Úřad pro ochranu osobních údajů


International


Vyhledávání

 

GDPR telefonní linka

Základní odkazy


Cesta: Titulní stránka

 

Citlivé údaje v nekomerčním sektoru

 

 
 

Církevní právnická osoba O. se začala v souvislosti s jinými vnitřními problémy podrobněji zabývat povinnostmi a právy vyplývajícími jí a jejím členům ze zákona o ochraně osobních údajů. Někteří její členové medializovali problém zpřístupnění údajů o více než tisíci členech dvěma dalším příjemcům, jiní se v téže věci obrátili s podnětem na Úřad. Na Úřad se dále obrátili jiní členové s obavami, že jednotliví členové O. zneužili členskou databázi a že členská evidence je vedena v rozporu se zákonem.

  • Souběžně s kontrolou podle zákona o ochraně osobních údajů prováděnou Úřadem se toutéž věcí zabývaly také orgány činné v trestním řízení. Kontrolou provedenou v I. pololetí roku 2005 bylo zjištěno, že O. osobní údaje svých členů zjišťuje, shromažďuje, zaznamenává na nosiče informací, uchovává a dále používá pro organizování vlastní činnosti a poskytování individuálních služeb členům. Při poskytování služeb členům a nebo v přímé souvislosti s nimi O. zjišťuje nebo vytváří o dotčených členech další osobní údaje. O. zpracovává osobní údaje členů v listinné podobě - shromažďuje, zpracovává a archivuje žádosti o přijetí za člena O. Žádosti obsahují osobní údaje žadatelů a jejich příbuzných a přílohy je dokumentující. Osobní údaje jsou zapisovány do paměťových médií automatizovaného informačního systému. Počínaje prvotním shromážděním údajů uchazeče o členství jsou zpracovávány údaje citlivé.
  • Žadatelé jsou informování, jaké osobní údaje mají poskytnout. Členové O. jsou informováni o osobních údajích potřebných pro poskytnutí některých služeb, např. sociálních. Členové nejsou informováni o dalším nakládání s osobními údaji. Osobní údaje členů byly v době kontroly veřejně dostupné na webových stránkách O. Tyto údaje bylo dále možné veřejně získat v článcích měsíčníku R. Ten v listinné podobě uvádí také jména a příjmení členů O., kteří se dožívají životního jubilea. Měsíčník je distribuován třetí osobou k volnému prodeji do několika knihkupectví v P. a předplatitelům; dostupný je rovněž na webových stránkách O.
  • Zpracování osobních údajů a případně jiné nakládání s nimi je vnitřními předpisy O. upraveno jen zčásti; jiné dokumenty způsobilé plnit stejnou funkci mají fragmentární povahu a určení. Přijatým Opatřením předsedy k ochraně osobních údajů se O. nikdy důsledně neřídila. Za hlavní věcný důvod tohoto stavu je třeba považovat, že vnitřní předpis neodpovídá potřebám a organizaci činnosti O.
  • O. nemá povinnost prokázat výslovný souhlas podle ustanovení § 9 písm. a) zákona o ochraně osobních údajů; postup při zpracování se řídí primárně ustanovením § 9 písm. e). Ustanovení pod písm. e) se použije proto, že na O. se pohlíží jako na subjekt splňující podmínky tohoto ustanovení. O. porušila povinnost vyplývající jí z tohoto ustanovení tím, že osobní údaje byly nejméně ve dvou případech v roce 2004 zpřístupněny jinému příjemci bez souhlasu subjektu údajů. Skutečnost, že O. zpracovává údaje některých členů také podle dalších ustanovení § 9 zákona o ochraně osobních údajů, např. podle písm. c), nemá vliv na porušení povinnosti podle písm. e); ve zpracování prováděném podle těchto (jiných ustanovení) nebyly zjištěny známky porušení povinnosti. Právní úprava povinnosti platná ke dni zahájení kontroly se použila proto, že je to pro O. příznivější a s přihlédnutím ke skutečnosti, že podle úpravy účinné do 25. července 20041 měla O. navíc povinnost podle § 9 písm. a), kterou neplnila.Povinnosti podle ustanovení § 9 písm. e) zákona o ochraně osobních údajů v platném znění O. dále opakovaně porušila tím, že vybrané osobní údaje členů zveřejňovala a neprokázala souhlas dotčených členů O. se zveřejněním nebo zveřejňováním.
  • O. předala v létě roku 2004 osobní údaje všech členů společnosti D.; smluvní dokumenty v této věci jsou psány natolik obecně, že operace prováděné s osobními údaji nepojmenovávají a nevymezují. Rozsah, v němž s osobními údaji D. nakládala, se kontrolou nepodařilo zjistit, neboť pro to celým průběhem smluvní spolupráce nebyly vytvořeny podmínky. Nebylo zjištěno, že by subjekty údajů, s výjimkou předsedy a zaměstnanců O., podílejících se na zajištění smluvní spolupráce, s předáním souhlasily, nebo byly o něm informovány. V rámci forenzního auditu, prováděného pro O. byl společnosti E. poskytnut otisk serveru a počítače ekonoma O. Součástí otisku byla i databáze členské evidence O. Smlouva a přílohy k ní operace prováděné s osobními údaji členů O. nepojmenovávají a nevymezují, a to ani na úrovni operace nadřízené, tj. pořízení otisku paměťového média. Rovněž u E. nebylo zjištěno, že by subjekty údajů s předáním souhlasily, nebo byly o něm informovány. O předání osobních údajů, k němuž neobdržel pokyn nebo přivolení orgánů O. nebo dotčených subjektů údajů, rozhodl předseda O. Na realizaci rozhodnutí se podílely další osoby.
  • To, že nebyl zjištěn dokument, jímž by členové O., jejichž osobní údaje byly předány D. a E., byli o tomto předání předem informováni, je porušením povinnosti O. podle ustanovení § 11 odst. 1 informovat při shromažďování osobních údajů subjekt údajů o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny. Tyto informace nejsou prokazatelně subjektu předem, tj. již známy. O. dále porušila povinnost podle § 11 odst. 1 tím, že uchazeče o členství a členy neinformovala o právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21. Zde posuzované povinnosti podle § 11 O. porušila podle právní úpravy platné ke dni předání osobních údajů jiným příjemcům, tj. podle zákona o ochraně osobních údajů, ve znění zákona č. 177/2001 Sb.; povinnosti byly upraveny ustanoveními odst. 1 až 3 a odst. 5 se stejným dosahem jako znění povinnosti podle úpravy platné ke dni zahájení kontroly.Povinnosti podle ustanovení § 11 odst. 1 a 2 zákona o ochraně osobních údajů v platném znění O. nadále porušovala po celou dobu trvání kontroly: poněvadž O. zpracovává osobní údaje získané od subjektu údajů, musí své členy (uchazeče o členství) poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Členům O. nebyly poskytnuty informace a poučení vyžadované zákonem. Nebylo doloženo ani poskytování požadovaných informací a poučení uchazečům o členství, resp. nově přijímaným členům, přičemž za plnění by byly považovány i dokumenty těmto subjektům údajů určené. Užívané formuláře obsahují pouze informace o tom, kdo bude osobní údaje zpracovávat.Povinnosti podle ustanovení § 11 odst. 1 a 2 zákona o ochraně osobních údajů v platném znění O. neporušila tím, že vybrané osobní údaje členů zveřejňovala výše popsanými způsoby a formami.
  • Tím, že osobní údaje členů opakovaně poskytla z vlastního rozhodnutí jiným příjemcům, porušila O. povinnost dbát na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů podle § 10 zákona o ochraně osobních údajů. Zasahováním do soukromého a osobního života členů O., jejichž osobní údaje byly předány třetí osobě bez vědomí a souhlasu subjektu údajů, je samotné zpracování spočívající v souboru operací provedených k přípravě a zahrnující i vlastní předání za účelem úpravy a použití souboru osobních údajů, sloužících k zasílání poštovních zásilek na soukromé doručovací adresy jednotlivých členů. Toto zasahování je neoprávněné, neboť nebyly předem splněny podmínky stanovené zákonem o ochraně osobních údajů v ustanoveních § 9 písm. e) a § 11 odst. 1 věty prvé.
  • V případě příjemce D. byly osobní údaje členů předány subjektu, jehož přinejmenším část dotčených subjektů údajů vnímala jako riziko s ohledem na skutečnost, že jednatel společnosti pan M. D. je evidován jako spolupracovník Státní bezpečnosti Ministerstvem vnitra. Tato skutečnost je pro posouzení povinnosti O. doplňková a bylo k ní přihlédnuto jako k významné okolnosti. Rozhodné je, že neoprávněným zasahováním do soukromého a osobního života subjektu je samotné zpracování osobních údajů.
  • Bylo třeba zabývat se rovněž tím, zda předání osobních údajů není porušením povinnosti O. podle ustanovení § 5 odst. 1 písm. f) zákona o ochraně osobních údajů. Osobní údaje byly příjemci E. předány jako součást řízení O. jako ekonomického subjektu; to není samo o sobě účelem zpracování osobních údajů. Účinek, jehož mělo být předáním osobních údajů dosaženo, bylo dokumentování okamžitého stavu elektronických dokumentů uložených na kopírovaném paměťovém médiu a zahrnutí databáze členů bylo mimoděčným účinkem (důsledkem). Příjemci D. byly osobní údaje předány za účelem získání odborné služby usnadňující fungování O. směrem k vlastním členům v tom, že součástí každé poštovní zásilky bude adresné oslovení jejího příjemce. To je soubor operací provedený s osobními údaji členů k témuž účelu, k němuž byly osobní údaje od subjektů údajů shromážděny. Tento soubor operací byl proveden, aniž byly splněny všechny podmínky, které pro ně zákon o ochraně osobních údajů stanoví. Předání osobních údajů proto není ani v jednom případě zpracováním těchto údajů k jinému účelu.
  • O. nemá povinnost podle § 16 odst. 1 zákona o ochraně osobních údajů, vztahuje se na ni výjimka podle § 18 odst. 1 písm. c) tohoto zákona. Porušení povinnosti zpřístupňovat osobní údaje se souhlasem subjektu údajů nezakládá povinnost oznámit zpracování Úřadu; O. nemůže osobní údaje členů dále zpřístupňovat, aniž k tomu získala předem souhlas dotčených členů.
  • Tím, že rozhodl o předání osobních údajů jiným příjemcům, aniž k tomu obdržel pokyn nebo přivolení orgánů O. nebo dotčených subjektů údajů, neporušil Ing. T. J. svoji povinnost podle ustanovení § 14 zákona o ochraně osobních údajů. Rozhodování o těchto úkonech s osobními údaji členů si nevyhradil žádný kolektivní orgán O.; Ing. T. J. jako předseda nepřekročil své pravomoci. Rovněž postup dalších osob není porušením jejich povinnosti podle § 14; jako zaměstnanci O. postupovali podle pokynů předsedy.
  • Ing. T. J. přicházel v rámci plnění zákonem stanovených oprávnění a povinností u O. do styku s osobními údaji členů. Rozhodnout o předání souboru osobních údajů jinému příjemci a vydat pokyny k zajištění výkonu takového rozhodnutí je zpřístupněním osobních údajů. Rozhodnutí předat osobní údaje členů O. jiným příjemcům následované pokyny k provedení potřebných úkonů a operací s osobními údaji zaměstnancům O. je proto porušením individuální povinnosti mlčenlivosti předsedy O. o osobních údajích a o bezpečnostních opatřeních podle ustanovení § 15 odst. 1 zákona o ochraně osobních údajů. K posouzení bylo podpůrně použito ustanovení § 178 zákona č. 140/1961 Sb., trestní zákon, ve znění pozdějších předpisů, v tom, že porušením povinnosti je úkon zpřístupnění. Zákonem, který předsedovi O. stanoví oprávnění a povinnosti, je zákon č. 3/2002 Sb., o svobodě náboženského vyznání a postavení církví a náboženských společností a o změně některých zákonů (zákon o církvích a náboženských společnostech), ve znění zákona č. 4/2003 Sb. a zákona č. 562/2004 Sb. Postup dalších osob není porušením povinnosti mlčenlivosti podle § 15 odst. 1 zákona o ochraně osobních údajů, neboť postupovaly podle pokynů nadřízeného, o nichž jim mělo být známo, že jsou v jeho pravomoci.
  • Zjištěné porušení zákona o ochraně osobních údajů je spojeno se zásahem do práv, které tento zákon přiznává subjektu údajů. Počínáním O. bylo dotčeno právo subjektu údajů, aby O. prováděla určité zpracování osobních údajů pouze s jeho souhlasem. V zákoně o ochraně osobních údajů tomuto právu odpovídá stanovení povinnosti subjektu odpovědného za zpracování. Totéž platí pro právo člena O. být jako subjekt údajů informován o zamýšleném zpracování podle ustanovení § 11 odst. 1 zákona o ochraně osobních údajů. Povinnosti O. s těmito právy spojené byly porušeny. O. o kontrolních zjištěních své členy informovala a opatření k odstranění nedostatků začala přijímat ještě v průběhu kontroly.

1 § 9 zákona o ochraně osobních údajů, ve znění zákona č. 177/2001 Sb.

 

Odkazy


 
Zodpovídá: PhDr. David Pavlát
Vytvořeno / změněno: 12.12.2013 / 12.12.2013

 
 
 

Nacházíte se v módu "Bez grafiky", takže vidíte tuto stránku bez zdobné grafiky a pokročilého formátování. Pokud váš prohlížeč podporuje CSS2, můžete se přepnout do grafického módu.


Copyright © 2013 Úřad pro ochranu osobních údajů. Všechna práva vyhrazena.
web & design , redakční systém