Na základě svého kontrolního plánu provedl Úřad kontrolu dle nařízení (EU) 2016/679, jejímž předmětem bylo zpracování osobních údajů při využívání služeb tzv. hybridní pošty, kterou poskytuje Česká pošta, s.p., při činnosti úřadů práce. Kontrola byla provedena u Úřadu práce České republiky – krajské pobočky v Českých Budějovicích, kontaktní pracoviště Strakonice.
Kontrola prokázala, že kontrolovaná osoba využívá při výkonu svých zákonem svěřených kompetencí službu České pošty – hybridní pošta. Tato služba spočívá v tom, že Česká pošta zajistí pro odesílatele převedení dokumentů z elektronické do fyzické podoby a jejich odeslání na určené adresy. Kontrolovaná osoba využívá službu hybridní pošty výhradně v případě zasílání informativních písemností a oznámení, které nemají charakter rozhodnutí podle správního řádu. Česká pošta poskytuje službu hybridní pošty na základě smlouvy, kterou uzavřela s Ministerstvem práce a sociálních věcí (dále jen „MPSV“) a je v postavení zpracovatele osobních údajů. MPSV je také zpracovatelem osobních údajů, neboť zřizuje a provozuje informační systém, který využívá i Úřad práce ČR a jeho organizační složky, mimo jiné pro odesílání zásilek formou hybridní pošty.
Službu hybridní pošty je z pohledu nařízení (EU) 2016/679 nutno považovat za formu zpracování osobních údajů, přičemž využití tohoto prostředku je správním orgánům umožněno na základě § 19 odst. 3 zákona č. 500/2004 Sb., správního řádu. Odesílání písemností v tzv. hybridním režimu je tedy možné pouze za splnění v zákoně definovaných podmínek. Úřad práce ČR ani MPSV navíc neuzavřely s Českou poštou veřejnoprávní smlouvu o přenosu výkonu působnosti v oblasti doručování. Dále kontrolující zjistili, že konverze dokumentů, kterou Česká pošta provádí, není autorizovanou konverzí dokumentů ve smyslu zákona č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů.
Postup kontrolované osoby při využívání služby hybridní pošty je tak nutno hodnotit jako volbu prostředků zpracování osobních údajů, kterou však správním úřadům žádný právní předpis neumožňuje.
Kontrolovaná osoba při zpracování osobních údajů při odesílání písemností prostřednictvím hybridní pošty porušila povinnosti stanovené v čl. 6 nařízení (EU) 2016/679 (právní titul pro zpracování).
Vzhledem k tomu, že kontrolovaná osoba závadný stav neprodleně napravila, Úřad neuložil opatření k nápravě a od uložení pokuty upustil.
Kontrolu řídila inspektorka
JUDr. Jiřina Rippelová.
