ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ Pplk. Sochora 27, 170 00 Praha 7 tel.: 234 665 111, fax: 234 665 444 posta@uoou.cz, www.uoou.cz *UOOUX00DCS77* Čj. UOOU-09787/18-26 Usnesení Úřad pro ochranu osobních údajů, jako příslušný správní orgán podle 2 odst. 2 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a 60 zákona č. 110/2019 Sb., o zpracování osobních údajů, a podle čl. 58 odst. 2 písm. d) nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), rozhodl v řízení o uložení opatření k odstranění zjištěných nedostatků dne 19. prosince 2018 takto: Řízení sp. zn. UOOU-09787/18, vedené se spolkem Human Rights Defense z. s., se sídlem Pražská 142, 50351 Chlumec IV, Chlumec nad Cidlinou, IČ 01801970, se v části výroku č. I. 3 rozhodnutí čj. UOOU-09787/18-11 ze dne 19. prosince 2018, kterým byla účastníku řízení uložena povinnost informovat na webových stránkách www.hrd-ngo.com subjekty údajů podle čl. 14 nařízení (EU) 2016/679 o zpracování osobních údajů, ke kterému prostřednictvím uvedených webových stránek dochází, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí, podle 66 odst. 2 zákona č. 500/2004 Sb., správní řád, neboť odpadl jeho důvod. zastavuje, Odůvodnění Správní řízení o uložení opatření k odstranění zjištěných nedostatků bylo zahájeno příkazem Úřadu pro ochranu osobních údajů (dále jen Úřad ) čj. UOOU-09787/18-1 ze dne 31. října 2018, který byl účastníku řízení, spolku Human Rights Defense z. s., doručen dne 2. listopadu 2018. Podkladem pro vydání tohoto příkazu byl podnět Policie České republiky a stížnost subjektu údajů, doručené Úřadu dne 10. dubna 2018 a dne 23. srpna 2018 a dále podklady opatřené v souladu s ustanovením 3 zákona č. 255/2012 Sb., o kontrole (kontrolní řád), tedy dokumenty zveřejněné a ke dni vydání příkazu i nadále dostupné na webových stránkách www.hrd-ngo.com, v sekci Konkrétní případy Frýdek-Místek a Konkrétní případy Nové Město nad Metují. 1/4
Proti příkazu podal účastník řízení dne 7. listopadu 2018 odpor. Tím byl příkaz zrušen a správní orgán prvního stupně v řízení pokračoval, o čemž byl účastník řízení vyrozuměn dne 9. listopadu 2018. Právo nahlédnout do spisu uplatnila zástupkyně účastníka řízení dne 16. listopadu 2018 a dne 28. listopadu bylo Úřadu doručeno vyjádření účastníka řízení k předmětu řízení. Správní orgán prvního stupně následně, dne 19. prosince 2018, vydal rozhodnutí čj. UOOU-09787/18-11, jímž účastníku řízení uložil v souvislosti se zpracováním osobních údajů prostřednictvím webových stránek www.hrd-ngo.com, povinnost ukončit zveřejňování osobních údajů dvou konkrétních subjektů údajů a dále povinnost informovat na webových stránkách www.hrd-ngo.com subjekty údajů podle čl. 14 nařízení (EU) 2016/679 o zpracování osobních údajů, ke kterému prostřednictvím uvedených webových stránek dochází, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí. Důvodem pro uložení popsaných opatření k nápravě bylo, že správní orgán prvního stupně dospěl na základě shromážděných podkladů k závěru, že pro zveřejňování osobních údajů dvou konkrétních subjektů údajů nelze shledat žádný právní titul dle čl. 6 nařízení (EU) 2016/679 a účastník řízení tedy ve vztahu k těmto osobním údajům porušuje povinnosti správce vyplývající z citovaného ustanovení. Ve vztahu k opatření spočívajícím v informování subjektů údajů pak správní orgán prvního stupně konstatoval, že na webových stránkách www.hrd-ngo.com žádné informace ohledně zpracování osobních údajů a práv subjektů údajů uvedeny nejsou a dále, že uplatnění práv subjektů údajů přímo vůči účastníku řízení je zjevně ztíženo postojem účastníka řízení, který opakovaně deklaroval, že na jeho jednání se povinnosti uvedené v nařízení (EU) 2016/679 nevztahují. Účastník řízení tak dle správního orgánu prvního stupně porušil povinnost, která mu jako správci vyplývá z čl. 14 nařízení (EU) 2016/679. Proti tomuto rozhodnutí podal účastník řízení dne 10. ledna 2019 rozklad, o kterém rozhodla předsedkyně Úřadu rozhodnutím čj. UOOU-09787/18-20 ze dne 5. dubna 2019 tak, že výrok č. I. 3. napadeného rozhodnutí zrušila a v této části vrátila věc správnímu orgánu prvního stupně k novému projednání. Ve zbytku pak napadené rozhodnutí potvrdila. V odůvodnění svého rozhodnutí pak předsedkyně Úřadu ke zrušenému výroku č. I. 3. uvedla, že tento výrok nekoresponduje s odůvodněním, v němž je uvedeno, že účastník řízení zjevně shromažďuje a dále zveřejňuje informace i v dalších konkrétních případech, přičemž také na tato zpracování osobních údajů se vztahují závěry správního orgánu prvního stupně uvedené ve vztahu ke dvěma konkrétním subjektům údajů. V tomto směru předsedkyně Úřadu odkázala také na úkon správního orgánu prvního stupně, jímž došlo k seznámení účastníka řízení s podklady před vydáním rozhodnutí (čj. UOOU-09787/18-6 ze dne 9. listopadu 2018), z něhož lze dle názoru předsedkyně Úřadu dovodit, že předmětné řízení se mělo zabývat celkovou úrovní zpracování osobních údajů prostřednictvím webových stránek www.hrdngo.com, přičemž ale žádné komplexní zjištění stavu věci neproběhlo a rozhodnutí se zaměřilo pouze na některé dílčí aspekty předmětného zpracování. Předsedkyně Úřadu dále vytkla správnímu orgánu prvního stupně, že účastníku řízení uložil splnění povinnosti podle čl. 14 nařízení (EU) 2016/679 prostřednictvím webových stránek, aniž by bylo zřejmé, proč by měly být eliminovány jiné formy poskytování informací. V rámci nového projednání věci správní orgán prvního stupně předně uvádí, že potvrzením výroků napadeného rozhodnutí č. I. 1 a I. 2. nabylo v těchto bodech rozhodnutí správního orgánu prvního stupně právní moci, a to ke dni doručení rozhodnutí předsedkyně Úřadu 2/4
účastníku řízení, tedy k 26. dubnu 2019. Počínaje tímto datem běží tedy účastníku řízení lhůta 30 dní stanovená k odstranění osobních údajů konkrétních subjektů údajů z webových stránek www.hrd-ngo.com. V této souvislosti je pak třeba poukázat na fakt, že nesplnění opatření k odstranění zjištěných nedostatků uležených Úřadem na základě čl. 58 odst. 2 nařízení (EU) 216/679 představuje přestupek dle 62 odst. 1 písm. d) zákona č. 110/2019 Sb., za který lze uložit pokutu podle čl. 83 odst. 5 nařízení (EU) 2016/679. Ohledně povinnosti účastníka řízení vyplývající z čl. 14 nařízení (EU) 2016/679 pak správní orgán prvního stupně dospěl, v návaznosti na rozhodnutí předsedkyně Úřadu, k závěru, že v tomto bodě nezbývá než řízení o uložení opatření k odstranění zjištěných nedostatků zastavit, neboť ve smyslu 66 odst. 2 zákona č. 500/2004 Sb. odpadl jeho důvod. Řízení o uložení opatření ve smyslu 60 zákona č. 110/2019 Sb. a čl. 58 odst. 2 písm. d) nařízení (EU) 2016/679 je řízením zahájeným z moci úřední, které se řídí zásadou oficiality. Správní orgán v řízení zahájeném z moci úřední pokračuje, dokud není dosaženo účelu tohoto řízení a v případě, kdy důvod pro vedení řízení v jeho průběhu odpadl, takové zastaví. K odpadnutí důvodu pak rozumí např. situace, kdy se správnímu orgánu nepodaří určité skutečnosti prokázat nebo se důvody zahájení řízení v průběhu řízení ukáží jako neopodstatněné. Ve svém původním rozhodnutí vycházel správní orgán prvního stupně z faktu, že veškeré zpracování osobních údajů, které je předmětem tohoto řízení, realizuje účastník řízení prostřednictvím svých webových stránek. S ohledem na to, že se jedná o osobní údaje, které účastník řízení převážně neshromáždil od subjektů údajů, ale z jiných zdrojů, a po vyhodnocení povinností, které v takovém případě účastníku řízení vyplývají z čl. 12 a 14 nařízení (EU) 2016/679 dospěl správní orgán prvního stupně k závěru, že jediným relevantním způsobem, jakým by účastník řízení mohl splnit svoji informační povinnost vůči těmto osobám, je uvedení požadovaných informací na předmětných webových stránkách. Žádná taková informace nicméně na webových stránkách účastníka řízení uvedena nebyla, resp. není. Dle názoru předsedkyně Úřadu je však k uložení opatření k odstranění zjištěných nedostatků v oblasti informování subjektů údajů nezbytné vyloučit, že účastník řízení nesplnil svoji informační povinnost jiným způsobem. K tomu pak správní orgán prvního stupně uvádí, že účastník řízení již dříve opakovaně konstatoval, že povinnosti vyplývající z nařízení (EU) 2016/679 se na jeho činnost nevztahují a jakoukoli součinnost odmítl. Požadované doplnění dokazování tak není dle správního orgánu prvního stupně možné, resp. další vedení řízení z tohoto důvodu není v souladu se zásadou procesní ekonomie ve smyslu 6 odst. 2 zákona č. 500/2004 Sb. Správnímu orgánu prvního stupně pak nezbývá než konstatovat, že v tomto bodě porušení povinností stanovených čl. 14 nařízení (EU) 2016/679 prokázáno nebylo a nelze tedy ani uložit opatření k nápravě tohoto stavu. K odůvodnění rozhodnutí předsedkyně Úřadu je však nutno uvést, že předmět řízení byl v souladu s 46 zákona č. 500/2004 Sb. vymezen v samotném počátku řízení, tj. v příkaze čj. UOOU-09787/18-1 ze dne 31. října 2018, kterým bylo toto řízení zahájeno. Předmětem řízení je tedy zpracování osobních údajů dvou konkrétních osob a absence informování o zpracování osobních údajů, resp. o právech subjektů údajů na webových stránkách účastníka řízení. Není proto zřejmé, z jakého důvodu předsedkyně Úřadu ve svém rozhodnutí dovozuje předmět řízení z jiného úkonu správního orgánu prvního stupně (seznámení s podklady řízení). V této souvislosti je pak třeba připomenout, že předmět řízení nelze v průběhu řízení rozšiřovat, nadto v důsledku opravného prostředku podaného účastníkem řízení rozšířit (tj. de 3/4
facto k jeho tíži). Pokyn předsedkyně Úřadu, aby správní orgán prvního stupně provedl celkovou kontrolu zpracování osobních údajů prostřednictvím webových stránek www.hrdngo.com ve smyslu zákona č. 255/2012 Sb., tedy dle správního orgánu prvního stupně vybočuje ze zákonných možností odvolacího orgánu a není jej proto možné v rámci tohoto řízení splnit. Nadto lze poznamenat, že obecným procesním předpisem pro vedení správního řízení, tj. včetně řízení o uložení opatření k odstranění zjištěných nedostatků, je zákon č. 500/2004 Sb., nikoli zákon č. 255/2012 Sb. Správnímu orgánu prvního stupně není zřejmé, jakým způsobem by v rámci správního řízení měla proběhnout kontrola dle zákona č. 255/2012 Sb. S ohledem na výše uvedené tedy správním orgán prvního stupně řízení v části výroku č. I. 3 rozhodnutí čj. UOOU-09787/18-11 ze dne 19. prosince 2018, kterým byla účastníku řízení uložena povinnost informovat na webových stránkách www.hrd-ngo.com subjekty údajů podle čl. 14 nařízení (EU) 2016/679 o zpracování osobních údajů, ke kterému prostřednictvím uvedených webových stránek dochází, a to ve lhůtě 30 dnů od právní moci tohoto rozhodnutí, podle 66 odst. 2 zákona č. 500/2004 Sb. zastavuje, neboť odpadl jeho důvod. Závěrem je třeba uvést, že v průběhu tohoto řízení byl zákon č. 101/2000 Sb. zrušen a nahrazen zákonem č. 110/2019 Sb., který nyní nově upravuje postavení a pravomoci Úřadu. Podle 66 odst. 5 zákona č. 110/2019 Sb. se řízení zahájená podle zákona č. 101/2000 Sb., která nebyla pravomocně skončena přede dnem nabytí účinnosti zákona č. 110/2019 Sb. dokončí podle zákona č. 101/2000 Sb. Na skutečnost, že Úřad je správním orgánem příslušným vést řízení o uložení opatření k nápravě zjištěných nedostatků v oblasti zpracování osobních údajů dle nařízení (EU) 2016/679, uvedená změna žádný vliv nemá. Poučení: V souladu s 152 odst. 1 správního řádu lze u Úřadu pro ochranu osobních údajů proti tomuto usnesení podat ve lhůtě 15 dnů ode dne doručení usnesení rozklad předsedou Úřadu pro ochranu osobních údajů. Usnesení je doručeno dnem převzetí stejnopisu, nejpozději ale desátým dnem od jeho uložení na poště. V případě doručování do datové schránky je dnem doručení okamžik přihlášení oprávněné osoby do datové schránky, nejpozději ale desátý den ode dne dodání usnesení do datové schránky. Rozklad proti tomuto usnesení nemá podle 76 odst. 5 správního řádu odkladný účinek. Praha, 10. června 2019 otisk úředního razítka JUDr. Jiřina Rippelová v. r. inspektorka Za správnost vyhotovení: Monika Kratochvílová 4/4
14. 6. 2019 Datové schránky Datová schránka: Uživatel: smd99ty, Human Rights Defense z.s. Ladislava Kryžová Přijatá zpráva - Detail zprávy Předmět: Usnesení ID zprávy: 682953736 Typ zprávy: Přijatá datová zpráva Stav zprávy: Doručená Datum a čas: 14. 6. 2019 v 07:07:53 Odesílatel: Úřad pro ochranu osobních údajů, Pplk. Sochora 727/27, 17000 Praha 7, CZ ID schránky: qkbaa2n Typ schránky: Orgán veřejné moci Odesílající osoba: Administrátor Zmocnění: Naše čís. jednací: Naše spisová zn.: Vaše čís. jednací: Vaše spisová zn.: K rukám: Do vlastních rukou: UOOU-09787/18-26 UOOU-09787/18 Ne Přílohy: Usnesení o zastavení řízení stejnopis.pdf (201,76 kb) Události zprávy: 10. 6. 2019 v 11:49:41 EV0: Datová zpráva byla podána. 10. 6. 2019 v 11:49:41 EV5: Datová zpráva byla dodána do datové schránky příjemce. Je-li příjemcem datové zprávy orgán veřejné moci vystupující v postavení orgánu veřejné moci, byla datová zpráva tímto okamžikem doručena. 14. 6. 2019 v 07:07:53 EV11: Přihlásila se oprávněná osoba ve smyslu 8, odst. 1 až 4 zákona č. 300/2008 Sb., v platném znění. Datová zpráva je nyní doručena. Případné dřívější datum doručení fikcí nebo doručení dodáním do schránky orgánu veřejné moci není dotčeno. https://www.mojedatovaschranka.cz/portal/isds/op/tisk/zprava?inbox=true&msgid=682953736&xcsrf=aea04adb138383605fc8f26bba5378f0 1/1