Stručná odpověď
Ve zveřejněném souboru rozhodnutí předsedy Úřadu pro ochranu osobních údajů jsou pro tuto oblast nejdůležitější tři skupiny věcí. Rozhodnutí UOOU-00313/19-23 a navazující UOOU-00179/19-19 a UOOU-00179/19-38 se týkají zprostředkovatele krátkodobých půjček. Řeší, kdy končí účel zpracování údajů žadatele, zda lze údaje uchovávat deset let pro další nabídky, přesnost údajů o příjmech, výdajích a dluzích, informování o konkrétních příjemcích a zabezpečení.
Rozhodnutí UOOU-04103/19-31 se týká zveřejňování kombinovaných údajů o členech společenství vlastníků a insolvenčních dlužnících. Potvrzuje, že veřejnost údaje v původním rejstříku sama o sobě nedává soukromému portálu neomezené oprávnění údaje znovu spojovat a zveřejňovat. Konkrétní použití pro vymáhání určitého dluhu může mít jinou právní váhu než plošné zveřejnění.
UOOU-06702/17-37 zmiňuje systém CERD a nevydaný výpis z registru dlužníků, ale rozhoduje jen o procesní pokutě za neposkytnutí součinnosti při kontrole. Není proto autoritou potvrzující správnost údajů nebo legitimitu registru. UOOU-10201/18-22 je sousední věc o klonu veřejných rejstříků, který zpřístupňoval i čísla bankovních účtů a hodnocení podnikatelů. Předsedkyně původní rozhodnutí zrušila kvůli chybnému rozlišení veřejných a otevřených dat, nikoli proto, že by další zveřejňování finančních údajů obecně schválila.
Údaje žadatelů o půjčku: účel končí předáním nabídky
Nejucelenější linii tvoří řízení proti zprostředkovateli finančních služeb. Zprostředkovatel shromažďoval široký soubor údajů žadatelů o krátkodobé půjčky a předával je poskytovatelům, kteří měli připravit nabídku úvěru. Podle ÚOOÚ byl objektivně sdělený účel jednorázový: propojit žadatele s poskytovatelem. Obecný souhlas s marketingem nedovoloval uchovávat všechny údaje potřebné k posouzení žádosti dalších deset let pro personalizované nabídky.
Konečné rozhodnutí předsedy UOOU-00179/19-38 ze dne 8. října 2020 formulovalo hranici takto:
„Účel zpracování osobních údajů … pomine již samotným předáním těchto údajů poskytovatelům.“
—
Po předání bylo možné ponechat jen údaje potřebné pro skutečně sjednané obecné marketingové oslovování. Údaje o příjmu, zaměstnání, dětech, bydlišti, výdajích a dluzích se rychle mění. Bez mechanismu aktualizace nejsou po čase vhodné ani přesné pro novou úvěrovou nabídku. Předseda také požadoval, aby žadatel věděl, kterým konkrétním subjektům mohou být údaje zpřístupněny. Každé předání totiž rozšiřuje počet držitelů kopie a zvyšuje riziko pro soukromí.
UOOU-00179/19-38 potvrdilo nové prvostupňové rozhodnutí a pokutu 175 000 Kč za nepřiměřeně dlouhé uchování, nedostatečné informace o příjemcích a chybějící dokumentaci bezpečnostních opatření. Nevyžadovalo, aby už došlo k úniku dat; nedoložené zabezpečení bylo samostatným porušením.
Jedna věc měla několik procesních rozhodnutí
Před konečným výsledkem existovalo rozhodnutí UOOU-00179/19-19 ze dne 20. prosince 2019. To zrušilo první pokutu 250 000 Kč a vrátilo věc k novému projednání, protože ÚOOÚ dostatečně neprokázal tvrzený počet záznamů a dotčených lidí. Nešlo tedy o odmítnutí základních pravidel účelového omezení, informovanosti a bezpečnosti. Prvostupňový orgán po doplnění řízení množství nepoužil jako přitěžující okolnost a snížil pokutu na 175 000 Kč; právě tuto novou pokutu následně potvrdilo UOOU-00179/19-38.
K rozhodnutí UOOU-00179/19-19 je v témže oficiálním PDF připojeno opravné rozhodnutí UOOU-00179/19-23 ze dne 27. února 2020. Oprava nahradila chybně uvedené číslo zrušovaného prvostupňového rozhodnutí. Pro přesnou chronologii proto nelze datum opravy zaměnit za datum původního rozhodnutí.
Souběžné UOOU-00313/19-23 ze dne 27. května 2019 řešilo nesplnění dříve uložených nápravných opatření. Zprostředkovatel včas nevymazal údaje a nezavedl odpovídající proces, ačkoli mu byla lhůta prodloužena. Předsedkyně potvrdila pokutu 100 000 Kč:
„Jakékoliv další zpracování probíhá bez adekvátního právního důvodu.“
—
Tato větev řízení ukazuje, že změna textu účelu až po kontrole sama nelegalizuje staré záznamy. Správce musí prokázat nový právní základ, zajistit přesnost a splnit pravomocná opatření ve stanovené době.
Insolvenční dlužníci a spojování veřejných rejstříků
UOOU-04103/19-31 se týkalo portálu, který spojoval údaje o společenstvích vlastníků z ARES s údaji o insolvenčních dlužnících z insolvenčního rejstříku. Služba chtěla upozorňovat na situace, kdy se adresa dlužníka shodovala s adresou SVJ, a tvrdila zájem na ochraně majetku a včasném přihlašování pohledávek.
Předseda rozklad zamítl a potvrdil závěr, že plošné zveřejňování údajů z insolvenčního rejstříku postrádalo právní titul. Rozhodující nebylo jen to, zda byly zdroje veřejně dostupné. Kombinování zdrojů zvýšilo informační hodnotu a intenzitu zásahu; lidé neměli s portálem vztah a takové další zveřejnění nemohli rozumně očekávat.
„Údaje však nemají povahu otevřených dat.“
—
Rozhodnutí výslovně připustilo rozdíl mezi zveřejněním a cíleným použitím. Zpracování nezbytné k vymáhání konkrétního dluhu oprávněnou osobou může být založeno na oprávněném zájmu, aniž by údaje musely být zpřístupněny neomezené veřejnosti. Nelze z toho ale odvodit obecnou licenci pro komerční vyhledávač dlužníků.
CERD: procesní rozhodnutí, nikoli potvrzení registru
V UOOU-06702/17-37 stěžovatel zaplatil 300 Kč, nedostal potvrzení ani požadovaný výpis z registru dlužníků a namítal možný únik údajů ze systému CERD. Rozhodnutí předsedkyně však neposuzovalo přesnost záznamu, zákonnost registru ani nárok na výpis. Předmětem byla pokuta uložená provozovateli za to, že při kontrole neodpověděl na otázky a neposkytl požadovanou součinnost.
„Stěžovatel si stěžoval na únik svých osobních údajů ze systému CERD.“
—
Předsedkyně rozklad zamítla. Toto rozhodnutí je relevantní pro dohledatelnost tématu registrů, ale jeho právní závěr se týká kontrolních pravomocí ÚOOÚ, ochrany identity stěžovatele a součinnosti kontrolované osoby. Citovat je jako věcné schválení nebo zákaz CERD by bylo chybné.
Bankovní účet v klonu veřejného rejstříku
UOOU-10201/18-22 se zabývalo portálem přebírajícím údaje o podnikatelích z veřejných rejstříků. Profil obsahoval mimo jiné jméno, IČO, DIČ, datovou schránku, číslo bankovního účtu, historii živností a uživatelské hodnocení. Některé profily zůstaly dostupné i poté, co údaje zmizely z veřejné části živnostenského rejstříku.
Předsedkyně zrušila rozhodnutí a věc vrátila, protože první stupeň nedostatečně rozlišil, které údaje ARES poskytoval jako otevřená data a které nikoli. Současně ale odmítla představu, že veřejnost zdroje automaticky povoluje neomezené další zpracování:
„Veřejnost určitých údajů a priori nezakládá oprávnění k jejich dalšímu bezmeznému zpracování.“
—
Rozhodnutí je užitečné pro zveřejnění finančních údajů, ale procesně jde o zrušení a vrácení, nikoli konečné potvrzení původní pokuty. Zvlášť problematické bylo i neověřené hodnocení podnikatelů, které mohlo poškodit jejich pověst.
Rozhodnutí a obecné materiály nejsou totéž
Samostatná sbírka pokynů a stránek ÚOOÚ obsahuje starší přehledy kontrol. Stránka za rok 2001 uvádí zveřejňování seznamů dlužníků mezi častými porušeními; přehled za rok 2004 zmiňuje registry dlužníků mezi kontrolovanými oblastmi a rok 2011 odkazuje na kontrolu zprostředkování půjčky přes web. Tyto stránky pomáhají najít téma, ale nejsou rozhodnutími předsedy a nemají stejnou důkazní váhu jako výrok a odůvodnění konkrétního rozkladového rozhodnutí.
Závěr
Přímou autoritu pro údaje žadatelů o půjčku tvoří zejména UOOU-00313/19-23 a procesní sled UOOU-00179/19-19 až UOOU-00179/19-38. Pro zveřejnění insolvenčních dlužníků je klíčové UOOU-04103/19-31 a pro bankovní údaje v klonu rejstříků UOOU-10201/18-22. UOOU-06702/17-37 je pouze procesní stopa k registru CERD. Společným pravidlem je účelové omezení, přesnost, transparentnost příjemců, bezpečnost a rozlišení cíleného vymáhání od plošného zveřejnění.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.