ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ Pplk. Sochora 27, 170 00 Praha 7 tel.: 234 665 111, fax: 234 665 444 posta@uoou.cz, www.uoou.cz *UOOUX00CYVF1* Čj. UOOU-09787/18-11 Rozhodnutí Úřad pro ochranu osobních údajů (dále jen Úřad ), jako příslušný správní orgán podle 2 odst. 2 a 40 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a čl. 58 odst. 2 písm. d) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), rozhodl dne 19. prosince 2018 o uložení opatření k odstranění zjištěných nedostatků takto: Účastníku řízení: spolku Human Rights Defense z. s., se sídlem Pražská 142, 50351 Chlumec IV, Chlumec nad Cidlinou, IČ 01801970, I. se v souvislosti se zpracováním osobních údajů prostřednictvím webových stránek www.hrd-ngo.com, ukládá povinnost: 1. ukončit zveřejňování osobních údajů Jiřího Marka ve formě dokumentů souvisejících s trestním řízením ve věci přečinu ublížení na zdraví, vedeným Policií České republiky, Krajským ředitelstvím policie Moravskoslezského kraje, územním odborem Frýdek- Místek, 1. oddělením obecné kriminality, se sídlem Beskydská 2061, 738 19 Frýdek- Místek, na webových stránkách www.hrd-ngo.com, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí, 2. ukončit zveřejňování osobních údajů Pavla Popa ve formě dokumentů souvisejících s řízením o přestupcích proti občanskému soužití vedeným Městským úřadem Nové Město nad Metují, odborem správním, oddělením vnitřních věcí, se sídlem náměstí Republiky 6, 549 01 Nové Město nad Metují, na webových stránkách www.hrdngo.com, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí, 3. informovat na webových stránkách www.hrd-ngo.com subjekty údajů podle čl. 14 nařízení (EU) 2016/679 o zpracování osobních údajů, ke kterému prostřednictvím uvedených webových stránek dochází, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí, 1/10
II. a dále podle 79 odst. 5 zákona č. 500/2004 Sb., správní řád, povinnost nahradit náklady řízení ve výši 1.000 Kč splatné do 30 dnů ode dne nabytí právní moci tohoto rozhodnutí bezhotovostním převodem na účet vedený u ČNB, č. ú. 19-5825001/0710, variabilní symbol IČ účastníka řízení, konstantní symbol 1148. Odůvodnění Správní řízení o uložení opatření k odstranění zjištěných nedostatků podle 40 zákona č. 101/2000 Sb. bylo zahájeno příkazem Úřadu pro ochranu osobních údajů (dále jen Úřad ) čj. UOOU-09787/18-1 ze dne 31. října 2018, který byl účastníku řízení, spolku Human Rights Defense z. s., doručen dne 2. listopadu 2018. Podkladem pro vydání tohoto příkazu byl podnět Policie České republiky, Krajského ředitelství policie Moravskoslezského kraje, územního odboru Frýdek-Místek, 1. oddělení obecné kriminality, se sídlem Beskydská 2061, Frýdek- Místek (dále jen Policie ČR ), doručený Úřadu dne 10. dubna 2018 a dále podklady opatřené Úřadem v souladu s ustanovením 3 zákona č. 255/2012 Sb., o kontrole (kontrolní řád), tedy dokumenty zveřejněné ke dni 21. srpna 2018 (a ke dni vydání příkazu i nadále dostupné) na webových stránkách www.hrd-ngo.com, v sekci Konkrétní případy Frýdek-Místek. Dalším podkladem pro vydání uvedeného příkazu byl podnět doručený Úřadu stěžovatelem (Pavlem Popem) dne 23. srpna 2018 a další materiály opatřené Úřadem v souladu s ustanovením 3 zákona č. 255/2012 Sb., tedy dokumenty zveřejněné ke dni 24. října 2018 (a ke dni vydání příkazu i nadále dostupné) na webových stránkách www.hrd-ngo.com, v sekci Konkrétní případy Nové Město nad Metují. Proti příkazu pak podal účastník řízení dne 7. listopadu 2018 odpor. Tím byl příkaz zrušen a Úřad v řízení pokračoval, o čemž byl účastník řízení vyrozuměn dne 9. listopadu 2018. Právo nahlédnout do spisu uplatnila zástupkyně účastníka řízení dne 16. listopadu 2018 a dne 28. listopadu bylo Úřadu doručeno vyjádření účastníka řízení k předmětu řízení. Provozovatelem webových stránek www.hrd-ngo.com je (dle informací uvedených na těchto stránkách) účastník řízení, který je podle veřejného rejstříku spolkem založeným mimo jiné za účelem ochrany lidských práv, shromažďování důkazů o porušování lidských práv a zveřejňování konkrétních případů o porušování lidských práv. Obdobně je hlavní činnost spolku popsána i na uvedených webových stránkách účastníka řízení, resp. v jeho stanovách. Předmětu tohoto řízení, kterým je zveřejňování informací na webových stránkách účastníka řízení, se věnuje i čl. V. jednacího řádu účastníka řízení (dostupného na webových stránkách www.hrd-ngo.com), dle kterého účastník řízení zveřejňuje konkrétní případy porušování lidských práv, a to formou zveřejnění spisové dokumentace s adekvátním komentářem pro veřejnost. Účastník řízení takto zveřejňuje ve vztahu ke konkrétnímu případu veškerou komunikaci (zejména odeslané a doručené dopisy, včetně dokladů o doručení). Základním účelem tohoto postupu je dle jednacího řádu účastníka řízení vyvíjení tlaku na porušovatele lidských práv. Z výše uvedených podkladů (podněty a dokumenty shromážděné Úřadem) je zřejmé, že popsaným jednáním účastníka řízení dochází také ke zveřejnění informací o fyzických osobách, tj. osobních údajů ve smyslu definice uvedené v čl. 4 bodu 1) nařízení (EU) 2016/679. Podle 2/10
tohoto ustanovení se osobním údajem rozumí veškeré informace o identifikované nebo identifikovatelné fyzické osobě (subjektu údajů). Vzhledem k tomu, že účastník řízení zveřejňuje dokumenty v plném znění, tj. včetně všech identifikačních údajů osob, které se daného řízení či jednání účastní, je dle Úřadu zřejmé, že osoby zde uvedené je možné na základě zveřejněných informací přímo identifikovat. V tomto kontextu je pak nutno dodat, že v situaci, kdy je známa identita konkrétní fyzické osoby, je nutno za osobní údaj považovat jakoukoli další informaci, kterou lze s touto osobou spojit (např. její postavení v daném řízení, obsah jejího vyjádření apod.). Konkrétně v případě, který byl Úřadu postoupen Policí ČR, došlo ke zveřejnění osobních údajů Jiřího Marka, a to v rozsahu jméno, příjmení, datum narození, adresa bydliště a dále informace o trestním řízení ve věci přečinu ublížení na zdraví. Předmětnými dokumenty účastník řízení disponuje z titulu jeho postavení zmocněnce poškozené. V případě stěžovatele Pavla Popa pak účastník řízení zveřejnil osobní údaje v rozsahu jméno, příjmení, datum narození, adresa bydliště a dále informace o řízení o přestupcích proti občanskému soužití, v němž stěžovatel vystupuje v postavení obviněného. Účastník řízení disponuje v tomto případě dokumenty z titulu zmocněnce v řízení o přečinu zneužití pravomoci úřední osoby podle 329 odst. 1 písm. c) zákona č. 40/2009 SB., trestní zákoník, které na řízení o přestupcích proti občanskému soužití navazuje. Účastník řízení tedy shromažďuje a dále, prostřednictvím svých webových stránek, zveřejňuje informace o konkrétních případech, v nichž vystupuje v roli zmocněnce. Vzhledem k tomu, že předmětné informace zahrnují také osobní údaje účastníků těchto řízení, je účastník řízení ve vztahu k těmto informacím v postavení správce osobních údajů ve smyslu čl. 4 bod 7) nařízení (EU) 2016/679, neboť ve svých stanovách a prohlášením na webových stránkách stanovil účel (obrana lidských práv, shromažďování důkazů o porušování lidských práv a zveřejňování konkrétních případů o porušování lidských práv) i prostředky (webové stránky www.hrdngo.com) tohoto zpracování osobních údajů. Na účastníka řízení se proto vztahují veškeré povinnosti, které mu na základě tohoto postavení z citovaného nařízení vyplývají. Základní povinností každého správce osobních údajů je, aby v souladu s požadavkem vyjádřeným v čl. 6 odst. 1 nařízení (EU) 2016/679 disponoval pro dané zpracování osobních údajů právním titulem. V případě účastníka řízení je pak nutno zásadně rozlišovat zpracování osobních údajů, které realizuje na základě smluvního vztahu s těmi, které v konkrétních případech zastupuje, a zveřejňování veškeré shromážděné dokumentace. V prvním uvedeném případě účastník řízení připravuje či vyřizuje podání, popř. jedná s orgány veřejné moci v souladu s čl. 6 odst. 1 písm. b) nařízení (EU) 2016/679. Za tímto účelem účastník řízení zpracovává jak osobní údaje svého zmocněnce, tak i osobní údaje další osob zúčastněných v daném řízení. Následné zveřejnění dokumentů (včetně osobních údajů všech osob zúčastněných na daném jednání či řízení) pod tento právní titul již ale podřadit nelze. Smluvně může být upraveno pouze zveřejnění osobních údajů osob, které účastník řízení zastupuje (s jinými osobami účastník řízení smluvní vztah uzavřen nemá). Pro jednání, které je předmětem tohoto řízení, tak přichází teoreticky v úvahu právní titul uvedený v čl. 6 odst. 1 písm. a) nařízení (EU) 2016/679, dle kterého lze osobní údaje zpracovávat (tedy i shromažďovat a zveřejňovat) na základě souhlasu subjektu údajů. V souladu s čl. 7 citovaného nařízení je v takovém případě současně povinností správce získat 3/10
souhlas tak, že je schopen jeho udělení prokázat po celou dobu zpracování. Podle čl. 5 odst. 2 nařízení (EU) 2016/679 je dále povinností účastníka řízení doložit splnění základních zásad při zpracování osobních údajů (včetně doložení právního titulu pro předmětné zpracování). S odkazem na tyto povinnosti, vyzval Úřad účastníka řízení dne 23. srpna 2018 a opětovně dne 5. září 2018 k součinnosti podle 3 zákona č. 255/2012 Sb. Úřad konkrétně účastníka řízení žádal o sdělení právního titulu, ve smyslu čl. 6 nařízení (EU) 2016/679, na jehož základě zveřejňuje na webových stránkách www.hrd-ngo.com osobní údaje. Účastník řízení reagoval na výzvy Úřadu vyjádřením ze dne 30. srpna a 5. září 2018, v nichž k výše uvedenému dotazu pouze sdělil, že právní úprava ochrany osobních údajů na něj nedopadá. Na základě výše popsaných zjištění lze tedy konstatovat, že účastník řízení osobní údaje na uvedených webových stránkách nezveřejňuje se souhlasem subjektů údajů. Tento závěr vyplývá jednak z výslovného prohlášení účastníka řízení, z něhož lze dovodit, že se právním titulem dle nařízení (EU) 2016/679 nezabýval, a podpůrně i z charakteru zveřejněných osobních údajů, které se vztahují i k osobám s nimiž účastník řízení zjevně nemá žádný smluvní vztah (naopak vystupuje v roli zmocněnce osob, jejichž zájmy jsou v rozporu se zájmy těchto subjektů údajů). Souhlas těchto osob se zveřejněním osobních údajů tak nelze předpokládat. Pro úplnost je dále nutno zvážit, zda je předmětné zpracování osobních údajů možné na základě čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679, tedy pro účely oprávněných zájmů příslušného správce či třetí strany. V tomto případě musí být současně splněna podmínka, že se nejedná o případy, kdy před zájmy správce mají přednost zájmy nebo základní práva a svobody subjektu údajů (spočívající v ochraně jejich soukromí a osobních údajů). Posouzení, zda je uvedená podmínka splněna je pak nezbytným předpokladem pro aplikaci čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679. Při postupu dle citovaného ustanovení tak správci de facto vzniká povinnost provést před zahájením zpracování osobních údajů analýzu či komparaci svých zájmů a zájmů subjektů údajů, tzv. balanční test. V rámci takového balančního testu je pak nezbytné poměřit zájmy správce a třetích osob se zájmy (základními právy a svobodami) dotčených subjektů údajů. Pokud zájmy subjektů údajů nepřevažují nad zájmy správce či třetích osob, je zpracování na základě čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679 možné. V této fázi jsou posuzovány všechny okolnosti konkrétního zpracování, přičemž zájem subjektů údajů je hodnocen ve smyslu obecných, typických či rozumně očekávatelných zájmů dotčených osob. Oprávněný zájem správce musí být v prvé řadě zákonný, tedy v souladu s právními předpisy a jasně formulovaný (nikoli spekulativní). Legitimním zájmem správce je např. zájem hospodářský, tj. zájem na zajištění ekonomické stránky jeho podnikatelské činnosti, současně může být dán také zájem veřejnosti na transparentní, snadno dohledatelné informace. Legitimní a oprávněný zájem správce sám o sobě nicméně k závěru o možnosti aplikace čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679 nestačí. V rámci balančního testu je dále nutné posoudit, zda je dané zpracování nezbytné pro naplnění těchto oprávněných zájmů, tedy zda nelze stejného výsledku dosáhnout zpracováním menšího rozsahu osobních údajů, případně zcela bez osobních údajů. Minimalizace údajů je ostatně základní zásadou zpracování osobních údajů, která je v současné době vyjádřena v čl. 5 odst. 1 písm. c) nařízení (EU) 216/679. Poté je v rámci ověření vyváženosti nutné posoudit, zda zájmy a základní práva subjektu údajů nepřevažují nad oprávněnými zájmy správce. Přitom je nutné zohlednit zejména povahu 4/10
a zdroj oprávněných zájmů správce, dopad daného zpracování na subjekty údajů, včetně přiměřeného očekávání subjektů údajů a případná další ochranná opatření, která správce uplatňuje. S odkazem na výše zmíněné vyjádření účastníka řízení je pak i v tomto případě zřejmé, že účastník řízení se sám aplikací čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679 nezabýval, tj. balanční test neprovedl. Na základě shromážděných materiálů a veřejně dostupných informací má však Úřad dostatek podkladů k tomu, aby posoudil legitimitu a legalitu předmětného jednání účastníka řízení, k čemuž je nezbytné, aby Úřad vyhodnotil možné oprávněné zájmy účastníka řízení či třetích stran a komparoval je s mírou zásahu do práv subjektů údajů, jejichž osobní údaje jsou prostřednictvím webových stránek účastníka řízení zveřejňovány. Jak bylo uvedeno již výše, účelem zpracování (zveřejňování) osobních údajů prostřednictvím webových stránek účastníka řízení je ochrana lidských práv, shromažďování důkazů o porušování lidských práv a zveřejňování konkrétních případů o porušování lidských práv. Lze tedy dospět k závěru, že zájmem, který účastník řízení zveřejňováním osobních údajů na uvedených webových stránkách sleduje, je zájem osob, které účastník řízení zastupuje, dosáhnout v předmětném řízení úspěchu. Dalším zájmem je zájem veřejnosti na informování o konkrétních případech, v nichž dle názoru účastníka řízení dochází k porušování lidských práv. A dále je zde zájem účastníka řízení, resp. jím zastupovaných osob a potažmo i veřejnosti, na vytvoření veřejného tlaku na instituce či osoby, které se tohoto porušování mají dopouštět, aby svůj přístup změnili. Tyto zájmy je pak třeba komparovat s právem subjektů údajů (tj. těch, jejichž osobní údaje jsou zveřejněny) na ochranu jejich osobních údajů, resp. ochranu jejich soukromého a osobního života. V tomto směru je nutno především zohlednit fakt, že účastník řízení na svých webových stránkách zveřejňuje ke konkrétním případům veškerou komunikaci, kterou v dané věci vede. Nejedná se tedy o výstupy z jinak veřejných jednání (např. jednání zastupitelstva obce či soudu), ale o dvoustrannou komunikaci příslušných úřadů (orgánů veřejné moci) se zástupcem jednoho z účastníků řízení. Zveřejněním informací, které primárně nejsou určeny široké veřejnosti, účastník řízení nepochybně zasahuje do práva na ochranu osobních údajů. V tomto směru je, v souladu s recitálem 47 nařízení (EU) 2016/679, zapotřebí zohlednit také přiměřená očekávání subjektů údajů, která vychází ze skutečnosti, že informace zveřejňované účastníkem řízení obvykle veřejně dostupné nejsou. Míra zásahu do práv subjektů údajů je pak závislá na charakteru zveřejněné informace (tj. druhu řízení či jednání, ze kterého pochází) a zejména samotném obsahu této informace. Zveřejňování informací o tom, že se určitá osoba účastní či v minulosti účastnila trestního řízení či řízení o přestupku (jako v případech, které jsou předmětem podnětů doručených Úřadu) přitom představuje významné riziko v podobě nepříznivých dopadů do práv těchto osob, a to jak v osobní, tak v pracovní sféře. V případě, kdy trestní řízení nedospělo ani k podání obžaloby, je takový zásah o to významnější. Takové informace mohou vést k sociálnímu vyloučení osoby a jejích rodinných příslušníků, ztrátě zaměstnání a dalším negativním dopadům. Dále je nutno zohlednit, že účastník řízení umožňuje u informací zveřejňovaných prostřednictvím www.hrd-ngo.com indexování. Zde zveřejněné osobní údaje tak lze 5/10
vyhledávat nejen přímo na webových stránkách účastníka řízení, ale i pomocí jiných vyhledavačů. Tímto postupem účastník řízení rozšiřuje okruh příjemců předmětných informací nejen o návštěvníky webových stránek účastníka řízení, ale o uživatele internetu obecně. Zásah do práv subjektů údajů je dále zvýšen tím, že zveřejňování informací na webových stránkách účastníka řízení není zjevně nijak časově omezeno (resp. je zřejmě omezeno pouze kapacitou úložiště využívaného účastníkem řízení). S delším časovým odstupem se přitom intenzita zásahu do práv subjektů údajů dále zvyšuje. Naopak výše identifikované zájmy, které účastník řízení svým jednáním sleduje, je dle Úřadu zásadně možné naplnit bez zpracování osobních údajů, tedy obecným informováním o postupu, který je dle názoru účastníka řízení nesprávný, případně zveřejňováním anonymizovaných verzí dokumentů. Po souhrnném vyhodnocení uvedených okolností proto Úřad konstatuje, že u systematického zveřejňování informací o průběhu případů, kterými se účastník řízení zabývá, včetně identifikačních údajů účastníků těchto řízení, vždy převáží práva dotčených subjektů údajů nad zájmy správce, případně zájmy třetích stran. Pro takové zpracování tedy správci nikdy nemůže svědčit právní titul oprávněného zájmu dle čl. 6 odst. 1 písm. f) nařízení (EU) 2016/679. Jak bylo již uvedeno, pro zpracování realizované účastníkem řízení nelze shledat ani jiný právní titul dle čl. 6 nařízení (EU) 2016/679, a účastník řízení tedy ve vztahu k osobním údajům Jiřího Marka a Pavla Popa porušuje povinnosti správce vyplývající z čl..6 nařízení (EU) 2016/679. Jako správce osobních údajů, shromážděných nikoli přímo od subjektů údajů, je účastník řízení dále na základě čl. 14 nařízení (EU) 2016/679 povinen informovat dotčené osoby o základních parametrech předmětného zpracování a dále o právech, která mohou subjekty údajů vůči správci uplatnit. Na základě čl. 15, 16, 17, 18 a 21 nařízení (EU) 2016/679 je účastník řízení dále povinen umožnit subjektům údajů uplatnit jejich práva na přístup, opravu či výmaz, omezení a námitku vůči zpracování jejich osobních údajů. Na webových stránkách www.hrd-ngo.com nicméně žádné informace ohledně zpracování osobních údajů a práv subjektů údajů uvedeny nejsou. Tímto účastník řízení porušil povinnost, která mu jako správci vyplývá z čl. 14 nařízení (EU) 2016/679. Z podnětů, které Úřad obdržel, je pak zřejmé, že stěžovatelé se na účastníka řízení se svojí žádostí o ukončení zpracování jejich osobních údajů, popř. námitkou ve smyslu čl. 21 nařízení (EU) 216/679 přímo neobrátili. S ohledem na výše popsané vyjádření účastníka řízení (dle kterého se na něj právní úprava ochrany osobních údajů nevztahuje) nepovažuje nicméně Úřad za nezbytné vyčkat případného uplatnění tohoto práva a reakce účastníka řízení. K předmětu tohoto řízení se účastník řízení vyjádřil v odporu podaném proti příkazu. Účastník řízení zde uvedl výčet trestných činů, kterých se měly dopustit oprávněné úřední osoby (zaměstnanci Úřadu) v souvislosti s vedením tohoto řízení, a to s úmyslem znemožnit účastníku řízení plnit účely a cíle, pro které byl založen. Samotné řízení označil účastník řízení za protizákonné a porušující ústavní pořádek České republiky (konkrétně právo na spravedlivý proces). V rozporu s čl. 6 Evropské úmluvy o lidských právech se dále Úřad dle účastníka řízení v příkazu nevypořádal se všemi jeho námitkami. 6/10
Účastník řízení zopakoval, že právní předpisy upravující ochranu osobních údajů se na jeho činnost nevztahují. K možnosti informovat o případech, kterými se zabývá, formou anonymizovaných sdělení či dokumentů účastník řízení uvedl, že takový postup by vedl k porušení jeho stanov, a především k dalším stížnostem, neboť by mohlo docházet k záměně osob (označených pouze iniciálami). Ke konkrétním případům zpracování osobních údajů, které jsou předmětem tohoto řízení, pak účastník řízení uvedl, že zvlášť zranitelná oběť trestného činu (kterou účastník řízení zastupuje v trestním řízení) má právo podle čl. 38 odst. 2 Listiny základních práv a svobod, aby její věc byla projednána veřejně. Zároveň i podezřelý (Jiří Marek), který nebyl v dané trestní věci obžalován ani odsouzen, by měl mít zájem na medializaci této informace. Také stěžovatel Pavel Pop má dle účastníka řízení zájem na zveřejnění informace o své nevině. Co se týče policistů a státních zástupců vystupujících v jednotlivých kauzách, zveřejnění jejich osobních údajů je dle účastníka řízení opodstatněno tím, že tyto osoby jsou přesvědčeny, že jednají v souladu se zákonem, tj. že jejich rozhodnutí v konkrétních trestních věcech byla správná. Zveřejnění informací je tak i v jejich zájmu. Ve svém vyjádření ze dne 28. listopadu 2018 pak účastník řízení uvedl, že toto řízení, které navazuje přímo na úkony podle 3 zákona č. 255/2012 Sb. a nikoli na kontrolu, je protiprávní. V dalším účastník řízení odkázal na svá předchozí vyjádření. K uvedeným argumentům účastníka řízení lze předně uvést, že tvrzení o nezákonnosti a protiústavnosti tohoto řízení účastník řízení blíže nerozvedl. Obecně lze konstatovat, že vymáhání dodržování povinností uložených správcům v nařízení (EU) 2016/679 je zcela v působnosti Úřadu. K dosažení tohoto cíle jsou v čl. 58 tohoto nařízení upraveny pravomoci Úřadu, včetně možnosti ukládat opatření k nápravě. Všechny úkony v tomto řízení byly vedeny také v souladu se správním řádem, který se na postup Úřadu jakožto správního orgánu použije, a podle kterého je povinností Úřadu v rámci řízení zjistit a doložit stav věci, o němž nejsou důvodné povinnosti ( 3 správního řádu). Účastníku řízení bylo v průběhu řízení umožněno uplatnit jeho procesní práva a jeho námitky (relevantní ve vztahu k předmětu tohoto řízení) byly řádně vypořádány. Co se týče zaměstnanců Úřadu, účast na tomto řízení je pracovní povinností všech oprávněných úředních osob. Posouzení toho, zda jednáním zaměstnanců Úřadu došlo k trestnému činu, pak přísluší výhradně orgánům činným v trestním řízení. Také zahájení správního řízení v návaznosti na úkony podle 3 zákona č. 255/2012 Sb. je v souladu s pravomocí Úřadu. Úřad na základě výše popsaných podnětů a dalších podkladů, které shromáždil z veřejně dostupných zdrojů, dospěl k závěru, že v dané věci není důvodné zahájit kontrolu podle zákona č. 255/2012 Sb., neboť veškeré podstatné okolnosti zpracování osobních údajů byly již zjištěny a provedení kontroly u účastníka řízení by ke shromáždění dalších podkladů nezbytných pro posouzení souladu zpracování s požadavky nařízení (EU) 2016/679 nevedlo (naopak by se jednalo o porušení zásady šetřit práva dotčených osob, tedy i kontrolovaných). Porušení povinností vyplývajících z citovaného nařízení bylo tedy dle Úřadu zjištěno, a proto lze v souladu s 40 zákona č. 101/2000 Sb. uložit opatření k odstranění zjištěných nedostatků a stanovit k tomu lhůtu. Ustanovení 40 zákona č. 101/2000 Sb. je přitom použitelné současně s nařízením (EU) 2016/679, neboť toto nařízení obdobné ustanovení neobsahuje. 7/10
Skutečnost, že účastník řízení je zapsaným spolkem, ani samotný obsah stanov, pak nemohou bez dalšího vést k závěru, že účastník řízení svým jednáním neporušuje povinnosti vyplývající z nařízení (EU) 216/679. Zřízení a registrace občanského sdružení se řídí zákonem č. 89/2012 Sb., občanský zákoník, a zákonem č. 304/2013 Sb., o veřejných rejstřících právnických a fyzických osob. Podle 145 odst. 1 zákona č. 89/2012 Sb. není možné založit právnickou osobu (tedy ani spolek), jejímž účelem je porušení práva nebo dosažení nějakého cíle nezákonným způsobem. Účastník řízení ve svých stanovách uvádí, že se bude věnovat zveřejňování konkrétních případů o porušování lidských práv, přesnou podobu této své činnosti, tedy že se tak bude dít zveřejňováním veškeré relevantní dokumentace včetně osobních údajů, zde však již nepopisuje a nebyla proto známa ani rejstříkovému soudu. Z registrace účastníka řízení ve spolkovém rejstříku tak zásadně nelze vyvozovat aprobaci jeho jednání, které je předmětem tohoto řízení. Sledování popsaného zájmu je totiž nepochybně možné i za současného respektování povinností v oblasti ochrany osobních údajů formou anonymizovaných informací či dokumentů. Námitku účastníka řízení, že by v takovém případě docházelo k záměně osob označených pouze iniciálami, je pak nutno odmítnout s tím, že za účelem informování o konkrétní kauze není účelné (důvodné) ani ponechání iniciál. Pokud je zveřejněná informace důsledně anonymizována tak, že jí nelze spojit s konkrétní fyzickou osobou, pak účastník řízení neodpovídá za případnou záměnu identity, resp. omyl adresátů (čtenářů). Stejně tak neodpovídá za to, že určitému okruhu osob mohou být okolnosti daného případu známy z jiných zdrojů a informace zveřejněné účastníkem řízení si tak mohou spojit s konkrétní osobou. K vyjádření účastníka řízení je dále nutno uvést, že oprávněným zájmem ve smyslu čl. 6 odst. 1 písm. f) nařízení (EU) 216/679 je buď zájem správce osobních údajů anebo třetí strany, nikoli subjektu údajů, o jehož osobní údaje se jedná. Zájem subjektu údajů bude správce zastupovat standardně na základě smluvního ujednání, kdy bude zpracování osobních údajů (včetně případného zveřejnění) založeno na právním titulu upraveném v čl. čl. 6 odst. 1 písm. b) nařízení (EU) 216/679. Taková situace nastává např. u výše zmíněné oběti trestného činu, kterou účastník řízení zastupuje, nikoli však u podezřelého. Účastníku řízení tedy na základě čl. 6 odst. 1 písm. f) nařízení (EU) 216/679 nepřísluší rozhodnout, že zveřejnění osobních údajů je v zájmu subjektu údajů, o jehož osobní údaje se jedná. V případě stěžovatele Pavla Popa je nadto zcela zjevné, že se zveřejněním svých osobních údajů nesouhlasí, neboť právě zveřejnění osobních údajů na webových stránkách účastníka řízení bylo předmětem jeho stížnosti. Postavení policistů a státních zástupců, resp. veřejně činných osob obecně, je odlišné. V tomto případě je dle Úřadu s ohledem na to, že zveřejněné informace se týkají výhradně jejich pracovní činnosti možné oprávněný zájem veřejnosti na informování o jejich činnosti přiznat. Ostatně zveřejnění těchto osobních údajů není předmětem tohoto řízení. Také v případě veřejně činných osob je nicméně nutno dbát na to, aby zveřejnění informací o jejich činnosti nedošlo již k zásahu do osobnostních práv včetně práva na ochranu soukromí, rodinného života a ochrany osobních údajů. S ohledem na výše popsaná zjištění a výklad právních předpisů se tedy výroky č. I. bod 1. a 2. tohoto rozhodnutí vztahují k absenci právního titulu pro zpracování osobních údajů stěžovatelů, přičemž v daném případě není na místě jiná forma opatření než ukončení zpracování (zveřejňování) těchto osobních údajů. Lhůta pro provedení těchto opatření byla stanovena v délce 30 dnů od právní moci tohoto rozhodnutí, neboť předmětné osobní údaje 8/10
jsou obsaženy ve větším množství dokumentů. Splnění uloženého opatření je pak možné nejen odstraněním dokumentu jako takového, ale i provedením důsledné anonymizace. Účastník řízení byl ostatně na protiprávnost zpracování osobních údajů Jiřího Marka již ze strany Úřadu upozorněn (sdělením ze dne 7. června 2018), přičemž z kontextu sdělení Úřadu je zjevné, že popsaný postup je nutno aplikovat na všechny obdobné případy. Výrok č. I. bod 3 tohoto rozhodnutí pak směřuje ke zjevné absenci informací o zpracování osobních údajů prováděném prostřednictvím webových stránek www.hrd-ngo.com, přičemž doplnění informací definovaných v čl. 14 nařízení (EU) 2016/679 je jedinou možnou formou nápravy tohoto stavu. V tomto bodě je dále nutno uvést, že nedílnou součástí informací o zpracování osobních údajů musí být i informace o právech subjektů údajů, která lze ve vztahu k předmětnému zpracování uplatnit. V posuzovaném případě se pak nepochybně jedná o celou škálu práv upravených v čl. 15, 16, 17, 18 a 21 nařízení (EU) 2016/679, přičemž důraz je nutno klást zejména na právo vznést námitku dle posledně citovaného ustanovení. Lhůta 30 dní od právní moci tohoto příkazu byla stanovena s ohledem na relativní náročnost přípravy a zveřejnění veškerých nezbytných informací. Informování o zpracování osobních údajů by nebylo vyžadováno pouze v případě, pokud by účastník řízení nadále žádné osobní údaje nezveřejňoval, tj. informoval o případech zásadně obecně a případné dokumenty zveřejňoval pouze ve zcela anonymizované podobě. V průběhu tohoto řízení Úřad ověřil, že účastník řízení provádí úpravu či doplnění obsahu svých webových stránek de facto denně. Ve vztahu k předmětu tohoto řízení nicméně nedošlo do vydání tohoto rozhodnutí k takové úpravě, která by vedla k zajištění souladu s požadavky na řízení (EU) 2016/679 tak, jak byly popsány výše. Účastník řízení i nadále zveřejňuje dokumenty týkající se Jiřího Marka a Pavla Popa v rubrikách Konkrétní případy Frýdek- Místek, resp. Konkrétní případy Nové Město nad Metují a dále také v rubrice Aktuality, a to v plném znění (tj. včetně identifikačních osobních údajů). Zachována je nadále i možnost fultextového vyhledávání informací. Závěrem lze uvést, že z webových stránek účastníka řízení je zjevné, že shromažďuje a dále zveřejňuje informace i v dalších konkrétních případech, kterými se zabývá. Také na toto zpracování osobních údajů, byť doposud nebylo předmětem stížnosti adresované Úřadu, se vztahují veškeré výše uvedené závěry Úřadu o zákonnosti zpracování osobních údajů. Při rozhodnutí o uložení povinnosti uhradit náklady řízení správní orgán vycházel z ustanovení 79 odst. 5 správního řádu, který správnímu orgánu ukládá povinnost uložit paušální částkou náhradu nákladů řízení účastníkovi, který řízení vyvolal porušením své právní povinnosti, a z 6 odst. 1 vyhlášky č. 520/2005 Sb., o rozsahu hotových výdajů a ušlého výdělku, které správní orgán hradí jiným osobám, a o výši paušální částky nákladů řízení, kterou se stanoví paušální částka nákladů správního řízení ve výši 1.000 Kč. S ohledem na výše uvedené, bylo rozhodnuto, jak je uvedeno ve výroku tohoto rozhodnutí. Poučení: V souladu s 152 odst. 1 správního řádu lze u Úřadu pro ochranu osobních údajů proti tomuto rozhodnutí podat ve lhůtě 15 dnů ode dne doručení rozhodnutí rozklad předsedkyni Úřadu pro ochranu osobních údajů. 9/10
Rozhodnutí je doručeno dnem převzetí stejnopisu, nejpozději ale desátým dnem od jeho uložení na poště. V případě doručování do datové schránky je dnem doručení okamžik přihlášení oprávněné osoby do datové schránky, nejpozději ale desátý den ode dne dodání rozhodnutí do datové schránky. Praha, 19. prosince 2018 otisk úředního razítka JUDr. Jiřina Rippelová v. r. inspektorka Za správnost vyhotovení: Monika Kratochvílová 10/10
2. 1. 2019 Datové schránky Doručenka datové zprávy Věc: Rozhodnutí ID zprávy: 633161554 Typ zprávy: Veřejná datová zpráva Stav zprávy: Doručená Datum a čas doručení: 29. 12. 2018 v 09:23:19 Odesílatel: Úřad pro ochranu osobních údajů, Pplk. Sochora 727/27, 17000 Praha 7, CZ ID schránky: qkbaa2n Typ schránky: Orgán veřejné moci Odesílající osoba: Administrátor Adresát: ID schránky: Typ schránky: Human Rights Defense z.s., Pražská 142, 50351 Chlumec nad Cidlinou, CZ smd99ty Právnická osoba Zmocnění: Naše čís. jednací: Naše spisová zn.: Vaše čís. jednací: Vaše spisová zn.: K rukám: Do vlastních rukou: Nezadáno UOOU-09787/18-11 UOOU-09787/18 Nezadáno Nezadáno Nezadáno Ne Události zprávy: 19. 12. 2018 v 09:23:19 EV0: Datová zpráva byla podána. 19. 12. 2018 v 09:23:19 EV5: Datová zpráva byla dodána do datové schránky příjemce. Je-li příjemcem datové zprávy orgán veřejné moci vystupující v postavení orgánu veřejné moci, byla datová zpráva tímto okamžikem doručena. 29. 12. 2018 v 09:23:19 EV2: Uplynulo 10 dnů od dodání datové zprávy do datové schránky příjemce, aniž by se do schránky přihlásila osoba, která má s ohledem na rozsah svého oprávnění přístup k dodanému dokumentu (dle 17, odst. 4, zákona č. 300/2008 Sb., v platném znění). Zpráva byla označena jako doručená fikcí. Byl-li příjemcem datové zprávy orgán veřejné moci nevystupující v postavení orgánu veřejné moci, byla datová zpráva doručena tímto okamžikem. 2. 1. 2019 v 07:20:46 EV11: Přihlásila se oprávněná osoba ve smyslu 8, odst. 1 až 4 zákona č. 300/2008 Sb., v platném znění. Datová zpráva je nyní doručena. Případné dřívější datum doručení fikcí nebo doručení dodáním do schránky orgánu veřejné moci není dotčeno. https://www.mojedatovaschranka.cz/portal/isds/index?ev=lhbtzcwylds2mzmxnje1ntq7ma%3d%3dc1a80f15&xcsrf=f8f8e7464a523c3c7 1/1