Informační povinnost

Recitál 38 směrnice 95/46/ES uvádí, že korektní zpracování údajů předpokládá, že subjekty údajů jsou informovány o probíhajícím zpracování a že mají nárok, pokud jsou údaje získávány od nich, na přesné a úplné informace o okolnostech tohoto shromažďování. Tento požadavek reflektuje judikaturu Evropského soudu pro lidská práva týkající se práva na přístup k osobním údajům. Významným souvisejícím rozhodnutím je rozsudek ESLP Gaskin v. Spojené království. Zde stěžovatel brojil proti postupu rady města Liverpool, která mu odmítla vydat důvěrné záznamy z období, kdy se nacházel v ústavní výchově. Rada dala najevo, že přístup k údajům by povolila jen v případě souhlasu toho, kdo údaje poskytl. Podle ESLP osoby ve stěžovatelově situaci mají „životní zájem chráněný Úmluvou“ na získání informací nezbytných k porozumění svému dětství a ranému vývoji. [Zákony členských států EU implementující směrnici 95/46/ES význam požadované informace pro jednotlivce nezdůrazňují. Oproti tomu odmítnutí smluvního státu opravit úřední záznamy zpravidla nemůže bez dalšího (tj. bez zřetele k obsahu těchto údajů) znamenat zásah do soukromí, v důsledku čehož není nevyhnutelné obracet pozornost ke kritériím vymezeným v čl. 8 odst. 2 Úmluvy.] Na tomto podkladě se ESLP vyslovil, že k porušení čl. 8 Úmluvy došlo. Není pochyb, že v kolizi s principem transparentnosti může stát ochrana třetích osob. Britská úprava, která zpřístupnění údajů podmiňovala souhlasem přispěvatele, je podle ESLP v zásadě souladná s čl. 8 Úmluvy. Tento systém však musí poskytovat adekvátní ochranu subjektu osobních údajů v situacích, kdy je osoba, která poskytla údaje, nedostupná nebo svévolně odmítá souhlas udělit. V tomto případě se tedy požaduje možnost přezkumu nezávislým orgánem, čemuž britská úprava nedostála. ESLP zajištění práva na přístup k informacím ve věci Gaskin v. Spojené království formuloval jakožto pozitivní závazek státu. Podle ESLP tedy nešlo o zásah do stěžovatelova práva na ochranu soukromí ve smyslu čl. 8 odst. 1 Úmluvy, ale o porušení pozitivních závazků chránit tato práva. 

Rozsah pozitivních závazků smluvního státu v této oblasti (tj. aktivně konat a umožnit přístup k údajům) vymezil ESLP následovně: 1) musí být nastolena férová rovnováha mezi zájmy společnosti a zájmy jednotlivce, 2) je zapotřebí vzít v potaz posuzovací volnost státu (meze uvážení, margin of appreciation), je-li tato rovnováha porušena a 3) cíle obsažené v čl. 8 odst. 2 mají dosáhnout určité relevance. [Doktrína margin of appreciation slouží totiž, nejobecněji řečeno, k vymezování optimálního vztahu mezi 1) relativní diskrecí, kterou vnitrostátní orgány požívají při omezování práv zaručených Úmluvou, popř. v rámci plnění svých pozitivních povinností při jejich efektivním prosazování, a 2) intenzitou kontrolní činnosti Soudu. Viz Barinka, R. Evropská úmluva o lidských právech a doktrína margin of appreciation. Disertační práce. Brno: Masarykova univerzita, Právnická fakulta, 2006, s. 7. Lze dodat, že v případě práva na přístup k informacím je prostor pro uvážení poskytnutý smluvním státům relativně široký.] Ve věci Gaskin v. Spojené království ESLP deklaroval, že pro existenci práva na přístup k údaji představuje význam informace pro stěžovatele podmínku nutnou, nikoli dostačující. Tento předpoklad se zvlášť zřetelně uplatnil – již dříve – ve věci Leander, kde ESLP konstatoval, že švédské úřady neměly povinnost poskytnout stěžovateli údaje, na jejichž podkladě mu byl odepřen přístup k zaměstnání. 

Rozsudek ESLP McMichael v. Spojené království ESLP se odvíjel ze stížnosti rodičů dětí, které jim státní orgány odňaly z opatrování a svěřily do ústavní výchovy. Stěžovatelé vytýkali, že se nemohli seznámit s obsahem některých dokumentů, z nichž rozhodnutí vycházelo. ESLP konstatoval porušení čl. 8 odst. 1 Úmluvy, byť formálně vzato byl účastníkem opatrovnického řízení jen jeden ze stěžovatelů. ESLP přitom neshledal podstatným, zda odpovídající právo na přístup k údajům zajišťuje rovněž čl. 6 Úmluvy. 

Ve věci Martin v. Spojené království EKLP konstatovala nepřijatelnost stížnosti kritizující podmínění přístupu k lékařským záznamům vyjádřením lékaře, že tím nemůže být poškozen pacient nebo další osoby zmiňované v těchto písemnostech. V daném případě se stěžovatel neúspěšně domáhal přístupu k údajům ohledně jeho psychiatrické léčby, kterou zahájil v devatenácti letech, přičemž trvala čtyři roky. EKLP konstatovala, že oproti případu Gaskin v. Spojené království se záznamy netýkají období dětství a nejde o jedinou cestu, jak získat informace o předmětném období. Shledala, že řízení sleduje legitimní cíl – ochranu zdraví, a poznamenala, že záznamy nebyly požadovány k lékařským účelům ani pro právní řízení a stěžovatel si mohl sám určit lékaře, který vybere údaje vhodné ke zpřístupnění. EKLP dala najevo, že tato úprava ustavuje rovnováhu mezi uvedeným legitimním cílem a stěžovatelovým požadavkem. 

Ve věci Odièvre v. Francie týkající se problematiky anonymních porodů velký senát ESLP konstatoval, že otázka odhalení informací týkajících se genetických rodičů spadá pod čl. 8 odst. 1 Úmluvy. Narození a obzvláště okolnosti, za kterých se dítě narodilo, tvoří formativní část soukromého života ve smyslu čl. 8 Úmluvy. ESLP akceptoval, že stěžovatelce byly poskytnuty jen všeobecné informace o jejím původu. ESLP v rozsudku Segerstedt-Wiberg a další v. Švédsko uznal, že smluvní státy mají široký prostor pro uvážení v souvislosti s odmítnutím přístupu k informacím z důvodu ochrany národní bezpečnosti. 

V rozsudku K. H. a další v. Slovensko ESLP konstatoval porušení čl. 8 a čl. 6 odst. 1 Úmluvy tím, že soudy nezajistily efektivní přístup stěžovatelek (dle odůvodnění rozsudku osmi ženám slovenského občanství a romského původu, které byly ošetřovány ve dvou zdravotnických zařízeních na východním Slovensku během těhotenství a porodu, přičemž po tomto zákroku žádná z nich nebyla schopna počít dítě, a všechny vyslovily podezření, že jim byla během císařského řezu lékařským personálem provedena sterilizace) k informacím týkajícím se jejich zdraví a reprodukčních schopností v určitém časovém období, čímž jim byla též ztížena možnost domáhat se nápravy před soudy v souvislosti s tvrzenými pochybeními ve zdravotní péči. 

Uvedenou judikaturu lze interpretovat tak, že s výjimkou specifických případů rizik pro bezpečnost státu, intenzivních zásahů do osobnostní sféry dalších subjektů nebo ustavení stěžovateli nepříznivé situace vlastním zaviněním je třeba dosažitelné osobní údaje poskytnout. 

Ustanovení § 11 zák. o ochraně os. údajů implementují čl. 10 a čl. 11 směrnice 95/46/ES. Články 10 a 11 upravují povinnosti správce v souvislosti s informováním subjektu údajů ohledně zpracování údajů, a to s rozlišením, zda údaje byly shromážděny od samotného subjektu údajů (čl. 10) nebo je poskytl někdo jiný (čl. 11). V těchto ustanoveních se odráží zejména princip férového zpracování dle čl. 6 odst. 1 písm. a) směrnice 95/46/ES, resp. § 5 odst. 1 písm. a) a b). Obsahově se čl. 10 a 11 liší jen okrajově. Rozdílem je zejména čl. 11 odst. 2 směrnice 95/46/ES, který pamatuje – zejména pro případy statistiky nebo historických či vědeckých výzkumů – na situace, kdy nelze – buď vůbec, nebo bez vynaložení neúměrného úsilí – subjekt údajů informovat. Není pochyb, že požadavek na srozumitelnost informace poskytnuté v návaznosti na specifikovaná ustanovení je uplatnitelný obecně. Informační povinnost je třeba splnit nejpozději při předání údajů jejich subjektem správci, tj. již ve fázi shromažďování údajů. Stávající výčet povinností dle směrnice 95/46/ES i zákona o ochraně osobních údajů by bylo namístě rozšířit o rámcové sdělení ohledně zajištění datové bezpečnosti. Srovnatelnou úpravu zakotvuje čl. 8 písm. a) Úmluvy č. 108. Ustanovení § 11 a § 12 se nepoužijí pro zpracování osobních údajů nezbytných pro plnění povinností správce stanovených zvláštními zákony v oblastech vymezených v § 3 odst. 6 zák. o ochraně os. údajů. Sankce za přestupek nebo jiný správní delikt jsou zakotveny v § 44 odst. 2 písm. f) či § 45 odst. 1 písm. f). 

K odst. 1

Toto ustanovení vymezuje rozsah informační povinnosti a časové zařazení jejího plnění. § 11 navazuje na zásady včleněné do § 5 odst. 1; povinnost informovat o rozsahu zpracování vychází ze zásady minimality, sdělení o účelu zpracování odkazuje na zásadu omezení účelem, způsob zpracování se vztahuje k zásadě férového a zákonného zpracování. Dále předmětná norma zakotvuje povinnost poskytnout informaci, komu mohou být osobní údaje zpřístupněny (např. v důsledku porušení smluvní povinnosti nebo za účelem nabízení obchodu nebo služeb podle § 5 odst. 5 a násl.). 

Poskytnuté informace se musejí vyznačovat určitostí a srozumitelností, na což musí správce pamatovat též při stanovení míry obecnosti podaných informací. 

Plnění této povinnosti předchází samotnému nabytí (shromažďování) osobních údajů, neboť jinak by souhlas se zpracováním osobních údajů nemohl být informovaný, jak požaduje § 5 odst. 4. Dikce zákona o ochraně osobních údajů, který odkazuje až na okamžik shromažďování údajů, je tudíž nepřesná. Ustanovení § 3019 o. z. upřesňuje identifikační údaje, které je správce povinen poskytnout. Příjemce představuje pojem normativně předvídaný v § 4 písm. o). Ustanovení neukládá povinnou písemnou formu (a to od nabytí účinnosti zákona č. 439/2004 Sb.), lze však její uplatnění vzhledem k posílení důkazní pozice správce doporučit. 

Úřad ve stanovisku č. 1/2008 Umístění kamerových systémů v bytových domech konstatoval, že: „V případě dalších subjektů údajů přicházejících do bytového domu nepravidelně, resp. nepředvídatelně, je správce povinen splnit informační povinnost např. umístěním informačních tabulek u vstupu do sledovaných prostor. K náležitostem této informační tabulky lze dodat, že musí obsahovat alespoň informaci, že prostor je sledován kamerovým systémem, musí zde být uveden správce – provozovatel kamerového systému, resp. kontaktní osoba nebo sdělení, kde bude subjektu údajů poskytnuta informace o zpracování v rozsahu požadovaném zákonem (kde si může např. vyzvednout v písemné podobě další informace o kamerovém systému – takové místo musí být přirozeně mimo sledované prostory).“ 

Poslední citovaná věta stanoviska dává najevo požadavek, aby se subjekt údajů mohl informovaně rozhodnout dříve, než do sledovaných prostor vstoupí. Toto pravidlo je nicméně v praxi obtížně naplnitelné, neboť kamerové systémy obvykle zabírají již prostor bezprostředně za vchodem. Není přitom obvyklé předmětné informace umístit přímo formou „informačních tabulek u vstupu do sledovaných prostor“. 

Poslední věta ustanovení nevychází ze striktní zásady ignorantia juris non excusat (neznalost zákona neomlouvá), nýbrž posiluje pozici subjektu údajů tím, že jej správce musí informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21. 

K odst. 2

Pokud se má zpracování odvíjet ze souhlasu subjektu údajů, není již nutné výslovné poučení, že jde o poskytnutí údajů dobrovolné, neboť tato povaha zpracování je dána vnitřní logikou věci. S tím nekoliduje úsudek, že neposkytnutí údajů může mít za následek, že mezi subjektem údajů a správcem nevznikne právní vztah. Jestliže jde o zpracování na základě zvláštního zákona, může odepření poskytnutí údajů znamenat pro subjekt údajů nepříznivé právní důsledky, o čemž je nutné jej poučit. 

K odst. 3

Ustanovení § 11 odst. 3 vymezuje výjimky z informační povinnosti správce údajů. Aplikovatelnost předmětné výjimky předpokládá současné splnění dvou podmínek. První spočívá v okolnosti, že správce osobní údaje nezískal od subjektu údajů, a to ani s využitím jím pověřeného zpracovatele (popř. správce, který je na základě zvláštního zákona angažován v jeho prospěch). Tuto podmínku je nicméně nutno interpretovat se zřetelem ke skutečnosti, že – do důsledků vzato – valná většina informací v určité míře vychází ze sdělení subjektů údajů. Řečené znamená, že správce získá údaje od jiného správce (případně od zpracovatele, který zpracovává údaje pro tohoto „jiného správce“). Druhá podmínka zahrnuje existenci některé ze situací vymezených pod písm. a) až d). Související povinnosti správce podle § 12 a 21 jsou přitom zachovány. 

K odst. 3 písm. a)

Státní statistickou službu upravuje zákon č. 89/1995 Sb., o státní statistické službě, podle něhož ji vykonává Český statistický úřad (§ 3 odst. 1). Výjimka zpravidla dopadá (bezpochyby jen v situaci, kdy jde o zpracování osobních údajů) na využití administrativních zdrojů údajů (§ 9), údajů z jiných informačních systémů (§ 9a), programů statistických zjišťování (§ 10). 

Předmětná výjimka není splněna tehdy, jde-li o statistická zjišťování u fyzických osob (§ 8) nebo o statistiku obyvatelstva a sčítání lidu, domů a bytů (§ 12), neboť se zde jedná o získání údajů od jejich subjektů. 

Pojem vědecký účel lze považovat za problematický pro svoji neurčitost. Samo o sobě je diskutabilní, do jaké míry mají státní orgány určovat, kde jsou hranice vědy. Archivní účely vymezuje zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů. 

Výjimka podle písm. a) formuluje test proporcionality, kdy neaplikovatelnost povinností podle § 11 odst. 1 předpokládá, že by poskytnutí předmětných informací vyžadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady. I bez splnění těchto hledisek přiměřenosti se povinnosti podle § 11 odst. 1 neuplatní tehdy, pokud je ukládání na nosiče informací nebo zpřístupnění výslovně stanoveno zvláštním zákonem; tato formulace pouze jinými slovy předepisuje totéž jako § 11 odst. 3 písm. b), předmětná duplicita nicméně (v daných souvislostech) neznamená protiústavnost (superfluum non nocet). Nadbytečné je též následující ustanovení, podle kterého je správce povinen přijmout potřebná opatření proti neoprávněnému zasahování do soukromého a osobního života subjektu údajů. Obdobnou normu zákonodárce vtělil do § 10 a připomenout lze též § 13. 

K odst. 3 písm. b)

Rozpoznání situace, kdy zpracování osobních údajů ukládá zvláštní zákon, nečiní výkladové problémy. Potřebnost údajů k uplatnění práv a povinností vyplývajících ze zvláštních zákonů zahrnuje kupříkladu jejich použití v právních řízeních; ustanovení § 11 odst. 1 v návaznosti na tuto výjimku neumožňuje, aby si účastník řízení touto cestou zjišťoval, jakými informacemi disponuje protistrana. 

K odst. 3 písm. c)

Výjimka z informační povinnosti dopadající na zpracování výlučně oprávněně zveřejněných osobních údajů navazuje na § 4 písm. l) a § 5 odst. 2 písm. d). 

K odst. 3 písm. d)

Zpracování na základě souhlasu subjektu údajů se odvíjí z § 5 odst. 4 a § 9 písm. a). Vzhledem tomu, že i zde se uplatní podmínka nepřímého získání osobních údajů (tj. získání nikoli od subjektu údajů), půjde např. o situaci, kdy osobní údaje získá od věřitele tzv. inkasní společnost nebo registr dlužníků. 

K odst. 4

Zvláštními zákony, jejichž úprava není ustanoveními § 11 odst. 1 až 3 dotčena, jsou zákon č. 106/1999 Sb., o svobodném přístupu k informacím, zákon č. 128/2000 Sb., o obcích (obecní zřízení), a zákon č. 129/2000 Sb., o krajích (krajské zřízení), popř. zákon č. 123/1998 Sb., o právu na informace o životním prostředí. Ustanovení § 65 zákona č. 372/2011 Sb., o zdravotních službách, umožňuje nahlížení do zdravotnické dokumentace, pořizování jejích výpisů nebo kopií bez toho, že by pacientovi (či jeho zmocněnci) zamezoval v přístupu k osobním údajům třetích osob. Jde o řešení odlišné od úpravy obsažené v § 67b odst. 12, resp. § 67bb odst. 2 zákona č. 20/1966 Sb., o péči o zdraví lidu, ve zněních účinných od roku 2001. Oproti tomu § 2648 odst. 2 o. z. předepisuje, že obsahují-li záznamy rovněž údaje o třetí osobě, nelze je (ošetřovanému ani jeho zmocněnci) zpřístupnit bez jejího souhlasu. Lze v zásadě přisvědčit Františku Nonnemannovi (Nonnemann, F. Zdravotnická dokumentace a osobní údaje třetích osob. Právní rozhledy, 2014, č. 19, s. 668 a násl.), podle kterého se úprava obsažená v občanském zákoníku uplatní ve vztahu jen k těm oblastem péče o zdraví, které nemají povahu zdravotních služeb. V jiných situacích podle citovaného autora bude nutné aplikovat úpravu podle zákona o zdravotních službách, a to jednak z důvodu speciality tohoto zákona ve vztahu k občanskému zákoníku, jednak se zřetelem k nezbytnosti plného přístupu k zdravotnické dokumentaci, má-li být dosaženo jejího účelu. Dlužno podotknout, že § 9 písm. b) zák. o ochraně os. údajů umožňuje zpracovávat osobní údaje v zájmu zachování života nebo zdraví subjektu údajů nebo jiné osoby. K citovanému názoru se patří uvést, že je nezbytné právní normy interpretovat ve světle ústavních principů, které v podobě regulativních idejí prozařují celým právním řádem. Výjimku nepředstavuje ani § 65 zákona o zdrav. službách, v důsledku čehož není vyloučeno, aby v konkrétních situacích převážilo ústavní právo na ochranu soukromí třetích osob (jednalo by se o přímou aplikaci ústavně zaručeného práva na soukromí). Současně je třeba vzít v potaz, že požadavek na uplatnění uvedeného postupu zůstává v praxi problematický, neboť značně zvyšuje nároky na aplikaci předmětné úpravy. 

K odst. 5

§ 5 odst. 2 písm. e) umožňuje zpracování osobních údajů, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby. Ustanovení § 9 písm. h) zák. o ochraně os. údajů podmiňuje právní základ zpracování citlivých údajů nezbytností pro zajištění a uplatnění právních nároků. 

Ustanovení § 11 odst. 5 je výjimkou z výjimky zakotvené v § 11 odst. 3; je tudíž nutné tuto normu interpretovat extenzívně. 

Správce údajů je povinen subjekt údajů informovat o zpracování údajů v rozsahu daném § 11. Subjekt údajů se dalších informací může domáhat podle § 12. 

Ustanovení § 11 odst. 5 nepředpokládá, že plnění informační povinnosti předchází samotnému nabytí (shromažďování) osobních údajů. Obsah pojmu „bez zbytečného odkladu“ nelze plně zobecnit, neboť výkladové závěry se mohou odvíjet z vyvažování práva na přístup k osobním údajům s dalšími aprobovanými hodnotami. Předmětnou úpravu nelze považovat například za nepřímou novelu občanského soudního řádu, která by nutila účastníka soudního řízení, který je současně správcem údajů (srov. § 3 odst. 4), poskytnout informace ohledně své důkazní situace; odlišný výklad by odporoval zásadě „rovnosti zbraní“, neboť by znevýhodňoval ty účastníky řízení, kteří jsou správci údajů. 

K odst. 6

Automatizované rozhodnutí je v čl. 15 odst. 1 směrnice 95/46/ES definováno jako to, které vůči subjektům údajů zakládá právní účinky nebo které se jich významně dotýká, přičemž je přijaté výlučně na základě automatizovaného zpracování údajů určeného k hodnocení určitých rysů jejich osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivost, chování atd. 

Příkladem automatizovaného rozhodnutí může být takové, kterým se na základě numerických kritérií – bez zásahu člověka – zamítne žádost o poskytnutí úvěru. Kvůli snížení rizik vyplývajících z tohoto postupu v praxi rozhodovací proces – tak jako tak – finalizuje člověk. Směrnice 95/46/ES na automatizované rozhodovací procesy ve svém čl. 15 hledí s opatrností. Prvý odstavec uvedeného článku směrnice 95/46/ES stanoví obecné právo subjektů údajů nepodléhat rozhodnutím o určitém stupni závažnosti (daném existencí jeho právních účinků nebo významných dopadů), resp. jeho zaměření (hodnocení určitých rysů jejich osobnosti, například pracovního výkonu, důvěryhodnosti, spolehlivost, chování atd.). Odstavec druhý tento striktní postoj reviduje; členské státy stanoví, aniž jsou tím dotčena jiná ustanovení této směrnice, že osoba může být – za vymezených podmínek – subjektem rozhodnutí uvedeného v odstavci 1. Toto ustanovení předpokládá buď rámec uzavírání nebo plnění smlouvy ve spojení s existencí vhodných opatření zajišťujících ochranu oprávněných zájmů subjektu údajů, nebo vyhovění žádosti, nebo povolení právním předpisem.  

Vnitrostátní úprava se od normativního řešení uplatněného ve směrnici 95/46/ES odchyluje. 

Kategorii „ve prospěch“ subjektu údajů zákonodárce formuloval nad rámec směrnice 95/46/ES, a to s důrazem na předpoklad, že samo podání „žádosti“ nemusí vždy znamenat, že z kladného rozhodnutí navrhovatel profituje. 

Na ustanovení § 11 odst. 6 nenavazuje specifická skutková podstata přestupku či jiného správního deliktu podle § 44 a 45 zák. o ochraně os. údajů. Jeho porušení nicméně může mít za následek uložení opatření k nápravě podle § 40. 

K odst. 7

Plnění povinnosti podle § 11 odst. 1 a 2 předchází samotnému nabytí (shromažďování) osobních údajů, v důsledku čehož se úprava podle § 11 odst. 7 uplatní tehdy, pokud zpracovatel zajišťuje nabytí (shromažďování) těchto údajů. Z hlediska rozlišení odpovědnosti správce a zpracovatele se uplatní obecná úprava obsažená v § 8 a 10. 

Úřad ve stanovisku č. 1/2006 Provozování kamerového systému z hlediska zákona o ochraně osobních údajů zdůraznil, že subjekt údajů musí být o užití kamerového systému vhodným způsobem informován (např. nápisem umístěným v monitorované místnosti), viz § 11 odst. 5, nejde-li o uplatnění zvláštních práv a povinností vyplývajících ze zvláštního zákona. 

Úřad ve stanovisku č. 5/2009 Zveřejňování osobních údajů v médiích uvedl, že aplikace zákona o ochraně osobních údajů v oblasti žurnalistiky je komplikovaná (tento zákon obsahuje mnoho ustanovení, např. § 11 nebo 16, která svobodu slova nijak neomezují, přesto jsou v této oblasti jen obtížně realizovatelná) a často na hranici kompetencí Úřadu, resp. působnosti zákona o ochraně osobních údajů. Nicméně Úřad je toho názoru, že uplatnění principů ochrany osobních údajů je i v této oblasti zcela na místě, neboť významně doplňuje instituty občanského, mediálního i trestního práva. S ohledem na výše popsaná východiska a důvody přistupuje Úřad k této problematice s maximální obezřetností a ve své praxi přihlíží ke všem relevantním aspektům práce žurnalistů i k funkci médií. 

Úřad ve stanovisku č. 1/2010 Služby soukromých detektivů z pohledu ochrany osobních údajů deklaroval, že vzhledem k charakteru činnosti soukromých detektivů je zjevné, že aplikace informační povinnosti (§ 11) není možná v plném rozsahu, neboť je v přímém rozporu s právem předvídaným smyslem jeho činnosti. Lze si jen obtížně představit, že by soukromý detektiv při získávání informací poučil dotazovanou osobu o tom, v jakém rozsahu, pro jaký účel a kým budou osobní údaje zpracovávány, a dále je-li jejich poskytnutí dobrovolné či povinné atd., případně dodatečně informoval všechny zainteresované osoby ve smyslu § 11 odst. 5 o tom, že zpracovával jejich osobní údaje na základě § 5 odst. 2 písm. e) či § 9 písm. h), tedy pro ochranu práv, právem chráněných zájmů či právních nároků. Při poskytování informací je tedy soukromý detektiv oprávněn posoudit, zda jejich poskytnutí v daném okamžiku neohrozí účel jejich zpracování (zajištění ochrany práv, právem chráněných zájmů či právních nároků), k němuž je zmocněn živnostenským zákonem. V takovém případě je možné informaci poskytnout až v případě, kdy tím uvedený účel zpracování ohrožen nebude, a způsobem, který tento účel zpracování osobních údajů neohrožuje. Navíc pro zřejmě nejčastější případ, kdy osobní údaje nejsou soukromým detektivem získávány přímo od subjektu údajů (pod pojem „přímo“ je nezbytné řadit nikoliv pouze přímou komunikaci s fyzickou osobou, ale také její sledování), lze uplatnit výjimku z informační povinnosti podle § 11 odst. 3 písm. b). Pokud tedy poskytovatel služby soukromého detektiva osobní údaje nezíská přímo od dotčené osoby, ale naopak je sám aktivně vyhledá nebo je získá z veřejně dostupných rejstříků, informační povinnost ve výše uvedeném rozsahu plnit obecně nemusí. 

Úřad ve stanovisku č. 2/2011 Zpracování osobních údajů na základě souhlasu ve smlouvě nebo Všeobecných obchodních podmínkách a s tím související problémy konstatoval, že „… vzhledem k tomu, že všeobecné obchodní podmínky jsou jedním z prvních dokumentů vyměněných mezi správcem a subjektem údajů v rámci jejich vzájemného vztahu, je logické, že jsou používány také ke splnění informační povinnosti podle § 11. Některé z těchto informací jsou přitom součástí souhlasu se zpracováním osobních údajů (§ 5 odst. 4 – účel, rozsah, správce, období) a není nutné je znovu v rámci ustanovení s informační povinností opakovat. Pro přehlednost a srozumitelnost poskytované informace o zpracování osobních údajů lze přitom doporučit členit informaci podle § 11 odst. 1 podle jednotlivých účelů zpracování, tj. uzavření a plnění smlouvy, marketing, předání třetím subjektům za účelem marketingu, dlužnické registry atd.“ 

Úřad ve stanovisku č. 3/2011 Ochrana osobních údajů podnikajících fyzických osob dal najevo, že „… ustanovení § 11 správci již při shromažďování osobních údajů ukládá dotčený subjekt údajů informovat o řadě – zde uvedených – parametrů zamýšleného zpracování. Z podstaty věci by však bylo nadbytečné či protismyslné, kdyby takovou povinnost měli i ti správci, kteří osobní údaje nezískávají od subjektů údajů a zpracovávají je na základě toho, že jim tak výslovně ukládá zvláštní zákon, nebo zpracovávají veřejně dostupné osobní údaje. Při takovémto zpracování proto dle § 11 odst. 3 písm. b) a c) správce informační povinnosti nepodléhá. Pokud by však správci provádějící uvedené zpracování získali osobní údaje přímo od subjektů údajů, tak by informační povinnosti v rozsahu stanoveném v § 11 odst. 1 a 2 naopak podléhali v plné míře“. 

Úřad ve věci 26/05/SŘ-OSČ, 50/05/SŘ-OSČ, 70/05/SŘ-OSČ připomenul, že „… správci osobních údajů plní svoji informační povinnost obvykle prostřednictvím textu souhlasu se zpracováním osobních údajů uvedeném ve smlouvě či na příslušném formuláři anebo ustanovením v rámci všeobecných obchodních podmínek. Zde je nutno zdůraznit, že uvedené informace je nutno subjektu údajů sdělit (poskytnout) ve srozumitelné a přehledné formě. Postup, kdy jsou požadované informace subjektu údajů poskytnuty formou mnoha komplikovaně provázaných ustanovení v rámci rozsáhlého dokumentu, případně několika dokumentů, anebo pokud není jejich znění jednoznačně srozumitelné, lze o splnění povinnosti podle § 11 odst. 1 a 2 zák. o ochraně os. údajů přinejmenším pochybovat. Informační povinnost je neméně důležitá i v oblasti veřejné správy, kdy mnohé orgány státu mají stále tendenci shromažďovat a zpracovávat nadbytečné údaje. Povinnost poskytnout srozumitelné informace o účelu zpracování požadovaných údajů, případně o právech subjektu údajů, by měla tuto tendenci oslabovat“. 

Úřad v rozhodnutí SKO-3986/07 konstatoval, že „… další z povinností správce osobních údajů při uzavírání smlouvy je informační povinnost podle § 11 odst. 1, tedy povinnost již při shromažďování osobních údajů informovat subjekty údajů (klienty) o tom, v jakém rozsahu a pro jaký účel budou jejich údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být zpřístupněny, a dále je poučit o jejich právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21. Správce osobních údajů je také povinen podle § 11 odst. 2 poučit subjekty údajů o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Tuto povinnost má správce osobních údajů v případě, že zpracovává osobní údaje získané od subjektu údajů“.  

Úřad se v rozhodnutí SPR-2753/08 vyslovil k rodnému číslu jako variabilnímu symbolu u plateb na tzv. „transparentní účet“. Předmětné rozhodnutí vycházelo ze situace, kdy politická strana měla veden transparentní účet, platby členských příspěvků byly prováděny variabilním symbolem – rodným číslem člena strany (bez uvedení lomítka), členové strany přitom nebyli nijak informováni, že budou v této podobě rodná čísla dostupná na internetových stránkách. Úřad dal najevo, že jednou z povinností správce je povinnost vyjádřená v § 11 odst. 1, tedy povinnost informovat subjekt údajů o účelu a způsobu zpracování jeho osobních údajů, o tom, komu mohou být osobní údaje zpřístupněny, a také o právech subjektu údajů vyjádřených v § 21. Pouze na základě těchto informací se totiž subjekt údajů může kvalifikovaně rozhodnout, zda udělí souhlas se zpracováním svých osobních údajů, resp. v jakém rozsahu tento souhlas udělí. V relevantních předpisech a pokynech, které se vztahují k placení členských příspěvků, zákonem požadované informace uvedené nejsou a je tedy nepochybné, že účastník řízení výše uvedenou povinnost porušil. 

Z publikace Zákon o ochraně osobních údajů a předpisy související (č. 101/2000 Sb.) / Komentář. Koupit lze ZDE.