Úřad pro ochranu osobních údajů

V textu je odkazováno na znění zákona (resp. jiného právního předpisu), které již není účinné. Tato skutečnost však nemá vliv na zde obsažený právní názor.

Následně se správní orgán věnoval třetímu okruhu námitek účastníka řízení, tj. problematice odvolatelnosti souhlasu se zpracováním osobních údajů. Při posuzování této otázky přitom vycházel především z toho, že odvolání souhlasu je klasickým jednostranným právním úkonem. Je třeba připomenout, že byť je zákon č. 101/2000 Sb. v určité své části (zejména té související s pravomocemi Úřadu) veřejnoprávním předpisem, vztah mezi správcem a subjektem údajů je typickým soukromoprávním vztahem. V této souvislosti tak správní orgán odkazuje na čl. 2 odst. 3 Listiny základních práv a svobod, dle kterého každý může činit, co není zákonem zakázáno, a nikdo nesmí být nucen činit, co zákon neukládá. Ve smyslu tohoto ústavního pravidla tedy správní orgán konstatuje, že zákon nezakazuje subjektu údajů odvolání jeho souhlasu a současně jej ani nenutí strpět zpracování osobních údajů ve chvíli, kdy s ním nesouhlasí (což právě odvoláním souhlasu projeví). Proto neobstojí argumentace účastníka řízení, podle které jednou udělený souhlas není možné odvolat, neboť zákon s touto možností nepočítá.

Účastník řízení dále na podporu svého tvrzení široce rozebírá postupné změny v relevantních částech zákona č. 101/2000 Sb. Ani v této části nelze však jeho závěry akceptovat. Účastníkem řízení rozebíraná novelizace zákona č. 101/2000 Sb. provedená zákonem č. 439/2004 Sb. měla za cíl uvést zákon č. 101/2000 Sb. do souladu se směrnicí 95/46/ES. Proto byla ze zákona vypuštěna možnost, že souhlas bude mezi správcem a subjektem údajů dohodnut jako neodvolatelný. Taková úprava byla totiž v rozporu s čl. 2 písm. h) směrnice 95/46/ES. Důvodová zpráva ke změně v § 4 písm. n) zákona č. 101/2000 Sb. uvádí „Na rozdíl od dosavadní právní úpravy se navrhuje, aby v zákoně byla právní úprava podmínek a náležitostí souhlasu subjektu údajů se zpracováním osobních údajů upravena obdobně jako v článku 2 písm. h) směrnice 95/46/ES. Pokud jde o samotné ustanovení novely, jeho obsah vychází obdobně jako obsah směrnice 95/46/ES z předpokladu, že se musí jednat o projev vůle subjektu údajů, jehož obsahem je svobodné, zřejmé a vědomé vyslovení podmínek, za kterých má dojít k zpracování osobních údajů. Nejedná se tedy o dohodu mezi správcem nebo zpracovatelem na straně jedné a subjektem údajů - fyzickou osobou na straně druhé, ale jde o jednostranný právní úkon subjektu údajů.“ A je třeba zdůraznit i účastníkem řízení uváděnou část důvodové zprávy, podle které „Protože se aplikace obecné právní úpravy navrhovaná změna nedotkla, není podle názoru předkladatele v důsledku vypuštění části původního znění § 5 odst. 5 bez náhrady možné namítat, že je navrhovanou změnou oslabeno postavení subjektu údajů.“ Pokud by vypuštění části původního znění § 5 odst. 5 zákona č. 101/2000 Sb. mělo znamenat zánik možnosti odvolat souhlas, vedlo by to zcela jistě k oslabení práv subjektu údajů, což by bylo v rozporu s citovanou důvodovou zprávou a úmyslem zákonodárce.

Správní orgán dále konstatuje, že na úrovni Evropské unie není pochyb o tom, že udělený souhlas lze vždy odvolat. Například podle stanoviska již zmiňované pracovní skupiny zřízené podle čI. 29 směrnice 95/46/ES (WP 164) platí, že: „V zásadě lze souhlas pokládat za nedostatečný, pokud jej není možné účinně vzít zpět.“ nebo „ Možnost vzít souhlas zpět, která je ve směrnici 95/46/ES obsažena implicitně, je upravena v několika ustanoveních směrnice o soukromí a elektronických komunikacích.“ S ohledem na nutnost eurokonformního výkladu je pak třeba otázku odvolatelnosti souhlasu uděleného podle zákona č. 101/2000 Sb. vykládat ve smyslu příslušných ustanovení směrnice 95/46/ES.

V návaznosti na předchozí závěry je tak nutno odmítnout i výklad týkající se obecně problematiky právního úkonu, který účastník řízení předkládá. Tento výklad totiž vychází opět z premisy opačné, než je zakotvena v ústavním pořádku České republiky, tj. podle účastníka řízení je zakázáno fyzické osobě činit to, co jí zákon neumožňuje. Odkaz na úpravu § 43a a 43b zákona č. 40/1964 Sb., občanský zákoník, je nepřípadný, neboť v těchto jednáních jde o zásadně odlišnou situaci, když se vztahuje k problematice uzavírání smluv, tj. typických dvou či vícestranných právních úkonů. Závěr účastníka řízení, že se jedná pouze o úkon faktický, je tak nesprávný a odvolání souhlasu je právním úkonem, který má za následek povinnost správce ukončit zpracování (samozřejmě s výjimkou situací, kdy má pro zpracování předmětných údajů jiný právní titul).

Pokud se týká tvrzení účastníka řízení, že otázka nezbytnosti odvolatelnosti souhlasu je pro něj neočekávanou a nepředvídatelnou novinkou v právních názorech Úřadu (tj. je v rozporu s § 2 odst. 3 správního řádu, tedy zásadou legitimního očekávání), došel správní orgán k následujícím závěrům. Při posuzování legitimního očekávání je třeba primárně vyjít ze skutečnosti, že Úřad v žádném svém rozhodnutí, kontrolním protokole nebo stanovisku nedeklaroval názor, že by souhlas byl neodvolatelný. Naopak, minimálně ve svých stanoviscích č. 2/2008 a zejména podrobně ve stanovisku č. 2/2011 se Úřad vyjádřil ve prospěch neomezeného práva subjektu údajů na odvolání souhlasu.

sp. zn. UOOU-01652/13