Úřadu byl
dne 10. června 2019 doručen podnět, ve kterém stěžovatel uvedl, že na jím
uvedené URL adrese jsou zpracovávány a zveřejněny jeho osobní údaje. Konkrétně
se jednalo o jeho jméno, další údaje a informace, převzaté z veřejně
dostupných rejstříků, s jejichž zpracováním a uveřejněním v rámci webových
stránek ústavu, jakožto i sdílením těchto informací ostatními
internetovými vyhledávači, nesouhlasí. Úřad, v rámci úkonů
předcházejících kontrole podle § 3 zákona č. 255/2012 Sb., zákon
o kontrole (kontrolní řád), projednal s ústavem podanou stížnost. Ten
ji po dohodě se stěžovatelem přijal a provedl opatření v souvislosti se
zpracováním jeho osobních údajů na webových stránkách ústavu, o čemž byl právní
zástupce dne 27. února 2020 sdělením o odložení stížnosti stěžovatele podle §
65 zákona č. 110/2019 Sb., o zpracování osobních údajů informován.
Úřad 15. dubna 2020
obdržel „Nesouhlas s odložením stížnosti“, odůvodněný skutečností, že ústav
nepřijal dostatečná opatření, neboť prostřednictvím internetových vyhledávačů
se po zadání jména stěžovatele informace o něm dále zobrazují
s odkazem na webový portál ústavu. Na základě toho byla s ústavem
jako správcem zahájena kontrola, která se zaměřila na postavení kontrolované
osoby a na právní titul pro zpracování (zveřejňování) osobních údajů
stěžovatele dle čl. 6 obecného nařízení.
Kontrolující zjistili, že ústav je provozovatelem
předmětných webových stránek. V rámci nich se zaměřuje na transparentnost politického života a dále
na využití práva na informace ve smyslu čl. 17 Listiny základních
práv a svobod, na posílení důvěry v demokratický právní stát České
republiky a ochranu před zneužitím státní moci a veřejných
funkcí či zamezení podvodům a korupci. Ústav kontroluje, analyzuje
a propojuje smlouvy z registru smluv, veřejné zakázky, dotace, sponzory
politických stran i politiky samotné.
Na základě výše uvedeného kontrolující konkrétně hodnotili, zda ústavu jako
správci svědčí některý z právních titulů dle čl. 6 obecného
nařízení. V daném případě při zpracování osobních údajů stěžovatele (po
odvolání jeho souhlasu se zpracováním osobních údajů) přicházel v úvahu
pouze právní titul podle čl. 6 odst. 1 písm. f) obecného nařízení. Při vyhodnocení
balančního testu kontrolující dospěli k závěru, že ústav při plnění uvedené povinnosti toto
ustanovení porušil a není tak možné na jeho jednání, tj. na zpracování
osobních údajů stěžovatele realizované prostřednictvím webových stránek ústavu,
aplikovat žádný z právních titulů dle čl. 6, včetně čl. 6 odst. 1
písm. f) obecného nařízení. Ústav proto není oprávněn shromažďovat a dále zveřejňovat osobní
údaje stěžovatele. Proti protokolu o
kontrole nebyly v řádném termínu podány námitky.
Vzhledem k tomu, že došlo k nápravě
závadného stavu (likvidaci osobních údajů stěžovatele na webu ústavu)
v době ukončení kontroly, nebylo s kontrolovanou osobou zahájeno
správní řízení o uložení opatření ani zahájeno řízení o uložení pokuty.
