Úřad pro ochranu osobních údajů

Dne 1. června 2004 si Úřad připomněl čtyři roky svého působení. Tisková konference Úřadu se koná v době, kdy je v závěrečné fázi legislativní proces přijetí novely zákona o ochraně osobních údajů. Průběžně o tomto procesu informuje Úřad ve svém Věstníku.

Dne 3. 5. 2004 vzal na vědomí Výroční zprávu Úřadu za rok 2003 Senát Parlamentu ČR. Předseda Úřadu RNDr. Karel Neuwirt informoval o aktuálních problémech, s nimiž se Úřad setkává. Jak již uvedl na minulé tiskové konferenci, Úřadu pro ochranu osobních údajů je svěřena nová kompetence vyplývající z nedávno přijatého zákona o evidenci obyvatel (č. 133/2000 Sb., ve znění zákona 53/2004 Sb.). Úřad v nejbližší době předloží odborné veřejnosti stanovisko k aplikaci uvedeného zákona, jež zpracoval ve spolupráci s Ministerstvem vnitra, které v současné době návrh viduje. K tomuto kroku dochází v zájmu veřejnosti, které se tak dostane orientačního výkladu ve značně složité problematice, s níž se bude setkávat v mnoha oblastech každodenního života. Na dotazy týkající se této problematiky otevře Úřad také diskusní fórum na svých webových stránkách (www.uoou.cz/disk_forum.php3) dne 18. 6. Otázky budou přijímány od 10:00 do 13:00 hodin.

Úřad se opětovně setkal, v souvislosti se vstupem ČR do EU, v naléhavé podobě s problémem konstrukce DIČ, proti níž protestuje řada podnikatelů. Úřad je nucen poukázat na fakt, že na problematičnost konstrukce DIČ upozorňoval Ministerstvo financí již od doby svého vzniku, tj. od roku 2000. Zákonná úprava, která v květnu potvrdila stávající konstrukci DIČ, zcela pominula fakt, že Úřad pro ochranu osobních údajů je povinným připomínkovým místem v legislativním procesu. Lze tedy konstatovat, že Ministerstvo financí porušilo pravidla zákonodárného procesu a DIČ bylo tímto způsobem uzákoněno ve své stávající podobě. Úřad ovšem vnímá a sdílí obavy nespokojených podnikatelů.

O problematice správního trestání hovořil na tiskové konferenci ředitel odboru správního rozhodování Mgr. Josef Prokeš. Počínaje touto tiskovou konferencí se Úřad rozhodl poskytovat novinářům přehled o sankcích, které za každé čtvrtletí udělí. Příloha obsahuje tabulku „Pravomocně rozhodnuté případy ve správním trestání“. Předmětem tabulky je přehled pravomocně rozhodnutých případů odborem správního rozhodování Úřadu tentokrát za prvních pět měsíců roku 2004. Aktualizovanou podobu tabulky bude Úřad dávat i nadále k dispozici novinářům jako přílohu tiskové zprávy na pravidelné čtvrtletní tiskové konferenci.

Na okraj k tiskové zprávě přiložené informativní tabulky, kterou Úřad fakticky vychází vstříc potřebě zpřístupňovat veřejnosti informace o své činnosti, je třeba ovšem důrazně poznamenat, že zásadním cílem, kterého chce Úřad dosáhnout, je náprava závadného jednání; chce také stejně důrazně připomenout, že sankčnímu postihu za nerespektování zákona lze předejít i pochopením správců, že ochrana osobních údajů je výrazem respektu k soukromí občanů a že nepochybně korektní jednání vůči subjektům údajů představuje především v Evropě také tu nejlepší vizitku a image.

Úřad ovšem se znepokojením zaznamenal, že se letos mezi společnostmi a firmami oceněnými cenami za image Rhodos 2004 ocitly i takové, které nenaplňují povinnosti ukládané zákonem o ochraně osobních údajů. Úřad by považoval za pozitivní z hlediska tříbení společenských hodnot, kdyby jmenovaná soutěž dokázala přihlížet i k respektu vůči ochraně soukromí občanů, zaručovanému ve všech zemích EU (ale nejen zde) zákony o ochraně osobních údajů a patřícímu k neodmyslitelným atributům dobrého jména a obrazu společnosti či firmy, jejího solidního, „fair“ jednání.

Odbor správního rozhodování Úřadu obdržel od 11. 3. 2004, od konání poslední tiskové konference, do 8. 6. 2004:

18 nových podnětů k vyřízení (jak přestupků, tak správních deliktů). Z celkového počtu 39 vedených podnětů je 17 řešeno ve správním řízení, 5 je řešeno v řízení o přestupku, 7 podnětů je vyřízeno úředním záznamem a 1 je postoupen orgánu činnému v trestním řízení a 1 podnět je postoupen ke kontrolnímu šetření. Celkem eviduje správní odbor 43 správních řízení, z toho 16 správních řízení bylo zahájeno nově a bylo vydáno 23 rozhodnutí ve věci - z toho 13 rozhodnutí je pravomocných (9 o uložení pokuty, 4 o zastavení řízení), u 4 byl podán rozklad, v 1 rozhodnutí odvolacího orgánu bylo potvrzeno rozhodnutí o uložení pokuty, 10 uložených pokut bylo uhrazeno (v celkové částce 650 000 Kč).

Z 5 podnětů projednávaných podle zákona o přestupcích byly 2 odloženy před zahájením řízení, 1 věc je řešena příkazním řízením - uložena pokuta ve výši 3 000 Kč – příkaz nabyl právní moci; vydáno je 1 rozhodnutí o zastavení řízení (nabylo právní moci), 1 řízení probíhá.

V období, které uplynulo od poslední tiskové konference (11. 3. 2004), inspektorky a inspektoři Úřadu zahájili 18 kontrol, 21 kontrol ukončili a v 9 pokračují.

V návaznosti na informace, které poskytla minulá tisková konference Úřadu v souvislosti s kauzami, na něž upozornila, nebo kterým se soustředěně věnovala média, lze rekapitulovat následující kroky a postup Úřadu:

V návaznosti na uzavřenou kontrolu v a.s. Tesco Stores ČR a v eBance probíhá správní řízení.

Ve společnosti SOLUS byla ukončena kontrola a v poslední dekádě května bylo odesláno rozhodnutí Úřadu o zahájení správního řízení.

Ve společnosti HOMR (Hnutí na ochranu majitelů realit) probíhá kontrola.

V Českých aeroliniích byla ukončena kontrola zaměřená na plnění požadavku Úřadu, aby s touto leteckou společností cestující pasažéři do USA byli dostatečně informováni o předávání svých osobních údajů. Kontrola neshledala porušování požadavku, jímž Úřad podmiňoval předávání osobních údajů pasažérů do Spojených států. Podrobnější informace o předávání osobních údajů občanů EU cestujících do Spojených států jsou shrnuty v příloze k této tiskové zprávě.

Odbor kontroly za období od 11. 3. 2004 šetří 35 případů, ukončil 13 případů, 10 případů postoupil inspektorům Úřadu, 1 Ministerstvu zdravotnictví ČR, 1 Magistrátu hl. m. Prahy, 1 ČNB – odboru bankovního dohledu, a 5 předal k řízení odboru správního rozhodování Úřadu.

K 7. 6. 2004 je zaregistrováno 21 138 správců osobních údajů spravujících 23 915 databází.

Odbor legislativní a právní připomínkoval od 11. března 93 právních předpisů – z toho 20 zákonů, 42 vyhlášek, 10 nařízení vlády a 21 ostatních předpisů 16 institucí – z toho v největším rozsahu Ministerstva zdravotnictví (29) a Ministerstva životního prostředí (12).

V měsíci dubnu uzavřel Úřad projekt realizovaný v rámci programu Phare, jehož partnerem byla španělská Agentura na ochranu dat. O průběhu spolupráce informoval předseda českého Úřadu a ředitel španělské Agentury na poslední tiskové konferenci. Na závěr tohoto projektu bylo podepsáno memorandum o další spolupráci mezi oběma institucemi, v němž deklarují zájem spolupracovat na společném předávání zkušeností v oblasti ochrany osobních údajů ve státech východní Evropy a Balkánu, které se ucházejí o členství v EU a v kontextu povinností, které musí naplnit, vytvářejí zákony o ochraně osobních údajů a budují příslušné dozorové instituce.

Květnové setkání ochránců osobních údajů skupiny zemí V4, Pobaltí a Bulharska se uskutečnilo v Rize. Diskutovalo se zde mj. o tom, jak bude spolupráce na této úrovni probíhat poté, co většina států, jejichž dozorové instituce pro ochranu osobních údajů byly přítomny, se stala členskými státy EU. Došlo k dohodě, že jednou do roka bude i nadále účelné diskutovat problémy vyplývající ze specifických problémů odrážejících situaci v těchto posttotalitních zemích. Diskuse se dotýkala především řady společných nebo obdobných problémů, s nimiž se státy této skupiny v oblasti osobních údajů setkávají (jako konkrétní příklad lze uvést z hlediska ochrany osobních údajů problematické působení společnosti Vegas), ale také problémů, které aktuálně vyvstávají v ochraně osobních údajů i v jiných zemích – jako např. předávání osobních údajů leteckých pasažérů do USA a problematičnost služby Gmail nabízené společností Google.

Na pozvání vlády Západního Kapska Jižní Afriky byl v květnu předseda Úřadu na oficiální návštěvě v Kapském Městě. Setkal se s řadou vysokých státních úředníků a přijal jej rovněž předseda Západokapského parlamentu pan Shuan Byneveldt. Na zahajovací schůzi parlamentu byl předseda Úřadu jeho osobním hostem. Na Univerzitě ve Stellenbosch měl předseda přednášku o zásadách právní ochrany osobních údajů v Evropě. Předseda Úřadu byl oficiálně požádán o další výměnu zkušeností při tvorbě a aplikaci ochrany soukromí a ochrany osobních údajů.

Ve dnech 14. - 15. června 2004 bude předseda Úřadu na pozvání ministra irské vlády pana Dermonta Aherna v Dublinu řídit jeden z panelů na summitu Evropské unie s tématem „Biometrics for the Benefit of the Citizen“. Summit k uvedené problematice by se měl stát součástí agendy realizované předsedajícími státy Evropské unie. Příštím pořadatelem bude Nizozemsko.

Úřad intenzivně připravuje z pověření Rady Evropy a ve spolupráci s ní konferenci pro ochránce osobních údajů členských zemí Rady. Konference s tématem „Práva a povinnosti subjektu údajů“ se uskuteční ve dnech 13. a 14. října 2004 v Praze.

V listopadu zajišťuje Úřad v Praze mezinárodní seminář o provádění kontrolní činnosti dozorovými orgány pro ochranu osobních údajů ve státech Evropské unie.

Kontakt:

PhDr. Hana Štěpánková
vedoucí samostatného oddělení tiskového,
tisková mluvčí

---

Vyjádření Úřadu pro ochranu osobních údajů k zamýšlené službě Gmail a vyhledávač společnosti Google

Úřad pro ochranu osobních údajů reaguje svým vyjádřením na službu Gmail nabízenou společností Google, o níž informovala i česká média, a upozorňuje na možná rizika nabízené služby vůči soukromí potenciálních zájemců. Jeho názor vyplývá mj. z konzultací, které vedl na mezinárodní úrovni, a je odpovědí na výzvu, s níž se na několik evropských úřadů ochrany osobních údajů obrátila britská společnost Privacy International.

Připravovaná nabídka nové služby společnosti Google – tzv. Gmail vzbuzuje v poslední době pozornost odborné veřejnosti. Jedná se o projekt nabízející bezplatné e-mailové služby, které budou poskytovat každému zákazníkovi 1 gigabajt úložného prostoru. Služba je propagována jako prostředek k vytváření centralizovaného a trvalého úložiště e-mailů. To ale také znamená, že zákazník nemá možnost cokoliv ze svého úložného prostoru odstranit. Technicky a obsahově nepochybně zajímavý obchodní tah, nicméně některé podmínky poskytování této služby vzbuzují jisté otázky z pohledu možného zásahu do soukromí nebo omezení soukromí.

Společnosti Google přitom bude k dispozici text obsahující i e-mailové adresy a jiné osobní údaje třetích osob. Znamená to, že marketingovým zdrojem a zřejmě i cílem by mohl být každý, jehož e-mailová adresa se objeví v e-mailové schránce uživatele služby Gmail. Možnost vyslovit nesouhlas s touto eventualitou nemá ani uživatel, ani dotčená třetí osoba.

Neméně zajímavá je skutečnost, že podmínky poskytování služby mohou být měněny zřejmě zcela podle vůle a případných potřeb společnosti Google, aniž je dána klientovi možnost vyjádřit svůj názor a změny případně odmítnout. Jinak řečeno, zdá se, že bude uplatňován princip „ber nebo nech být“, což u společnosti, která na trhu tohoto druhu komunikací zaujímá významné postavení, je na pováženou.

Míru nejistoty dále zvyšují podmínky odmítnutí služby nebo vypovězení poskytované služby. Google si vyhrazuje právo pozměnit, pozastavit nebo ukončit služby prostým oznámením (nebo dokonce i bez něj), a to kdykoliv a bez jakékoliv povinnosti vůči klientovi. Takových zvláštností je v podmínkách poskytování služby více, nicméně v souvislosti s výše uvedenými příklady je navíc ještě mimořádně zarážející, že pokud bude smlouva mezi společností Google a uživatelem služby Gmail nějakým způsobem ukončena, uložené informace budou dále uchovány.

Již sama tato skutečnost by měla vést k zamyšlení nad korektností této služby a její bezpečností vůči soukromí uživatelů, a to tím spíše, že není vůbec stanovena doba, po kterou informace získané provozovatelem mohou být nebo budou nadále zpracovávány. Na tento fakt Úřad pro ochranu osobních údajů potenciální zájemce o nabízenou službu v souladu se svými kompetencemi a zákonnými povinnostmi upozorňuje.

Jelikož zpracování informací o klientech, včetně jejich e-mailové pošty, je zpracováním osobních údajů, bude evropskými experty na ochranu osobních údajů pečlivě posouzeno, zda zamýšlená služba Gmail bude splňovat vysoký standard ochrany osobních údajů, který je požadován v Evropské unii.

Je ovšem také na zvážení každého potenciálního uživatele služby Gmail, zda některé podmínky jejího poskytování nemohou mít za následek ztrátu kontroly nad vlastními osobními údaji i nad údaji dalších účastníků soukromé elektronické komunikace, s možnými negativními dopady na vlastní soukromí i na soukromí dalších osob.

Úřad pro ochranu osobních údajů bude i nadále sledovat postup realizace záměru společnosti Google a své další postoje bude koordinovat s evropskými i světovými organizacemi pro ochranu osobních údajů a soukromí jednotlivců.

---

Předávání osobních údajů o pasažérech v letecké dopravě ze zemí EU do USA

Kontrola Úřadu pro ochranu osobních údajů v ČSA

Cílem sdělení Úřadu je informovat o vývoji v záležitosti předávání údajů o pasažérech, kteří cestují ze zemí EU do USA, a poskytnout informaci o kontrole v ČSA.

Obavy Spojených států z teroristických útoků po 11. září 2001 dostaly na počátku roku 2004 novou konkrétní podobu. Jako součást protiteroristických opatření Spojené státy vyžadují po leteckých společnostech předávání údajů o pasažérech, kteří nasedají v Evropě do letadel mířících do Spojených států. Povinnost všech leteckých společností létajících do USA poskytovat americkým úřadům přístup k osobním údajů o cestujících odhlasoval americký kongres po atentátech 11. září 2001. Již od března 2003 požadovaly americké úřady od leteckých společností přístup do rezervačních systémů, a to bez jakéhokoliv právního podkladu. Pokud tak letecké společnosti neučinily do patnácti minut od startu, hrozila jim pokuta, přísnější kontroly pasažérů a eventuálně také ztráta oprávnění přistávat na americké půdě. V prosinci 2003 po bilaterálních jednáních dosáhly USA a EU předběžné dohody o právu na předávání informací.

Evropský parlament už v březnu 2004 kritizoval dohodu, kterou s USA uzavřela Evropská komise na pokyn členských států Evropské unie. Na jejím základě předávají letecké společnosti americkým úřadům do 15 minut po startu letadla na trase do USA až 34 údajů o každém pasažérovi. Zahrnují jméno, adresu, datum narození, telefonní číslo, čísla úvěrových karet, počet a váhu zavazadel a podobně. Je zakázáno předávat data vypovídající o náboženském vyznání nebo etnickém původu.

Podle většiny poslanců EP je tato praxe v přímém rozporu s evropskými zásadami ochrany osobních údajů zvláště proto, že USA neposkytují dostatečné záruky proti případnému zneužití. Poslanci EP prohlásili, že jsou ochotni a připraveni bojovat s terorismem, ale nikoli se svobodou a spravedlností. Poukázali také na skutečnost, že nic nebrání předávání dat dalším zemím nebo jejich využívání k jiným účelům, než je boj proti terorismu a mezinárodnímu organizovanému zločinu, a že jsou znepokojeni tím, že tato data mohou používat například CIA a FBI. Proto 21. dubna 2004 Evropský parlament požádal Evropský soudní dvůr o posudek, zda dohoda mezi Evropskou unií a Spojenými státy o předávání osobních údajů pasažérů, kteří cestují letadly, je v souladu s evropským právem.

K obratu ve vývoji situace došlo vstupem nových zemí do Evropské unie. Od 1. května se Evropský parlament rozrostl o 162 europoslanců z nových členských států. Na svém prvním zásadním hlasování nově rozšířený Evropský parlament, včetně zástupců z České republiky, těsnou většinou odmítl zařadit na pořad své schůze hlasování o dohodě mezi Evropskou unií a Spojenými státy o předávání osobních údajů leteckých společností na leteckých linkách do Spojených států. Parlament tak nevyhověl žádosti Rady ministrů, aby se naléhavě zabýval zmíněnou dohodou, kterou většina poslanců považuje za nespolehlivou i diskriminační. Europoslanci tak přijali rozhodnutí Evropské komise, že dohoda je lepší než uvržení letecké dopravy přes Atlantik do nejistoty a chaosu a že při sérii jednání ve Washingtonu byl dohodnut takový režim, který „poskytuje odpovídající ochranu“ osobních údajů a zároveň je v souladu s evropskou legislativou. Podnětem k dalšímu vývoji situace bude až verdikt Evropského soudního dvora.

Při jednáních USA a EK obě zúčastněné strany dospěly ke shodě a 28. května 2004 byla ve Washingtonu podepsána smlouva o sdílení osobních údajů cestujících na transoceánských letech. Smlouva téhož dne vstoupila v platnost. Spojené státy tak získaly přístup ke 34 kategoriím osobních údajů o každém cestujícím do USA z 25 států Evropské unie. Mohou tak shromažďovat mimo jiné jména, adresy, čísla pasů a bankovních karet občanů členských zemí EU, včetně České republiky. Americké úřady mohou uchovávat data po dobu tří a půl let. (Původně USA požadovaly až 50letou lhůtu). Ze smlouvy vyplývá, že se musejí vyřazovat tak zvané citlivé údaje, jako je například i typ stravy, z něhož by se dalo usuzovat na náboženské vyznání nebo rasu cestujících. Tato „protiteroristická“ dohoda umožňuje Evropské unii zavést reciproční opatření vůči cestujícím a leteckým společnostem ze Spojených států.

Obě strany se shodně zavázaly zvyšovat bezpečí cestujících v letadlech a bezpečnost na hranicích, ale také chránit soukromí občanů v souladu s evropskými zákony a právním řádem USA.

České aerolinie předávají v souladu s povolením Úřadu pro ochranu osobních údajů informace o cestujících i posádce. O pasažérovi, který míří za oceán, jsou předávány informace, jakými jsou jméno a příjmení, datum a místo narození, státní příslušnost a země trvalého pobytu. Dále jde o údaje, jako je číslo a typ cestovního dokladu, jeho platnost, místo vystavení, údaje o úřadu, který cestovní doklad vydal. Následuje kontaktní adresa ve Spojených státech (či v Kanadě) a rezervační kód. Z databáze ČSA pak přicházejí údaje o jménech a příjmeních cestujících, označení linek, pro které má cestující rezervaci, telefonní kontakt, adresa bydliště, číslo členské karty věrnostního programu OK Plus. Do Spojených států směřují i údaje o číslu sedadla konkrétního pasažéra, a o tom, zda si objednal nadstandardní služby. Úřady Spojených států nemají přímý vstup do databáze cestujících ČSA. Rozsah dat, která poskytují americkým úřadům České aerolinie, se neliší od informací poskytovaných i ostatními leteckými společnostmi.

Úřad od počátku vyjadřoval svými postoji obavy o možné zneužití dat cestujících Českých aerolinií, kteří míří do Spojených států. Úřad své rozhodování v této záležitosti přizpůsoboval stavu věci a praxi jak v EU, tak v okolních a tehdejších kandidátských zemích. Opakovaně vydával ČSA povolení k předávání osobních údajů cestujících, a to vždy na velice omezenou dobu. Povolení se vztahuje pouze asi na polovinu datových prvků z celkového počtu 34, které USA požadují.

Úřad pro ochranu osobních údajů vyžadoval, aby České aerolinie informovaly své cestující o předávání jejich osobních údajů a aby zabezpečily včasnou (tj. při objednávce letenky) a dostatečnou informovanost pasažérů. V ČSA proběhla kontrola inspektora Úřadu, která dospěla k závěru, že uvedené požadavky jsou v současné době splňovány.