„Spracúvanie osobných údajov by malo byť určené na to, aby slúžilo ľudstvu.“ …aj tak znie časť preambuly k Nariadeniu Európskeho Parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov) (ďalej aj ako „Nariadenie“). Avšak nie vždy sa podarí túto vetu pretaviť do praxe a v prípade, o ktorom je tento článok tomu tiež tak nebolo.
Úrad na ochranu osobných údajov Slovenskej republiky (ďalej aj ako „úrad“) obdržal návrh Navrhovateľa na začatie konania vo veci porušenia zákonnej povinnosti plynúcej z článku 15 už spomínaného Nariadenia.
Právo dotknutej osoby na prístup k údajom je existujúce právo, ktoré zakotvuje nielen Nariadenie v článku 15, ale aj Charta základných práv Európskej únie. Existencia práva prístupu dotknutej osoby k osobným údajom, ktoré o nej spracúvajú iní vyplýva z potreby rešpektovať súkromný život a toto právo už viackrát potvrdil aj Európsky súd pre ľudské práva.[1]
V návrhu Navrhovateľ žiadal Ministerstvo financií Slovenskej republiky (ďalej aj ako „ministerstvo“) o predloženie informácií k spracúvaniu osobných údajov týkajúcich sa jeho osoby ministerstvom. Žiadal o poskytnutie informácií aké údaje ministerstvo spracúva, teda o poskytnutie všetkých informácií, na ktoré má podľa čl. 15 ods. 1, 2 Nariadenia právo.
Odsek 1 a 2 článku 15 Nariadenia upravuje právo dotknutej osoby získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú osobné údaje, ktoré sa jej týkajú, a ak tomu tak je, má právo získať prístup k týmto osobným údajom, ako aj informácie o účele spracúvania, kategórii dotknutých osobných údajov, príjemcoch alebo kategórii príjemcov, ktorým boli alebo budú osobné údaje poskytnuté, predpokladanej dobe uchovávania osobných údajov, právach dotknutej osoby, zdroji informácií (ak zdrojom nebola samotná dotknutá osoba), prenose údajov do tretích krajín a primeraných zárukách, a o existencii automatizovaného rozhodovania vrátane profilovania.
Ministerstvo Navrhovateľovi oznámilo, že čo sa týka časti podania týkajúceho sa spracúvania osobných údajov v informačných systémoch ministerstva, bude mu ministerstvom zaslané vyjadrenie. Avšak Navrhovateľovi už neposkytlo žiadne informácie ani s ním v danej veci ďalej nekomunikovalo.
Úrad teda začal na základe návrhu Navrhovateľa konanie o ochrane osobných údajov, o čom upovedomil aj Navrhovateľa aj ministerstvo ako Prevádzkovateľa. Ministerstvo sa k návrhu vyjadrilo, že Navrhovateľova žiadosť sa týkala viacerých agend a v čase prípravy odpovede Navrhovateľovi došlo k chybe v komunikácii medzi zainteresovanými útvarmi ministerstva. Podľa tvrdení ministerstva došlo k vypracovaniu časti odpovede prvým útvarom, ktorý túto časť odpovede následne zaslal na druhý útvar. Ten mal odpoveď dopracovať a zaslať priamo Navrhovateľovi. Do finálnej odpovede však z bližšie nezistených príčin nedošlo. Navrhovateľovi bola zaslaná odpoveď, ktorej súčasťou nebola vypracovaná kompletná odpoveď týkajúca sa jeho žiadosti. Možno konštatovať, že nastala situácia, kedy sa prvý útvar domnieval, že k odoslaniu vypracovanej prvej časti odpovede došlo.
Navrhovateľ však na túto odpoveď ministerstva reagoval tvrdením, že ak by nastala situácia, že by prvý útvar mal odpoveď vypracovanú, zaslal by ju Navrhovateľovi dodatočne alebo po začatí konania úradom, čo sa však nestalo.
Z podkladov a skutočností úrad konštatoval, že ministerstvo na písomnú žiadosť Navrhovateľa neposkytlo žiadne požadované informácie, čím porušilo právo na prístup k údajom podľa čl. 15 ods. 1 a 2 Nariadenia. Na základe týchto skutočností Úrad na ochranu osobných údajov Slovenskej republiky uložil ministerstvu podľa čl. 58 ods. 2 písm. c) Nariadenia, aby v lehote určenej podľa čl. 12 ods. 3 Nariadenia vybavilo túto žiadosť. Úrad tiež s cieľom posilniť presadzovanie pravidiel Nariadenia uložil ministerstvu pokutu vo výške 700,- eur, pričom ako poľahčujúcu okolnosť posúdil, že nie je dôvod usúdiť úmyselný charakter porušenia.
Takýmto neposkytnutím informácií o spracúvaní vzniká podľa Úradu dotknutým osobám, v tomto prípade Navrhovateľovi, riziko zníženia alebo straty kontroly nad ich osobnými údajmi. Na záver možno skonštatovať, že postupom ministerstva a stratou kontroly Navrhovateľa nad jeho osobnými údajmi nedošlo k naplneniu vety preambuly Nariadenia v úvode tohto článku.
Zdroje:
[1] Rozsudok Európskeho súdu pre ľudské práva z 7. júla 1989 vo veci Gaskin proti Spojené kráľovstvo, sťažnosť č. 10454/83
