Zveřejňování osobních údajů prostřednictvím internetu

Ochrana osobnosti a soukromí je v České republice ústavně zakotvenou hodnotou (viz čl. 10 Listiny základních práv a svobod). Historicky spadá především do soukromoprávní kategorie práv, tedy do oblasti, kde jsou práva osob chráněna soudy v občanském soudním řízení v návaznosti na konkrétní žalobu. Nicméně pro určité oblasti, v nichž by zásah do práv představoval zvýšené riziko pro celospolečenské hodnoty, zákonodárce (obvykle pod vlivem společenského vývoje a mezinárodních dokumentů) rozhodl, že je důvodné poskytovat ochranu veřejnoprávní cestou, tj. formou státního zásahu. Zákonné provedení zmíněného čl. 10 Listiny základních práv a svobod tak lze nalézt jak v občanském zákoníku (ochrana osobnosti podle § 11 až § 16 zákona č. 40/1964 Sb.), tak v trestním zákoníku (trestný čin neoprávněného nakládání s osobními údaji podle § 180 zákona č. 40/2009 Sb.) a v neposlední řadě i v zákoně č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „ZoOU“). Žádný z uvedených právních předpisů nevylučuje ze své působnosti oblast internetu - je tedy nutno vycházet z toho, že i přes svobodu a volnost, které jsou základními atributy tohoto media, ani zde není právní vakuum umožňující zcela libovolné jednání.¹

Zveřejňování je jednou z forem zpracování tak, jak je chápe ustanovení § 4 písm. e) ZoOU a je samostatně charakterizováno v ustanovení § 4 písm. l) ZoOU. Je důležité vnímat, že sama definice, nepříliš šťastně využívá i další formu zpracování, kterou je zpřístupňování. Vzhledem k tomu, že zákonodárce oba pojmy jako formy zpracování osobních údajů rozlišil, naznačuje, že mezi zpřístupněním a zveřejňováním bude rozdíl. Z logiky věci se dá usoudit, že zveřejňování je zvláštní forma zpřístupnění spočívající v tom, že o zveřejnění se bude jednat v případě, kdy osobní údaje budou zpřístupněny neurčitému okruhu příjemců zveřejňovaného osobního údaje, jak naznačuje definice, když fakultativně uvádí na prvním místě hromadné sdělovací prostředky, mezi něž se běžně řadí periodický tisk v nejširším slova smyslu², rozhlas, televize³ a také bezpochyby internet jako prostředek moderní elektronické komunikace a šíření informací⁴.

Naproti tomu zpřístupnění lze chápat spíše tak, že osobní údaj je zpřístupněn omezenému okruhu adresátů, byť by tento omezený okruh mohl být i relativně velký. Nebude se však jednat o „širokou veřejnost“, tak jak je tento pojem dnes běžně chápán, tedy, že zveřejněná informace je určena jakoby všem, na něž dopadá i teoretický nebo potencionální vliv daného sdělovacího prostředku. Zveřejnění ve smyslu ZoOU je však vždy třeba chápat jako zpracování, tedy jako systematickou činnost správce osobních údajů ve smyslu ustanovení § 4 písm. e) ZoOU. Přitom je zveřejňování nutno považovat za jeden z nejcitlivějších způsobů zpracování.

Zcela zvláštní formou zveřejnění je zpřístupnění osobních údajů, jež tvoří součást veřejného seznamu. Zákonodárce v definici veřejný seznam jako takový nijak neomezil, a tak takovým seznamem je třeba chápat seznam jakýkoliv, přístupný veřejnosti. Osobní údaje z takových seznamů, veřejnosti přístupných je pak nutno považovat za zveřejněné a jako s takovými je možno s nimi nakládat. Zcela jinou otázkou je, zda veřejný seznam odpovídá ZoOU, resp. zda správce osobních údajů takové seznamy vede, a tedy zpracovává osobní údaje, po právu.

Tato otázka musí být posuzována vždy v případě, když např. na internetu je k dispozici nějaký seznam, evidence členů různých sdružení, spolků nebo zájmových organizací. Z hlediska třetích osob, tedy těch, které si takový seznam přečtou a případně využijí, se jedná o veřejný seznam, který je přístupný každému (kdo je schopen internet využívat). Z hlediska subjektu, který takový seznam veřejnosti zpřístupnil je však otázka, zda tak učinil po právu. Není obecně pravidlem, že každý seznam obsahující osobní údaje, který někdo v postavení správce osobních údajů vede, a tedy osobní údaje zpracovává, je možno zveřejnit, tedy zpřístupnit neomezenému okruhu osob, neboť internet za nic jiného považován být nemůže.

K takovému zveřejnění osobních údajů musí správce disponovat souhlasem osob, které se v tomto seznamu vyskytují, neboť pravděpodobně se nebude jednat o seznam, evidenci, kterou je na základě právního předpisu možno zveřejnit (viz dále). V tom případě pak platí ustanovení § 5 odst. 2, věta první ZoOU, kde se stanoví, že osobní údaje je možno zpracovávat jen se souhlasem subjektu údajů, neplatí-li některá z výjimek, což v případě charakteristik výše uvedených seznamů není pravděpodobné.⁵

Podle tohoto ustanovení je správce povinen zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas. Z uvedeného je zjevné, že právě tato povinnost bývá porušována neoprávněným zveřejněním, tedy i neoprávněným zveřejněním na internetu. Je tedy nepřípustné, aby správce shromáždil osobní údaje k určitému účelu a následně je on sám nebo zpracovatel zpracoval k účelu jinému, což by pravděpodobně znamenalo, že subjekt údajů zůstane bez informace o tomto novém účelu. Tímto ustanovením se současně vylučuje možnost obcházení ZoOU⁶ a zároveň je kladen limit libovůli správců, kteří si často myslí, že mají-li nějaké osobní údaje, mohou s nimi nakládat dle svého uvážení a zpracovávat je v podstatě i za jakýmkoli jiným účelem. Snaha zákonodárce zde směřuje k tomu, aby správce nebo zpracovatel nemohl osobní údaje získané například pro poskytování zdravotní péče zpracovávat třeba pro komerční potřeby správce nebo zpracovatele nebo je pro tyto potřeby předávat dalším subjektům pro další jiné zpracování s rozdílným účelem zpracování.⁷

Jedním z nejčastějších způsobů porušení tohoto ustanovení je zveřejnění osobních údajů, které byly získány ke zcela jinému účelu, většinou v souvislosti se vznikem nějaké pohledávky. Byť je často takovéto jednání chápáno jako oprávněná sankce za nesplnění povinnosti dlužníka, je nutno upozornit na to, že zveřejňování údajů o dlužnících a dlužných částkách v souvislosti se vznikem pohledávek je nepřípustným zasahováním do soukromí osob, neboť zpřístupněním takového údaje může dojít k poškození dobrého jména postižených osob v mnoha dalších soukromoprávních i veřejnoprávních vztazích.

Publikování osobních údajů neplatičů je nátlakovým jednáním, které je v rozporu s čl. 10 Listiny základních práv a svobod. Žádný zvláštní zákon správci neumožňuje zveřejnit⁸ osobní údaje subjektu, který porušil některou ze smluvních povinností vyplývající ze soukromoprávních vztahů, např. nezaplacením úhrad nájemného nebo služeb spojených s bydlením. Pokud tedy není zveřejnění osobních údajů zakotveno ve smluvním dokumentu uzavřeném mezi správcem a subjektem údajů jako možný následek v případě nezaplacení, lze ke zveřejnění osobních údajů dlužníka přistoupit pouze tehdy, pokud by s tím subjekt údajů vyslovil souhlas. Není-li souhlas dán, musí správce využít jiných zákonných možností k vymáhání svých pohledávek tak, aby přitom nedošlo k neoprávněnému zásahu do soukromí dlužníka.

Výše uvedená zákonná omezení však nejsou často dodržována. I když lze do jisté míry pochopit snahu o co největší platební kázeň. Uchylovat se k nezákonným postupům však není cestou, jak zjednat nápravu závadového stavu tím spíše, že současná právní úprava ochrany osobních údajů takové jednání neumožňuje. I v tomto případě se takový „morální apel“ či „veřejný pranýř“ často mine účinkem a naopak, takto zveřejnění dlužníci se mohou účinně bránit stížností či podnětem u Úřadu. Prokázané porušení právní povinnosti při zpracování osobních údajů má pak za následek uložení pokuty, která může být i podstatně vyšší, než částky, které jsou ti, jejichž údaje byly neoprávněně zveřejněny, dlužni. Pokud správce trvá na zveřejnění, je nutné si pro tuto formu zpracování (tj. zveřejnění) vyžádat souhlas dotčených osob podle § 5 odst. 2 ZoOU.⁹

Internet, jak už bylo výše naznačeno, je prostředí, které ke zveřejňování přímo láká. Na internetu, a zejména na tzv. sociálních sítích lze najít cokoliv, fotografie samozřejmě nevyjímaje. Je ovšem otázkou, zda se na toto prostředí stávající ZoOU vůbec vztahuje a když ano, tak jaká z toho plynou omezení nebo rizika. Podle názoru autorů se na zveřejňování informací na internetu (označujme tak pro jednoduchost celé prostředí) ZoOU vztahuje. Jedná se totiž o prostředí, které je, zjednodušeně řečeno, přístupné komukoliv a odkudkoliv. Z vymezení pojmu zpracování, jak jej uvádí § 4 písm. e), věta druhá ¹⁰, jednoznačně plyne, že i zveřejňování je zpracování. K tomuto tématu se již také vyjádřil Úřad pro ochranu osobních údajů ve svém stanovisku ¹¹, kde mj. uvedl, že „V případě zákona o ochraně osobních údajů je zmíněná veřejnoprávní regulace - realizovaná prostřednictvím Úřadu pro ochranu osobních údajů (dále jen „Úřad“) - opodstatněna zájmem na ochraně osob před riziky spojenými se zneužitím shromážděných osobních údajů. Hranice působnosti zákona o ochraně osobních údajů jsou vymezeny v jeho § 3, dle kterého je státní zásah opodstatněný v situaci, kdy dochází k určitému systematickému (cílenému) využívání osobních údajů, které neslouží výhradně pro osobní potřeby fyzických osob.

Při aplikaci ZoOU je dále třeba přihlížet k předpisům komunitárního práva, konkrétně směrnici Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „Směrnice“), kterou ZoOU provádí, a také k související judikatuře Evropského soudního dvora. Směrnice, s ohledem na dobu vzniku, neupravuje výslovně otázku zpracování (zveřejňování) osobních údajů na internetu, nicméně konstatuje, že do působnosti Směrnice spadá především automatizované zpracování dat - tj. zpracování s pomocí výpočetní techniky. Tento fakt je třeba vnímat jako základní východisko k závěru, že ani oblast internetu není z působnosti Směrnice (a tedy i zákona o ochraně osobních údajů) vyloučena. Další vodítko poskytuje Evropského soudního dvora, ze které lze především zmínit rozhodnutí zn. C-101/01 ze dne 6. listopadu 2003 (tzv. případ Lindqvist). Podle tohoto rozhodnutí se Směrnice, a tedy pravidla v ní stanovená pro zpracování osobních údajů, uplatní v případě, kdy jsou prostřednictvím webových stránek zveřejňovány informace týkající se určité skupiny osob ¹².

Dalším vodítkem při aplikaci ZoOU je Ústavního soudu České republiky týkající se principu tzv. trestní represe ¹³, kterou je nutno zohlednit nejen v oblasti trestního práva, ale i při správním trestání (tedy při trestání za správní delikty definované v zákoně o ochraně osobních údajů). Ústavní soud ve svých nálezech opakovaně zdůrazňuje, že prostředky trestního práva (a analogicky tedy i správního trestání) lze využít pouze tehdy, pokud užití jiných (soukromoprávních) prostředků ochrany nepřichází v úvahu nebo by bylo jejich využití zjevně neúčelné. Dle názoru Ústavního soudu lze trestněprávní kvalifikaci určitého jednání považovat až za krajní právní prostředek, který má své opodstatnění pouze v případě ochrany základních společenských hodnot. Z uvedených východisek je zřejmé, že aplikace ZoOU na prostředí internetu, které slouží obvykle k realizaci soukromoprávních aktivit, je omezená, nikoli však vyloučená. Při naplnění podmínek uvedených v § 3 tohoto zákona a zachování uvedeného principu , je i zveřejňování osobních údajů na internetu postižitelné prostřednictvím ZoOU. Jinými slovy pro zpracování (tedy zejména zveřejňování) osobních údajů na internetu neplatí žádná výjimka a Úřad je kompetentní posoudit každý případ a rozhodnout, zda došlo k jednání, které zákon č. o ochraně osobních údajů reguluje či nikoli. Skutečnost, že se ne vždy bude jednat o zpracování osobních údajů podléhající uvedenému zákonu, anebo že nebude vždy možné dohledat odpovědnou osobu (tj. z hlediska ZoOU správce či zpracovatele osobních údajů), neznamená, že zde není dána působnost Úřadu, anebo že lze rezignovat na aplikaci ZoOU v této oblasti.

A že Úřad zveřejnění fotografií i sankcionuje, se objevilo i v mediích. Jednalo se např. o kauzu, kdy majitel obchodu zpřístupnil fotografie ze záznamu kamerového systému osoby, o které se domníval, zřejmě i oprávněně, že odcizila v jeho obchodě zboží ¹⁴. Za toto jednání byla uložena podle medií pokuta ve výši 5 000 Kč. V nedávné době pak obdržel pokutu i jiný správce z obce v Jizerských horách, tentokrát ve výši pouhé 2 000 Kč. Tyto informace lze také najít na internetu. Je tedy zřejmé, že Úřad podobné jednání trestá, ač na jeho stránkách nelze zjistit více, pravděpodobně v argumentaci použil již výše zmíněný § 5 odst. 1 písm. f) ZoOU. Na jednu stranu tak sice Úřad plní svoji zákonnou povinnost, tedy dohlížet ZoOU a stíhat jeho porušování, na stranu druhou výše pokuty může také mnoho napovědět. Ta by měla odrážet tzv. společenskou nebezpečnost jednání, nebo chceme-li materiální stránku správního deliktu. A že i v oboru správního práva se tato stránka má posuzovat, plyne i z judikatury Nejvyššího správního soudu¹⁵. Je pak zřejmé, že výše pokuty je spíše symbolická, když Úřad muže udělovat pokuty i výrazně vyšší. Oba zmínění správci tak zřejmě nechají případ dojít až před soud, aby rozhodnutí Úřadu posoudil. Nicméně je zřejmé, že zveřejňování fotografií na internetu, zejména jedná-li se o výstup z nějakého systematického zpracování, je sankcionovatelné, a tak by jednotliví správci osobních údajů měli vážit, zda internet je pro zveřejňování fotografií (osobních údajů) tím nejvhodnějším prostředím, měli by vážit, zda tím nezasáhnou do osobnostních práv jiných lidí, či zda náhodou nemůžou porušit i normu veřejného práva, která některé takové jednání umožňuje sankcionovat.