Úřad pro ochranu osobních údajů

28. dubna 2014

Inspektorka Úřadu provedla v termínu od 3. prosince 2013 do 27. března 2014 kontrolu Ústavu pro studium totalitních režimů (dále jen „ÚSTR“), jejímž předmětem bylo dodržování povinností správce osobních údajů stanovených zákonem č. 101/2000 Sb., se zaměřením na zpracování osobních údajů v osobních spisech zaměstnanců ÚSTR a dodržování § 13 zákona č. 101/2000 Sb.

Kontrola ÚSTR byla provedena na základě stížnosti bývalého zaměstnance ÚSTR. Obsahem stížnosti bylo podezření stěžovatele, že v jeho osobním spise chybí řada dokumentů.

Z poznatků získaných v průběhu kontroly na základě místního šetření a z vyžádaných dokladů a dokumentů byl zjištěn skutkový stav a následně provedeno právní hodnocení.

Kontrolou bylo prokázáno, že došlo ke ztrátě některých originálních dokumentů
z personálního spisu stěžovatele a naopak byl do něj vložen dokument, který patřil do složky jiného zaměstnance ÚSTR. Kontrolou bylo zjištěno, že při vedení personálních spisů ÚSTR nevede souhrnný spisový přehled umožňující okamžitou kontrolu obsahu dokumentů.

S ohledem na skutečnost, že kontrolovaný personální spis neobsahoval celkový spisový přehled všech dokumentů, které byly postupně do personálního spisu zakládány, nebylo možné zkontrolovat, zda se v konkrétním případě jedná o všechny dokumenty do personálního spisu založené a ověřit tak jeho úplnost. 

Kontrolou bylo dále zjištěno, že ÚSTR nepořizuje záznamy a neeviduje předávání osobních údajů zpracovávaných v osobní složce zaměstnance při předávání spisu mimo personální oddělení ÚSTR, tedy tak, aby bylo možné ověřit i zpětně, kdo s personálním spisem nakládal, kdo k dokumentům v personálním spisu přistoupil a jak bylo s dokumenty v personálním spise nakládáno.

Kontrolující konstatovali, že kontrolou nelze prokázat, která z osob, které měly do personálního spisu stěžovatele přístup, zavinila ztrátu uvedených dokumentů, zároveň však konstatovali, že ÚSTR jako správce osobních údajů shromažďovaných a zpracovávaných v personálním spisu stěžovatele nepřijal taková technicko-organizační opatření, aby nemohlo dojít ke ztrátě dokumentů z personálního spisu stěžovatele, čímž porušil ustanovení § 13 odst. 1 zákona č. 101/2000 Sb.

V závěru kontrolního protokolu inspektorka Úřadu stanovila ÚSTR opatření k nápravě, a to v termínu do 1 měsíce přijmout taková technicko-organizační opatření v souladu s ustanovením § 13 odst. 1 zákona č. 101/2000 Sb., aby nemohlo dojít ke ztrátě dokumentů z personálních spisů zaměstnanců a to zejména tak, aby personální spis obsahoval celkový přehled všech založených dokumentů a zároveň obsahoval přesné informace o nahlížení a vytváření kopií z personálního spisu, včetně přesné informace kdo, kdy a na jak dlouhou dobu si personální spis v rámci ÚSTR zapůjčil, přičemž personální spis bude před jeho předáním a po jeho vrácení zkontrolován.

Spisový materiál byl předán odboru správních činností k zahájení řízení o uložení pokuty.

PaedDr. Jana Rybínová
inspektorka Úřadu pro ochranu osobních údajů

Doplnění ke zprávě o kontrole Ústavu pro studium totalitních režimů

26. června 2014

Úřad pro ochranu osobních údajů (dále jen „Úřad“) dne 3. června 2014 rozhodl, že účastníku řízení, České republice – Ústavu pro studium totalitních režimů, se sídlem Siwiecova 2428/2, 130 00 Praha – Žižkov, IČ: 75112779, nebylo prokázáno, že by v souvislosti se zpracováním osobních údajů svých zaměstnanců nepřijal taková opatření, aby nedošlo k neoprávněnému přístupu k osobním údajům bývalého zaměstnance či k jejich ztrátě, když některé dokumenty z jeho personálního byly založeny do personálního spisu jiného zaměstnance, čímž mělo dojít k porušení povinnosti stanovené v § 13 odst. 1 zákona č. 101/2000 Sb., tedy povinnosti správce a zpracovatele přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení, či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů, a tedy ke spáchání správního deliktu podle § 45 odst. 1 písm. h) zákona č. 101/2000 Sb.

Dne 23. května 2014 bylo správnímu orgánu doručeno vyjádření účastníka řízení ke správnímu řízení, jehož přílohou byl úřední záznam čj. USTR-392/2014 KÚ ze dne 20. května 2014 obsahující soupis všech nalezených dokumentů, které účastník řízení nebyl schopen nalézt a předložit v rámci provedené kontroly. Jednalo se o celkem 21 dokumentů, které chyběly v personálním spisu bývalého zaměstnance. Účastník řízení uvedl, že v rámci opatření, která byla přijata, znovuzakládání a číslování osobních spisů dle nového systému, byly dne 20. května 2014 nalezeny dokumenty, jejichž ztráta byla předmětem kontroly vedené Úřadem. Všechny dokumenty byly nalezeny v osobním spisu jiného zaměstnance, oba dotčení zaměstnanci se v letech 2012 a 2013 střídali na pozici ředitele odboru. Dále uvedl, že k tomuto pochybení došlo pravděpodobně chybným zařazením dokumentů pracovníkem skupiny personální v době před květnem 2013.

Správní orgán konstatoval, že v období od 1. října 2013 do 20. května 2014 účastník řízení nebyl schopen určit, kde se listiny obsahující osobní údaje bývalého zaměstnance nacházejí. Současně však ze spisového materiálu vyplynulo, že byly dne 20. května 2014 nalezeny. V uvedeném období tedy byly vystaveny riziku, že jejich obsah bude zpřístupněn třetí osobě, která k tomuto neměla žádné oprávnění, tj. jakékoli osobě odlišné od subjektů uvedených v § 312 odst. 2 zákona č. 262/2006 Sb., zákoník práce. Tato skutečnost však nebyla v průběhu řízení prokázána. Správní orgán proto došel k závěru, že nebylo prokázáno porušení povinnosti stanovené v § 13 odst. 1 zákona č. 101/2000 Sb., protože ve skutečnosti nedošlo ke ztrátě dokumentů z personálního spisu zaměstnance účastníka řízení, ale pouze k jejich dočasnému založení do spisu jiného zaměstnance. Současně ale správní orgán upozornil na skutečnost, že stav, kdy se vyskytnou dokumenty z personálního spisu jednoho zaměstnance v personálním spisu jiného zaměstnance, nelze z hlediska ochrany osobních údajů akceptovat, neboť se zcela zásadně zvyšuje riziko neoprávněného zpřístupnění k osobním údajům nebo jejich jiného neoprávněného zpracování.

PaedDr. Jana Rybínová
inspektorka Úřadu pro ochranu osobních údajů