Dobrý pověřenec není policajt, ale chytrá navigace – díl II.

Ačkoliv Obecné nařízení o ochraně osobních údajů (GDPR) zavedlo funkci pověřence pro ochranu osobních údajů, úlohou pověřence je pouze metodická pomoc, tvorba doporučení a kontrola souladu zpracování osobních údajů s pravidly na jejich ochranu. Konečná odpovědnost za správné zpracování zůstává na správci. V minulém čísle jsme podrobně definovali úkoly pověřence, v následujícím textu se dočtete, jakou roli hraje při zpracování správce, jaké jsou jeho povinnosti a co obci hrozí, pokud nebude dodržovat předpisy vztahující se k ochraně osobních údajů. 

Co je úlohou správce?

Správce (obec) musí zapojit pověřence do všech aktivit, které mají co do činění s osobními údaji. Co si pod tím představit? Hlavně musí (ano, opravdu je to výslovně stanovená povinnost v čl. 38 odst. 1 ON) informovat pověřence o jednotlivých procesech, které probíhají v organizaci, včetně zamýšlených nových činností, ve kterých se zpracovávají osobní údaje. Musí pravdivě a úplně informovat pověřence, jak s osobními údaji nakládá. Ale nejen následně! Má výslovnou povinnost projednat s ním každý nový nápad, který se osobních údajů týká. ON doslova uvádí, že pověřence „náležitě a včas zapojí do veškerých záležitostí souvisejících s ochranou osobních údajů”. Například může jít jen o nápad na instalaci nové kamery, zakoupení zamykacího systému na osobně přidělené čipy anebo uspořádání ankety mezi občany a zveřejnění výsledků. Jedině tak může pověřenec s respektováním výše uvedených pravidel už od počátku doporučit nejlepší postup pro řešení problému a pomůže tak správci vyhnut se budoucím problémům. 

Co správce nesmí?

Správce ovšem nesmí vydávat pověřenci pokyny, jak danou záležitost řešit, například na něj tlačit, jakého výsledku má při posouzení a návrhu řešení dosáhnout, jak šetřit stížnost nebo zda konzultovat dozorový úřad. Dále nesmí chtít po pověřenci, aby přijal určité stanovisko k záležitosti související s právním předpisem týkajícím se ochrany údajů, například konkrétní výklad daného právního předpisu ve prospěch zamýšleného řešení problému ze strany správce.

I banální problém může vyústit v pokutu

Zákon č. 110/2019 Sb., o zpracování osobních údajů, sice upustil od správního trestání vůči orgánům veřejné moci, to ale platí jen o deliktech na poli ON. Česká právní úprava ovšem zná situace, kdy lze obec či školu potrestat podle jiných právních předpisů, a zejména se mohou efektivně bránit sami dotčení lidé.

Typicky může dojít k soukromoprávnímu sporu, kdy se poškozený – občan, zákonný zástupce dítěte, dožaduje náhrady nemajetkové újmy například na základě úniku dat nesprávným úředním postupem nebo neoprávněným zveřejněním. Pro soud by pak představovalo nesplnění povinností podle ON (např. správce nekonzultoval s pověřencem, nerespektoval jeho doporučení) hrubou nedbalost spojenou s výkonem funkce. To může znamenat příklon soudu k vyšší náhradě újmy. 

Neoprávněné nakládání s osobními údaji jako nedbalostní trestný čin?

Trestní zákoník pak v § 180 definuje neoprávněné nakládání s osobními údaji jako nedbalostní trestný čin, kdy není nutné dokazovat úmysl. Podmínkou je způsobení vážné újmy na právech nebo oprávněných zájmech osoby při nakládání s osobními údaji shromážděnými v souvislosti s výkonem veřejné moci. Typicky by mohlo jít o situace v oblasti školství, kdy jsou zveřejněny, zpřístupněny, uchovávány či využívány osobní údaje chráněné mlčenlivostí. 

A nakonec obce i školy podléhají kontrole ze strany různých kontrolních orgánů. Zde je možné zmínit např. inspektoráty práce, které mohou udělovat pokuty za nepřípustné sledování zaměstnanců kamerami, ale od roku 2019 i za špatné nakládání s osobními údaji v osobních složkách zaměstnanců. Jedním z nejčastějších prohřešků je uchovávání kopií dokladů v osobních spisech zaměstnanců. Zaměstnavatel je totiž povinen do osobního spisu pouze zaznamenat, že zaměstnanec požadované údaje doložil, a potvrdit, kdo, kdy a na základě jakých dokladů to ověřil.

Spolupracujte s pověřencem, vyhnete se problémům

Poučení, které z výše uvedeného vyplývá, je jednoduché: Když správce může prokázat součinnost s pověřencem, hraje to jednoznačně v jeho prospěch. Nezapomeňte proto zapojovat pověřence do rozhodnutí o implementaci nové služby, pro kterou je ovšem nezbytné zpracovávat i osobní údaje fyzických osob. Můžete tak předejít mnohým problémům. 

Lenka Matějová

koordinátorka služeb pověřenců