Úřad pro ochranu osobních údajů

Správní orgán tedy na základě shora uvedeného posuzoval jednání účastníka řízení z hlediska ustanovení § 46 odst. 1 zákona č. 101/2000 Sb. Správní orgán v této souvislosti uvádí, že vynaložení veškerého úsilí, které bylo možno požadovat, neznamená jakékoliv úsilí, které správce vynaloží, ale musí se ve vztahu ke každému, konkrétně posuzovanému případu, jednat o úsilí maximálně možné, které je správce objektivně schopen vynaložit (zákon používá kritérium veškeré úsilí, které bylo možno požadovat, a nikoliv např. spravedlivě požadovat, požadovat s ohledem na poměry atp.). V případě účastníka řízení je zřejmé, že sám nepřijal a neprovedl opatření pro zabezpečení osobních údajů, v následku čehož došlo k jejich zpřístupnění prostřednictvím internetu.

Z vyjádření účastníka je také zřejmé, že tabulka obsahující předmětné osobní údaje byla i spolu s informací, že bude zveřejněna, k dispozici minimálně dalším 3 zaměstnancům účastníka řízení (včetně přímé nadřízené paní X. Y.), aniž by kterýkoli z nich neoprávněnému zpracování, které je předmětem tohoto správního řízení, zabránil. Je tedy zcela vyloučené, aby bylo toto jednání přičítáno paní X. Y. a posuzováno jako její exces, za který by účastník řízení nenesl zodpovědnost.

Účastník řízení pouze ve svém vyjádření citoval některá z ustanovení týkajících se práce s informačními a komunikačními technologiemi. V tomto ohledu je třeba konstatovat, že žádné z těchto ustanovení z hlediska jeho obsahu není možné považovat za opatření, které by mělo upravovat nakládání s osobními údaji při výkonu zaměstnání a plnění úkolů, které jednotlivým zaměstnancům vyplývají z agendy, kterou zpracovávají. Z vyjádření účastníka řízení tak vyplývá, že žádným způsobem ve vnitřních předpisech nedefinoval požadavky na ochranu osobních údajů, nezavedl žádné kontrolní mechanismy a ani jiným způsobem neseznámil zaměstnance s pravidly pro zpracování osobních údajů. Správní orgán má proto za prokázané, že účastník řízení zcela jasně nevynaložil veškeré úsilí, které bylo možné požadovat, a že nepochybně existovaly další možnosti, jak mohl postupovat, aby zveřejnění předmětných osobních údajů zabránil.

(čj. SPR-7796/11)