Na koho se vztahuje zákon o ochraně osobních údajů?
Z emailu jednoho majitele autoškoly:
Jediné, co o svých žácích vím, jsou údaje obsažené v „Žádosti o řidičské oprávnění“. V této žádosti mi uchazeč sděluje své jméno, datum narození a adresu. Domnívám se, že tyto údaje jsou víceméně „veřejné“, neboť je při troše štěstí najdu např. v telefonním seznamu i když připouštím, že zejména některé ženy den narození velice pečlivě tají. O zdravotním stavu vím pouze to, že žák je zdravotně způsobilý k řízení vozidla, což s největší pravděpodobností nebude nic tajného a neveřejného, abych to musel utajovat, takže se domnívám, že se na mě zákon o ochraně osobních údajů nevztahuje. Poslední údaj na žádosti je rodné číslo, které však uchazeč o ŘP vyplňuje až v době podání žádosti o UDĚLENÍ ŘIDIČSKÉHO OPRÁVNĚNÍ na příslušném obecním úřadě.
Odpověď:
Zákon č. 101/2000 Sb., o ochraně osobních údajů (dále jen ZOOÚ) se vztahuje na jakékoli zpracování osobních údajů (stanovuje sice dvě výjimky jako je zpracování osobních údajů fyzickou osobou pro osobní potřebu (§ 3 odst. 3 ZOOÚ) a nahodilé shromažďování, pokud nejsou osobní údaje dále zpracovány (§ 3 odst. 4 ZOOÚ), což mimo jiné znamená dále uchovávány, protože uchovávání je jeden ze způsobů zpracování (§4 písm e) ZOOÚ).
Provozování autoškoly nespadne a ni do jedné z kategorií výjimek. Pokud provozujete autoškolu, tak máte podle zákona č.247/2000 Sb., o získávání a zdokonalování odborné způsobilosti k řízení motorových vozidel a o změnách některých zákonů, vést evidenční knihu (§ 27 odst. 5), která obsahuje osobní údaje. V tomto případě jste tedy správcem osobních údajů, který zpracovává osobní údaje na základě zákona. ZOOÚ pak dává těmto správcům osobních údajů ze zákona „povinnost zajistit, aby údaje týkající se zejména účelu zpracování, kategorií osobních údajů, kategorií subjektů údajů, kategorií příjemců a doby uchovávání, byly zpřístupněny dálkovým přístupem“ (§ 18 odst. 2). Při prohlížení Vašich webových stránek by měl tedy každý tyto údaje najít.
Co se týká Vašeho názoru, že na údajích, které máte k dispozici, není nic, co by se nedalo najít jinde, tak to máte jistě pravdu. Pro působnost zákona však nemá význam, zda jde o údaje jež jsou obecně dostupné či nikoli. Tato obecná dostupnost údajů se projeví jeho určitý předpoklad, který je podmínkou pro existenci určité povinnosti, případně výjimky z určité povinnosti správce osobních údajů. V nejobecnější rovině lze říct, že pokud jde o údaje oprávněně zveřejněné (např. v telefonním seznamu), tak na jejich zpracování není třeba souhlasu subjektu údajů (§5 odst. 2 písm. d) ZOOÚ), jiné povinnosti je však správce osobních údajů povinen plnit nadále (např. vyhovět právu subjektu údajů na přístup ke svým informacím - § 12 ZOOÚ).
Obecně je tedy třeba rozlišit podmínky působnosti zákona (§ 3 ZOOÚ) a podmínky (hypotézy) právní normy, která je v zákoně obsažena (např. § 5 odst. 2 písm a), § 5 odst. 2 písm b), § 5 odst. 2 písm c) atd.)
Většina lidí si rovněž myslí, že ochrana osobních údajů je o souhlasu subjektu údajů se zpracováním osobních údajů. Pokud je však zvláštní zákon, který souhlas subjektu údajů nepředpokládá, pak je možné zpracovávat osobní údaje bez souhlasu. Takhle úvaha je logická, vztahuje se však na jednu dílčí povinnost správce osobních údajů a nikoli na působnost celého ZOOÚ.
Reakce na odpověď:
Musím Vám vysvětlit, co obsahuje evidenční kniha podle zákona 247/200 Sb. Do této knihy se pouze opisují data uvedená na žádosti o udělení řidičského oprávnění tedy – jméno a příjmení,datum narození a bydliště, dále datum zahájení a ukončení výcviku. Takže si stále myslím, že osobní údaje mých žáků nespadají pod ZOOÚ. Již v době nabytí účinnosti tohoto zákona bylo zrušeno uvádění rodného čísla na žádosti, což byl jediný údaj spadající pod tento zákon, jak nám vysvětlil právník při pravidelné poradě majitelů autoškol.
Odpověď:
Nesmíte právníkům všechno věřit (což ostatně děláte, když nevěříte mě). Používání rodného čísla je specifická záležitost, která se ochrany osobních údajů sice týká, ale má svoji zvláštní regulaci stanovenou zákonem o evidenci obyvatel.
ZOOÚ je o ochraně jakýchkoli osobních údajů (nejen rodných čísel), dokonce se o rodném čísle nikde v textu zákona nic nedozvíte. Většina lidí si dokonce myslí, že tento zákon se vztahuje pouze na identifikační údaje (tedy na jméno, příjmení a rodné číslo), ale podle definice osobních údajů uvedené v zákoně osobními údaji jsou „jakékoli informace týkající se určeného nebo určitelného subjektu údajů“ (§4 písm. a) ZOOÚ). Osobními údaji tedy nejsou jenom jméno, příjmení, rodné číslo (pomocí nich se pouze subjekt údajů určuje), ale i jakékoli další údaje, které se ke konkrétní fyzické osobě vážou, tedy např. údaje o jejích absencích na hodinách v autoškole, o jejích řidičských oprávněních, o jejích studijních výsledcích atd.
Vaše reakce, že se na činnost autoškoly nevztahuje ZOOÚ je poměrně typická. S tímto názorem se lze setkat i od představitelů různých úřadů, nemocnic, škol, podnikatelů a dalších. Nebudu již teď argumentovat ustanovením zákona, ale spíše v obecném duchu. Na koho se tedy tento zákon vztahuje, když si stát kvůli kontrole subjektů, na které se zákon vztahuje, založil dokonce speciální úřad (Úřad pro ochranu osobních údajů), který zaměstnává x desítek ne-li stovek zaměstnanců? Dokonce to není ani výmysl státu, ale stejné úřady fungují všude po Evropě, protože je to povinnost jednak členských států EU a jednak států sdružených v Radě Evropy. Koho tihle lidi tedy kontrolují, když se zákon na nikoho nevztahuje?