ze zpětného pohledu, že všechny informace (samozřejmě pomíjíme vědomou lež nebo úmyslně uvedený nepravdivý údaj) jsou pravdivé a přesné vždy, byť třeba byly aktuální k jinému, minulému časovému období vývoje vztahu.9)
Na závěr je třeba upozornit, že porušení povinnosti aktualizace je přestupkem podle § 44 zákona o ochraně osobních údajů, za nějž lze uložit pokutu až do výše 1 000 000 Kč, případně správním deliktem podle § 45 zákona o ochraně osobních údajů, za nějž lze uložit pokutu až do výše 5 000 000 Kč.
1) Kučerová, A. - Bartík, V. - Peca, J. - Neuwirt, K. - Nejedlý, J. Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, str. 68.
2) www.uoou.cz, Dozorová činnost - Správní delikty - Z rozhodovací činnosti Úřadu - K problematice aktualizace zpracovávaných osobních údajů.
3) Zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel).
4) Zákon č. 48/1997 Sb., o veřejném zdravotním pojištění.
5) Zákon č. 361/2000 Sb., o provozu na pozemních komunikacích a o změnách některých zákonů (zákon o silničním provozu).
7) Tamtéž.
8) Důvodová zpráva k zákonu č. 439/2004 Sb., Sněmovní tisk 508/0.
9) BARTÍK, V., JANEČKOVÁ, E. Osobní spis zaměstnance jako zpracování osobních údajů. Práce a mzda č. 6/2009.