Ochrana osobních údajů je v současné době v rámci Evropské unie upravena směrnicí č. 95/46/ES , o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Tento základní dokument však vznikl již v roce 1995, a neřeší proto některé situace, které se postupně objevily s rozšiřujícím se rozsahem zpracování osobních údajů v internetovém prostředí.
Právo „být zapomenut“
JUDr.
Eva
Janečková
Z judikatury
Některé ze vzniklých otázek řešil Soudní dvůr Evropské unie (EU). Jedním z nejdiskutovanějších případů je rozsudek velkého senátu Soudního dvora EU ze dne 13. 5. 2015 ve věci Google Spain SL, Google Inc. proti Agencia Espagnola de Protección de Datos (AEPD) a Mario Costeja González (C-131/12) (dále jen „Rozsudek“), který začal pracovat s právem být zapomenut („right to be forgotten“).
Dne 5. 3. 2010 M. Costeja González, španělský státní příslušník s bydlištěm ve Španělsku, podal stížnost proti společnosti, která v Katalánsku (Španělsko) vydává vysokonákladový deník, jakož i proti společnostem Google Spain a Google Inc. Tato stížnost se zakládala na skutečnosti, že se po zadání jména M. Costeja Gonzáleze do internetového vyhledávače skupiny Google objevuje odkaz na dvě strany deníku ze dne 19. 1. a 9. 3. 1998, na kterých je oznámení uvádějící jméno M. Costeja Gonzáleze v souvislosti s dražbou nemovitostí zabavených v důsledku dluhů na sociálním zabezpečení.
Touto stížností se M. Costeja González na jedné straně domáhal, aby společnosti La Vanguardia bylo uloženo odstranění nebo změna uvedených stránek tak, aby se na nich neobjevovaly jeho osobní údaje, nebo aby bylo využito nástrojů, které vyhledávače poskytují k ochraně uvedených údajů. Na druhé straně usiloval o to, aby byla společnosti Google Spain nebo společnosti Google Inc. uložena povinnost vymazat či skrýt jeho osobní údaje tak, aby se přestaly objevovat ve výsledcích vyhledávání a přestaly být propojeny s odkazy na deník. M. Costeja González v tomto kontextu tvrdil, že pohledávky zajištěné zabavenými nemovitostmi byly již několik let v plné výši uhrazeny a že zmínka o nich je tedy irelevantní.
Soudní dvůr EU rozhodl takto:
1.
Činnost vyhledávače spočívající ve vyhledávání informací zveřejněných nebo umístěných na internetu třetími osobami, v jejich automatickém indexování, v jejich dočasném ukládání a konečně v jejich poskytování uživatelům internetu v určitém preferenčním pořadí musí být kvalifikována jako „zpracování osobních údajů“, pokud uvedené informace obsahují osobní údaje. Provozovatel uvedeného vyhledávače musí být považován za „správce“ odpovědného za dané zpracování.
2.
Zpracování osobních údajů je prováděno v rámci činností provozovny správce na území členského státu ve smyslu uvedeného ustanovení, pokud provozovatel internetového vyhledávače zřídí v členském státě pobočku nebo dceřinou společnost určenou k podpoře prodeje a k prodeji reklamního prostoru nabízeného tímto vyhledávačem, která zaměřuje svou činnost na obyvatele tohoto členského státu.
3.
Za účelem respektování práv musí provozovatel vyhledávače vymazat ze zobrazeného seznamu výsledků vyhledávání provedeného na základě jména osoby odkazy na webové stránky zveřejněné třetími osobami a obsahující informace týkající se této osoby rovněž v případě, že toto jméno nebo tyto informace nebyly předtím nebo současně vymazány z uvedených webových stránek, a to případně i tehdy, jestliže je jejich zveřejnění na uvedených stránkách samo o sobě v souladu se zákonem.
4.
V rámci posouzení podmínek pro uplatnění směrnice č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen „Směrnice“), je třeba zejména přezkoumat, zda má subjekt údajů právo na to, aby daná informace týkající se jeho osoby za současného stavu již nebyla nadále spojena s jeho jménem prostřednictvím zobrazeného seznamu výsledků vyhledávání provedeného na základě jeho jména, aniž přitom konstatování takového práva předpokládá, že zahrnutí dotčené informace do uvedeného seznamu subjekt údajů poškozuje. Vzhledem k tomu, že posledně uvedený subjekt může s ohledem na svá základní práva požadovat, aby dotčená informace již nebyla nadále poskytována široké veřejnosti na základě jejího zahrnutí do takového seznamu výsledků, převládají uvedená práva v zásadě nejen nad hospodářským zájmem provozovatele vyhledávače, ale rovněž nad zájmem veřejnosti nalézt uvedenou informaci při vyhledávání prováděném na základě jména subjektu údajů. Avšak nebylo by tomu tak v případě, kdy by se z konkrétních důvodů, jako je úloha subjektu údajů ve veřejném životě, jevilo, že zásah do jeho základních práv je odůvodněn převažujícím zájmem uvedené veřejnosti mít na základě tohoto zahrnutí k dotčené informaci přístup.1)
Soudní dvůr EU tedy došel k závěru, že činnost poskytovatele služby internetového vyhledávače, spočívající v indexování internetových stránek a poskytování odkazů na ně, je zpracováním osobních údajů ve smyslu Směrnice. Poskytovatel této služby je potom v postavení správce takto indexovaných či odkazovaných údajů se všemi povinnostmi, které jsou správci uloženy.
Jednou z povinností správce údajů je na základě námitky dotčené osoby posoudit, zda jím prováděné zpracování údajů této osoby je i nadále legální a legitimní. V případě, že tomu tak není, je správce povinen zpracování zastavit či upravit tak, aby byla v plné míře chráněna práva dotčené osoby. K realizaci tohoto práva soud uvedl, že fyzická osoba může za určitých okolností požadovat přímo na poskytovateli služeb internetového vyhledávače, aby zabránil přístupu k jejím osobním údajům zobrazeným ve výsledku vyhledávání podle jména této osoby, jinak řečeno, aby konkrétní výsledek takovéhoto vyhledávání nezobrazoval.2)
Lhůta pro uplatnění tohoto práva nebyla stanovena, ale z Rozsudku vyplývá, že čím starší je informace, kterou je možné o dané osobě ve webovém vyhledávači nalézt, tím se snižuje povinnost provozovatele webového vyhledávače tuto informaci odstranit.
Při posuzování žádosti o využití „práva být zapomenut“ je každá žádost posuzována individuálně. Nelze proto jednoznačně spoléhat na to, že každé žádosti bude vyhověno, neboť Směrnice neupravuje všeobecné právo být zapomenut v tom smyslu, že subjekt údajů má nárok na omezení nebo ukončení šíření osobních údajů, které jsou podle jeho názoru škodlivé, nebo odporují jeho zájmům.
Pokud je žádost shledána oprávněnou, dojde sice k vymazání předmětných URL odkazů z webového vyhledávače, ovšem pouze v rámci národní, resp. evropské, verze webového vyhledávače. Údaj není navíc smazán beze stopy. Vyhledávač totiž upozorní, že nějaký výsledek hledání byl smazán.
Dalším problémem současného řešení je fakt, že – jak již bylo uvedeno výše – dojde k vymazání pouze z webového vyhledávače, nikoli však přímo z webové stránky, na které jsou předmětné informace uloženy. Jedná se totiž o dva různé subjekty, u kterých je nutné požádat o stažení předmětných informací z webu.
Nová pravidla v oblasti ochrany osobních údajů
Dne 27. 4. 2016 schválil Evropský parlament konečnou podobu nařízení Evropského parlamentu a Rady (EU) 2016/679 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „Nařízení“). Jedná se o nová pravidla v oblasti ochrany osobních údajů. Nařízení EU jsou pro členské státy závazná a přímo použitelná. Platí v celém svém rozsahu v celé EU. To znamená, že zmíněné Nařízení nahradí dosud platnou právní úpravu realizovanou Směrnicí, a v případě České republiky i zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů. Směrnici musí členské země do 6. 5. 2018 převést do vnitrostátní legislativy, Nařízení začne platit od 25. 5. 2018.
Nařízení reflektuje aktuální problémy ve zpracování osobních údajů, včetně zpracování osobních údajů v internetovém prostředí. Upravuje výslovně i právo být zapomenut. První zmínku je možné nalézt v recitálu 65, který říká, že fyzická osoba by měla mít právo na opravu osobních údajů, které se jí týkají, a „právo být zapomenuta“, pokud uchovávání těchto údajů porušuje toto Nařízení nebo právo Unie či členského státu, které se na správce vztahuje. Subjekt údajů by zejména měl mít právo na to, aby jeho osobní údaje byly vymazány a nebyly dále zpracovávány, pokud již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány, pokud subjekt údajů odvolal svůj souhlas se zpracováním nebo pokud vznesl námitku proti zpracování osobních údajů, které se jej týkají, anebo pokud je zpracování jeho osobních údajů v rozporu s tímto Nařízením z jiných důvodů. Toto právo je obzvláště důležité v případech, kdy subjekt údajů dal svůj souhlas v dětském věku a nebyl si plně vědom rizik spojených se zpracováním a později chce tyto osobní údaje zejména na internetu odstranit. Subjekt údajů by měl mít možnost toto právo uplatnit bez ohledu na skutečnost, že již není dítě. Další uchovávání osobních údajů by však mělo být zákonné, pokud je to nezbytné k uplatnění práva svobody projevu a informací, z důvodu splnění právní povinnosti, provádění určitého úkolu ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce, z důvodů veřejného zájmu v oblasti veřejného zdraví, pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely nebo pro určení, výkon nebo obhajobu právních nároků.
Nařízení se také věnuje výše již zmíněné situaci, kdy k úplnému vymazání je nutné, aby subjekt údajů kontaktoval několik správců a jednal na několika úrovních. Recitál 65 Nařízení konstatuje, že aby bylo v internetovém prostředí posíleno právo být zapomenut, mělo by být rozšířeno právo na výmaz tím, že by správce, který zveřejnil osobní údaje, měl povinnost informovat správce, kteří osobní údaje zpracovávají, aby vymazali veškeré odkazy na dané osobní údaje či veškeré jejich kopie nebo replikace. Přitom by měl správce učinit vhodné kroky, s přihlédnutím k dostupné technologii a prostředkům, které má k dispozici, včetně uplatňování technických opatření, s cílem informovat správce, kteří tyto osobní údaje zpracovávají, o žádosti subjektu údajů.
Zcela konkrétně se právu být zapomenut, resp. právu na výmaz věnuje Nařízení ve svém článku 17.
Podle tohoto článku má subjekt údajů právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a)
osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány,
b)
subjekt údajů odvolá souhlas, na jehož základě byly údaje zpracovány, a neexistuje žádný další právní důvod pro zpracování,
c)
subjekt údajů vznese námitky proti zpracování a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování,
d)
osobní údaje byly zpracovány protiprávně,
e)
osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje,
f)
osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti.
Jestliže správce osobní údaje zveřejnil a je povinen je vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.
Výše uvedené se neuplatní, pokud je zpracování nezbytné:
a)
pro výkon práva na svobodu projevu a informace,
b)
pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen,
c)
z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu,
d)
pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely, pokud je pravděpodobné, že by právo uvedené v čl. 17 odst. 1 Nařízení znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování,
e)
pro určení, výkon nebo obhajobu právních nároků.
Nové Nařízení tedy významně posiluje postavení subjektu údajů, když výslovně v závazné právní normě stanoví právo, které dosud vyplývalo pouze z judikatury a jehož provedení nebylo vymezeno vůbec.
Zdroj: Odborný portál DAUC.cz, 2017.
1) Rozsudek velkého senátu Soudního dvora EU ze dne 13. 5. 2015 ve věci
Google Spain SL, Google Inc. proti Agencia Espagnola de Protección de Datos (AEPD) a Mario Costeja González (C-131/12)
[online]. Dostupné z: http://curia.europa.eu/juris/document/document.jsf?text=&docid=152065&pageIndex=0&doclang=CS&mode=lst&dir=&occ=first&part=1&cid=268633.2)
Doporučení Úřadu pro ochranu osobních údajů a Sdružení pro internetový rozvoj k právu být zapomenut v rámci internetových vyhledávačů
[online].. Dostupné z https://www.uoou.cz/VismoOnline_ActionScripts/File.ashx?id_org=200144&id_dokumenty=12185.