K poskytování služeb, analýze návštěvnosti a personalizaci reklamy se využívají soubory cookie. Informace o použití webu mohou být sdíleny s dalšími partnery působícími v oblasti sociálních médií, inzerce a analýz. Používáním tohoto webu s tím souhlasíte. Další informace
Veřejné osvětlení – součást bezpečného dopravního prostoru

Zveřejňování údajů na internetových stránkách obce

Datum: 20. 1. 2014, zdroj: OF 5/2013, rubrika: Legislativa

Nedávno udělil Úřad pro ochranu osobních údajů (dále „Úřad“) jedné menší obci na Českolipsku pokutu ve výši 30 tis. Kč za to, že na svých webových stránkách zveřejnila oznámení o přestupku některých svých obyvatel v rozsahu jméno, příjmení a bydliště, ve smyslu označení obce.

V reakci na toto rozhodnutí se zvedla vlna solidarity s jednáním starosty, vyjadřovali se představitelé blízkých i vzdálených obcí, politikové a zaznívaly velmi silné a emocionální výrazy. Starosta dotčené obce se nechal slyšet, že „to není o tom, že my bychom schraňovali údaje, abychom je takto použili. My pouze říkáme našim spoluobčanům, co se stalo v obci a za co vydáváme veřejné prostředky. My jsme přesvědčeni, že jsme neodkryli žádné osobní údaje. My jsme přesvědčeni o tom, že jsme neporušili žádný zákon“. Ve smršti odmítavých reakcí pak jako hlas volajícího v poušti vypadá názor jednoho z diskutujících (právníka), že rozhodnutí Úřadu pro ochranu osobních údajů je v souladu se současnou právní praxí a obec pochybila.

Kdo má pravdu?

Starosta obce zveřejňuje na webových stránkách jak rozhodnutí o udělení pokuty, tak i rozklad, který již podal. Media vyzdvihují „rafinovanou“ obranu a jeden z regionálních deníků uvedl, že velmi zajímavá je pasáž týkající se počtu obyvatel v obci (anonymizováno autorem). Úřad pro ochranu osobních údajů totiž tvrdil, že „údaje o fyzické osobě jsou ve spojení s popisem spáchaného přestupku i s ohledem na velikost obce (836 obyvatel) nepochybně osobní údaje, neboť se vztahují k jednoznačně určitelnému subjektu.“

Obec ale upozornila, že rozpoznat osobu, ke které se údaje vztahují, nemůže záviset na subjektivním poznání nejbližšího okolí, ale že se musí jednat o údaje objektivně a spolehlivě identifikovatelné v zásadě kýmkoli bez specifických znalostí. Obec navíc upozorňuje, že předpoklad Úřadu by v opačném důsledku znamenal, že v obci s větším počtem obyvatel by zveřejnění pouhého jména a obce nevadilo. „V zásadě vždy se může najít někdo, kdo dotyčného identifikuje (např. soused), a proto by jméno a název obce nemohlo být použito ani ve větší obci,“ argumentuje obec.

Podle Úřadu se obec provinila, „neboť zpracovala osobní údaje způsobem, který neodpovídá stanovému účelu. Údaje o fyzické osobě jsou ve spojení s popisem spáchaného přestupku i s ohledem na velikost obce (836 obyvatel) nepochybně osobní údaje, neboť se vztahují k jednoznačně určitelnému subjektu“.

Osobní údaj

Pokusme se tedy objasnit, jak to tedy vlastně je, nebo by mělo být. Především je zřejmé, že Úřad nikterak extrémně nevybočil ze svého aplikačního přístupu. Základ je totiž v právních definicích. Zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „ZoOU“), některé pojmy samozřejmě definuje. A hned dva definované pojmy jsou pro danou věc relevantní.

Především sám pojem „osobní údaj“ je poměrně složitý, ač se to na první pohled nezdá. Zákon jej definuje jako jakoukoliv informaci týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho identitu.

Je zřejmé, že pojem je definičně determinován několika faktory, resp. prvky. Prvním prvkem je vymezen rozsah. To znamená, že osobním údajem je informace, a to jakákoliv. ZoOU tedy informace jako takové nikterak nevymezuje, ale ani nijak neomezuje. Znamená to, že není kladen důraz na pravdivost informace, ba naopak, široká definice jako by předpokládala, že ne každá informace bude pravdivá a ZoOU dává nástroje, jak se s takovou situací vyrovnat. Může se také jednat nejen o informace tzv. objektivní, ale také o různé soudy, hodnocení, závěry a podobně. ZoOU však stanoví, že informace se musí týkat subjektu údajů (tedy fyzické osoby) a tato fyzická osoba pak musí být buď určená, nebo alespoň určitelná. I když lze jistě polemizovat, které informace jsou s to subjekt údajů určit a to natolik přesně, aby nebyla zaměnitelná za jinou fyzickou osobu, lze nepochybně říci, že těmito údaji obecně bude jméno, příjmení, adresa bydliště a případně i rok narození. Na základě těchto údajů bude fyzická osoba identifikována přímo a subjekt údajů tak bude určen.

Fyzická osoba však může být identifikována a tedy určena v některých případech i menším rozsahem údajů. Pak se hovoří o určení nepřímém, tedy identifikovatelnosti, resp. určitelnosti subjektu údajů. ZoOU fakultativním výčtem uvádí, že pro identifikovatelnost je možno použít zejména čísla, kódy nebo jiné prvky vztahující se k fyzické osobě.

Identifikovatelnost

Sám pojem „identifikovatelnost“ je do značné míry složitý. Zvláštní pozornost výrazu „identifikovatelný“ je věnována ve 26. bodu odůvodnění Směrnice 95/46/ES, kde je uvedeno, že „pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou pro identifikaci dané osoby“. To znamená, že pouhá hypotetická možnost jednoznačného určení nějaké osoby nepostačuje k tomu, aby tato osoba byla považována za „identifikovatelnou“. Jestliže s přihlédnutím ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoli jinou osobou, taková možnost neexistuje nebo je zanedbatelná, daná osoba by se neměla považovat za „identifikovatelnou“ a informace o ní za „osobní údaje“.

Zákon uvádí příkladem výčet kriterií, na jejich základě může být fyzická osoba přímo identifikována (a bude tedy určena) anebo nepřímo identifikovatelná (bude tedy určitelná). Těmito kritérii tak mohou být čísla nebo kódy s nějakým vztahem ke konkrétní fyzické osobě anebo větší či menší soubor informaci, charakteristických pro omezenou skupinu fyzických entit. Jedná se tedy buď o jednoznačné odlišení, resp. rozlišení fyzické osoby ve skupině dalších osob anebo o možnost, že postupným skládáním informací lze dojít také určení fyzické osoby.

Bude tedy vždy záležet na konkrétní situaci, nicméně při posuzování rozsahu údajů pro identifikovatelnost bude vždy třeba věnovat patřičnou pozornost tomu, zda se tedy už jedná o osobní údaje nebo nejedená.

Ve shora popsané situaci obec zveřejnila jméno, příjmení a bydliště podezřelého z přestupku. Je tedy na místě zvažovat, zda tento rozsah informací postačí alespoň pro identifikovatelnost. Podle názoru autora stačí. Ač starosta ve svém rozkladu polemizuje s velikostí obce jako s relevantní kategorií při identifikovatelnosti, doktrína mu v tomto případě nesvědčí. Navíc za situace, kdy si ve fotogalerii na webových stránkách obce můžeme onoho podezřelého přestupce i prohlédnout s komentářem, jak „pracuje na zvelebení obce“, aby odčinil svůj prohřešek. Je tedy zřejmé, že ony i minimální zveřejněné rozsahy informací postačí k tomu, aby ona osoba byla určitelná, a tedy se o osobní údaje jedná.

Zpracování

Dalším důležitým a v daném případě relevantním pojmem je pojem „zpracování“. Co je zpracování, to ZoOU samozřejmě také definuje, a to jako „jakoukoliv operaci nebo soustavu operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace“.

Již z výčtu je zřejmé, že jedná-li se o osobní údaje, a to se zřejmě jedná, je i zveřejnění shromážděných informací pojmově zahrnuto pod zpracování. Je jasné, že obec, v tomto případě jako mocenský orgán, úředně jednala, vyhodnotila jednání dotčených osob jako podezření ze spáchání přestupku, tedy údaje shromáždila ve správním spise a zveřejnila jména podezřelých z přestupku včetně popisu tohoto skutku. Úřad to vyhodnotil jako zpracování v rozporu se zákonem, tedy s účelem zákona podle § 5 odst. 1 písm. f) ZoOU a tedy v souladu se svou stávající aplikační praxí.

Lze odhadnout, že obcí podaný rozklad bude asi zamítnut.

Správní žaloby a judikáty

V takovém případě obci nezbude, než se případně hájit správní žalobou. A zde už situace tak jasná být nemusí. Je známo, že i v oblasti zpracování osobních údajů vynesly správní soudy, tedy zejména Nejvyšší správní soud (NSS), několik poměrně překvapivých rozsudků.

Jedním z nich může být i rozsudek č. j. 9 Aps 5/2012 – 56, ve kterém NSS mimo jiné uvedl: „Aby mohlo jít o zpracování osobních údajů ve smyslu uvedeného zákona, musí jít o systematickou činnost prováděnou přímo s osobními údaji. Nejčastější formou takové činnosti bude nepochybně vytvoření určitého uspořádaného souboru osobních údajů. Skutečnost, že důkazní prostředky jsou po jejich získání založeny do daňového spisu, tam jsou uchovávány a v rámci jednotlivých fází daňového řízení či postupů při správě daně jsou následně v různých daňových souvislostech hodnoceny, nemůže naplnit pojem zpracování ve smyslu zákona o ochraně osobních údajů… Ostatně po zjištění, že tyto údaje nejsou s ohledem na stanovený účel přesné, byli povinni bez zbytečného odkladu provést přiměřená opatření, zejména zpracování blokovat, osobní údaje opravit či doplnit, jinak osobní údaje zlikvidovat. Závěr žalovaného (rozumněj Úřadu), že každý spis vytvořený podle příslušného procesního předpisu bude představovat zpracování osobních údajů… vede v konečném důsledku k natolik extenzivnímu výkladu pravomoci žalovaného, který má za následek porušení dělby moci uvnitř exekutivy“.

Z hlediska identifikovatelnosti, resp. osobních údajů jako takových pak není bez zajímavosti rozsudek Nejvyššího správního soudu, čj. 9 As 34/2008 – 68, ve kterém uvedl, že „plná identita fyzické osoby v současných podmínkách vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno dostupná, ve své podstatě neznamená nic jiného, než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu osobní údaj nemůže omezit striktně jen na znalost např. rodného čísla, adresy či pracoviště subjektu údajů. Z tohoto pohledu je za osobní údaj třeba považovat i číslo mobilního telefonu určité osoby byť zároveň nijak nespecifikuje jeho identitu. Prostřednictvím tohoto čísla je však možno daný subjekt v určitém časovém úseku přímo kontaktovat (což se ostatně stalo i v posuzovaném případě), a tento subjekt je tak dosažitelný a jistým způsobem určitelný, a to případně i bez znalosti jeho jména a dalších údajů, které již vazbu na jeho fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu mají“.

Je tedy zřejmé, že zatímco posledně zmiňovaný rozsudek zřejmě svědčí o tom, že Úřad zveřejněné rozsahy informací vyhodnotil jako informace vztahující se ke konkrétní fyzické osobě a tedy jako osobní údaje, vyhodnocení naložení s nimi jako se zpracovatelskou operací již tak přesné být nemusí, jak o tom svědčí první z uvedených rozsudků. Otázkou pak také může být, zda se v daném případě dá hovořit o společenské nebezpečnosti zveřejnění.

I k tomuto problému se již vyjádřil NSS, když ve svém rozsudku č. j. 8 As 17/2007 – 135 uvedl, že „pro trestnost správního deliktu musí existovat míra společenské nebezpečnosti vyšší než malá. Pokud se společenská nebezpečnost formálně protiprávního jednání blíží nule, nebo je vyvážena či převážena pro společnost pozitivním přínosem, nelze po materiální stránce uvažovat o správním deliktu. Nedostatek společenské nebezpečnosti nemá odraz ve výši sankce, nýbrž v neexistenci důvodů správního řízení, a správní orgán je povinen řízení zastavit, neboť odpadl důvod jeho zahájení“.

Aplikační praxe a soudní rozhadnutí

Z hlediska aplikační praxe pak stačí připomenout, že i na zpracování osobních údajů účastníků řízení o přestupku nebo správního řízení (fyzických osob) za účelem vedení tohoto řízení se vztahuje ustanovení § 5 odst. 2 písm. a) ZoOU, tedy ustanovení umožňující zpracovávat osobní údaje i bez souhlasu subjektu údajů. Ke zpracování osobních údajů získaných za účelem vedení řízení o přestupku a správních řízení k jinému účelu, např. k informování veřejnosti zveřejněním případů na internetových stránkách nebo v tisku, se ovšem uvedená výjimka již nevztahuje a platí zde povinnost správce osobních údajů podle § 5 odst. 2 ZoOU zpracovávat osobní údaje pouze se souhlasem subjektů údajů (tj. účastníků řízení o přestupku a správních řízení). Pokud tedy žádný zákon neukládá správci osobních údajů povinnost zveřejňovat pravomocná rozhodnutí, natož pak jen pouhá podezření, a tedy i osobní údaje podezřelých fyzických osob, neomezenému okruhu příjemců, tak jak k tomu dochází, jsou-li údaje umístěny na internetových stránkách, je takový postup nezbytné považovat za porušení povinnosti stanovené v § 5 odst. 1 písm. f) ZoOU., tj. povinnosti zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny.

Zveřejnění podezření ze spáchání přestupku, natož pak případně i rozhodnutí o přestupku nebo správním deliktu nelze odůvodnit snahou o preventivní působení na širokou veřejnost. Účelem sankce uložené v přestupkovém či správním řízení není, na rozdíl od trestů uložených podle trestního zákoníku, výchovné působení na všechny členy společnosti. V souladu s obecně menší závažností jednání naplňujících skutkové podstaty přestupků a správních deliktů, v porovnání s trestnými činy, je také řízení podle správního řádu, resp. přestupkového zákona obvykle neveřejné. Zveřejněním osobních údajů v souvislosti s informací o uložení pokuty za přestupek či správní delikt může dojít k poškození jména dotčené osoby v mnoha soukromoprávních i veřejnoprávních vztazích, zvláště pokud tato informace byla zpřístupněna širšímu okruhu osob. Takový postup je možné považovat za opakovaný postih v téže věci, resp. postih nad rámec pravomocí konkrétního správního orgánu

Je tedy zřejmé, že i relativně banální případ může mít nezvyklé právní konsekvence a pokud bude podána i správní žaloba a případně i kasační stížnost, až s poměrně s velkým časovým odstupem se dozvíme, zda ona obec spáchala či vlastně nespáchala správní delikt, za nějž jí byla uložena pokuta.

JUDr. Václav Bartík

TOPlist
TOPlist