Stručná odpověď
Nejdůležitějším rozhodnutím je nález pléna Pl. ÚS 10/17 ze dne 3. listopadu 2020. Ústavní soud v něm přímo přezkoumal zákonnou úpravu registru bonity a důvěryhodnosti spotřebitelů podle § 20z zákona o ochraně spotřebitele. Návrh na její zrušení zamítl. Zpracování bez souhlasu označil za závažný zásah do informačního sebeurčení, ale za daných zákonných podmínek jej považoval za vhodný, potřebný a přiměřený. Rozhodnutí tedy není obecným povolením shromažďovat jakékoli úvěrové údaje: stojí na vymezeném účelu, omezeném rozsahu dat, informačních povinnostech, zabezpečení, mlčenlivosti a veřejnoprávní ochraně proti zneužití.
Usnesení Pl. ÚS 20/17 je procesním předstupněm, nikoli druhým meritorním precedentem. Část paralelního návrhu odmítlo pro překážku již zahájeného řízení a zbytek spojilo s Pl. ÚS 10/17. Usnesení II. ÚS 3000/19 se týká ověřování úvěruschopnosti. Potvrzuje, že soukromé úvěrové registry mohou být jedním z informačních zdrojů, ale nemusejí být povinné ani úplné a nemají automaticky tvořit jediný základ posouzení. Pro obecnější hranici přístupu k osobním a majetkovým informacím je užitečný také nález Pl. ÚS 38/17, který zrušil automatický veřejný přístup k části registru oznámení veřejných funkcionářů.
Pl. ÚS 10/17: hlavní nález o registru bonity
Předmětem přezkumu byl § 20z odst. 1 zákona č. 634/1992 Sb., o ochraně spotřebitele. Ustanovení umožňovalo určitým prodávajícím vzájemně sdílet prostřednictvím registru identifikační údaje a informace o bonitě, platební morálce a důvěryhodnosti spotřebitelů. Napadena byla zejména pravidla, podle nichž mohl registr provozovat specializovaný neziskově orientovaný subjekt odlišný od prodávajícího a zpracování nevyžadovalo souhlas spotřebitele.
Ústavní soud vyšel z práva na ochranu před neoprávněným shromažďováním, zveřejňováním a zneužíváním osobních údajů podle čl. 10 odst. 3 Listiny. Současně zohlednil ochranu spotřebitele před předlužením, povinnost poskytovatele prověřovat úvěruschopnost, práva věřitelů a širší hospodářský zájem společnosti. Tyto hodnoty poměřoval testem proporcionality.
„Jde v posuzované věci o značný zásah do soukromí spotřebitelů, který nemůže být v materiálně pojatém právním státě brán samozřejmě.“
—
Soud zdůraznil, že nejde o veřejné zveřejnění osobních údajů ani o sdílení zvláštních kategorií citlivých údajů. Provozovatel a účastníci registru podléhají konkrétním pravidlům. Účel je omezen na posuzování schopnosti a ochoty plnit závazky, údaje mají být přiměřené a relevantní, spotřebitel musí být v určených situacích informován a data mají být zabezpečena proti zneužití. Význam měla i možnost veřejných orgánů poskytovat účinnou ochranu.
Výsledkem nebylo prohlášení, že souhlas subjektu údajů nikdy není třeba. Nález potvrdil konkrétní zákonný model a jeho právní základ. Provozovatel registru nebo věřitel proto stále musí doložit účel, nezbytnost, rozsah, dobu uchování, informační povinnosti, zabezpečení a pravidla přístupu podle použitelného zákona a GDPR.
„Napadená úprava [je] vhodná, potřebná i přiměřená a sleduje legitimní a v moderní společnosti důležitý cíl.“
—
Návrhy byly zamítnuty. Pro úvěrový reporting je podstatné, že soud připustil existenci soukromě provozovaného registru i zpracování bez souhlasu, ale jen uvnitř zákonných záruk. Nález nelze použít k ospravedlnění sekundárního marketingu, neomezeného profilování, veřejného seznamu dlužníků ani poskytování dat subjektům bez věcné potřeby.
Pl. ÚS 20/17: procesní spojení, nikoli samostatné potvrzení
Skupina senátorů napadla tutéž úpravu paralelně. Ústavní soud v usnesení Pl. ÚS 20/17 odmítl část návrhu týkající se zpracování bez souhlasu, protože o ní již jednal v řízení Pl. ÚS 10/17. Část směřující proti osobě provozovatele registru spojil s dříve zahájeným řízením.
„Oba návrhy budou nadále vedeny pod sp. zn. Pl. ÚS 10/17.“
—
V databázové rešerši se Pl. ÚS 20/17 objevuje vysoko, protože obsahuje podrobný popis registru a námitek k osobním údajům. Jeho výrok však nerozhodl, zda byl zásah přiměřený. Meritorní odpověď přišla až v Pl. ÚS 10/17. Při citaci výsledků je proto nutné odlišit procesní usnesení o litispendenci a spojení věcí od konečného nálezu.
II. ÚS 3000/19: registry nejsou jediným měřítkem úvěruschopnosti
Usnesení II. ÚS 3000/19 řešilo ústavní stížnosti spotřebitelky v exekučních věcech. Jádrem sporu bylo, zda věřitel před poskytnutím úvěru dostatečně ověřil schopnost spotřebitelky splácet. Ústavní soud stížnosti odmítl jako zjevně neopodstatněné a akceptoval, že obecné soudy své závěry dostatečně odůvodnily.
Rozhodnutí rekapituluje judikaturu Nejvyššího soudu, podle níž mají věřitelé využívat dostupné informace, mezi nimi soukromé databáze SOLUS, BRKI a NRKI. Zároveň upozorňuje na hranice jejich vypovídací hodnoty: registry zachycují jen vztahy a účastníky v rozsahu daného systému, takže informace nemusejí být úplné. Použití registru není samo o sobě obligatorní, prokáže-li věřitel odborné ověření jinými zdroji.
„Informace ze shora specifikovaných registrů (databází) tak nemusí být vždy kompletní.“
—
Toto usnesení není obecnou metodikou ochrany osobních údajů ani nálezem rušícím zákon. Je užitečné pro praktickou interpretaci výsledku úvěrového reportu. Čistý záznam v jednom registru není pozitivním důkazem úplné bezdlužnosti a negativní záznam nesmí bez kontextu nahrazovat celkové posouzení příjmů, výdajů a schopnosti splácet. Posuzovatel má znát pokrytí zdroje a vysvětlit, jakou váhu mu přikládá.
Pl. ÚS 38/17: přístup k majetkovým údajům musí odpovídat účelu
Nález Pl. ÚS 38/17 se netýkal úvěrového registru, nýbrž registru oznámení podle zákona o střetu zájmů. Obsahoval údaje o majetku, příjmech a závazcích veřejných funkcionářů. Ústavní soud zrušil ustanovení umožňující komukoli automaticky a anonymně nahlížet do části registru; účinnost zrušení odložil do konce roku 2020. Ve zbytku návrhy zamítl.
Pro credit reporting je rozhodnutí relevantní jako analogie, ne jako přímé pravidlo. I když shromažďování údajů sleduje legitimní veřejný cíl, neznamená to automaticky, že každý má mít ničím nepodmíněný vzdálený přístup ke všem údajům. Způsob zpřístupnění, okruh uživatelů, rozsah informací a možnost kontroly přístupu jsou samostatné prvky proporcionality.
Rozdíl proti Pl. ÚS 10/17 je zásadní. Úvěrový registr měl uzavřený profesní účel a přístup oprávněných účastníků. Registr oznámení byl v napadené části otevřen komukoli bez individuální žádosti. Proto nelze ze schválení prvního modelu odvodit ústavnost veřejného nebo anonymního vyhledávače dlužníků.
Co mají provozovatelé a uživatelé reportů dokumentovat
Judikatura vede k praktickému kontrolnímu seznamu. Pro každé použití úvěrových informací má být dohledatelný právní základ a přesný účel. Přístup má být omezen na osoby, které data skutečně potřebují, a logován. Zpracovávaná pole a doba uchování mají odpovídat účelu. Subjekt údajů má dostat zákonem požadované informace a mít účinný způsob, jak namítat nepřesnost či zneužití. Posuzovatel úvěruschopnosti má také evidovat, které zdroje použil, jejich známé mezery a způsob ověření.
Rozhodnutí Ústavního soudu nenahrazují GDPR ani sektorovou úpravu spotřebitelského úvěru. Nález o ústavnosti zákonného ustanovení také neřeší zákonnost každého jednotlivého záznamu, každé délky uchování či každého předání. Konkrétní zpracování může být protiprávní, i když právní rámec registru jako celek v abstraktním přezkumu obstál.
Omezení databáze a chyba metadat
Produkční vyhledávání NALUS správně našlo Pl. ÚS 10/17, Pl. ÚS 20/17 a II. ÚS 3000/19. Načtení plných textů umožnilo odlišit meritorní nález, procesní spojení věcí a odmítnutou individuální stížnost. Bez této kontroly by podobnost témat mohla vést k nesprávnému počítání tří rovnocenných precedentů.
Test zároveň odhalil chybu strukturovaných výsledků. U vícečástových výroků jsou různé dispozice slepeny bez oddělovače. Pl. ÚS 38/17 je například označeno řetězcem „vyhověnozamítnutovykonatelnost odložená“, a Pl. ÚS 20/17 spojuje odmítnutí s procesním spojením věcí do jedné hodnoty. Chyba byla nahlášena k opravě parseru, zpětnému auditu a reindexaci. Do té doby je u složitějších výsledků nutné číst samotný výrok.
Závěr
Pro úvěrové registry je rozhodující Pl. ÚS 10/17. Potvrzuje, že zákon může za přísných podmínek umožnit zpracování údajů o bonitě bez souhlasu spotřebitele, protože prevence předlužení a odpovědné posouzení úvěruschopnosti jsou legitimní cíle. Současně výslovně uznává závažnost zásahu do soukromí a vyžaduje proporcionalitu a konkrétní záruky.
Pl. ÚS 20/17 je pouze procesní cesta k tomuto nálezu. II. ÚS 3000/19 připomíná omezené pokrytí registrů a potřebu vícezdrojového ověření. Pl. ÚS 38/17 ukazuje opačnou hranici: legitimní sběr osobních a majetkových údajů sám o sobě neospravedlňuje plošný anonymní přístup. Společně tato rozhodnutí podporují účelově omezený, kontrolovaný a transparentní credit reporting — nikoli neomezené shromažďování nebo zveřejňování.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.