„Zpracování osobních údajů by mělo sloužit lidstvu.“ …tak zní část preambule nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, kterým se zrušuje směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále také „nařízení“). Ne vždy se však podaří tuto větu převést do praxe a v případě, o kterém pojednává tento článek, tomu tak rovněž nebylo.
Úřad pro ochranu osobních údajů Slovenské republiky (dále také „úřad“) obdržel návrh navrhovatele na zahájení řízení ve věci porušení zákonné povinnosti vyplývající z článku 15 výše uvedeného nařízení.
Právo dotčené osoby na přístup k údajům je stávající právo, které zakotvuje nejen nařízení v článku 15, ale také Listina základních práv Evropské unie. Existence práva dotčené osoby na přístup k osobním údajům, které o ní zpracovávají jiné subjekty, vyplývá z nutnosti respektovat soukromý život a toto právo již několikrát potvrdil i Evropský soud pro lidská práva.[1]
Ve svém návrhu navrhovatel požádal Ministerstvo financí Slovenské republiky (dále také „ministerstvo“) o poskytnutí informací o zpracování osobních údajů, které se ho týkají a které ministerstvo zpracovává. Požadoval poskytnutí informací o tom, jaké údaje ministerstvo zpracovává, tedy poskytnutí všech informací, na které má podle čl. 15 odst. 1 a 2 nařízení nárok.
Odstavce 1 a 2 článku 15 nařízení upravují právo dotčené osoby získat od správce potvrzení o tom, zda jsou zpracovávány osobní údaje, které se jí týkají, a pokud ano, má právo získat přístup k těmto osobním údajům, jakož i informace o účelu zpracování, kategorii dotčených osobních údajů, příjemcích nebo kategorii příjemců, kterým byly nebo budou osobní údaje poskytnuty, předpokládané době uchovávání osobních údajů, právech dotčené osoby, zdroji informací (pokud zdrojem nebyla samotná dotčená osoba), přenosu údajů do třetích zemí a přiměřených zárukách a o existenci automatizovaného rozhodování včetně profilování.
Ministerstvo sdělilo navrhovateli, že pokud jde o část podání týkající se zpracování osobních údajů v informačních systémech ministerstva, bude mu ministerstvem zasláno stanovisko. Navrhovateli však již žádné informace neposkytlo ani s ním v dané věci dále nekomunikovalo.
Úřad proto na základě návrhu navrhovatele zahájil řízení o ochraně osobních údajů, o čemž informoval jak navrhovatele, tak ministerstvo jako správce. Ministerstvo se k návrhu vyjádřilo tak, že žádost navrhovatele se týkala několika agend a v době přípravy odpovědi navrhovateli došlo k chybě v komunikaci mezi dotčenými útvary ministerstva. Podle tvrzení ministerstva byla část odpovědi vypracována prvním útvarem, který tuto část odpovědi následně zaslal druhému útvaru. Ten měl odpověď dopracovat a zaslat přímo navrhovateli. K finální odpovědi však z dosud blíže nezjištěných příčin nedošlo. Navrhovateli byla zaslána odpověď, jejíž součástí nebyla vypracovaná úplná odpověď týkající se jeho žádosti. Lze konstatovat, že nastala situace, kdy se první útvar domníval, že k odeslání vypracované první části odpovědi došlo.
Žadatel však na tuto odpověď ministerstva reagoval tvrzením, že pokud by nastala situace, kdy by první útvar měl odpověď vypracovanou, zaslal by ji žadateli dodatečně nebo po zahájení řízení úřadem, k čemuž však nedošlo.
Na základě podkladů a skutečností úřad konstatoval, že ministerstvo na písemnou žádost navrhovatele neposkytlo žádné požadované informace, čímž porušilo právo na přístup k údajům podle čl. 15 odst. 1 a 2 nařízení. Na základě těchto skutečností Úřad pro ochranu osobních údajů Slovenské republiky uložil ministerstvu podle čl. 58 odst. 2 písm. c) nařízení, aby ve lhůtě stanovené podle čl. 12 odst. 3 nařízení tuto žádost vyřídil. Úřad rovněž s cílem posílit prosazování pravidel nařízení uložil ministerstvu pokutu ve výši 700 eur, přičemž jako polehčující okolnost posoudil, že není důvod domnívat se, že by se jednalo o úmyslné porušení.
Podle Úřadu takovým neposkytnutím informací o zpracování vzniká dotčeným osobám, v tomto případě navrhovateli, riziko snížení nebo ztráty kontroly nad jejich osobními údaji. Závěrem lze konstatovat, že postupem ministerstva a ztrátou kontroly navrhovatele nad jeho osobními údaji nedošlo ke splnění věty preambule nařízení uvedené v úvodu tohoto článku.
Zdroje:
[1] Rozsudek Evropského soudu pro lidská práva ze dne 7. července 1989 ve věci Gaskin proti Spojenému království, stížnost č. 10454/83
