Stručná odpověď
Úřad pro ochranu osobních údajů rozlišuje mezi cíleným použitím údajů k existující pohledávce a jejich veřejným šířením. Věřitel může mít oprávněný zájem uchovat údaje potřebné k ochraně a vymáhání svého práva, postoupit pohledávku bez souhlasu dlužníka nebo pověřit inkasní společnost zpracováním nezbytných údajů. Ani veřejná dostupnost údajů, ani obecný obchodní zájem však automaticky neopravňují věřitele či datovou službu k vytvoření veřejného seznamu dlužníků nebo k novému propojení údajů z více registrů.
Rozhodující jsou konkrétní účel, nezbytnost, přiměřený rozsah, očekávání dotčené osoby, přesnost údajů, omezená doba uchování a možnost uplatnit práva podle GDPR. Zvláštní zákonný registr může údaje zveřejňovat v rozsahu zákona. Soukromý subjekt, který stejná data převezme, zkombinuje a znovu publikuje pro jiný účel, ale provádí nové zpracování a potřebuje vlastní právní titul.
Tuto hranici názorně vymezilo rozhodnutí předsedy ÚOOÚ čj. UOOU-04103/19-31 ze dne 22. prosince 2020. Potvrdilo pokutu 30 000 Kč provozovateli webu, který spojoval údaje z ARES s informacemi o insolvenci členů společenství vlastníků jednotek. Závěr nebyl, že věřitel nikdy nesmí pracovat s údaji dlužníka. Problémem bylo plošné další zveřejňování bez dostatečného právního titulu a bez vztahu, který by takové zpracování činil pro dotčené osoby rozumně očekávatelným.
Co dovoluje metodika ÚOOÚ věřiteli
Aktuální Q&A ÚOOÚ potvrzuje, že výmaz z úvěrového registru a výmaz podkladů u věřitele jsou dvě různé věci:
„Výmaz z registru neovlivňuje povinnost či možnost věřitele z důvodu jeho oprávněných zájmů nadále disponovat s Vašimi osobními údaji v souvislosti s pohledávkou (a to i již splacenou).“
—
To není licence k neomezenému uchování. Věřitel musí určit, proč konkrétní údaje stále potřebuje, například kvůli běžící promlčecí lhůtě, obraně ve sporu, účetní povinnosti nebo doložení vypořádaného závazku. Každý účel má vlastní dobu a rozsah. Po jejich odpadnutí se uplatní zásada omezení uložení.
Metodika dále připomíná, že umožňuje postoupit celou pohledávku nebo její část bez souhlasu dlužníka. Postupník se stává novým správcem osobních údajů a přebírá povinnosti vůči dlužníkovi. Souhlas není správným právním základem pro přenos údajů nezbytný k realizaci platného postoupení.
GDPR nebrání ani tomu, aby věřitel pověřil jinou společnost vymáháním. ÚOOÚ však tuto situaci podmiňuje předáním pouze nezbytného rozsahu údajů a smlouvou se zpracovatelem odpovídající GDPR. Inkasant nesmí údaje použít pro vlastní nesouvisející účely jen proto, že je od věřitele obdržel.
Kde metodika kreslí červenou linii
Jiný režim platí pro internetové seznamy dlužníků. ÚOOÚ upozorňuje na spory o existenci či platnost dluhu, omyly, šikanózní zápisy a poškození dobrého jména:
„Neoprávněné zveřejňování nebo neoprávněné zpřístupňování osobních údajů v souvislosti s neuhrazením pohledávek [...] považuje Úřad pro ochranu osobních údajů za nepřípustné zasahování do soukromí.“
—
Úřad odlišuje svévolný veřejný seznam od zákonem zřízených systémů. Insolvenční rejstřík je veřejný v rozsahu . Bankovní a nebankovní registry klientských informací mají zvláštní zákonné základy a vlastní pravidla přístupu, uchování a opravy. Zákonnost původního zveřejnění ale neznamená, že kdokoli může data bez dalšího překlopit do nového produktu, obohatit je a šířit bez omezení.
Případ propojení ARES a ISIR
Rozhodnutí se týkalo webové služby, která denně stahovala údaje z ARES a ISIR. U společenství vlastníků jednotek zobrazovala členy výboru a k osobám spojeným s adresou SVJ připojovala číslo insolvenčního řízení a přímý odkaz do ISIR.
Provozovatel tvrdil, že služba pomáhá členům výboru plnit péči řádného hospodáře, chránit majetek SVJ a včas přihlašovat pohledávky. Odvolával se na svobodu podnikání, transparentnost a oprávněný zájem podle čl. 6 odst. 1 písm. f) GDPR. Vypracoval také dokument označený jako test proporcionality.
ÚOOÚ přesto dospěl k závěru, že deklarovaný zájem nepřevážil nad právy dotčených osob. Ve vztahu k lidem, jejichž údaje web zveřejňoval, neexistoval právní vztah, z něhož by mohli takové nové použití rozumně očekávat. Kombinace veřejných zdrojů navíc znásobila informační hodnotu a tím i zásah do soukromí. Údaj, který lze dohledat v jednotlivém veřejném rejstříku pro zákonem vymezený účel, získal propojením a snadnou dostupností jiný dopad.
Rozhodnutí přitom ponechalo prostor pro skutečnou ochranu konkrétní pohledávky. V rekapitulaci kontrolního závěru připustilo, že by bylo možné akceptovat:
„použití [...] osobních údajů pro pokrytí určité konkrétně specifikované legální potřeby, např. vymáhání určitého dluhu k tomu legitimovanou osobou, aniž by docházelo ke zveřejňování“.
—
To vystihuje klíčovou rovnováhu: cílené zpracování potřebné pro konkrétní nárok může obstát; plošná veřejná reputační databáze vyžaduje mnohem silnější ospravedlnění a v posuzovaném případě je neměla.
Veřejné údaje nejsou totéž co otevřená data bez omezení
Předseda ÚOOÚ rozlišil údaje z ISIR a údaje ARES zveřejňované v režimu otevřených dat. U ISIR šlo o veřejné údaje, které však v tehdejším právním rámci neměly povahu otevřených dat. Insolvenční zákon umožňoval nahlížení a pořizování kopií a výpisů, ale soukromé další zveřejnění nepředvídal.
Ani formální označení jako otevřená data podle rozhodnutí neodnímá osobním údajům veškerou ochranu. U soukromého dalšího zpracování pro nový účel je nutné znovu určit účel a prostředky, identifikovat vlastní právní základ a posoudit dopad na subjekt údajů. Domněnka podporující další využití otevřených dat není neomezenou zákonnou licencí a neurčuje předem výsledek testu proporcionality.
V konkrétním případě byl rozklad provozovatele bez věcného odůvodnění. Předseda přezkoumal zákonnost rozhodnutí a uzavřel:
„Rozklad účastníka řízení [...] se zamítá a napadené rozhodnutí se potvrzuje.“
—
Tím zůstala v platnosti pokuta 30 000 Kč za porušení čl. 6 odst. 1 GDPR.
Praktický test oprávněného zájmu
Věřitel nebo poskytovatel datové služby by měl test rozdělit do tří kroků. Nejprve musí přesně pojmenovat legitimní zájem. „Transparentnost“, „podnikání“ nebo „veřejná data“ bez vazby na konkrétní potřebu nestačí. Dále musí prokázat nezbytnost: zda lze pohledávku chránit s menším rozsahem údajů, omezeným přístupem, kratší dobou uchování nebo bez veřejného indexování. Nakonec musí poměřit dopad na osobu, její rozumná očekávání, povahu dat, možné reputační následky a dostupné záruky.
Vedle právního titulu platí samostatně zásady : účelové omezení, minimalizace, přesnost, omezení uložení, bezpečnost a odpovědnost správce. Dlužník může podle okolností žádat přístup, opravu, výmaz či omezení a vznést námitku podle čl. 21. U oprávněného zájmu musí správce na námitku reagovat konkrétně a doložit své převažující důvody nebo potřebu údajů pro právní nároky.
Co odhalil produkční test Legalcode
Produkční Search správně našel rozhodnutí UOOU-04103/19-31 a Fetch vrátil jeho úplný věcný text. Metadata ale uvádějí decisionOutcome: OTHER a finalOutcome: OTHER a neobsahují částku pokuty, ačkoli výrok i odůvodnění jasně popisují zamítnutí rozkladu, potvrzení rozhodnutí a pokutu 30 000 Kč. Tento známý systémový problém všech rozhodnutí předsedy ÚOOÚ je evidován v issue #591; testovaný případ byl doplněn jako další regresní příklad.
Závažnější obsahová mezera vznikla na straně metodiky. Zdroj CZ_UOOU obsahoval 117 dokumentů, ale přesné dotazy Pohledávky dluhy, pohledávka a věřitel nevrátily oficiální Q&A stránku, která je v živém webu Úřadu dostupná a odpovídá přímo na tuto otázku. Chybějící pokrytí a nutnost extrahovat všechny rozbalovací odpovědi jsou evidovány v issue #631.
Závěr
ÚOOÚ neklade práva dlužníka proti samotné existenci pohledávky. Věřitel smí v nezbytném rozsahu uchovávat údaje, postoupit pohledávku a využít zpracovatele k jejímu vymáhání, má-li odpovídající právní základ a plní ostatní povinnosti GDPR. Hranice vede u změny účelu a publika: veřejné seznamy, snadné profilování a spojování registrů mohou významně zvýšit zásah do soukromí. Veřejnost původního zdroje ani obecný obchodní zájem nenahrazují konkrétní test nezbytnosti a proporcionality. Pro cílené vymáhání existuje prostor; pro plošné zveřejňování dlužníků nikoli bez mimořádně přesvědčivého zákonného důvodu.
Zdroje
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.