Úřad pro ochranu osobních údajů


International


Vyhledávání

 

GDPR telefonní linka

Základní odkazy


Cesta: Titulní stránka

 

Stanovisko č. 3/2013 - K odpovědnosti provozovatelů internetových inzertních portálů

 

Odkazy


 
 

říjen 2013

 

Úvod

Úřad pro ochranu osobních údajů (dále jen „Úřad“) se při výkonu svých dozorových kompetencí opakovaně setkal s problematikou zveřejňování a jiného zpracování osobních údajů prostřednictvím internetových inzertních portálů, zejména neoprávněného zveřejňování osobních údajů třetích osob prostřednictvím takovýchto webových stránek. Jedná se především o otázky týkající se rolí, práv, povinností a míry odpovědnosti jednotlivých zúčastněných subjektů, tedy provozovatele portálu, inzerujícího a případně další osoby, jejíž údaje jsou v inzerátu uvedeny. Vzhledem k tomu, že tato oblast zpracování osobních údajů rozhodně není z hlediska objemu zpracovávaných informací zanedbatelná, a nadto zpracování probíhá v prostředí internetu, kde neoprávněné zveřejnění údajů týkajících se fyzické osoby může mít i nevratné důsledky pro její soukromí, a vzhledem k nutnosti aplikovat více právních předpisů, Úřad vydává toto stanovisko.[1]

 

Vymezení pojmů

Internetový inzertní portál je chápán jako on-line zprostředkovaná služba, která uživatelům umožňuje, ať zdarma či za úplatu, jeho prostřednictvím nabízet nebo poptávat zboží, služby nebo jiné produkty. Účelem služby tedy je umožnit uživatelům zveřejnit inzerát, spolu se svými kontaktními či dalšími údaji, na který se mohou obracet předem neurčení zájemci.[2]

Provozovatelem internetového inzertního portálu je subjekt, který tento portál spravuje a nabízí jeho využití uživatelům. Poskytovatel hostingových služeb, tedy ten subjekt, který pronajímá provozovateli internetového inzertního portálu prostor pro umístění jeho webových stránek, je ve vztahu k provozovateli daného portálu rovněž v postavení poskytovatele služeb informační společnosti. 

Inzerentem je ten uživatel, který přijme nabídku provozovatele a využije jím nabízené služby.

Osobní údaje jsou dle § 4 písm. a) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, definovány jako veškeré informace, které se týkají přímo či nepřímo určité nebo určitelné fyzické osoby. Nejedná se tedy pouze o identifikační údaje, jako je například jméno a příjmení, datum narození či rodné číslo, ale i o údaje kontaktní (telefonní číslo či e-mailová adresa), údaje týkající se konkrétního inzerátu (že daný uživatel poptával či nabízel určité zboží či službu), dále i údaje týkající se uživatelské historie či zvyklostí konkrétního inzerenta, IP adresa počítače, ze kterého konkrétní uživatel inzerát publikoval, další provozní či lokalizační údaje, zveřejněné fotografie osob atd.[3]

 

Standardní zpracování osobních údajů inzerentů

Běžný vztah provozovatele internetového inzertního portálu k osobním údajům inzerentů, pakliže se jedná o inzerenty – fyzické osoby, podléhá zejména úpravě zákona č. 101/2000 Sb. Provozovatel se rozhodl nabízet určitou službu a to prostřednictvím internetových stránek. Jinými slovy zvolil účel a prostředky zpracování údajů, a toto zpracování rovněž provádí a v zásadě za něj zodpovídá, byť jeho odpovědnost je, na rozdíl od jiných způsobů zpracování osobních údajů, částečně omezena zvláštní právní úpravou, konkrétně zákonem č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů. Z  pohledu zákona č. 101/2000 Sb., se tedy jedná o správce údajů ve smyslu § 4 písm. j) tohoto předpisu a z pohledu zákona č. 480/2004 Sb. o poskytovatele služby informační společnosti[4]

Provozovatel portálu jako správce údajů je povinen plnit v zásadě všechny povinnosti, které mu z tohoto zákona vyplývají. Jedná se zejména o povinnost zpracovávat osobní údaje za legálním a legitimním účelem a na základě řádného právního titulu, jejichž konečný výčet je uveden v § 5 odst. 2 zákona č. 101/2000 Sb. V případě zpracování osobních údajů souvisejících se zveřejňováním nabídky či poptávky po určitém produktu nebo službě prostřednictvím inzertního portálu přichází v úvahu především právní titul upravený v § 5 odst. 2 písm. b) zákona č. 101/2000 Sb., tedy zpracování nezbytné pro uzavření a plnění smlouvy. Z dalších povinností správce lze uvést například povinnost shromažďovat údaje pouze v přiměřeném rozsahu, uchovávat je po dobu nezbytnou účelu a zpracovávat je rovněž pouze v souladu s účelem, ke kterému je shromáždil. Důležitou povinností je i povinnost informovat uživatele, inzerenta, o zpracování jeho osobních údajů v souladu s § 11 zákona č. 101/2000 Sb. a v rozsahu vyžadovaném tímto ustanovením zákona[5], dále povinnost zabezpečit zpracovávané osobní údaje v rozsahu vyžadovaném § 13 zákona a v neposlední řadě je správce, provozovatel internetového inzertního portálu, před započetím zpracování povinen splnit oznamovací povinnost vůči Úřadu postupem dle § 16 zákona č. 101/2000 Sb.

 

Zneužití osobních údajů třetí osoby prostřednictvím internetového inzertního portálu

Jako problematická se v praxi jeví situace, se kterou se Úřad opakovaně setkal, kdy inzerent protiprávně zveřejní údaje týkající se jiné fyzické osoby. Může se jednat o jméno a příjmení třetí osoby, o její kontaktní informace, telefonní číslo, e-mailovou adresu, nebo o její fotografii atd. Přitom není rozhodné, zda jsou tyto údaje zveřejněny jako informace o údajném inzerentovi (někdo podá inzerát pod cizím jménem či s cizími kontaktními údaji) nebo v samotném textu inzerátu, například i s dalším slovním doprovodem. S takovýmto zneužitím osobních údajů se lze setkat především u těch inzertních portálů, které nabízejí bezplatné služby a jejichž provozovatelé obvykle uvedené identifikační údaje či obsah inzerátu nijak nekontrolují ani neověřují. Povinnost kontrolovat obsah ukládaných informací nebo aktivně vyhledávat skutečnosti poukazující na protiprávní obsah uložené informace však provozovatel internetového inzertního portálu dle výslovné úpravy § 6 zákona č. 480/2004 Sb. nemá, a proto jej nelze za takovéto jednání bez dalšího činit odpovědným.

Jak je výše uvedeno, zveřejnění nepravdivých osobních údajů, respektive údajů třetí osoby bez jejího souhlasu a jejího vědomí, nezřídka v urážlivém či dehonestujícím kontextu, může mít zejména v prostředí internetu pro dotčenou osobu výrazné a dlouhodobé následky. Nástroje pro ochranu práv dotčené osoby, tedy především toho, jehož osobní údaje byly na internetovém inzertním portálu neoprávněně zveřejněny, poskytuje zejména zákon č. 480/2004 Sb. jako zvláštní zákon, který se na zpracování informací, a tedy i osobních údajů, při poskytování služeb informační společnosti uplatní přednostně. Podle § 5 odst. 1 písm. b) zákona č. 480/2004 Sb. provozovatel portálu odpovídá za obsah informace uložené uživatelem, tedy i neoprávněně zveřejněné osobní údaje, pouze tehdy, pokud se prokazatelně dozvěděl o protiprávní povaze obsahu ukládaných informací nebo o protiprávním jednání uživatele a neprodleně neučinil veškeré kroky, které lze po něm požadovat k odstranění nebo znepřístupnění takovýchto informací.

Ten, kdo je protiprávním zveřejněním osobních údajů v prostředí internetových inzertních portálů zasažen ve svých právech, by tedy měl postupovat následovně: Na prvém místě lze doporučit, pro zajištění právní jistoty či případných budoucích nároků dotčené osoby, zálohování příslušné stránky, na které k neoprávněnému zveřejnění osobních údajů došlo. Následně je nutné obrátit se na provozovatele příslušného internetového inzertního portálu a informovat jej, že určité osobní údaje jsou na jeho stránkách uloženy protiprávně. Pro naplnění podmínky § 5 odst. 1 písm. b) zákona č. 480/2004 Sb., že se provozovatel o protiprávní povaze obsahu uložených informací dozví prokazatelně, je nezbytné toto tvrzení doložit. Úřad tedy zdůrazňuje, že dotčená osoba namítající protiprávnost určitých uložených informací, svých osobních údajů, musí být schopna prokázat svoji totožnost, fakt, že konkrétní zveřejněné údaje se jí týkají a že k jejich zveřejnění či jinému zpracování neposkytla souhlas.

Vzhledem k možným variantám neoprávněného zveřejnění různých kategorií či kombinací osobních údajů lze uvést pouze několik typických příkladů: Důkazem protiprávnosti zveřejnění může být například komunikace z neoprávněně použité e-mailové adresy či telefonního čísla, čímž bude dokázáno, že právě ten uživatel, který projevuje nesouhlas se zveřejněním tohoto údaje, je osobou, jíž se daný údaj týká, osobní předložení či zaslání naskenované části průkazu totožnosti, který dokládá, že daná osoba je nositelem protiprávně zveřejněného jména a příjmení či že se jedná o osobu zachycenou na neoprávněně zveřejněné fotografii atd. V každém případě však platí, že ten uživatel, který se na provozovatele internetového portálu obrátí s tvrzením, že některá ze zveřejněných informací je zveřejněna protiprávně, musí být přípraven a schopen své tvrzení doložit buď sám, nebo v součinnosti s provozovatelem portálu.

Pokud se provozovatel služby internetového inzertního portálu dozví o zřejmě protiprávní povaze některé z uložených informací, je povinen tuto situaci řešit a to, jak vyplývá z § 5 odst. 1 písm. b) zákona č. 480/2004 Sb., neprodleně. Konkrétně musí učinit veškeré kroky, které lze po něm požadovat, k odstranění nebo znepřístupnění takovýchto informací. V každém případě, kdy je provozovatel věrohodně na možný protiprávní charakter uložených informací upozorněn, je povinen tyto alespoň znepřístupnit, tedy blokovat přístup k nim pro všechny uživatele, a přezkoumat jejich obsah a námitky proti jejich zveřejnění. Jestliže námitky posoudí jako důvodné či prokazatelné, je povinen dané informace zlikvidovat. Jedinou výjimkou, kdy je provozovatel oprávněn předmětné informace uchovat, nicméně vždy tak, aby nebyly veřejně dosažitelné, je situace, kdy bude provozovatel chtít využít tyto informace pro ochranu svých práv a právem chráněných zájmů v navazujícím řízení. Může se jednat například o uchování údajů pro potřeby orgánů činných v trestním řízení v případě podezření ze spáchání trestného činu, o soudní spor v případě řízení o náhradě škody atd.

V případě, kdy provozovatel internetového inzertního portálu po upozornění neoprávněně zveřejněné osobní údaje odstraní, ale dotčená osoba se tím, že její osobní údaje již byly jednou zveřejněny, cítí i nadále poškozena a hodlá tuto situaci řešit, má v zásadě dvě možnosti: V případě, kdy se domnívá, že ke zveřejnění jejích osobních údajů došlo s cílem spáchat trestný čin, například podvod, nebo že již samotným zveřejněním došlo k naplnění skutkové podstaty trestného činu, typicky trestného činu neoprávněného nakládání s osobními údaji podle § 180 zákona č. 40/2009 Sb., trestní zákoník, nebo trestného činu pomluvy podle § 184 tohoto zákona, může se obrátit na orgány činné v trestním řízení. Jedná-li se o otázku náhrady škody za zásah do osobnostních práv, která jí byla protiprávním zveřejněním jejích osobních údajů způsobena, je nezbytné věc řešit prostřednictvím obecného soudu.

Jestliže provozovatel internetového inzertního portálu ani po věrohodném, resp. doloženém sdělení, že zveřejnění určitých informací prostřednictvím jeho portálu je protiprávní, informace neodstraní ani neznepřístupní, může se poškozená osoba odstranění protiprávního stavu domáhat i prostřednictvím Úřadu, který na základě jejího podnětu může s daným provozovatelem zahájit řízení, kontrolní nebo správní, pro podezření z porušení povinností při zpracování osobních údajů. V případě, že na straně kontrolovaného bude konstatováno porušení zákona, může inspektor Úřadu uložit tomuto subjektu opatření k nápravě, v tomto případě například ve formě autoritativního pokynu určité osobní údaje znepřístupnit, blokovat či zlikvidovat. V návaznosti na zjištěné porušení zákona Úřad může vést správní řízení pro podezření ze spáchání přestupku nebo jiného správního deliktu, přičemž mimo jiné doba, po kterou byly osobní údaje přes upozornění dotčeného subjektu údajů neoprávněně zveřejněny, a následek této činnosti, například jejich indexace ve vyhledávačích, převzetí jinými stránkami atd., může být hodnocena jako přitěžující okolnost skutku a může vést k uložení vyšší finanční sankce.

V případě, kdy nelze postihnout přímo provozovatele internetového inzertního portálu, nebo pokud provozovatel dané aplikace i přes prokazatelné doložení protiprávnosti obsahu odmítá tento odstranit, nebo neplní opatření k nápravě uložená inspektorem Úřadu, přechází na základě § 5 odst. 1 písm. b) zákona č. 480/2004 Sb. odpovědnost na poskytovatele webhostingových služeb. Na něm lze následně požadovat zastavení dané aplikace jako celku, tedy nikoliv pouze odstranění protiprávně uložených údajů, neboť k nim poskytovatel hostingu obvykle nemá přístup.

 

Závěr

Zveřejnění osobních údajů prostřednictvím služby internetového inzertního portálu či služeb obdobných je zpracováním osobních údajů. Odpovědným subjektem je potom podle zákona č. 101/2000 Sb. i zákona č. 480/2004 Sb. především provozovatel portálu. V případě, že v rámci této služby dojde k neoprávněnému zveřejnění osobních údajů, může se dotčená osoba výše popsaným způsobem bránit, a to na prvém místě vůči provozovateli portálu, který je povinen protiprávně zveřejněné osobní údaje odstranit, případně prostřednictvím Úřadu nebo poskytovatele hostingových služeb. Samostatná odpovědnost toho, kdo osobní údaje protiprávně zveřejnil, a to ať odpovědnost za škodu či odpovědnost trestněprávní, tímto není dotčená, je však nutné domáhat se jí prostřednictvím soudu či orgánů činných v trestním řízení.



[1] Obecně k aplikaci práva na ochranu osobních údajů v prostředí internetu viz stanovisko Úřadu č. 13/2012.

[2] Níže uvedený právní výklad však pochopitelně v odpovídající míře platí i pro obdobné služby, jejichž základem je vkládání informací větším, resp. předem neomezeným okruhem uživatelů, typicky internetová diskusní fóra apod.

[3] Blíže k pojmu osobní údaj viz stanovisko Úřadu č. 3/2012.

[4] Dle § 2 písm. d) zákona č. 480/2004 Sb. je poskytovatelem služby každá fyzická nebo právnická osoba, která poskytuje některou ze služeb informační společnosti. Službou informační společnosti se dle § 2 písm. a) téhož zákona rozumí jakákoliv služba poskytovaná elektronickými prostředky na individuální žádost uživatele podanou elektronickými prostředky.

[5] S ohledem na předmět tohoto stanoviska lze provozovatelům internetových inzertních portálů důrazně doporučit, aby mezi informace poskytované jejich uživatelům zařadili nejen informace o právu subjektu údajů na námitku proti zpracování osobních údajů podle § 21 zákona č. 101/2000 Sb., ale i výslovnou informaci o možném postupu podle § 5 odst. 1 písm. b) zákona č. 480/2004 Sb.

 

Odkazy


 
Zodpovídá: PhDr. David Pavlát
Vytvořeno / změněno: 10.12.2013 / 10.12.2013

 
 
 

Nacházíte se v módu "Bez grafiky", takže vidíte tuto stránku bez zdobné grafiky a pokročilého formátování. Pokud váš prohlížeč podporuje CSS2, můžete se přepnout do grafického módu.


Copyright © 2013 Úřad pro ochranu osobních údajů. Všechna práva vyhrazena.
web & design , redakční systém