V Brně dne ledna 2010 Sp. zn.: 4621/2008/VOP/PPO
Závěrečné stanovisko ve věci podnětu pana M.W. vydané podle ustanovení § 18 odst. 2 zákona o veřejném ochránci práv A - Závěry ze zprávy o výsledku šetření Dne 10. 4. 2009 jsem v souladu s ustanovením § 18 odst. 1 zákona č. 349/1999 Sb., o veřejném ochránci práv, vydala zprávu o výsledku šetření ve věci podnětu pana M.W. Tato zpráva je nedílnou součástí mého závěrečného stanoviska v předmětné věci. S ohledem na platné právní předpisy,1 principy dobré správy a základní principy demokratického právního státu jsem v postupu Úřadu pro ochranu osobních údajů (dále také „Úřad“) zjistila následující pochybení: a) Úřad pochybil, neboť nezahájil státní kontrolu poté, co obdržel podání stěžovatele, z něhož bylo patrné, jakým skutkem mohlo dojít k porušení zákona, a to pouze z důvodu, že právě probíhalo šetření orgánů činných v trestním řízení. b) Úřad pochybil, jelikož oprávněnost opakovaného zpracování citlivých osobních údajů stěžovatele neposoudil ve správním řízení, přestože při vedení státní kontroly získal z přestupkového spisu vedeného Úřadem městské části Praha 2 informace nasvědčující nezákonnému zpracování osobních údajů bratrem stěžovatele. Zákon o veřejném ochránci práv stanoví, že zjistí-li ochránce šetřením porušení právních předpisů či jiná pochybení, vyzve úřad, aby se k jeho zjištěním ve lhůtě 30 dnů vyjádřil. Zprávu jsem proto zaslala k vyjádření předsedovi Úřadu pro ochranu osobních údajů RNDr. Igoru Němcovi. B - Vyjádření Úřadu Předseda Úřadu pro ochranu osobních údajů RNDr. Igor Němec se v dopisu ze dne 14. května 2009 (zn. KNDČ-5703/09-12/NON) obecně ztotožnil s prvním výše zmíněným závěrem. Sdělil mi, že útvary Úřadu vyřizující podněty veřejnosti budou v tomto smyslu poučeny. Podle dosavadních přístupů Úřadu však nelze obecně vyjádřit, že souběžné šetření téže věci orgány činnými v trestním řízení nehraje žádnou roli. Dle jeho názoru by mohlo dojít k porušení obecných zásad trestního
1
Zejména zákon č. 71/1967 Sb., o správním řízení (správní řád), ve znění pozdějších předpisů; zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů; zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů; zákon č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů.
řízení, případně k porušení zásady spolupráce státních orgánů.2 Rozhodnutí, zda uplatnit dozorovou či kontrolní pravomoc Úřadu bezprostředně nebo vyčkat závěrů šetření orgánů činných v trestním řízení, je proto nutno posuzovat vždy individuálně. V daném případě se primárně odbor pro styk s veřejností a sekundárně inspektor Úřadu přiklonili k druhé variantě, a to i proto, že napadený skutek se již jednorázově stal, a dalším možným výsledkem aktivity Úřadu mohlo být zákonem očekávané systémové opatření, ne zamezení probíhající nezákonné činnosti. I přesto však předseda přislíbil informovat příslušné útvary o tom, že pouhá skutečnost, že v dané věci konají správní orgány činné v trestním řízení, bez dalšího nepostačuje pro neuplatnění kompetencí Úřadu (kontrola, správní řízení). K mému druhému závěru obsaženému ve zprávě o výsledku šetření předseda Úřadu uvedl, že o něm informoval inspektora Úřadu Ing. et Bc. Miloše Dokoupila. Ostatní inspektoři Úřadu o něm měli být (spolu s mým zdůvodněním) vyrozuměni s tím, že by tento závěr měli zohlednit ve své další kontrolní praxi. RNDr. Igor Němec se domnívá, že se ze strany bratra poškozeného Ing. M.W. pravděpodobně nejednalo o zpracování osobních údajů na základě ustanovení § 4 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále také „zákon o ochraně osobních údajů”), neboť definice zpracování osobních údajů vyžaduje systematičnost zpracovávání, která dle jeho názoru v jednání Ing. M.W. absentuje. V tomto případě se jednalo spíše o nahodilé nakládání s osobními údaji jiné osoby, které nelze pod pojem systematicky prováděné operace nebo soustavy operací podřadit. Ing. M.W. proto pravděpodobně rovněž nebyl v pozici správce ve smyslu zákona o ochraně osobních údajů a nedopadaly na něj další povinnosti tímto zákonem stanovené, např. povinnosti dle ustanovení § 11, ustanovení § 12, ustanovení § 13, ustanovení § 16 či ustanovení § 21 zákona o ochraně osobních údajů. Předseda Úřadu však uvedl, že výše uvedené neznamená, že činností jmenovaného nemohlo dojít k zásahu do soukromí pana M.W. nebo že jeho činnost nemohla být prověřena správním řízením, např. pro podezření ze spáchání přestupku dle ustanovení § 44 odst. 1 písm. c) zákona o ochraně osobních údajů. Dne 7. 7. 2009 došlo k mému osobnímu setkání s předsedou Úřadu pro ochranu osobních údajů a dalšími zástupci Úřadu, v rámci kterého jsem projednala i výše uvedené vyjádření ze dne 14. 5. 2009. Během setkání proběhla diskuse nad uplatněním kontrolních a dozorových pravomocí Úřadu, z níž vyplynulo, že státní kontrola je častějším způsobem řešení podnětů. Úřad ale nevnímá provedení kontroly jako nutnou podmínku pro zahájení správního řízení. Dle sdělení předsedy RNDr. Igora Němce jsou v praxi Úřadu zahajována správní řízení „rovnou“, i když před tím neproběhla státní kontrola. C - Hodnocení opatření přijatých Úřadem Ustanovení § 18 odst. 2 zákona o veřejném ochránci práv stanoví, že pokud úřad na výzvu sdělí, že provedl nebo provádí opatření k nápravě, a ochránce tato opatření shledá dostatečnými, vyrozumí o tom stěžovatele i úřad.
2
Stejný argument uvedla i náměstkyně sekce dozorových činností JUDr. Alena Kučerová ve svém vyjádření ze dne 19. 2. 2009 (čj. KNDČ-5703/08-7/NON).
2
Po obdržení odpovědi předsedy Úřadu musím konstatovat, že se Úřad s mými závěry ze šetření ztotožnil pouze zčásti. Shodně jako já se Úřad domnívá, že šetření orgánů činných v trestním řízení v téže věci automaticky nezakládá překážku uplatnění pravomocí svěřených Úřadu, ať již ve formě správního řízení, či státní kontroly. Ke každé stížnosti subjektu údajů (či jiné osoby) je třeba přistupovat individuálně a věc hodnotit s ohledem na konkrétní skutkové a právní okolnosti. Proto informování příslušných odborů vyřizujících podněty veřejnosti a inspektorů o nutnosti aplikovat výše popsaný přístup shledávám dostatečným. Pokud jde o posouzení charakteru činnosti Ing. M.W. z pohledu působnosti zákona o ochraně osobních údajů,3 nabízely se v zásadě dva přístupy, jak sanovat případné zásahy do soukromí stěžovatele. První přístup jsem blíže přiblížila ve své zprávě o výsledku šetření (viz str. 10), kdy jsem vycházela z premisy, že se bratr stěžovatele stal na základě konkrétních okolností správcem osobních údajů.4 Uvedla jsem, že v tomto případě měl Úřad prověřit další nakládání s citlivými osobními údaji stěžovatele uplatněním svých dozorových pravomocí. Vycházela jsem přitom ze skutečnosti, že zákon se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky.5 Dále se domnívám, že zpracování osobních údajů, které opakovaně prováděl stěžovatelův bratr, nespadalo pod pojem zpracování „výlučně pro osobní potřebu“.6 Způsob šíření údajů a jejich vysoce citlivý charakter totiž značně přesahoval sémantickou náplň termínu „osobní potřeba“. K dalšímu neméně důležitému aspektu působnosti zákona, tj. nahodilosti shromáždění údajů, sděluji, že třebaže se bratr stěžovatele dostal k údajům nahodile7 (prostřednictvím svého účastenství v řízení o přestupku),8 dospěla jsem k názoru, že z jeho strany došlo následně ke zpracování osobních dat, a bylo tudíž nutno posuzovat zákonnost jeho jednání prismatem zákona o ochraně osobních údajů.
3
Dovoluji si připomenout, že z kontrolního protokolu (zn. INSP-4612/07) plyne, že k prvnímu využití citlivých údajů stěžovatele došlo již dne 1. 10. 2006, a to tím, že Ing. M.W. prezentoval některé informace o zdravotním stavu stěžovatele nájemníkům domu v Praze 2. Za další využití osobních údajů lze považovat zapracování některých informací o zdravotním stavu stěžovatele v žalobě na prověření jeho právní způsobilosti ze dne 15. srpna 2007, která byla podána k Obvodnímu soudu pro Prahu 2. Osobní údaje byly ještě užity v souvislosti s žalobou na neplatnost založení Společenství vlastníků jednotek, kterou projednává Městský soud v Praze. Tyto údaje se dále staly součástí spisů několika orgánů veřejné správy (komise k projednávání přestupků města Hořovice, Městská část Praha 10, odbor občanskoprávní, Obvodní oddělení Policie ČR v Ústí nad Labem). 4 Ustanovení § 4 písm. j) zákona o ochraně osobních údajů: Pro účely tohoto zákona se rozumí správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. 5 Ustanovení § 3 odst. 2 zákona o ochraně osobních údajů. 6 Tento pojem je ostatně interpretačně problematický a jeho pravý smysl je třeba hledat v bodě č. 12 recitálu nebo čl. 3 směrnice Evropského parlamentu a Rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů: (…) je třeba vyloučit zpracování údajů fyzickou osobou při výkonu činností, které mají výlučně osobní povahu, jako je korespondence nebo vedení adresáře. Tato směrnice se nevztahuje na zpracování osobních údajů prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností. 7 Ustanovení § 3 odst. 4 zákona o ochraně osobních údajů: Tento zákon se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány. K tomu blíže viz Matoušová, M. Hejlík, L. Osobní údaje a jejich ochrana. 2. vyd. ASPI: Praha, 2008, str. 142: Osobní údaje lze získat bez úsilí a záměru: např. jako nevyžádané součásti legitimně získávaného dokumentu (…). 8 Nelze zřejmě předpokládat, že již v době podání návrhu k projednání přestupku Ing. Michael Winige pojal skrytý záměr získat údaje o zdravotním stavu stěžovatele. Ze spisové dokumentace navíc vyplývá, že vypracování znaleckého posudku o duševním stavu stěžovatele inicioval před odvolacím orgánem sám stěžovatel.
3
Pokud jde o konkrétní znaky zpracování uváděné v zákoně, je více než pravděpodobné, že Ing. M.W. musel provádět se znaleckým posudkem či rozhodnutím správního orgánu (nosiči osobních a citlivých osobních údajů) a samotnými daty v nich obsaženými určité operace, resp. soustavu operací (přinejmenším muselo jít o ukládání na nosiče informací, zpřístupňování, šíření, uchovávání,9 možná také došlo k úpravě nebo pozměňování). Není v tomto smyslu podstatný časový odstup od jednotlivých individuálních nebo dílčích zpracování, ale jejich věcná a příčinná souvislost, technická podobnost realizace (např. kopírování dat z jednoho dokumentu do druhého, zálohování a archivování), záměr (využít co nejvíce údajů směrem k jiným osobám, resp. státnímu aparátu) a skutečnost, že k jednání nedošlo pouze jednou, nýbrž opakovaně.10 Proto konstatuji, že prvkem systematičnosti, jenž je jedním z esenciálních znaků zpracování,11 jsem se v šetření blíže zabývala12 a z podkladů, které jsem měla k dispozici, jsem vyvodila, že byl dán.13 Shrnuji, že Ing. M.W. pravděpodobně byl v pozici správce a prováděl zpracování osobních údajů stěžovatele. V takovém případě měl dodržet veškeré povinnosti, které správci ukládá platný a účinný zákon. Není přitom důležité, jestli jako správce stanovil účel a prostředky zpracování osobních údajů.14 Zákon totiž „počítá“ i s možností, že správce účel a prostředky zpracování neurčí. S touto nečinností (resp. opomenutím) pak spojuje udělení sankce ve správním řízení.15 Úřad je ovšem toho názoru, že bratr stěžovatele zpracování neprováděl. Své důvody, proč se v tomto případě nejednalo o zpracování v režimu zákona o ochraně osobních údajů, mi však sdělil pouze okrajově (prvek systematičnosti v jednání Ing. M.W. údajně absentoval). Úřad ale připustil (a v tom spočívá druhý přístup, jak částečně napravit zásah do soukromí stěžovatele), že by se v daném případě mohlo jednat o přestupek podle ustanovení § 44 odst. 1 písm. c) zákona o ochraně osobních údajů. Bratr stěžovatele se tak mohl dopustit přestupku tím, že jako fyzická osoba, která v rámci plnění zvláštním zákonem uložených oprávnění a povinností přišla u správce nebo zpracovatele do styku s osobními údaji, porušila 9
Ustanovení § 4 písm. g) zákona o ochraně osobních údajů: Pro účely tohoto zákona se rozumí uchováváním osobních údajů udržování údajů v takové podobě, která je umožňuje dále zpracovávat. 10 K tomu Maštalka, Jiří. Osobní údaje, právo a my. 1. vyd. Praha: C. H. Beck, 2008, str. 29: Samozřejmě není vyloučeno, že soustava operací proběhne pouze jednou, anebo se dokonce uskuteční jen jedna z nich, důležitá je však existence záměru tyto operace za vymezených okolností opakovat anebo v nich pokračovat. Tento záměr lze doložit např. určenými pracovními postupy, vyčleněnou technickou nebo programovou základnou apod. 11 Viz ustanovení § 4 písm. e) zákona o ochraně osobních údajů: Pro účely tohoto zákona se rozumí zpracováním osobních údajů jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace. Srov. definici zpracování uvedenou v čl. 2 písm. b) směrnice Evropského parlamentu a Rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů: Pro účely této směrnice se rozumí "zpracováním osobních údajů" jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí, či bez pomoci automatizovaných postupů, jako je shromažďování, zaznamenávání, uspořádávání, uchovávání, přizpůsobování nebo pozměňování, vyhledávání, konzultace, použití, sdělení prostřednictvím přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či kombinování, jakož i blokování, výmaz nebo likvidace. 12 Využila jsem přitom i odbornou literaturu k tématu jako Matoušová, M. - Hejlík, L. Osobní údaje a jejich ochrana. 2. vyd. ASPI: Praha, 2008, str. 137 - 145; Maštalka, Jiří. Osobní údaje, právo a my. 1. vyd. Praha: C. H. Beck, 2008, str. 29 - 30. 13 Nutno podotknout, že „systematičnost“ není v platných předpisech definována a nevěnuje se jí blíže ani judikatura. Nezbývá než znak systematičnosti posuzovat zejména s ohledem na znění platných předpisů a konkrétní případ. 14 Ustanovení § 5 odst. 1 písm. a) a b) zákona o ochraně osobních údajů. 15 Ustanovení § 44 odst. 2 písm. a) a odst. 5, resp. ustanovení § 45 odst. 1 písm. a) a odst. 3 zákona o ochraně osobních údajů.
4
povinnost mlčenlivosti. Povinnost mlčenlivosti zakotvená v ustanovení § 15 zákona o ochraně osobních údajů se vztahuje nejen na zaměstnance správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, ale rovněž na další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele. Za porušení povinnosti mlčenlivosti může Úřad uložit pokutu až do výše 100 tis. Kč. I to je samozřejmě cesta, kterou by se Úřad mohl vydat, kdyby posuzoval jednání Ing. M.W. ve světle jednotlivých ustanovení zákona o ochraně osobních údajů. V současnosti jsou však tyto úvahy, přiznávám, poněkud bezpředmětné, poněvadž již došlo k zániku odpovědnosti za přestupek ve smyslu ustanovení § 20 zákona č. 200/1990 Sb., o přestupcích, ve znění pozdějších předpisů. 16 Proto vést další diskuse nad daným tématem bez nemožnosti doporučení provedení konkrétního opatření k nápravě nemá příliš velkou hodnotu. Z tohoto důvodu shledávám dostatečným, že se inspektoři Úřadu seznámili s mým hmotněprávním hodnocením případu, a ocením, když budou obeznámeni i s výše uvedenou úvahou o prvku systematičnosti ve zpracování osobních údajů. Pevně věřím, že ji při své každodenní správní praxi zohlední. Pouze bych ráda podotkla, že stěžovateli nabízí české právní předpisy ještě jednu možnost, jak se domoci ochrany před neoprávněnými zásahy do svého soukromí,17 a to cestou žaloby na ochranu osobnosti.18 Některé kroky stěžovatelova bratra by mohly být kvalifikovány jako zásah do jeho osobnostních práv chráněných občanským zákoníkem.19 Možnost obrátit se na soud je plně v dispozici stěžovatele, a je tedy na jeho zvážení, zda se hodlá uvedeným způsobem bránit. I nadále se však s Úřadem rozcházím v názoru na konkrétní postup inspektora, pro kterého bylo probíhající šetření orgánů činných v trestním řízení překážkou pro zahájení státní kontroly. Úřad trvá na zásadě spolupráce mezi státními orgány a odložení zahájení státní kontroly na okamžik ukončení šetření orgánů činných v trestním řízení mimo jiné i proto, že napadený skutek se již jednorázově stal a dalším možným výsledkem aktivity Úřadu mohlo být zákonem očekávané systémové opatření, ne zamezení probíhající nezákonné činnosti. S tímto odůvodněním se však nemohu z pozice zástupkyně veřejného ochránce práv plně ztotožnit, a proto přijímám následující závěrečné stanovisko ve věci. D - Závěrečné stanovisko veřejného ochránce práv Zákon o veřejném ochránci předpokládá, že pokud ochránce neshledá opatření úřadu dostatečným, tak po obdržení vyjádření nebo marném uplynutí lhůty sdělí písemně své závěrečné stanovisko úřadu a stěžovateli; součástí tohoto stanoviska je návrh opatření k nápravě.
16
Ustanovení § 20 zákona o přestupcích: 1) Přestupek nelze projednat, uplynul-li od jeho spáchání jeden rok; nelze jej též projednat, popřípadě uloženou sankci nebo její zbytek vykonat, vztahuje-li se na přestupek amnestie. 2) Do běhu lhůty podle odstavce 1) se nezapočítává doba, po kterou se pro tentýž skutek vedlo trestní řízení podle zvláštního právního předpisu. 17 Ve smyslu ustanovení čl. 10 odst. 1 Listiny základních práv a svobod: Každý má právo, aby byla zachována jeho lidská důstojnost, osobní čest, dobrá pověst a chráněno jeho jméno. 18 Viz ustanovení § 11 - § 16 zákona č. 40/1964 Sb., občanského zákoníku, ve znění pozdějších předpisů. 19 Chráněny jsou život, zdraví, občanská čest, lidská důstojnost, soukromí, jméno a projevy osobní povahy.
5
D. 1 - Státní kontrola a činnost orgánů činných v trestním řízení Ve své zprávě o výsledku šetření jsem uvedla, že zahájení státní kontroly a její ukončení v podobě vydání kontrolního protokolu nelze v žádném případě považovat za proces, který by byl v rozporu se zásadou spolupráce mezi státními orgány anebo který by snad konkuroval trestnímu řízení. Zmíněná zásada spolupráce je, přiznám se, pro mě v tomto kontextu navíc poměrně abstraktní a Úřad na obhajobu svého stanoviska neuvedl příklady z praxe, jimiž by své „obavy“ podložil. Navíc se nedomnívám, že v případě, pokud by Úřad vedl státní kontrolu, by se do téže věci nemohly vložit orgány činné v trestním řízení s odkazem na uvedenou zásadu. Opak je, dle mého názoru, pravdou, poněvadž orgány činné v trestním řízení sledují trestní odpovědnost fyzických osob podle trestních předpisů,20 tzn. právně zcela rozdílnou kvalitu, než kterou sleduje a vyhodnocuje Úřad. Dále konstatuji, že pravomocné závěry státní kontroly jsou principiálně východiskem pro následující řízení, ať již trestní, či správní (např. příkazní řízení), kde může teprve k uložení sankcí dojít.21 Ve zprávě jsem rovněž akcentovala, že pokud Úřad v rámci vedení státní kontroly shledá pochybení v činnosti fyzických osob, je pochopitelně vhodné, aby v daném případě vyčkal závěrů orgánů činných v trestním řízení, šetří-li zrovna (či dosud) tutéž kauzu. Touto procesní opatrností je možno zabránit porušení zásady ne bis in idem. Jestliže ale Úřad zahájí státní kontrolu až poté, co se ve věci přestanou angažovat orgány činné v trestním řízení, může být jeho reakce poněkud neefektivní a může se minout se záměrem docílit nastolení praxe korektního jednání správců a zpracovatelů osobních údajů. Dokonce se domnívám, že zahájením státní kontroly se může někdy nehospodárně odsunout okamžik stavění prekluzivních lhůt pro zánik odpovědnosti a vydání právního titulu, jímž lze vymoci povinnosti stanovené zákonem. Pokud Úřad ve specifických situacích vyčká skončení šetření orgánů činných v trestním řízení (i tuto skutečnost nelze předem vyloučit u zvlášť komplikovaných kauz), je namístě zahájit přímo správní řízení a postupovat dle příslušných ustanovení správního řádu s ohledem na princip efektivity výkonu státní správy, zásadu procesní ekonomie a běh lhůt pro zánik odpovědnosti. Vzhledem k výše řečenému mám za to, že v konkrétním případě stěžovatele M.W. měl Úřad zahájit státní kontrolu Úřadu městské části Praha 2 již poté, co obdržel podání stěžovatele, z něhož bylo patrné, jakým skutkem mohlo dojít k porušení zákona (tj. po 11. 1. 2007).
20
Zákon č. 140/1961 Sb., trestní zákon, ve znění účinném do 31. 12. 2009; zákon č. 40/2009 Sb., trestní zákoník, ve znění pozdějších předpisů. 21 Připomínám, že v rámci kontrolního procesu nedochází k ukládání žádných závazných sankcí (pominu-li opatření k nápravě a pokuty při odepření součinnosti).
6
D. 2 - Státní kontrola a správní řízení Veřejný ochránce práv se ve své praxi často setkává s tím, že příslušné státní orgány k odhalování přestupků a správních deliktů častěji provádějí státní kontrolu, než aby přímo zahajovaly správní řízení, tzn., že postupují podle schématu, kdy v rámci výkonu dozorových pravomocí musí vždy následovat státní kontrola a posléze až správní řízení (dodržují schéma podnět - státní kontrola - správní řízení). Třebaže mi RNDr. Igor Němec sdělil, že v případě Úřadu nejde v žádném případě o každodenní praxi, považuji za důležité se k věci vyjádřit vzhledem ke dvěma následujícím aspektům. Veřejný ochránce práv obdržel v letech 2008 - 2009 vyšší počet podnětů týkajících se postupu Úřadu. Poté, co vstoupil do kontaktu s Úřadem na základě jemu svěřených vyšetřovacích oprávnění, zjistil, že v naprosté většině případů Úřad vedl na základě jednoho podnětu osoby či stížností subjektů údajů státní kontrolu, a až poté eventuelně přistoupil ke správnímu řízení. Na druhém místě je z čísel a informací publikovaných ve výročních zprávách Úřadu zřejmé, že velká většina podnětů je odborem pro styk s veřejností předávána inspektorům ke kontrole a dále řešena v režimu státní kontroly.22 Nyní krátce k souvisejícímu právnímu rámci. Podle ustanovení § 29 odst. 1 písm. a), c) a f) zákona o ochraně osobních údajů Úřad provádí dozor nad dodržováním povinností stanovených zákonem při zpracování osobních údajů, přijímá podněty a stížnosti na porušení povinností stanovených zákonem při zpracování osobních údajů, informuje o jejich vyřízení, projednává přestupky a jiné správní delikty a uděluje pokuty podle tohoto zákona. Zákon stanoví, že při výkonu dozoru ve formě kontroly se postupuje podle zvláštního právního předpisu, jímž je zákon o státní kontrole.23 Kontrolní činnost Úřadu provádějí inspektoři a pověření zaměstnanci na základě kontrolního plánu nebo na základě podnětů a stížností.24 Podle ustanovení § 41 zákona o ochraně osobních údajů se v řízení ve věcech upravených zákonem o ochraně osobních údajů postupuje podle správního řádu, pokud zákon nestanoví jinak. Svým závěrečným stanoviskem nechci v žádném případě narušovat zákonem do jisté míry předvídanou a v praxi často fungující symbiózu státní kontroly a následného správního řízení, neboť je zřejmé, že obecně lze ze státních kontrol získat důkazy pro následná správní řízení. Tuto symbiózu však nechci ani přeceňovat, přičemž právě to se ve správní praxi dozorových orgánů (je otázkou k diskusi, zda je tomu tak i v případě Úřadu) běžně děje. Abych byla tedy zcela jasně pochopena, provedení státní kontroly nepovažuji za nutnou podmínku postupu dle správního řádu při vyšetřování správního deliktu, na nějž byl dozorový orgán upozorněn podnětem, zvláště svědčí-li podnět o jednorázovém porušení zákona o ochraně osobních údajů. Na druhou stranu uznávám, že v některých případech je provedení státní kontroly strategicky vhodné (např. pro získání určitých klíčových 22
Ve Výroční zprávě Úřadu pro ochranu osobních údajů za rok 2008 je uvedeno, že na základě podnětů a stížností bylo vedeno téměř 90 % kontrol. Z celkového počtu 697 podnětů na úseku zákona o ochraně osobních údajů bylo ke kontrole předáno 202 podnětů. Bylo zahájeno a ukončeno 112 kontrol. Správní řízení o porušení zákona o ochraně osobních údajů a zákona o evidenci obyvatel bylo vedeno v 87 případech. 23 Ustanovení § 29 odst. 2 zákona o ochraně osobních údajů. 24 Ustanovení § 30 odst. 2 ve spojení s ustanovením § 31 zákona o ochraně osobních údajů.
7
informací). Proto bych ráda stručně objasnila svůj postoj k těmto dvěma zcela samostatným procesním institutům, které se doplňují, ale není vždy potřeba využívat obou. D. 3 - Státní kontrola Institut státní kontroly je upraven především zákonem č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů. Za základní funkci státní kontroly považuji především funkci preventivní, kdy státní orgány preventivně působí na kontrolované subjekty a nutí je dodržovat jejich povinnost jednat v souladu s platným právem.25 Je tudíž obvyklé, že se státní kontrola zaměřuje na dodržování práva kontrolovanými subjekty obecně, byť může být předmět kontroly vymezen i úžeji, často se zaměřením na určitý patologický jev. Její podstata spočívá především v provádění namátkových kontrol nejčastěji plošného charakteru. Cílem státní kontroly je odhalení případných nedostatků na straně kontrolovaných subjektů a zlepšení jejich dodržování platného práva. Jedná se proto o proces poměrně formalistický, finančně a časově nákladný (jak z hlediska přípravy, tak z hlediska realizace a vyhodnocení kontroly). V průběhu státní kontroly mohou být zjištěny i skutečnosti vedoucí k podezření, že byl spáchán přestupek nebo jiný správní delikt, což je pak důvod pro zahájení správního řízení.26 Nicméně je nutno podotknout, že v rámci samotného kontrolního procesu nedochází k ukládání žádných závazných sankcí (pominu-li opatření k nápravě a pokuty při odepření součinnosti). D. 4 - Postup podle zákona č. 500/2004 Sb., správního řádu, ve znění pozdějších předpisů (dále také „správní řád“) Správní trestání se děje postupem podle správního řádu. Tento postup je zcela samostatný a nezávislý na postupech státní kontroly. Jedná se o dva právní instituty, z nichž každý slouží jinému účelu. Domnívám se, že v případě oznámení (podnětu dle ustanovení § 42 správního řádu) obsahujícího podezření ze spáchání deliktu je nutno využívat především postupy dle správního řádu. Provádění státní kontroly na základě jednoho podnětu může být v mnoha případech neefektivní a nehospodárné. V případě oznámení konkrétního porušení zákona, k němuž neopakovaně došlo v minulosti, je tak úspěšná státní kontrola v podstatě nemožná, a tím i zbytečná. Je ostatně nezbytné zopakovat, že vzhledem k časové náročnosti státní kontroly může dojít k zániku odpovědnosti za přestupek či správní delikt. Jestliže je Úřad již od počátku seznámen s tím, že jednáním právnické či fyzické osoby již jednou došlo k invazivnímu zásahu do soukromí jiné osoby a jeho zhojení již není dost dobře možné, domnívám se, že není hospodárné zahajovat
25
Kontrolní aktivita Úřadu má jednak významný preventivní účinek ve vztahu k některým správcům, a dále také osvětovou náplň (např. podle ustanovení § 29 odst. 1 písm. a/ zákona o ochraně osobních údajů). Viz také Výroční zpráva Úřadu pro ochranu osobních údajů za rok 2008, str. 9, kapitola Kontrolní činnost. 26 Dále také odkazuji na str. 11 - 13 mojí průběžné zprávy o výsledku šetření.
8
státní kontrolu, protože k tomuto účelu slouží především správní řízení vedoucí k potrestání odpovědného subjektu. Nezbývá také než opakovat tezi dlouhodobě ochráncem zastávanou,27 že v pochybnostech, zda správní řízení o deliktu zahájit, či nikoliv, je žádoucí řízení zahájit. Po oznámení potencionálního deliktu dozorový orgán zváží, zda existuje „důvodné podezření”.28 Důvodné podezření neznamená prokázání deliktu, jak se snad některé úřady domnívají. Jde o slabší stupeň dokladování určité skutečnosti opírající se i o nepřímé důkazy či pouhé indicie. Řádné důkazy jsou obstarávány až následně ve správním procesu.29 Obávám se, že správní úřady tuto drobnou, ale podstatnou, nuanci někdy nerozlišují a domnívají se, že pro zahájení řízení je třeba mít vše prokázáno. Taková úvaha však, podle mého soudu, zcela odporuje podstatě procesního práva. Jedině výše popsaným přístupem může být naplněn veřejný zájem na odhalování správních deliktů. D. 5 - Shrnutí Ve světle výše uvedeného mám za to, že Úřad mohl zahájit státní kontrolu již poté, co obdržel podání stěžovatele, z něhož bylo patrné, jakým skutkem mohlo dojít k porušení zákona. Pokud Úřad bezpodmínečně trval na uzavření šetření orgánů činných v trestním řízení, a následně ve věci postupoval cestou dozoru ve formě kontroly (nikoliv správního řízení), nepostupoval hospodárně a efektivně. Skutek se totiž jednorázově stal a efektivní náprava zásahu do stěžovatelova práva na ochranu osobních údajů byla možná především ve správním řízení (uložením sankce jakožto nepřímé satisfakce pro subjekt údajů). Jsem si vědoma, že Úřad chápe trestání a ukládání pokut jako povinnost, které musí v souladu se zákonem dostát, třebaže není meritorním smyslem jeho působnosti. V šetřeném případě mám ovšem za to, že postup dle správního řádu30 by byl ve větší míře v souladu s právem, principy dobré správy a principy demokratického právního státu. E - Opatření k nápravě Institut veřejného ochránce práv má naplňovat funkci kontrolního mechanismu činnosti státní správy. Veřejný ochránce práv tak působí k ochraně osob před jednáním úřadů a dalších institucí státní správy, pokud je v rozporu s právem, neodpovídá principům demokratického právního státu a dobré správy, jakož i před jejich nečinností, čímž přispívá k ochraně základních práv a svobod.
27
A potvrzenou vůči orgánům krajů a obcí vykonávajících státní správu v přenesené působnosti též Ministerstvem vnitra. 28 Obecný zákon upravující správní delikty a jejich správní trestání neexistuje, a proto je pojem „důvodné podezření“ stejně jako pojem „prověření“ pracovním pojmem teorie trestání. Obdobně však hovoří zákon o přestupcích, když užívá slov: „prověřit“ (ustanovení § 59 a ustanovení § 60) a následně ukládá věc úřadu odložit „neodůvodňuje-li oznámení zahájení řízení“ (ustanovení § 66). Ještě přesněji věc popisuje trestní řád: „prověřit skutečnosti nasvědčující spáchání trestného činu“ (ustanovení § 159) a následně: „nejde-li o podezření z trestného činu, věc se odloží…“ (ustanovení § 159a). U jiných správních deliktů se samozřejmě věc v případě negativní lustrace formálně usnesením neodkládá, ale princip „prověření oznámených skutečností zvážení podezření ze spáchání deliktu“ se uplatní obdobně. 29 Správním orgánům navíc nebrání, aby v odůvodněných případech využívaly postupu podle ustanovení § 137 § 138 správního řádu (tj. zvláštního ustanovení o postupu před zahájením řízení). 30 Šlo by o následující postup: 1) zahájení správního řízení vůči Úřadu městské části Praha 2; 2) zastavení řízení podle ustanovení § 66 odst. 2 správního řádu; 3) zahájení správního řízení proti bratrovi stěžovatele.
9
V souladu s výše řečeným a na základě ustanovení § 18 odst. 2 věty druhé zákona o veřejném ochránci práv Úřadu navrhuji, aby na základě odborné diskuse mezi nejvyšším vedením Úřadu, jednotlivými inspektory a dalšími zaměstnanci Úřadu podílejícími se na výkonu kontrolní či správněprávní agendy byl vytvořen metodický pokyn odrážející nutnost pečlivě zvažovat provedení státní kontroly nebo zahájení správního řízení v návaznosti na konkrétní podnět oznamovatele (nejčastěji subjektu údajů). Metodický pokyn by měl dát obecnou odpověď na otázku, kdy je v podmínkách Úřadu vhodné postupovat cestou státní kontroly, a kdy naopak cestou správního řízení. V pokynu by měly být zohledněny 1) principy prověřování oznámených správních deliktů (včetně metodického opatření k využití postupů dle správního řádu před zahájením řízení) a 2) dosavadní zkušenosti pracovníků Úřadu se specifiky, s nimiž je spojena problematika zpracování osobních údajů v různých sektorech, včetně jednotlivých úskalí. Z pohledu mých úkolů (ochrany jednotlivce před státní mocí) je přijatelná pouze taková praxe, která povede k účinnému vymáhání platných předpisů na ochranu soukromí. Stávající postup Úřadu naplňuje toto kritérium pouze zčásti. Proto zvažuji-li věc v širším kontextu efektivity výkonu veřejné moci, domnívám se, že mnou navrhované opatření může ve svém důsledku přinést vyjasnění základních postupů při jisté „dvoukolejnosti“ právní úpravy, přičemž získané kapacity Úřadu budou využitelné jiným způsobem. Protože však neznám detailní průběh každodenní činnosti jednotlivých inspektorátů a odboru správních činností, je na zvážení předsedy Úřadu a inspektorů, zda navrhované řešení může skutečně přinést efektivnější práci při výkonu dozorových pravomocí Úřadu. Je totiž zřejmé, že metodika nemůže být „receptem“ na veškeré případy, které Úřad bude v budoucnu řešit. Závěrem si dovoluji poznamenat, že jsem si plně vědoma, že zákon o státní kontrole je v současné době přežitou normou a neodpovídá současným potřebám kontrolních a inspekčních orgánů. Sám Úřad by jistě přivítal nový zákon; jeho přijetí je ale podle posledních informací zatím v nedohlednu. Tuto skutečnost by měl Úřad reflektovat a racionalizovat své postupy s ohledem na všechny okolnosti, zejména pak složitost každého jednotlivého případu a personální vybavenost Úřadu. F - Závěr Závěrečné stanovisko zasílám předsedovi Úřadu pro ochranu osobních údajů RNDr. Igoru Němcovi a vyzývám ho, aby mi v souladu se zákonem o veřejném ochránci práv sdělil, zda Úřad splnil mnou navržené opatření k nápravě. Odpověď očekávám do 45 dnů od obdržení tohoto závěrečného stanoviska. Na vědomí zasílám závěrečné stanovisko i stěžovateli.
RNDr. Jitka S e i t l o v á v. r. zástupkyně veřejného ochránce práv (zpráva je opatřena elektronickým podpisem)
10
