Stručná odpověď
Úřad pro ochranu osobních údajů (ÚOOÚ) může kontrolovat soukromého i veřejného správce nebo zpracovatele, jestliže zpracování osobních údajů spadá do jeho věcné a územní působnosti. Kontrola může vycházet ze stížnosti člověka, podnětu jiného úřadu, soudu či policie, kontrolního plánu nebo veřejně dostupných informací. ÚOOÚ nemusí čekat, až vznikne škoda. Může prověřit právní základ, účel, minimalizaci, transparentnost, zabezpečení, dobu uchování, vyřízení práv subjektu údajů, posouzení vlivu i smluvní řetězec.
Profilování není automaticky zakázáno, ale rozhodnutí založené výlučně na automatizovaném zpracování s právním nebo obdobně významným účinkem podléhá článku 22 GDPR. Kamerový systém musí mít konkrétní právní základ, nezbytný rozsah a přiměřenou dobu uchování; rozpoznávání obličeje může pracovat s biometrickými údaji a vytvářet vysoké riziko. Elektronický marketing podléhá vedle GDPR také českému opt-in pravidlu, s úzkou výjimkou pro vlastní obdobné produkty stávajícím zákazníkům a vždy snadným odhlášením. Monitorování zaměstnanců omezuje i § 316 zákoníku práce. Veřejný úřad potřebuje zákonný úkol nebo jiný právní titul a nesmí budovat databázi jen proto, že by byla užitečná.
ÚOOÚ může požadovat informace, provést audit a místní šetření, získat přístup k údajům a systémům, nařídit nápravu, výmaz či omezení, zakázat zpracování a u soukromých subjektů uložit pokutu. Českým veřejným orgánům v kategorii článku 83 odst. 7 se správní trest neukládá, ale ostatní nápravné pravomoci zůstávají. Dotčený člověk může současně uplatnit práva u správce, podat stížnost, žalovat správce či ÚOOÚ a požadovat náhradu prokázané majetkové nebo nemajetkové újmy.
Kdy ÚOOÚ zahájí kontrolu
ÚOOÚ je nezávislý ústřední správní úřad. Podle článků 57 a 58 GDPR a §§ 50–60 zákona č. 110/2019 Sb. monitoruje dodržování pravidel, vyřizuje stížnosti, provádí kontroly a ukládá nápravná opatření. Kontroly jsou plánované nebo incidenční. Podnětem může být konkrétní stížnost, oznámení porušení zabezpečení, informace od jiného dozorového úřadu či veřejného orgánu nebo věrohodná zpráva v médiích.
Úřad není vázán právním názvem, který zpracování dal správce. Kontroluje realitu: jaké údaje systém přijímá, co odvozuje, kdo k nim přistupuje, komu se předávají a jak ovlivňují člověka. Může si vyžádat všechny nezbytné informace a vstoupit do prostor a k technickým prostředkům v mezích procesních pravidel.
„Úřad je oprávněn seznamovat se se všemi informacemi nezbytnými pro plnění konkrétního úkolu.“
—
Při přeshraničním zpracování se uplatní mechanismus vedoucího a dotčených dozorových úřadů. Stížnost lze přesto podat zejména v zemi obvyklého bydliště, pracoviště nebo tvrzeného porušení; ÚOOÚ ji případně postoupí či spolupracuje s jiným úřadem.
Profilování a automatizované rozhodování
Profilování je automatizované použití osobních údajů k hodnocení nebo předvídání osobních aspektů, například pracovního výkonu, ekonomické situace, zdraví, zájmů, spolehlivosti, chování nebo pohybu. Musí mít právní základ podle článku 6 a splnit zásady účelového omezení, minimalizace, přesnosti, uchování, zabezpečení a odpovědnosti.
Článek 22 přidává ochranu, jestliže je rozhodnutí založeno výlučně na automatizovaném zpracování a má právní nebo obdobně významný účinek. Výjimka vyžaduje nezbytnost pro smlouvu, výslovné zákonné zmocnění se zárukami nebo výslovný souhlas. U smluvní a souhlasové výjimky musí mít člověk alespoň možnost lidského zásahu, vyjádřit stanovisko a rozhodnutí napadnout.
„Subjekt údajů má právo nebýt předmětem žádného rozhodnutí založeného výhradně na automatizovaném zpracování, včetně profilování.“
—
Soudní dvůr v rozsudku C-634/21 SCHUFA rozhodl, že automaticky vytvořené skóre může být samo automatizovaným rozhodnutím, jestliže na něm významně závisí, zda třetí osoba smlouvu uzavře, provede nebo ukončí. Správce proto nemůže odpovědnost obejít tím, že algoritmus formálně poskytuje jen „doporučení“, které příjemce běžně následuje.
Systematické a rozsáhlé hodnocení s významnými účinky obvykle vyžaduje posouzení vlivu podle článku 35; při neodstranitelném vysokém riziku předchozí konzultaci s ÚOOÚ podle článku 36. ÚOOÚ může prověřit logiku, vstupní data, diskriminační chyby, lidský dohled, informace poskytnuté osobám i praktickou možnost odporu.
Kamerové systémy a rozpoznávání obličeje
Kamera, která zachycuje identifikovatelnou osobu, zpravidla zpracovává osobní údaje. Soukromý správce nejčastěji tvrdí oprávněný zájem na ochraně majetku či bezpečnosti; obec nebo jiný veřejný správce může mít zákonný veřejný úkol. V obou případech musí doložit nezbytnost, vymezit záběr, účel a dobu uchování, informovat osoby, omezit přístupy a zabezpečit záznam.
Domácí výjimka je úzká. Ve věci C-212/13 Ryneš, která vznikla právě ve sporu s českým ÚOOÚ, Soudní dvůr konstatoval, že kamera na rodinném domě zabírající i veřejný prostor není čistě osobní nebo domácí činností. To neznamená automatickou nezákonnost; znamená to použití pravidel ochrany údajů.
Rozpoznávání obličeje může při jedinečné identifikaci zpracovávat biometrické údaje podle článku 9. Rozsáhlé systematické monitorování veřejného prostoru je výslovným spouštěčem posouzení vlivu. ÚOOÚ v kontrole města UOOU-04351/21, zahájené na základě médií, provedl ústní jednání a místní šetření. Zjistil, že moduly rozpoznávání obličeje nebyly instalovány, a porušení zákonnosti nezjistil; nalezl pouze neúplný záznam o činnostech. Kontrola tedy může skončit i závěrem, že podezření se nepotvrdilo.
Elektronický přímý marketing
GDPR připouští, že přímý marketing může sledovat oprávněný zájem, ale člověk má podle článku 21 odst. 2 absolutní právo kdykoli vznést námitku proti marketingovému zpracování včetně souvisejícího profilování. Po námitce už údaje pro tento účel nesmějí být zpracovávány.
Pro e-mail, SMS a obdobné elektronické prostředky platí navíc § 7 zákona č. 480/2004 Sb. Základním pravidlem je předchozí souhlas. Výjimka umožňuje použít kontakt získaný od zákazníka při prodeji pro vlastní obdobné výrobky nebo služby, pokud zákazník dostal jasnou, jednoduchou a bezplatnou možnost použití odmítnout při získání kontaktu i v každé zprávě.
„Obchodní sdělení lze šířit elektronickými prostředky jen za podmínek stanovených tímto zákonem.“
—
Zpráva musí být jasně označena, nesmí skrývat odesílatele a musí obsahovat funkční odhlašovací adresu. ÚOOÚ je výslovně orgánem dozoru pro šíření obchodních sdělení. Může řešit i hromadné či opakované zprávy právnickým osobám; pravidla § 7 nejsou omezena jen na osobní e-mailové adresy.
Monitorování zaměstnanců
Zaměstnavatel musí splnit GDPR a současně § 316 zákoníku práce. Může přiměřeně kontrolovat zákaz osobního užívání pracovních prostředků, ale bez závažného důvodu spočívajícího ve zvláštní povaze činnosti nesmí zaměstnance podrobovat otevřenému či skrytému sledování, odposlechu, záznamu hovorů nebo kontrole obsahu pošty. Existuje-li závažný důvod, musí zaměstnance přímo informovat o rozsahu a způsobu kontroly.
Pouhý souhlas zaměstnance je zpravidla slabým řešením kvůli mocenské nerovnováze. Zaměstnavatel má doložit konkrétní účel, nezbytnost a méně invazivní alternativy. Kontrola objemu pošty nebo navštívených domén může být přiměřenější než čtení obsahu; kamera u pokladny může být odůvodnitelnější než kamera v šatně, odpočinkové místnosti či sociálním zařízení. Biometrická docházka vyžaduje výjimku z článku 9 a často selže na minimalizaci, pokud stejný účel splní karta.
ÚOOÚ řeší osobní údaje a GDPR. Dodržování pracovněprávního zákazu může současně spadat do působnosti inspekce práce. Jeden monitoring proto může vést k paralelním, nikoli vzájemně se vylučujícím kontrolám.
Veřejné databáze a policejní zpracování
Veřejný orgán nemůže jako právní základ použít oprávněný zájem podle článku 6 odst. 1 písm. f) při plnění svých úkolů. Potřebuje zejména právní povinnost nebo úkol ve veřejném zájmu či výkon veřejné moci podle písm. c) nebo e), opřený o dostatečně určitý právní předpis. Ten musí vymezovat účel a poskytovat přiměřené záruky.
ÚOOÚ zkoumá, zda databáze nepřekračuje zákonné zmocnění, nespojuje zdroje pro nový neslučitelný účel, uchovává údaje jen nezbytně dlouho, vede přístupy, chrání zvláštní kategorie a umožňuje práva osob v zákonném rozsahu. Veřejné orgány musí jmenovat pověřence; vysoce rizikové nové evidence vyžadují posouzení vlivu a někdy předchozí projednání s ÚOOÚ.
Zpracování policií a jinými příslušnými orgány pro prevenci a stíhání trestné činnosti se neřídí běžným režimem GDPR, ale hlavou III zákona č. 110/2019 Sb. provádějící směrnici 2016/680. Subjekt může žádat ÚOOÚ o ověření zákonnosti; úřad jej do čtyř měsíců informuje, zda zpracování ověřil, a poučí o soudní ochraně. Zvláštní výjimky platí pro soudy, státní zastupitelství při jejich činnosti a zpravodajské služby.
Jaká náprava může následovat
ÚOOÚ může vydat upozornění nebo napomenutí, nařídit vyhovění právům, opravu, výmaz, omezení či změnu zpracování, oznámení úniku, dočasný nebo trvalý zákaz a pozastavení předávání. Podle § 60 českého zákona stanoví přiměřenou lhůtu k odstranění nedostatků. Pokuta není automatická a její výše zohledňuje závažnost, délku, úmysl, počet osob, kategorie údajů, spolupráci a předchozí porušení.
U podniků dosahují horní limity GDPR podle typu porušení 10 milionů eur nebo 2 % celosvětového obratu, případně 20 milionů eur nebo 4 %. Český zákon však u veřejných orgánů a subjektů v režimu článku 83 odst. 7 ukládá od správního trestu upustit. Nejde o imunitu: ÚOOÚ je může kontrolovat, nařídit nápravu nebo zákaz a nesplnění příkazu má další následky.
Stížnost nenahrazuje individuální soudní ochranu. Člověk může žádat správce o přístup, opravu, výmaz, omezení či námitku; podat stížnost podle článku 77; napadnout závazné rozhodnutí nebo nečinnost ÚOOÚ podle článku 78; žalovat správce či zpracovatele podle článku 79; a požadovat náhradu podle článku 82. Rozsudek C-300/21 Österreichische Post potvrzuje, že samotné porušení bez újmy k náhradě nestačí, ale nemajetková újma nemusí překročit zvláštní práh závažnosti.
Praktický postup
Podnět by měl označit správce, konkrétní zpracování, období, dotčené údaje a právo, popsat předchozí komunikaci a připojit snímky, zprávy, informační texty či žádosti. Před stížností je obvykle účelné uplatnit právo přímo u správce a uchovat jeho odpověď. U pokračujícího vysokého rizika je vhodné výslovně popsat naléhavost.
Správce by měl být schopen předložit záznamy o činnostech, právní a balanční test, informace pro osoby, retenční pravidla, smlouvy se zpracovateli, bezpečnostní dokumentaci, vyřízení práv, DPIA a u algoritmů popis logiky, lidského dohledu a testování. Schopnost soulad doložit je součástí odpovědnosti, nikoli až dobrovolnou obranou při kontrole.
Závěr
ÚOOÚ může zasáhnout všude tam, kde profilování, kamera, marketing, zaměstnanecký dohled nebo veřejná databáze zpracovává osobní údaje bez odpovídajícího právního základu, transparentnosti, nezbytnosti, zabezpečení nebo respektu k právům osob. Vyšetřování může začít stížností i z vlastní iniciativy a nemusí skončit pokutou, aby mělo zásadní účinek. Příkaz k výmazu, zákaz systému, změna algoritmu nebo soudní náhrada mohou být pro správce i dotčené osoby významnější než peněžní sankce.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.