Zákon č. 101/2000 Sb. , o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „ZoOU “), zcela jednoznačně vymezuje svoji působnost, jak osobní, tak věcnou, a to v ustanovení § 3 . Obecně je možno říct, že ZoOU se bude týkat adresátů právní normy v případě, že budou zpracovávat osobní údaje. Z výčtu adresátů normy je zřejmé, že zákon dopadá na každý subjekt, který osobní údaje zpracovává, neboť vzhledem k rozsahu vymezení těžko nalezneme subjekt, který by byl ze základního vymezení působnosti zákona vyňat. Je třeba mít na paměti, že výčet subjektů je uveden bez zřetele na jejich právní subjektivitu nebo formu. Jinak řečeno, ZoOU se bude vztahovat na každého, kdo zpracovává osobní údaje, bez ohledu na to, zda se jedná například o právnickou osobu, fyzickou osobu nebo státní orgán.
Nahodilé zpracování osobních údajů
JUDr.
Václav
Bartík
JUDr.
Eva
Janečková
ZoOU také deklaruje působnost zákona co do formy zpracování. Může se tedy jednat jak o zpracování automatizované, (dnes bychom spíše řekli, že prostředky výpočetní techniky), nebo jinými prostředky. Zákonodárce tak vlastně spojení slov „jinými prostředky“ použil jako synonymické vyjádření pojmu „neautomatizovaně“ a současně otevřel dveře všem možným, dnes třeba ještě nepoužívaným způsobům zpracování, které by nešly podřadit pod pojem „automatizovaně“. Samozřejmě přímo se nabízí, že tím základním „jiným způsobem“ bude zpracování manuální a tomuto manuálnímu zpracování pak také bude odpovídat „nosič informací“, kterým bude nejspíše papír, plastická folie nebo i jiný nosič, schopný udržet informace v písemné podobě a současně být schopen manuálního zpracování.
Ustanovení § 3 ZoOU také definuje výjimky z působnosti tohoto zákona. Jednou z nich je nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány. Toto ustanovení je však značně problematické. Zákon pojem „nahodilost“ nikterak nedefinuje, současně je však tato „charakteristika jednání“ důvodem k vyloučení působnosti zákona. Dalo by se usoudit, že pojem nahodilosti lze blíže pochopit prostřednictvím definovaného pojmu shromažďování podle § 4 písm. f), kde je shromažďování osobních údajů charakterizováno jako systematický postup nebo soubor postupů, jehož cílem je získání osobních údajů za účelem jejich dalšího uložení na nosič informací pro jejich okamžité nebo pozdější zpracování. Nahodilost je tedy v daném případě opakem systematičnosti.
Současně však praktická aplikace bude složitá. Je otázkou, jakým postupem by se mohl dostat do dispozice nějaké osoby soubor informací („potenciálních osobních údajů“) tak, aby informace takto shromážděné měly vůbec pro příjemce nějaký smysl a současně se nejednalo o jejich další zpracování. Zpracování je zde totiž třeba chápat v jeho celém obsahu definice uvedené v § 4 písm. e) ZoOU, kde mezi formami zpracování je uvedeno také uchovávání osobních údajů. Jiná odborná literatura uvádí jako příklad nahodilého shromažďování osobních údajů shromažďování vizitek (navštívenek) jako typický příklad nakládání s osobními údaji, na které se ZoOU nevztahuje. Nese totiž znaky nahodilého shromažďování, na které se zákon podle § 3 odst. 4 nevztahuje, pokud nejsou údaje z nich získané dále zpracovávány. Vizitky jsou navíc často používány pouze pro osobní potřebu, pro niž zákon stanoví výjimku v § 3 odst. 3. Pokud jsou vizitky používány pro služební potřeby, jsou z nich využívány kontaktní údaje do zaměstnání a případně i do soukromí, u nichž však způsob získání vizitky implikuje souhlas subjektu údajů s takovým použitím. Proto přece vizitku sám dobrovolně poskytl. Pokud však jsou kontaktní údaje z vizitek dále zpracovávány, např. po přenosu do automatizovaného organizéru nebo účelového souboru např. pro nabízení obchodu nebo služeb, vstupují pro takové zpracování v platnost příslušná ustanovení ZoOU. Totéž, co pro vizitku, v podstatě platí i pro jiné formy shromažďování a prosté uchovávání pouze kontaktních údajů fyzických osob.1)
S tímto názorem lze zajisté souhlasit. Současně však takové nahodilé shromáždění může být i důsledkem využívání elektronických komunikací. Určitě se může stát, že někdo náhodou, nebo omylem obdrží např. e-mailovou zprávu, která bude obsahovat nějaký seznam fyzických osob s takovými údaji, že údaje bude moci být možno považovat za osobní, pokud budou splňovat alespoň požadavek identifikovatelnosti fyzických osob (např. seznam účastníků nějakého školení, který bude obsahovat i údaj o jejich zaměstnavateli apod.). V takovém případě by se výjimka nahodilosti uplatnila, protože osoba, která seznam obdržela „omylem“, jej určitě nemínila získat, na stranu druhou si však takový obdržený mail nesmí ponechat, měla by jej odstranit, resp. nenávratně z komunikačních systémů vymazat. Ponechání (uchování) by totiž mohlo svědčit o úmyslu osobní údaje dále zpracovávat (uchování je, jak výše uvedeno, jedna z forem zpracování). V takovém případě by se příjemce zmíněného seznamu stal správcem osobních údajů se všemi důsledky ZoOU předvídanými.
„V některých případech nebude dalším zpracováním ani předání osobních údajů. Bude tomu tak, pokud subjekt údajů nebo třetí osoba např. zašle osobní údaje (obsažené v životopise, objednávce apod.) nesprávnému adresátovi, při čemž bude zjevné, kdo měl být skutečným příjemcem osobních údajů. Okamžité předání dokumentu s osobními údaji ze strany nesprávného příjemce správnému adresátovi (příp. zpět odesilateli) proto nelze považovat za další zpracování nahodile shromážděných osobních údajů“2).
Často se argument nahodilého shromažďování objevuje v případě zpracovávání prostřednictvím kamerového systému se záznamem s tím, že není možné ovlivnit, kolik a jakých údajů bude zaznamenáno, u kolika subjektů atd. Mnoho správců osobních údajů právě v tomto vidí nahodilost zpracovávání osobních údajů. Je to však omyl. Instalace kamerového monitorovacího systému za účelem pravidelného monitorování určitých prostor bezpochyby směřuje k systematickému zpracování osobních údajů těch, kteří budou na záznamech kamer případně zachyceni. Situaci, kdy správce osobních údajů stanoví účel zpracování, provede instalaci prostředků zpracování a následně jejich prostřednictvím shromáždí osobní údaje, nelze hodnotit jako nahodilé zpracování osobních údajů. To, kolik a jakých údajů a u kterých subjektů údajů bude zpracováno, lze do značné míry ovlivnit nastavením kamerového systému, za nějž odpovídá správce kamerového systému.
Odhlížeje od posledně uvedeného, „co lze tedy považovat za nahodilé shromaždování osobních údajů bez jejich dalšího zpracování, které bude mít za následek, že se ZoOU nebude aplikovat? V zásadě se bude jednat o výjimečné a jednorázové případy, kdy správce bez vlastního přičinění obdrží neočekávaně a nevyžádaně osobní údaje, např. obdrží e-mailovou zprávu, která byla určena někomu jinému a bez dalšího ji smaže, zájemce o zaměstnání zašle životopis nesprávnému zaměstnavateli nebo do dopisu přiloží omylem např. kopii občanského průkazu“3).
Text vyjadřuje názory a postoje autorů, nejedná se o oficiální stanovisko Úřadu pro ochranu osobních údajů.
1) Matoušová, M. - Hejlík, L.: Osobní údaje a jejich ochrana. 2. vyd. Praha: ASPI, Wolters Kluwer, 2008, str. 121.
2) Kučerová, A., Nováková, L., Foldová, V., Nonneman, F., Pospíšil, D.: Zákon o ochraně osobních údajů. Komentář. 1. vydání, Praha: C. H. Beck, 2012, s. 24.
3) Tamtéž.