V Brně dne 31. srpna 2010 Sp. zn.: 3054/2008/VOP/PPO
Průběžná zpráva o výsledku šetření ve věci podnětu pana X. Y. (poskytování údajů o telekomunikačním provozu za účelem prošetřování přestupku spáchaného na internetu) A - Shrnutí podnětu Dne 2. června 2008 zaslal pan X. Y. (dále také „stěţovatel“), veřejnému ochránci práv (dále také „ochránce“) na vědomí podání, v němţ vyzval MUDr. Mgr. Ivana Langera, tehdejšího ministra vnitra, a RNDr. Igora Němce, předsedu Úřadu pro ochranu osobních údajů (dále také „Úřad“), k prošetření incidentu, kdy neznámá osoba bez jeho vědomí a souhlasu podala na internetových stránkách inzerát, v němţ nabídla jménem stěţovatele k prodeji jeho dům a osobní automobil. Stěţovatel zároveň ţádal prověření, jestli je v právním státě moţné podávat a zveřejňovat inzeráty bez poţadavků věrohodné identifikace, a realizaci eventuálních legislativních kroků k nápravě neuspokojivé situace. Svým podáním stěţovatel chtěl (cit.): „upozornit na nebezpečnost takového jednání, kdy potencionálně kterýkoliv občan může být vystaven ataku neznámých pachatelů s cílem úmyslně zasáhnout do právem chráněných práv a zároveň zneužít další neomezený počet osob” a rovněţ tvrdil, ţe byly zneuţity jeho osobní údaje. Dne 18. září 2008 bylo ochránci doručeno doplnění podnětu, ve kterém stěţovatel napadal postup státních orgánů (Okresního státního zastupitelství v Jihlavě, obvodního oddělení Policie ČR Jihlava a Úřadu pro ochranu osobních údajů) při prošetřování shora uvedeného incidentu. Stěţovatel uvedl, ţe nesouhlasí s posouzením společenské nebezpečnosti činu, a tvrdil, ţe ze sdělení příslušných orgánů přímo neplyne, ţe by vyuţily všech dostupných vyšetřovacích oprávnění k dopadení pachatele. Zjednání nápravy údajně nešlo očekávat ani od Úřadu, který, byť si je vědom nedostatků v právní regulaci internetu, nedisponuje zákonodárnou iniciativou. Dále stěţovatel vyslovil názor, ţe postup inzertních společností není v souladu s ústavním pořádkem České republiky. Z uvedených důvodů poţádal ochránce o celkové posouzení věci. Podnět stěţovatele v části týkající se postupu Policie ČR jako přestupkového orgánu podle zákona č. 200/1990 Sb., o přestupcích, ve znění pozdějších předpisů, a zákona č. 283/1991 Sb., o Policii ČR, ve znění pozdějších předpisů, resp. zákona č. 273/2008 Sb., Policii ČR, ve znění pozdějších předpisů, a zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (dále také „zákon o elektronických komunikacích“), a Úřadu pro ochranu osobních údajů při vyřizování stíţností na porušení zákona č. 101/2000 Sb., o ochraně osobních
údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále také „zákon o ochraně osobních údajů“), spadal do působnosti ochránce, která je vymezena především ustanovením § 1 odst. 1 a 2 zákona č. 349/1999 Sb., o veřejném ochránci práv (dále také „zákon o veřejném ochránci práv“), a měl rovněţ veškeré náleţitosti, které blíţe předjímá ustanovení § 11 zmíněného zákona. V souladu s ustanovením § 14 zákona o veřejném ochránci práv zahájil veřejný ochránce práv JUDr. Otakar Motejl dne 4. února 2009 v předmětné věci šetření. V souladu s ustanovením § 2 odst. 4 zákona o veřejném ochránci práv jsem se dne 10. května 2010 ujala konečného posouzení věci. Stěţovateli a dotčeným správním orgánům předkládám následující průběţnou zprávu o výsledku šetření. B - Průběh šetření (skutkové a právní okolnosti případu zjištěné během šetření) Z podkladů, které se ochránci podařilo shromáţdit v průběhu šetření, vyplývá, ţe dne 22. května 2008 byly na internetových stránkách inzertní společnosti AVÍZO, a. s. (www.avizo.cz), zveřejněny dva inzeráty, v nichţ byly k prodeji nabídnuty stěţovatelův rodinný dům v obci Z. o uţitné ploše 70 m² za cenu 550.000,- Kč a osobní automobil Škoda Felicia 1.3 benzín (rok výroby 2002 s najetými kilometry v hodnotě 85 000 km) za cenu 45.000,- Kč. U obou inzerátů bylo v rubrice „kontaktní osoba“ uvedeno jméno a adresa stěţovatele. Téhoţ dne byly stěţovateli adresovány dva e-maily, jejichţ odesílatelé reagovali na zveřejněnou nabídku a chtěli si domluvit se stěţovatelem osobní schůzku. Dne 23. května 2008 se na internetových stránkách inzertní společnosti ANNONCE, k. s. (www.annonce.cz),1 objevily dva obsahově podobné inzeráty.2 V rubrice „kontaktní informace“ byla uvedena e-mailová adresa
[email protected]. Ve dnech 29. května 2008 a 19. června 2008 stěţovatel obdrţel další tři nabídky ke schůzce. Stěţovatel podal hned dne 23. května 2008 trestní oznámení na neznámého pachatele ve věci důvodného podezření ze spáchání trestného činu poškozování cizích práv a neoprávněného nakládání s osobními údaji dle zákona č. 140/1961 Sb., trestního zákona, ve znění pozdějších předpisů (dále také „trestní zákon“), na Okresní státní zastupitelství v Jihlavě (dále také „OSZ Jihlava“). Okresní státní zástupce JUDr. Jiří Morava zaslal stěţovateli vyrozumění ze dne 28. května 2008 (sp. zn. 1 ZN 90/2008-3), jímţ mu oznámil postoupení dané věci k prošetření podezření ze spáchání přestupku Okresnímu ředitelství Policie ČR Jihlava. Podle názoru okresního státního zástupce obsah trestního oznámení nenasvědčoval tomu, ţe by popsané jednání naplňovalo znaky trestného činu. Svůj názor vysvětlil tím, ţe údaje zveřejněné v inzerátu na prodej rodinného domu nešlo povaţovat za osobní údaje, poněvadţ ty jsou volně dostupné, např. pořízením výpisu z katastru nemovitostí. Údaje o vozidle taktéţ nejsou dle jeho mínění osobními údaji, protoţe jsou „veřejně známy přinejmenším jeho širokému okolí“, takţe nemohlo dojít ke spáchání trestného činu neoprávněného nakládání s osobními údaji dle ustanovení § 178 trestního zákona. Dále uvedl, ţe pokud jde 1
V současnosti je provozovatelem serveru www.annonce.cz společnost ANNONCE Publishing, s. r. o. Inzerát na předmětnou nemovitost se lišil v některých popisných údajích (např. dispozice, obytná plocha, prodejní cena). 2
2
o trestný čin poškozování cizích práv dle ustanovení § 209 trestního zákona, chyběla u formální stránky trestného činu podstatná náleţitost, a to následek jednání v podobě „vážné újmy na právech“. Taktéţ materiální korektiv, tj. společenská nebezpečnost daného trestného činu, byla dle něj nepatrná.3 V daném jednání však spatřoval moţné spáchání přestupku proti občanskému souţití dle ustanovení § 49 odst. 1 písm. c) zákona o přestupcích.4 Podáním ze dne 2. června 2008 se stěţovatel obrátil na předsedu Úřadu, aby Úřad prošetřil, jestli je zveřejňování inzerátů obsahujících osobní údaje bez identifikace osoby zadavatele inzerátu v inzertních portálech v rozporu se zákonem o ochraně osobních údajů či jinou právní normou. Obrátil se rovněţ na MUDr. Mgr. Ivana Langera, tehdejšího ministra vnitra, s ţádostí o vytvoření expertního týmu, který by vzniklý incident prošetřil, případně podnikl legislativní kroky k zajištění ochrany lidských práv. Stejné podání bylo na vědomí zasláno i veřejnému ochránci práv a ředitelce Kanceláře Amnesty International Dáše van der Horst. Mezitím Okresní ředitelství Policie ČR Jihlava postoupilo oznámení stěţovatele na obvodní oddělení Policie ČR Jihlava (dále také „OO PČR“) k dalšímu prošetření. Spisový materiál (čj. ORJI-3567/PŘ-2008) byl na OO PČR doručen dne 4. června 2008. Dne 9. června 2008 byl stěţovatel ze strany JUDr. Pavla Pořízka, zástupce vedoucí právního odboru Kanceláře veřejného ochránce práv, poučen o působnosti ochránce a náleţitostech podnětu. Rovněţ mu bylo s odkazem na ustanovení § 1 odst. 5 zákona o veřejném ochránci práv5 sděleno, ţe ochránce nemůţe vstupovat do trestního řízení a prošetřovat postup orgánů činných v trestním řízení (policie, státního zastupitelství a soudu). Tehdejší ředitel kabinetu ministra vnitra Mgr. Rudolf Vyčichla zaslal stěţovateli vyjádření ze dne 18. června 2008 (čj. MV-49338-2/KM-2008), ve kterém uvedl, ţe ministerstvo ani ministr vnitra nejsou oprávněni danou věc řešit. Sdělil, ţe stěţovatel postupoval zcela správně, kdyţ se obrátil na Úřad a OSZ Jihlava. Samotný Úřad reagoval na podnět stěţovatele dopisem ze dne 20. června 2008 (sp. zn. VER-3273/08-2/TUS). Ředitel odboru pro styk s veřejností Úřadu JUDr. Zdeněk Koudelka v odpovědi uvedl, ţe na společnosti AVÍZO, a. s., a ANNONCE, k. s., nelze pohlíţet jako na správce ve smyslu ustanovení § 4 písm. j) zákona o ochraně osobních údajů, neboť mj. neurčují účel a prostředky zpracování osobních údajů. Nelze na ně pohlíţet ani jako na zpracovatele podle ustanovení § 4 písm. k) téhoţ zákona. Na základě ustanovení § 3 odst. 1 zákona o ochraně osobních údajů není v takovém případě zákon aplikovatelný, a tím není dána ani působnost Úřadu. Souhlasil s názorem stěţovatele o nedostatečnosti současné právní úpravy v předmětné věci. Uvedl však, ţe Úřad nemá zákonodárnou iniciativu a můţe se na zjednání nápravy podílet jen v omezeném rozsahu (v meziresortním 3
Ustanovení § 3 odst. 2 trestního zákona. „Přestupku proti občanskému souţití se dopustí ten, kdo úmyslně naruší občanské souţití vyhroţováním újmou na zdraví, drobným ublíţením na zdraví, nepravdivým obviněním z přestupku, schválnostmi nebo jiným hrubým jednáním.“ 5 Od 1. prosince 2009 se jedná o ustanovení § 1 odst. 6 zákona o veřejném ochránci práv (viz zákon č. 198/2009 Sb.). 4
3
připomínkovém řízení). Ředitel odboru pro styk s veřejností Úřadu vyslovil domněnku, ţe by se zadavatel inzerátu mohl dopustit trestného činu podvodu dle ustanovení § 250 trestního zákona. Vzhledem k informaci, ţe se stěţovatel jiţ obrátil na OSZ Jihlava, Úřad nepostoupil jeho podnět orgánům činným v trestním řízení. V souladu s ustanovením § 29 odst. 1 písm. c) zákona o ochraně osobních údajů a ustanovení § 42 zákona č. 500/2004 Sb., správního řádu (dále také „správní řád“), mu sdělil, ţe Úřad neshledal důvody k zahájení řízení z moci úřední. Podáním ze dne 22. června 2008 stěţovatel doplnil své původní trestní oznámení ze dne 23. května 2008, v němţ OSZ Jihlava seznámil s dalšími podrobnostmi případu. Ţádal „vytvoření pracovního týmu zejména z oblasti informačních technologií,” který by měl odhalit pachatele pomocí IP adresy. Uvedl e-mailovou adresu
[email protected] , z níţ měly být odeslány oba inzeráty, a také adresu
[email protected], z níţ měl být údajně odeslán anonym vztahující se k osobě stěţovatele. Poznamenal, ţe v odpovědi okresního státního zástupce postrádal sdělení o tom, jestli inzertní společnosti neporušily platné právní předpisy, neboť zveřejnily inzeráty bez ověření totoţnosti podatele. Poţádal OSZ Jihlava o přehodnocení původního právního závěru a vyzval ho, aby se případem znovu zabývalo. Dne 25. června 2008 podal stěţovatel OO PČR vysvětlení ve smyslu ustanovení § 12 zákona č. 283/1991 Sb., o Policii ČR, ve znění pozdějších předpisů (dále také „zákon č. 283/1991 Sb.“). Stěţovatel především nesouhlasil s tím, ţe by incident měl být řešen jako přestupek. Uvedl, ţe na OSZ Jihlava podal další podnět týkající se stejné věci. Poznamenal, ţe vzhledem ke své profesi (úředník krajského úřadu) měl s různými osobami problémy. Rovněţ se potýkal s problémy i v obci Z., kde bydlí. Nicméně sdělil, ţe neví, kdo by jeho jménem mohl podat předmětné inzeráty. V závěru poţádal OO PČR o zaslání vyrozumění o provedených opatřeních. Téhoţ dne OO PČR odloţilo přestupek podle ustanovení § 58 odst. 3 písm. b) zákona o přestupcích, poněvadţ se nepodařilo zjistit osobu pachatele. Vzhledem ke skutečnosti, ţe stěţovatel podal dne 22. června 2008 další podnět k projednání věci, rozhodlo se OO PČR vyčkat zaslání stanoviska OSZ Jihlava. O odloţení věci vyrozumělo stěţovatele ve smyslu ustanovení § 58 odst. 4 zákona o přestupcích. Okresní státní zástupce JUDr. Jiří Morava v odpovědi ze dne 25. června 2008 reagoval totoţně jako ve vyrozumění ze dne 28. května 2008 (sp. zn. 1 ZN 90/20088), odkázal stěţovatele na probíhající řízení o přestupku u OO PČR (sp. zn. ORJI3567/PŘ-2008-11) a oznámil mu postoupení stěţovatelova doplňujícího podání. OO PČR bylo stanovisko OSZ Jihlava doručeno dne 27. června 2008. OO PČR šetřilo i nadále předmětnou záleţitost jako přestupek. Dne 27. srpna 2008 vrchní asistent pprap. Jan Diviš zjistil na internetu, ţe na oba inzertní portály šlo zadat inzerát z kteréhokoliv počítače na kteroukoliv věc. Bylo potřeba zadat osobní kontakt - telefonní číslo, e-mail apod. Nikdo neověřoval, jestli jsou zadané údaje pravdivé. V tentýţ den pprap. Jan Diviš také telefonicky hovořil se zaměstnankyní společnosti ANNONCE, k. s., paní Bednárovou, která mu sdělila, ţe podání kteréhokoliv inzerátu je „nedohledatelné“ a ţe lze jako kontakt uvést
4
nepravdivé údaje. Pracovnice AVÍZO, a. s., která se odmítla představit, uvedla, ţe tato situace byla obdobná. Šlo pouze zjistit IP adresu počítače, ze kterého byl inzerát podán. K ţádostem OO PČR Jihlava ze dne 17. září 2008 (čj. ORJI-3567-12/PŘ2008) společnosti AVÍZO, a. s., a ANNONCE, k. s., sdělily IP adresu, z níţ byly inzeráty podány. IP adresa byla ve všech případech podání stejná. Policejní orgán na internetovém portálu www.scriptserver.mainframe8.com/whois.php zjistil, ţe zřizovatelem této IP adresy je společnost M-SOFT, spol. s r. o., se sídlem Jana Masaryka, Jihlava. Dne 30. září 2008 jednatel společnosti Ing. Bohuslav Maška (nar. 2. září 1961, bytem Vančurova 1, Jihlava) uvedl, ţe hledaná IP adresa je společná pro celou obec S.6 Přesný počet počítačů se dle jeho tvrzení v uvedené obci zjistit nedá. Jednotlivé počítače v uvedené obci nemají své IP adresy, protoţe ta je pro všechny počítače stejná. Proto nelze zjistit, z kterého konkrétního počítače byly inzeráty podány. Na základě tohoto sdělení byl stěţovatel přípisem ze dne 30. září 2008 (čj. ORJI-3567-15/PŘ-2008-11) vyrozuměn, ţe v souladu s ustanovením § 58 odst. 3 písm. b) zákona o přestupcích bylo jeho oznámení odloţeno. Dne 4. února 2009 zahájil veřejný ochránce práv v dané věci šetření podle ustanovení § 9 písm. a) a ustanovení § 14 zákona o veřejném ochránci práv. Prostřednictvím pověřeného zaměstnance Kanceláře veřejného ochránce práv poţádal podle ustanovení § 15 odst. 2 zákona o veřejném ochránci práv o vyjádření a zaslání písemných materiálů JUDr. Alenu Kučerovou, náměstkyni předsedy Úřadu, a Bc. Jaromíra Němce, vedoucího OO PČR. Na výzvu ochránce zareagoval vedoucí OO PČR npor. Petr Krčál, DiS. Dne 25. února 2009 zaslal v přípisu (čj. KRPJ-8700-1/ČJ-2009-060711) kompletní kopii přestupkového spisu (čj. ORJI-3567/PŘ-2008-11). Ve smyslu ustanovení § 15 odst. 2 písm. d) zákona o veřejném ochránci práv pověřený zaměstnanec Kanceláře veřejného ochránce práv ve výzvě ze dne 6. března 2009 a s odkazem na ustanovení § 97 odst. 3 o elektronických komunikacích a ustanovení § 66 odst. 1 a 3 zákona č. 273/2008 Sb., o Policii ČR (dále také „zákon č. 273/2008 Sb.“), vyzval OO PČR k provedení následujících důkazů: 1) vyţádání seznamu osob, jimţ společnost M-SOFT, spol. s r. o., poskytuje sluţbu elektronických komunikací v obci S. a 2) vyţádání provozních a lokalizačních údajů v rozsahu, který je nezbytný pro identifikaci přestupce. Dále bylo OO PČR vyzváno, aby tyto důkazy řádně zhodnotilo, informovalo ochránce o svém dalším postupu a aby uvedlo, z jakého důvodu policejní orgán nepostupoval naznačeným způsobem jiţ dříve. Ve svém vyjádření ze dne 30. března 2009 (čj. KRPJ-8700-3/ČJ-2009060711) npor. Petr Krčál, DiS., vedoucí OO PČR, uvedl, ţe se policejní orgán spokojil s tvrzením jednatele společnosti M-SOFT, spol. s r. o., o existenci jediné IP adresy pro celou obec S. a o nemoţnosti identifikace konkrétního počítače, neboť jej bral jako konečné, a nebyl dle jeho názoru důvod volit jiný postup v objasňování 6
Obec Zbilidy sousedí s obcí Šimanov.
5
přestupku. Policejní orgán provedl poţadované doplnění dokazování. Od společnosti M-SOFT, spol. s r. o., zajistil seznam všech uţivatelů předmětné IP adresy ke dni 30. září 2008 (jednalo se o 21 uţivatelů). Společnost dne 24. března 2009 opětovně sdělila, ţe bliţší evidenci konkrétního počítače nebyla z technického hlediska schopna evidovat ani dohledat, takţe nemohla lokalizovat konkrétní počítač dle času a délky připojení. Z důvodů efektivnosti a ekonomie šetření a na základě vyhodnocení důkazů dospělo OO PČR k závěru, ţe je prakticky nemoţné zjistit osobu moţného pachatele přestupku. Pokud jde o postup Úřadu, vyjádřil ochránce jisté pochyby o vhodnosti interpretace pojmu správce a zpracovatele osobních údajů ve světle výše analyzovaného případu. Proto dopisem ze dne 13. února 2009 byla náměstkyně předsedy Úřadu JUDr. Kučerová seznámena s názorem, ţe platná právní úprava je, dle názoru ochránce, dostačující a záleţí pouze na tom, nakolik důsledně správní orgány vykonávají jim svěřené kompetence. Všem subjektům údajů je zaručeno právo kontaktovat správce a ţádat odstranění či likvidaci údajů, které jsou zpracovávány v rozporu se zákonem (viz ustanovení § 21 zákona o ochraně osobních údajů). Dle názoru ochránce se jedná o velice významné oprávnění, které můţe často napomoci vyřešit situace, kdy se někdo dopouští schválností a podává elektronickou formou inzeráty obsahující osobní údaje jiné osoby. Pokud správce nevyhoví poţadavkům subjektů údajů, koná v rozporu se zákonem a vystavuje se správnímu trestání. Ochránce prostřednictvím pověřeného zaměstnance Kanceláře veřejného ochránce práv poţádal JUDr. Alenu Kučerovou, náměstkyni předsedy Úřadu, o písemné stanovisko s komplexním zhodnocením odpovědi Úřadu ze dne 20. června 2008 (sp. zn. VER-3273/08-2/TUS) a o sdělení, zda skutečně nelze na společnosti provozující inzertní webové portály nahlíţet jako na správce (či zpracovatele) osobních údajů. Dne 3. března 2009 obdrţel ochránce odpověď náměstkyně předsedy Úřadu JUDr. Aleny Kučerové (čj. KNDČ-1068/09-4/NON). Uvedla, ţe pro podání inzerátu na stránku www.avizo.cz nebylo nezbytné uvádět ţádné osobní údaje a dle nastavených parametrů postačoval např. kontakt ve formě e-mailové adresy. E-mailová adresa ve značné části případů není osobním údajem, protoţe z ní nelze přímo, či nepřímo odvodit identitu konkrétní fyzické osoby. Výjimku tvoří např. e-mailové adresy přidělované zaměstnavatelem jeho zaměstnancům, které jsou tvořeny ve formátu jméno, příjmení a doména zaměstnavatele. Pro podání inzerátu na uvedeném inzertním serveru však tento formát vyţadován není. Jeho provozovatel (společnost AVÍZO, a. s.) tedy osobní údaje od inzerentů nevyţaduje, systematicky neshromaţďuje, a ani je jinak nezpracovává. Na webové stránce www.annonce.cz, jejímţ provozovatelem je společnost ANNONCE, k. s., je poţadováno uvedení jména a příjmení zadavatele inzerátu, v samotném textu inzerátu se však tyto údaje neobjeví a jako kontakt tam zadavatel můţe uvést např. pouze e-mailovou adresu či spojení prostřednictvím sluţby SKYPE či ICQ. Uvedení osobních údajů v textu inzerátu není provozovatelem vyţadováno, a záleţí tak pouze na úvaze zadavatelů. Dle názoru Úřadu nelze jen z důvodu, ţe zadavatel inzerátu do jeho textu dobrovolně umístí své osobní údaje, na výše uvedené provozovatele inzertních internetových stránek pohlíţet jako na správce ve smyslu zákona o ochraně
6
osobních údajů. Ani jeden z provozovatelů totiţ nestanovil takové podmínky, dle nichţ by zveřejňování osobních údajů bylo povinné. Nelze proto hovořit o tom, ţe určili účel a prostředky zpracování osobních údajů ve smyslu ustanovení § 4 písm. j) zákona o ochraně osobních údajů. O zpracovatele ve smyslu ustanovení § 4 písm. k) téhoţ zákona se pak v tomto případě rovněţ jednat nemůţe. Podle mínění Úřadu nelze odpovědnost provozovatele za obsah textu inzerátu dovodit ani z ustanovení § 3 zákona č. 480/2004 Sb., o některých sluţbách informační společnosti a o změně některých zákonů, ve znění pozdějších předpisů. Stejně tak mají oba provozovatelé ve svých obchodních podmínkách uvedeno, ţe za text inzerátu odpovídá jeho zadavatel. Zároveň se v nich oba provozovatelé zavazují nezveřejnit, resp. odstranit, ty inzeráty, jimiţ je zasahováno do práv třetích osob. Pokud je takový inzerát podán, můţe se dotčená osoba na provozovatele obrátit se ţádostí, aby jej odstranil. Pokud provozovateli doloţí, ţe jsou porušována její osobnostní práva dle ustanovení § 11 a násl. zákona č. 40/1964 Sb., občanského zákoníku, ve znění pozdějších předpisů, pak provozovateli vznikne odpovědnost nezákonný stav napravit. V případě, ţe by provozovatel v konkrétním případě postupoval v rozporu se svými obchodními podmínkami a předmětný inzerát by z webových stránek neodstranil, ani tak by se dle jejího názoru nestal správcem ve smyslu zákona o ochraně osobních údajů z výše uvedených důvodů. Dotčená osoba by se ochrany svých osobnostních práv musela domáhat cestou občanskoprávní ţaloby. JUDr. Alena Kučerová závěrem uvedla, ţe kompetence Úřadu a působnost zákona o ochraně osobních údajů jsou dle jejích slov stanoveny jednoznačně. Úřad je toho názoru, ţe silně extenzivní výklad, který by umoţnil aplikovat tento zákon i na výše popsaný případ, by byl v rozporu s jeho účelem i s účelem příslušné Směrnice Evropského parlamentu a Rady 95/46/ES, ze dne 24. října 1995, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. Přiznala, ţe právní úprava problematiky internetu v ČR můţe být v některých ohledech nedostatečná, ovšem násilná aplikace zákona o ochraně osobních údajů není podle názoru Úřadu vhodným řešením. C - Právní hodnocení případu zástupkyní veřejného ochránce práv Na základě dosud provedeného šetření a po prostudování spisového materiálu jsem dospěla k závěru, ţe další vyuţití tzv. vyšetřovacích oprávnění, kterými disponuji, není v tuto chvíli třeba, a věc hodnotím následujícím způsobem. Zákon o veřejném ochránci práv mi ukládá povinnost působit k ochraně osob před jednáním úřadů a dalších institucí uvedených ve zmíněném zákoně, pokud je v rozporu s právem, neodpovídá principům demokratického právního státu a dobré správy, jakoţ i před jejich nečinností, a tím přispívat k ochraně základních práv a svobod.7 Úřadu pro ochranu osobních údajů jsou svěřeny kompetence ústředního správního úřadu pro oblast ochrany osobních údajů v rozsahu stanoveném zákonem o ochraně osobních údajů a další kompetence stanovené zvláštním právním 7
Viz ustanovení § 1 odst. 1 ve spojení s ustanovením § 2 odst. 4 zákona o veřejném ochránci práv.
7
předpisem, mezinárodními smlouvami, které jsou součástí právního řádu, a přímo pouţitelnými předpisy Evropských společenství. Úřad je ze zákona nezávislý orgán. Ve své činnosti proto postupuje nezávisle a řídí se pouze zákony a jinými právními předpisy. Do činnosti Úřadu lze zasahovat jen na základě zákona. 8 Jedním z úkolů Úřadu je přijímat podněty a stíţnosti na porušení povinností stanovených zákonem při zpracování osobních údajů a informovat o jejich vyřízení. 9 K dalším úkolům patří dozor nad dodrţováním povinností při zpracování osobních údajů podle zákona o elektronických komunikacích.10 Obě zmíněné činnosti jsou výkonem státní správy.11 Působnost ochránce se vztahuje také na Policii ČR, postupuje-li jako správní orgán (nikoliv jako orgán činný v trestním řízení) podle zákona č. 283/1991 Sb., resp. zákona č. 273/2008 Sb., zákona o elektronických komunikacích a zákona o přestupcích. V předkládané zprávě se zaměřím na posouzení toho, zda oba správní orgány v předmětné věci postupovaly správně (tedy nejen v souladu s právem, ale i v souladu s obecnými poţadavky kladenými na řádný výkon veřejné správy) a vyuţily náleţitě svých pravomocí k prošetření vzniklého incidentu anebo jestli mohly postupovat jinak, pro stěţovatele příznivějším způsobem. Část C zprávy jsem proto rozdělila do následujících pět kapitol. Učinila jsem tak zejména proto, abych stěţovateli, OO PČR a Úřadu předestřela svůj pohled na danou věc srozumitelným a přehledným způsobem. C.1 - Narušení občanského soužití schválností V prvé řadě je třeba přisvědčit názoru OSZ Jihlava, ţe předmětný incident naplňuje definiční znaky přestupku podle ustanovení § 49 odst. 1 písm. c) zákona o přestupcích, podle něhoţ se přestupku proti občanskému souţití dopustí mimo jiné i ten, kdo úmyslně naruší občanské souţití schválnostmi. Schválností (činit něco „naschvál“) je třeba rozumět skutky spočívající v hrubých, zřejmých a neoprávněných zásazích do pokojného ţivota jiného v úmyslu tento stav narušit. Schválnost musí mít charakter hrubého jednání narušujícího občanské souţití. 12 Jednání neznámého pachatele mělo v tomto případě charakter „kanadského ţertíku“. Škodlivý následek spočíval v narušení pokojného ţivota stěţovatele, který byl několikrát obtěţován e-maily, dopisy a návštěvami osob, jeţ se na základě inzerátů zajímaly o koupi nabízeného stěţovatelova majetku. Narušení mělo krátkodobý charakter, jelikoţ obě společnosti po upozornění inzeráty z internetových stránek odstranily. Nutno podotknout, ţe údaje, s nimiţ pachatel pracoval, 8
Ustanovení § 2 odst. 1 ve spojení s ustanovením § 28 odst. 1 a 2 zákona o ochraně osobních údajů. Ustanovení § 29 odst. 1 písm. c) zákona o ochraně osobních údajů. 10 Ustanovení § 87 odst. 3 zákona o elektronických komunikacích. 11 V této souvislosti lze odkázat na obecné ustanovení § 42 zákona č. 500/2004 Sb., správního řádu: „Správní orgán je povinen přijímat podněty, aby bylo zahájeno řízení z moci úřední. Pokud o to ten, kdo podal podnět, poţádá, je správní orgán povinen sdělit mu ve lhůtě 30 dnů ode dne, kdy podnět obdrţel, ţe řízení zahájil, nebo ţe neshledal důvody k zahájení řízení z moci úřední, popřípadě ţe podnět postoupil příslušnému správnímu orgánu. Sdělení správní orgán nezasílá, postupuje-li vůči tomu, kdo podal podnět, podle ustanovení § 46 odst. 1 nebo ustanovení § 47 odst. 1.“ 12 Červený, Z., Šlauf, V. Přestupkové právo. 14. vyd. Praha: Linde, 2007, s. 116. 9
8
nebyly získány protiprávním způsobem (např. vniknutím do neveřejné evidence či porušením povinnosti mlčenlivosti). Údaje o vlastnících nemovitostí jsou dostupné v katastru nemovitostí a údaje o automobilu mohl přestupce získat na základě znalosti lokálních reálií.13 Takové jednání nebylo moţné s odkazem na zásadu „nullum crimen sine lege“ stíhat v rovině trestního práva.14 Tímto samozřejmě nechci říci, ţe by jednání mělo zůstat nepotrestáno. Vyuţitím osobních údajů za účelem prodeje majetku, k němuţ došlo bez souhlasu stěţovatele, bylo nepochybně narušeno občanské souţití. Jednání tudíţ mělo být náleţitě posouzeno v přestupkovém řízení jako schválnost. C.2 - Identifikace osoby podezřelé ze spáchání přestupku K zahájení přestupkového řízení je však vţdy nutné znát osobu podezřelou ze spáchání přestupku. Z povahy věci nelze vést řízení s obviněným, jehoţ identita nebyla plně odhalena. Za klíčovou tak povaţuji roli policejního orgánu, který měl za úkol přispět k identifikaci osoby podezřelé ze spáchání přestupku. Policejní orgán má v rámci přestupkového řízení aktivní a operativní úlohu, zejména pokud jde o opatřování důkazních prostředků v dikci ustanovení § 58 odst. 1 zákona o přestupcích.15 Náplň této činnosti blíţe specifikuje závazný pokyn policejního prezidenta ze dne 22. června 2006, kterým se upravuje postup orgánů Policie České republiky v souvislosti s řízením o přestupcích (dále také „závazný pokyn“). Podle čl. 1 odst. 2 závazného pokynu policisté postupují tak, aby jednotlivé přestupky byly náleţitě objasněny a jejich pachatelé zjištěni. Za tímto účelem zjišťují skutkový stav věci a současné příčiny a podmínky, které páchaní přestupků umoţňují. Dle čl. 9 odst. 1 závazného pokynu policisté při šetření přestupků, které oznamují k projednání příslušným správním orgánům, učiní pouze nezbytné úkony, které mají převáţně neodkladný nebo neopakovatelný charakter, a jejichţ pozdější provedení správním orgánem by nebylo jiţ moţné. Rozsah úkonů prováděných policistou je třeba povaţovat za zcela dostačující, lze-li z úkonů dovodit i jen důvodné podezření, ţe v případě daného skutku jde o přestupek a ţe byl spáchán určitou osobou. V oblasti elektronické komunikace je klíčovým údajem, který můţe vést k identifikaci pachatele deliktního jednání na internetu IP (internet protocol) adresa. Je třeba si uvědomit, ţe při současném stavu vývoje informační společnosti fyzické osoby nevystupují ve světě elektronických médií pod „občanskou identitou“, nýbrţ pod jinými typy identifikátorů. Tím můţe být právě IP adresa,16 pokud podle ní 13
Není vyloučeno, ţe v jiných případech by si mohl pachatel údaje (mimo kontaktních údajů) zcela vymyslet. Ustanovení § 178 zákona č. 140/1961 Sb., trestního zákona, ve znění účinném do 31. prosince 2009, definovalo skutkovou podstatu trestného činu neoprávněného nakládání s osobními údaji v úzké souvislosti s výkonem veřejné správy („Kdo, byť i z nedbalosti, neoprávněně sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje o jiném shromážděné v průběhu trestního řízení nebo v souvislosti s výkonem veřejné správy…“), případně s výkonem povolání („Stejně bude potrestán, kdo, byť i z nedbalosti, poruší právním předpisem stanovenou povinnost mlčenlivosti tím, že sdělí nebo zpřístupní osobní údaje o jiném získané v souvislosti s výkonem svého povolání, zaměstnání nebo funkce“). Podobně je konstruována i skutková podstata v novém trestním zákoníku. Viz ustanovení § 180 zákona č. 40/2009 Sb. 15 „ Státní orgány, orgány Policie České republiky (dále jen „orgány policie“) a obce oznamují příslušným správním orgánům přestupky, o nichţ se dozví, nejsou-li samy příslušny k jejich projednávání. V oznámení uvedou zejména, který přestupek je ve skutku spatřován, důkazní prostředky, které jsou jim známy a které prokazují, ţe jde o přestupek a ţe byl spáchán určitou osobou.“ 16 Ve smyslu ustanovení § 2 odst. 4 písm. a) vyhlášky č. 485/2005 Sb., se jedná o tzv. zájmový identifikátor. 14
9
lze určit konkrétní osobu.17 Existuje zde určitá analogie s telefonním číslem.18 V zásadě tak lze k uchovávání a předávání IP adres přistupovat jako ke zpracování osobních údajů, dokud se neprokáţe opak (tzn., ţe údaj nevede k určité nebo určitelné osobě). Poskytnutí provozních a lokalizačních údajů policejnímu orgánu je pak třeba chápat jako zpracování osobních údajů ve smyslu ustanovení § 5 odst. 2 písm. a) zákona o ochraně osobních údajů. K předání údajů policii tak není nutný souhlas osoby, jíţ se tyto údaje týkají. Ke zjištění IP adresy pak Policie ČR musí obvykle vyuţít některá ze svých vyšetřovacích oprávnění. V době, kdy došlo ke spáchání skutku (podání inzerátů), byl účinný zákon č. 283/1991 Sb., který v ustanovení § 2 odst. 1 písm. d) ukládal Policii ČR odhalování přestupků. Podle ustanovení § 12 odst. 1 byl policista oprávněn poţadovat potřebná vysvětlení od osoby, která mohla přispět k objasnění skutečností důleţitých pro odhalení přestupku a jeho pachatele. Ustanovení § 24 odst. 1 písm. c) zákona č. 283/1991 Sb. dávalo policistovi v souvislosti s řízením o přestupcích právo vyţadovat také jiná odborná vyjádření. Policie ČR byla rovněţ oprávněna zpracovávat informace včetně osobních údajů, shromáţděné při plnění úkolů policie, a to v rozsahu nezbytně nutném pro plnění těchto úkolů.19 Policejní útvary byly dle ustanovení § 47 odst. 1 zákona č. 283/1991 Sb. oprávněny při plnění úkolů poţadovat od státních orgánů, orgánů obcí, právnických a fyzických osob pomoc při plnění svých úkolů, zejména potřebné podklady a informace. Orgány a osoby uvedené byly povinny poţadovanou pomoc poskytnout, pokud jim v tom nebránilo plnění nebo dodrţování povinností podle jiných obecně závazných právních předpisů. Dle ustanovení § 47a odst. 1 zákona č. 283/1991 Sb. byla Policie ČR v rozsahu potřebném pro plnění konkrétního úkolu oprávněna ţádat z evidence provozované na základě zvláštního právního předpisu poskytnutí informací od příslušného správce evidence nebo zpracovatele, a to na náklady správce evidence nebo zpracovatele. Správce evidence nebo zpracovatel byl povinen ţádosti bez zbytečného odkladu vyhovět, nestanoví-li zvláštní právní předpis pro výdej informací policii jiný reţim. Policejní orgán byl rovněţ při plnění svých úkolů oprávněn ţádat z databáze účastníků veřejné telefonní sluţby, evidence občanských průkazů a cestovních dokladů, diplomatických a sluţebních pasů a registru řidičů poskytnutí informací od příslušného správce evidence nebo zpracovatele způsobem umoţňujícím dálkový a nepřetrţitý přístup. Zákon explicitně stanovil, ţe policie byla oprávněna ţádat poskytnutí informací pouze v míře nezbytně nutné a za účelem provedení sluţebního úkolu, a to způsobem, který umoţňoval uchovávání identifikačních údajů o útvaru policie nebo o policistovi, který o výdej informací ţádal, a o účelu, k němuţ byl výdej informací ţádán, nejméně po dobu 5 let. O skutečnostech podle věty prvé byl správce evidence nebo zpracovatel povinen zachovávat mlčenlivost. Jak vyplývá z výše řečeného, OO PČR poţádalo obě inzertní společnosti 17
Srov. ustanovení § 4 písm. a) zákona o ochraně osobních údajů: „Osobním údajem se rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se povaţuje za určený nebo určitelný, jestliţe lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu.“ 18 Ustanovení § 41 odst. 5 zákona o elektronických komunikacích. Viz rozsudek NSS ze dne 12. února 2009, čj. 9As 34/2008-72 (str. 5). Dostupné na www.uoou.cz v sekci Judikatura. 19 Viz ustanovení § 42d zákona č. 283/1991 Sb.
10
o poskytnutí údaje o IP adrese, z níţ byly inzeráty podány. OO PČR tak vyuţilo svých pravomocí, které mu zákon svěřuje pro účely odhalování přestupků, a nebylo nečinné, jak se v podnětu domníval stěţovatel. I přesto se domnívám, ţe se OO PČR dopustilo prohřešku proti principům dobré správy (zákonnost, přesvědčivost), poněvadţ společnostem AVÍZO CZ, a. s., ANNONCE, k. s., v přípisech čj. ORJI3567-12/PŘ-2007 neuvedlo, na základě kterého konkrétního ustanovení zákona vyţadovalo sdělení IP adresy. Pouhý odkaz na prošetřování přestupku podle ustanovení § 49 odst. 1 písm. c) zákona o přestupcích hodnotím jako nedostačující. Veřejný ochránce práv se vţdy zasazoval o to, aby státní správa pojmenovávala své poţadavky jednoznačně a srozumitelně a řádně je odůvodňovala s odkazem na prameny právní úpravy. Tuto zásadu se tudíţ nepodařilo v daném případě naplnit. Pokud jde o další postup OO PČR [1) zjištění, kdo je zřizovatelem IP adresy, a 2) získání dalších provozních a lokalizačních údajů od poskytovatele veřejně dostupné sluţby elektronických komunikací, které by vedly k osobě podezřelé ze spáchání přestupku - tzv. uţivateli sluţby], musím konstatovat, ţe ze zákona č. 283/1991 Sb. ani zákona o přestupcích explicitně nevyplývalo, ţe by policejní orgán mohl získat tzv. provozní a lokalizační údaje20 od právnické nebo fyzické osoby poskytující veřejně dostupnou sluţbu elektronických komunikací. S ohledem na toto zjištění jsem se musela nejprve vyrovnat s tím, jestli bylo OO PČR vůbec oprávněno ţádat od společnosti M-SOFT, spol. s r. o., dané údaje pro účely přestupkového řízení (viz čl. 2 odst. 2 Listiny základních práv a svobod, 21 ustanovení § 2 odst. 2 správního řádu). C.3 - Poskytnutí provozních a lokalizačních údajů Policii ČR Předání provozních a lokalizačních údajů umoţňovalo (a dosud stále umoţňuje) ustanovení § 97 odst. 3 zákona o elektronických komunikacích. V této chvíli je nutno říci, ţe v okamţiku, kdy byl spáchán šetřený přestupek, byly právnické nebo fyzické osoby poskytující veřejně dostupnou sluţbu elektronických komunikací (v daném případě šlo i o společnost M-SOFT, spol. s r. o.)22 povinny uchovávat provozní a lokalizační údaje v délce nepřesahující 12 měsíců. Dolní hranice doby uchování nebyla v té době stanovena.23 Za nesplnění povinnosti bylo moţnost uloţit pokutu ve správním řízení.24 Rozsah uchovávaných provozních a lokalizačních údajů a postup při poskytování těchto údajů blíţe vymezovala (a dodnes vymezuje) vyhláška č. 485/2005 Sb., o rozsahu provozních a lokalizačních údajů, době jejich uchování a formě a způsobu jejich předávání orgánům oprávněným k jejich vyuţívání. 20
Provozními údaji se rozumí jakékoli údaje zpracovávané pro potřeby přenosu zprávy sítí elektronických komunikací nebo pro její účtování. Lokalizačními údaji se rozumí jakékoli údaje zpracovávané v síti elektronických komunikací, které určují zeměpisnou polohu koncového zařízení uţivatele veřejně dostupné sluţby elektronických komunikací. Stručně řečeno, jedná se o údaje o veškeré telefonní a faxové komunikaci (např. číslo volajícího a volaného, čas a délka komunikace), e-mailové a SMS komunikaci, o návštěvách webových stránek a vyuţívání některých internetových sluţeb. Blíţe viz ustanovení § 90 - § 91 zákona o elektronických komunikacích. 21 Usnesení předsednictva ČNR č. 2/1993 Sb., o vyhlášení Listiny základních práv a svobod jako součásti ústavního pořádku České republiky. 22 Dle údajů zveřejněných na stránkách ČTÚ je společnost M-SOFT, spol. s r. o., právnickou osobou poskytující veřejně dostupnou sluţbu elektronických komunikací - konkrétně sluţbu přístupu k síti internet a sluţbu přenosu dat. Více viz www.ctu.cz (sekce Vyhledávací databáze/Evidence podnikatelů v elektronických komunikacích podle všeobecného oprávnění). 23 Dolní hranice 6 měsíců byla do zákona inkorporována aţ s účinností zákona č. 247/2008 Sb. (tj. 1. září 2008). 24 Viz ustanovení § 118 odst. 1 písm. k) a odst. 11 zákona o elektronických komunikacích.
11
Ustanovení § 97 odst. 3 zákona o elektronických komunikacích umoţňovalo, aby uvedené osoby poskytovaly citovaná data orgánům oprávněným k jejich vyţádání podle zvláštního právního předpisu. Zákon tedy přímo nestanovil (a to ani příkladmo v odkazu pod čarou), na základě jakých konkrétních předpisů lze údaje poskytnout. V odborné literatuře25 jsou zmiňována ustanovení § 88a zákona č. 141/1961 Sb., trestního řádu (dále také „trestní řád“), ustanovení § 6 aţ § 8 zákona č. 154/1994 Sb., o Bezpečnostní informační sluţbě, ve znění pozdějších předpisů, či ustanovení § 9 a § 10 zákona č. 289/2005 Sb., o Vojenském zpravodajství, ve znění pozdějších předpisů. Z nich vyplývá konkrétní zákonné zmocnění k získání uvedených údajů, které ve výsledku představuje přípustnou ingerenci do důvěrnosti elektronických komunikací (čl. 13 Listiny základních práv a svobod). Míře zásahu do tohoto základního práva odpovídá i procesní garance. Např. podle ustanovení § 88a trestního řádu musí být poskytnutí údajů o telekomunikačním provozu orgánům činným v trestním řízení nařízeno předsedou senátu (v přípravném řízení soudcem). Příkaz musí být vydán písemně a odůvodněn. Příkazu není třeba, pokud k poskytnutí údajů dá souhlas uţivatel telekomunikačního zařízení. Zároveň je třeba respektovat zásadu účelnosti a efektivnosti („Je-li k objasnění skutečností důležitých pro trestní řízení…“). Zákon č. 283/1991 Sb. ani zákon o přestupcích ale policejní orgán k postupu podle ustanovení § 97 odst. 3 zákona o elektronických komunikacích neopravňovaly. Tehdejší platné předpisy ani neobsahovaly podobné procesní garance, jaké stanoví trestní řád. K tomu, aby nebyly překročeny meze nezbytnosti zásahu do základních práv, by měl existovat systém adekvátních a dostatečných záruk skládající se z odpovídajících právních předpisů a účinné kontroly jejich dodrţování. Proto případná aplikace ustanovení § 12 odst. 1, resp. ustanovení § 47 odst. 1 zákona č. 283/1991 Sb. (obecná součinnost osob při poskytování informací), by značně sníţila ochranu důvěrnosti elektronické komunikace garantovanou ústavním pořádkem. Bylo by navíc i v rozporu s principy demokratického právního státu, aby prošetřování protiprávního jednání s menší společenskou nebezpečností, jimiţ přestupky obecně jsou, sniţovalo standard ochrany uplatňující se u vyšetřování závaţnějších činů.26 Rozumnému hodnotovému uspořádání právního řádu by odpovídalo, aby se na prolamování principu důvěrnosti elektronických komunikací za účelem vyšetřování přestupků vztahovala ještě přísnější pravidla neţ u trestných činů, nikoliv naopak. Tomuto závěru svědčí i logický argument a maiori ad minus (od většího k menšímu).27 Pokud by tomu tak nebylo, hrozilo by nebezpečí, ţe se výkon státní moci stane nástrojem libovůle jejich dočasných drţitelů 25
Viz Herczeg, Jiří. Ústavněprávní limity monitoringu telekomunikačního provozu: konflikt mezi bezpečností a svobodou. Bulletin advokacie, č. 5, 2010, str. 22 a násl. Zdroj: ASPI. 26 Nutno říci, ţe právní regulace průniků orgánů státní moci do elektronické komunikace soukromých osob byla od počátku vedena snahou postihovat závaţné trestné činy, které jsou páchány na internetu nebo prostřednictvím internetu (např. nezákonný přístup k počítačové síti, nezákonné odposlouchávání, zasahování do údajů, zasahování do systému, zneuţití zařízení, podvod a padělání související s počítači, trestné činy související s dětskou pornografií, porušení autorských a příbuzných práv, šíření projevů nesnášenlivosti, xenofobie a rasismu). 27 „Když podle zákona nemá být určitý právní následek vyvolán ani závaznějšími skutkovými stavy, pak tím méně nemá být vyvolán méně závažnými.“ Viz Melzer, Filip. Metodologie nalézání práva. Úvod do právní argumentace. Praha: C. H. Beck, 2009, str. 169.
12
proti jednotlivci. Vzhledem ke skutečnosti, ţe policejní orgán nebyl v době prošetřování přestupku zákonem zmocněn k získání provozních a lokalizačních údajů, nemohu OO PČR vytýkat, ţe nepřispěl k odhalení identity osoby, která by byla podezřelá ze spáchání přestupku. Zároveň je ale pochybením ve smyslu ustanovení § 1 odst. 1 zákona o veřejném ochránci práv, ţe tyto informace OO PČR od společnosti M-SOFT, spol. s r. o., vůbec vyţadovalo. Zákon to v inkriminované době (30. září 2008) neumoţňoval. Podotýkám, ţe pokud by policejnímu orgánu takové oprávnění přece jen svědčilo, nebylo zaručeno, ţe pachatel bude odhalen. Aţ do 30. srpna 2008 právnické nebo fyzické osoby poskytující veřejně dostupnou sluţbu elektronických komunikací měly povinnost uchovávat provozní a lokalizační údaje v délce nepřesahující 12 měsíců. Jestliţe osoba uchovala tyto údaje byť jen jeden den, dostála povinnosti stanovené tehdy účinným zákonem. Povinnost uchovávat uvedené údaje minimálně po dobu 6 měsíců vznikla aţ k 1. září 2008 v souvislosti s definitivní transpozicí směrnice Evropského parlamentu a Rady 2006/24/ES, ze dne 15. března 2006, o uchovávání údajů vytvářených nebo zpracovávaných v souvislosti s poskytováním veřejně dostupných sluţeb elektronických komunikací nebo veřejných komunikačních sítí a o změně směrnice 2002/58/ES (známé jako „data retention směrnice“). Proto údaje z května 2008 nemusela mít společnost M-SOFT, spol. s r. o., uloţeny v databázi. Dalším faktorem znesnadňujícím odhalení pachatele je skutečnost, ţe získáním provozních a lokalizačních údajů je zjištěn pouze počítač, nikoliv konkrétní osoba - zde pachatel. K odhalení identity pachatele je v řadě případů ţádoucí provést další dokazování. To můţe působit potíţe např. v případě míst, kde jeden počítač uţívá více osob bez osobního profilu (např. internetové kavárny). V neposlední řadě je potřeba zmínit i dynamicky se rozvíjející technickou realitu, za níţ právní úprava často zaostává. Chce-li někdo vyvíjet sofistikovanou protiprávní činnost na internetu, můţe pouţívat nejrůznější technické vymoţenosti (např. anonymizéry, dynamické přidělování IP adres lokálním DHCP serverem), které skryjí jeho identitu před pověřenými státními orgány. Proto samotné získání provozních a lokalizačních údajů je mnohdy pouze dílčím krokem k odhalení protiprávního jednání. C.4 - Změny v novém zákoně o Policii ČR Pokud jde o stav po 1. lednu 2009, musím konstatovat, ţe zákonodárce zareagoval na vývoj moderních informačních technologií a zákon č. 273/2008 Sb. přinesl změnu do náplně práce policejního sboru. V kaţdodenní policejní praxi totiţ existovala potřeba získat provozní a lokalizační údaje za určitých podmínek i v případech netrestního charakteru. Podle ustanovení § 66 odst. 3 zákona č. 273/2008 Sb. policie můţe v případech stanovených zákonem a v rozsahu potřebném pro plnění konkrétního úkolu ţádat od právnické nebo fyzické osoby zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou sluţbu elektronických komunikací poskytnutí provozních a lokalizačních údajů způsobem umoţňujícím dálkový a nepřetrţitý přístup, nestanoví-li jiný právní předpis jinak.
13
Tyto osoby jsou povinny ţádosti vyhovět bez zbytečného odkladu ve formě a v rozsahu stanoveném jiným právním předpisem. Výše citované ustanovení ale nepředstavuje vlastní zákonné zmocnění k obdrţení těchto údajů, ale pouze popisuje technický způsob zajištění předání (přenosu) těchto informací policii a stanoví ho jako způsob dálkový 28 a nepřetrţitý.29 Samotné zákonné zmocnění nalezneme např. v ustanovení § 68 odst. 2 a § 71 písm. a) zákona č. 273/2008 Sb.30 nebo opět v ustanovení § 88a trestního řádu. V návaznosti na změnu právní úpravy jsem se zabývala tím, jestli by Policie ČR byla oprávněna získat provozní a lokalizační údaje v současnosti, a to za předpokladu, ţe by se udál skutkově podobný čin (přestupek proti občanskému souţití spočívající ve schválnosti). Ustanovení § 71 písm. a) zákona č. 273/2008 Sb. by nebylo z povahy věci aplikovatelné (nejednalo by se o boj s terorismem). Zbývá tedy posoudit vhodnost aplikace ustanovení § 68 odst. 2 zákona č. 273/2008 Sb., podle kterého můţe policie ţádat pro účely zahájeného pátrání po konkrétní hledané nebo pohřešované osobě a za účelem zjištění totoţnosti osoby neznámé totoţnosti nebo totoţnosti nalezené mrtvoly poskytnutí provozních a lokalizačních údajů od právnické nebo fyzické osoby zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou sluţbu elektronických komunikací způsobem umoţňujícím dálkový a nepřetrţitý přístup. Předávání údajů je striktně podmíněno dvěma zmíněnými účely. Prvním účelem je pátrání po konkrétní hledané nebo pohřešované osobě, druhým účelem je zjištění totoţnosti osoby neznámé totoţnosti nebo totoţnosti nalezené mrtvoly. Právě druhý účel by mohl být pouţit v případech, kdy se protiprávního jednání naplňujícího znaky přestupku dopustila na internetu osoba neznámé totoţnosti. 31 Touto úvahou se řídil i ochránce v době, kdy činil vůči OO PČR výzvu podle ustanovení § 15 odst. 2 písm. d) zákona o veřejném ochránci práv. Ochránce však nemá v současné době konkrétnější poznatky o praktické aplikaci ustanovení § 66 odst. 3 ve spojení s ustanovením § 68 odst. 2 zákona č. 273/2008 Sb. Nemá ani podrobnější informace o tom, jak jsou jednotlivé policejní útvary metodicky vedeny při odhalování protiprávního jednání páchaného na internetu či prostřednictvím internetu. V této věci se tak obrátím na Policejní prezidium Policie ČR. Dotáţu se také, jak jsou v praxi řešeny situace, kdy je IP adresa společná pro více uţivatelů, čímţ se znesnadňuje nalezení konkrétního 28
Dálkovým přístupem se rozumí takový přístup k informacím, který nevyţaduje fyzický přístup k nosiči, na kterém jsou informace umístěny. Uskutečňuje se většinou prostřednictvím internetu a e-mailu, popř. zabezpečenými linkami. 29 Viz Vangeli, Benedikt. Zákon o Policii ČR - Komentář. Praha: C. H. Beck, 2009, str. 285. 30 „Útvar policie, jehoţ úkolem je boj s terorismem, můţe za účelem předcházení a odhalování konkrétních hrozeb v oblasti terorismu v nezbytném rozsahu ţádat od a) právnické nebo fyzické osoby zajišťující veřejnou komunikační síť nebo poskytující veřejně dostupnou sluţbu elektronických komunikací poskytnutí provozních a lokalizačních údajů způsobem umoţňujícím dálkový a nepřetrţitý přístup, nestanoví- li jiný právní předpis jinak; informace se poskytne ve formě a v rozsahu stanoveném jiným právním předpisem, (…).“ 31 Podle Helsinské nadace pro lidská práva je internet velmi zvláštní způsob komunikace. Jedním ze základních principů jeho fungování je anonymita. Vysoká úroveň anonymity podporuje svobodu projevu a vyjadřování různých názorů. Na druhou stranu, internet je mocný nástroj pro hanobení či uráţení lidí a pro porušování jejich práva na soukromí. Oběť je právě díky anonymitě internetu ve zranitelné pozici. Na rozdíl od tradičních médií, není snadné odhalit totoţnost pachatele, neboť ten se můţe ukrýt za přezdívku, nebo dokonce pouţít falešné identity. Srov. rozsudek ESLP ve věci K. U. proti Finsku ze dne 2. prosince 2008 (bod 34). Všechna rozhodnutí ESLP jsou dostupná na www.echr.coe.int.
14
počítače, z něhoţ bylo protiprávní jednání spácháno. Při svém dalším postupu se také obrátím na Úřad pro ochranu osobních údajů, který provádí dozor nad dodrţováním povinností při zpracování osobních údajů podle zákona o elektronických komunikacích. Úřad můţe zodpovědět, je-li poskytnutí údajů Policii ČR pro účely identifikace přestupce dle 68 odst. 2 zákona č. 273/2008 Sb. v souladu se zákonem o elektronických komunikacích a zákonem o ochraně osobních údajů (naplnění podmínek podle ustanovení § 5 odst. 2 zákona o ochraně osobních údajů). Zároveň oba správní orgány poţádám o stanovisko k posouzení otázky, jsou-li stávající záruky ochrany důvěrnosti elektronických komunikací při řešení netrestních věcí na stejné úrovni jako garance zakotvené v ustanovení § 88a trestního řádu. C. 5 - Inzertní společnost jako správce osobních údajů V další části své průběţné zprávy o výsledku šetření se zaměřím na posouzení argumentace Úřadu, z níţ vyplývá, ţe na daný případ není moţno aplikovat zákon o ochraně osobních údajů. Důvodem je skutečnost, ţe inzertní společnosti AVÍZO, a. s., a ANNONCE, k. s.,32 nelze podle názoru Úřadu povaţovat za správce osobních údajů. Předmětná problematika je do jisté míry odrazem toho, jak je samotný zákon o ochraně osobních údajů formulován. Jeho ustanovení jsou velice obecná a mohou pokrývat značně širokou oblast lidských činností (včetně zveřejňování osobních údajů na internetu). Proto z pozice zástupkyně veřejného ochránce práv vítám, ţe se Úřad vyjádřil k předmětné problematice v rámci své osvětové činnosti.33 Z jeho sdělení vyplývá, ţe pro zpracování (tedy zejména zveřejňování) osobních údajů na internetu neplatí a priori ţádná výjimka a Úřad je kompetentní posoudit kaţdý případ a rozhodnout, zda došlo k jednání, které zákon o ochraně osobních údajů reguluje, či nikoli. Vodítky k vyslovení konečného závěru jsou především: 1) působnost zákona vymezená v ustanovení § 3 zákona o ochraně osobních údajů (i s odkazem na Směrnici 95/46/ES34 a související judikaturu Evropského soudního dvora)35 a 2) judikatura Ústavního soudu ČR týkající se principu tzv. ultima ratio trestní represe, a v této souvislosti i existence odpovědného subjektu (správce či zpracovatele). Pokud jde o odpověď Úřadu stěţovateli ze dne 20. června 2008 (sp. zn. VER3273/08-2/TUS) a reakci náměstkyně předsedy Úřadu JUDr. Aleny Kučerové ze dne 2. března 2009 (čj. KNDČ-1068/09-4/NON), konstatuji, ţe v ţádném z dopisů není zpochybněno, ţe by se na zveřejňování osobních údajů na inzertních portálech nevztahovala působnost zákona o ochraně osobních údajů podle ustanovení § 3 odst. 2, 3 a 4 zákona o ochraně osobních údajů. Z běţného fungování internetových stránek, na nichţ jsou zveřejněny inzeráty obsahující různé druhy údajů mnoha osob (včetně údajů osobních), je zřejmé, ţe působnost zákona je v řadě případů dána. 32
Dnes jde o ANNONCE Publishing, s. r. o. Viz Sekce „K problémům z praxe“ č. 4/2010 - Zveřejňování osobních údajů na internetu. Dostupné z www.uoou.cz. 34 Směrnice Evropského parlamentu a Rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů. 35 K tomu blíţe např. Rozsudek ESD ze dne 6. listopadu 2003 ve věci C-101/01 (Lindqvist). Česká verze dostupná z www.curia.europa.eu. 33
15
Vycházím přitom ze skutečnosti, ţe zákon se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky.36 Dále se domnívám, ţe zpracování osobních údajů, které opakovaně provádí inzertní společnosti, nespadá pod pojem zpracování „výlučně pro osobní potřebu“,37 neboť tvoří základ pro výkon podnikatelské činnosti. K dalšímu neméně důleţitému aspektu působnosti zákona, tj. nahodilosti shromáţdění údajů, sděluji, ţe inzertní společnosti se nedostávají k osobním údajům nahodile,38 ale zcela cíleně. Kdyby v inzerátech nebyly uvedeny kontaktní údaje (z nichţ mnohé jsou i údaji osobními - viz případ stěţovatele), bylo by obtíţné zprostředkovat kontakt mezi budoucími stranami smlouvy (výjimkou jsou zvláštní sluţby pro registrované uţivatele). Pokud jde o konkrétní znaky zpracování uváděné v zákoně, je více neţ pravděpodobné, ţe inzertní společnosti provádí s daty určité operace, resp. soustavu operací (přinejmenším jde o ukládání na nosiče informací, zpřístupňování, šíření, uchovávání,39 blokování, případně likvidaci). K těmto operacím dochází jistě opakovaně.40 Proto konstatuji, ţe prvek systematičnosti, jímţ jsem se v šetření blíţe zabývala,41 byl v daném případě dán.42 Jde-li o chápání pojmu „správce osobních údajů“,43 musím s Úřadem polemizovat. Nedomnívám se, ţe by ani jedna ze zmíněných společností neurčila účel a prostředky zpracování osobních údajů. Odhlédnu-li od skutečnosti, ţe zákon „počítá“ i s moţností, ţe správce účel a prostředky zpracování neurčí a ţe s touto nečinností (resp. opomenutím) je spojeno udělení sankce ve správním řízení,44 pak po detailním prostudování podmínek pro podání inzerátů konstatuji, ţe z nich vyplývá jak účel, tak i prostředky zpracování dat. Základním účelem zpracování osobních údajů je soukromá či komerční inzerce, tj. zprostředkování nabídky a poptávky mezi fyzickými a právnickými 45 36
Ustanovení § 3 odst. 2 zákona o ochraně osobních údajů. Do působnosti Směrnice 95/46/ES spadá automatizované zpracování dat - tj. zpracování s pomocí výpočetní techniky. 37 Tento pojem je ostatně interpretačně problematický a jeho pravý smysl je třeba hledat v bodě č. 12 recitálu nebo čl. 3 směrnice Evropského parlamentu a Rady 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů: „(…) je třeba vyloučit zpracování údajů fyzickou osobou při výkonu činností, které mají výlučně osobní povahu, jako je korespondence nebo vedení adresáře. Tato směrnice se nevztahuje na zpracování osobních údajů prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“ 38 Ustanovení § 3 odst. 4 zákona o ochraně osobních údajů: „Tento zákon se nevztahuje na nahodilé shromaţďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.“ 39 Ustanovení § 4 písm. g) zákona o ochraně osobních údajů: „Pro účely tohoto zákona se rozumí uchováváním osobních údajů udrţování údajů v takové podobě, která je umoţňuje dále zpracovávat.“ 40 K tomu Maštalka, Jiří. Osobní údaje, právo a my. 1. vyd. Praha: C. H. Beck, 2008, str. 29: „Samozřejmě není vyloučeno, že soustava operací proběhne pouze jednou, anebo se dokonce uskuteční jen jedna z nich, důležitá je však existence záměru tyto operace za vymezených okolností opakovat anebo v nich pokračovat. Tento záměr lze doložit např. určenými pracovními postupy, vyčleněnou technickou nebo programovou základnou apod.“ 41 Vyuţila jsem přitom i odbornou literaturu k tématu jako Matoušová, M. - Hejlík, L. Osobní údaje a jejich ochrana. 2. vyd. ASPI: Praha, 2008, str. 137 - 145; Maštalka, Jiří. Osobní údaje, právo a my. 1. vyd. Praha: C. H. Beck, 2008, str. 29 - 30. 42 Nutno podotknout, ţe „systematičnost“ není v platných předpisech definována a nevěnuje se jí blíţe ani judikatura. Nezbývá neţ znak systematičnosti posuzovat zejména s ohledem na znění platných předpisů a konkrétní případ. 43 Ustanovení § 4 písm. j) zákona o ochraně osobních údajů: „Pro účely tohoto zákona se rozumí správcem kaţdý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj.“ 44 Ustanovení § 44 odst. 2 písm. a) a odst. 5, resp. ustanovení § 45 odst. 1 písm. a) a odst. 3 zákona o ochraně osobních údajů. 45 Na právnické osoby se ochrana dle zákona o ochraně osobních údajů nevztahuje.
16
osobami, vztahující se k movitým a nemovitým věcem či sluţbám. Prostředkem (médiem) zpracování je internet, a popřípadě tiskoviny. S ohledem na svou působnost nemohu vyloučit, ţe obě společnosti nevedou nějakou interní informační databázi svých klientů. Dále k případu uvádím, ţe je potřeba rozlišovat mezi osobními údaji, které můţe osoba (subjekt údajů) sdělit inzertní společnosti (správci) při podávání inzerátu, a údaji, které se posléze objeví na internetové stránce (a jsou tak zpřístupněny širšímu okruhu osob). Společnost AVÍZO, a. s., nabízí osobám v zásadě dva typy inzerce: 1) inzerci pod značkou a 2) standardní inzerci. První typ sluţby umoţňuje zveřejnit on-line inzerát bez kontaktních údajů na danou osobu. Zájemci o obsah inzerátu budou zasílat odpovědi do schránky, která bude u konkrétního inzerátu automaticky zřízena. Této sluţby mohou vyuţívat pouze registrovaní uţivatelé. Při registraci je uţivatel povinen uvést jméno a příjmení a e-mail. U standardní inzerce je nabízeno vyplnění několika osobních údajů (jméno, bydliště, telefon, e-mail, ICQ, Skype). Zadavatel inzerátu se můţe rozhodnout, jaké údaje provozovateli serveru a širší veřejnosti (tzv. příjemcům) zpřístupní. Údaje se v textu inzerátů sice přímo nezobrazují, ale jsou připojeny hned za textem v rubrice „kontakt“. Jediným povinným údajem je e-mail, na který společnost zasílá informaci o zveřejnění inzerátu. Inzertní společnost AVÍZO, a. s., vyţaduje souhlas s provozními podmínkami, v nichţ je v čl. 6 uvedeno: „Osobní data uživatelů získaná provozovatelem se provozovatel zavazuje neprodávat, nepronajímat ani jinak neposkytovat třetím osobám. Osobní data uživatelů mohou být využita pouze pro interní potřebu provozovatele, a to zejména za účelem zkvalitnění služeb pro uživatele serveru www.AVIZO.cz.“ Dle čl. 5 provozních podmínek si AVÍZO, a. s., vyhrazuje právo nezveřejnit nebo smazat bez náhrady škody inzeráty, jejichţ obsah není v souladu s platnými zákony ČR, odporuje dobrým mravům nebo poškozuje pověst provozovatele, dále také inzeráty, které nejsou v souladu s body 2 a 3 provozních podmínek (např. poškozují práva třetích osob), duplicitní inzeráty, tzn. opakovaně podávané inzeráty stejného znění, a inzeráty, které nebyly aktualizovány déle neţ 12 měsíců. Mám-li se krátce vyjádřit k podmínkám, jeţ jsou aktuálně stanoveny společností ANNONCE Publishing, s. r. o., uvádím, ţe je nutno rozlišovat mezi placenou a bezplatnou inzercí. Pro podání placené inzerce musí být zadavatel registrován. K registraci je nutno uvést údaje o jménu a příjmení, tel. čísle a e-mailové adrese zadavatele. Pod placenou inzerci spadají rubriky jako pronájem (bytů a RD), nabídka práce, sluţby pro bydlení, cestovních sluţby a pohostinství, obchodní a finančních sluţby apod. Pro podávání bezplatných inzerátů v rámci soukromé inzerce46 jsou poţadavky na identifikaci zadavatele niţší. Společnost vyţaduje od zadavatelů 46
Soukromou inzercí se podle obchodních podmínek rozumí jednorázový prodej, koupě nebo výměna věcí movitých i nemovitých z/do osobního vlastnictví.
17
inzerátů alespoň jeden z následujících údajů (telefon, e-mail, Skype, ICQ). Pokud jde o samotný text inzerátu, provozovatel radí, aby zadavatel přímo do textu neuváděl kontaktní informace. V praxi však není vyloučeno, ţe některý ze zadavatelů osobní údaje uvede. Zadavatel musí souhlasit s obchodními podmínkami, které jsou součástí závazné objednávky zadavatele nebo uzavřené smlouvy mezi zadavatelem a provozovatelem. Z nich vyplývá, ţe provozovatel si vyhrazuje právo odmítnout, pozastavit nebo zrušit zveřejnění takové reklamy (tedy i inzerátu), která je mimo jiné protizákonná či je v rozporu s etickými pravidly, dobrými mravy nebo ohroţuje veřejný pořádek. Provozovatel je povinen informovat zadavatele bez zbytečných průtahů o odmítnutí, pozastavení či ukončení zveřejňování reklamního sdělení (inzerátu). Zadavatel plně zodpovídá za případné porušení práv třetích osob, včetně následků z toho plynoucích. Zadavatel je dále povinen uhradit oprávněným osobám a provozovateli náhrady za vzniklé škody v případě porušení práv třetích osob. Tolik tedy k platným podmínkám. Otázkou, kterou se primárně hodlám zabývat, je chápání pojmu osobní údaj. Úřad povaţuje za osobní údaj e-mail pouze ve formě e-mailové adresy přidělené zaměstnavatelem (jméno, příjmení a doména zaměstnavatele). Tento restriktivní přístup však nezastávám. Osobní údaj je jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se povaţuje za určený nebo určitelný, jestliţe lze subjekt údajů přímo, či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Úřad ale v této souvislosti pominul, ţe osobní údaj je i takový údaj, na základě kterého je osoba určitelná. Důleţitá je tedy i pouhá moţnost zjištění identity fyzické osoby. Rozhodující tudíţ je, jestli osoba, která údaj vyuţívá (např. poptávající), můţe vytvořit přímou vazbu mezi údajem a jinou fyzickou osobou (zde prodávajícím). Subjekt můţe být určitelný na základě čísla či kódu. Typicky můţe jít o telefonní číslo, rodné číslo, DNA profil (ve formě alfanumerického kódu) nebo o údaje typu číslo sluţby ICQ či Skype. V realitě 21. století je běţné, ţe fyzické osoby mezi sebou komunikují prostřednictvím moderních informačních technologií. Na jejich základě rozvíjí své osobní a pracovní vztahy a citové vazby. Klíčem k těmto vazbám jsou právě specifické identifikátory, bez jejichţ znalosti nelze s dotyčnou osobou navázat kontakt. Proto se domnívám, ţe ochrana nabízená tradičním identifikátorům (jméno, datum narození, bydliště) by měla být plně aplikovatelná i na jiné údaje spojené s překotně se vyvíjejícím technickým pokrokem (e-mailová adresa v kterékoliv formě, číslo sluţby ICQ či Skype). V této souvislosti bych na podporu své argumentace ráda citovala z rozsudku Nejvyššího správního soudu ze dne 12. února 2009, čj. 9As 34/2008-72 (str. 5): „Plná identita fyzické osoby v současných podmínkách technologicky vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině společnosti snadno dostupná, ve své podstatě neznamená nic jiného než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu ‚osobní údaj‘ nemůže omezit striktně jen na znalost rodného čísla, adresy či pracoviště subjektu údajů. Z tohoto
18
pohledu je za osobní údaj třeba považovat i číslo mobilního telefonu určité osoby, jakkoli může být takové číslo používáno příslušnou osobou jen dočasně, a zároveň nespecifikuje jeho fyzickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Prostřednictvím tohoto čísla je však možno daný subjekt v určitém časovém úseku přímo kontaktovat (…), a tento subjekt je tak dosažitelný a jistým způsobem určitelný, a to i bez případné znalosti jeho jména a dalších údajů, které již vazbu na jeho (…) identitu mají.“ Věc bych tedy uzavřela konstatováním, ţe i e-mailová adresa, která nemá formu jméno, příjmení a doména zaměstnavatele, ale má poslouţit jako komunikační prostředek mezi dvěma či více zájemci o kontakt (uzavření smlouvy, konání schůzky), naplňuje definici osobního údaje. Navíc z čl. 6 provozních podmínek společnosti AVÍZO, a. s., je zřejmé, ţe společnost si je vědoma, ţe shromaţďuje osobní údaje a rámcově informuje o účelu jejich zpracování.47 Dále je třeba uvést, ţe obě inzertní společnosti v předmětném případě uchovávaly IP adresu počítače, z něhoţ byly inzeráty podány. I tento zájmový identifikátor můţe být za určitých okolností osobním údajem (viz část C.2 průběţné zprávy). Dále sděluji, ţe pokud zadavatel inzerátu z vlastního svobodného rozhodnutí uvede více osobních údajů (jméno, bydliště, tel. číslo), a inzertní společnost tato data zpracuje v podobě zveřejnění, stává se inzertní společnost nepochybně jejich správcem. Je v rozporu s platným právem, aby Úřad z pouhé skutečnosti, ţe ani jedna z inzertních společností nestanovila, které osobní údaje jsou u bezplatné soukromé inzerce povinné (většina osobních údajů je dobrovolných), vyvozovala, ţe se tak nejedná o správce údajů. Kritérium „povinného údaje“, o němţ hovoří Úřad, není v ustanovení § 4 písm. j) zákona o ochraně osobních údajů vůbec zmíněno. K základním povinnostem správce osobních údajů patří i povinnost zpracovávat osobní údaje na základě legitimního důvodu (ustanovení § 5 odst. 2 zákona o ochraně osobních údajů). Tím bude nejčastěji informovaný souhlas, jenţ musí správce prokázat po celou dobu zpracování údajů. Spolu s nutností získat souhlas od osoby, které se údaje zveřejněné na internetových stránkách týkají (viz právě šetřený případ), se automaticky zvyšují poţadavky na autentizaci subjektu, který inzerát podává. V současnosti je moţné, aby inzerát podal prakticky kdokoliv pod rouškou anonymity. Pravdivost údajů sdělených provozovateli nikdo kvalifikovaně neověřuje a dohledání pachatele je pak často velice problémové (výše jsem se zmínila o právních a technických překáţkách v případném vyšetřování), coţ je stav značně neuspokojivý. Jsem toho názoru, ţe pokud by Úřad vztáhl zákonné povinnosti správce i na inzertní společnosti, jistě by došlo k radikální změně v procesu podávání inzerátů či jiných sdělení na internetu. Zvýšila by se kontrola vstupu informací a údajů na webové stránky, začala by se ověřovat totoţnost inzerujících, sníţil by se počet schválností a v praxi by se zvýšila ochrana údajů fyzických osob. Tento kvalitativní 47
Do jaké míry jsou naplněny parametry informovaného souhlasu (ustanovení § 5 odst. 4 a § 11 zákona o ochraně osobních údajů), přísluší prověřit Úřadu.
19
posun by do jisté míry znamenal i větší pocit bezpečí a práva v dynamickém prostředí internetu.48 Mám za to, ţe mnou předestřený výklad není v rozporu se zákonem o ochraně osobních údajů a Směrnicí 95/46/ES, ba právě naopak. Při přijímání průběţných závěrů jsem vycházela i z rozhodnutí Evropského soudu pro lidská práva K. U. proti Finsku ze dne 2. prosince 2008 (stíţnost č. 2872/02), v němţ se soud zabýval skutkově velice podobnou otázkou (podání inzerátu poškozujícího práva dítěte). Z odůvodnění rozhodnutí mimo jiné vyplývá, ţe finský zákon o ochraně osobních údajů umoţňuje sankcionovat poskytovatele sluţby za publikování inzerátu na webovém serveru, aniţ by byla ověřena identita jeho autora (bod 14, 19). Vzhledem k tomu, ţe i finský zákon v sobě zrcadlí Směrnici 95/46/ES, není můj výklad zas aţ tak extenzivní, jak se domnívá Úřad. Podobně by bylo moţno postupovat i vůči společnostem, na něţ se vztahuje působnost zákona o ochraně osobních údajů. Pokud by inzertní společnost nepředloţila Úřadu legitimní důvod pro zpracování údajů (souhlas osob a způsob, jímţ byla ověřena jejich totoţnost), bylo by ji moţné pokutovat ve správním řízení. Jinými slovy řečeno, nyní nastává příhodný okamţik pro předefinování mezí ochrany, kterou by měl Úřad v podobných případech poskytovat. Se vzrůstající mírou důleţitosti internetu ve společnosti je ţádoucí, aby jeho zneuţívání postihovaly i normy veřejného práva (v tomto případě správního práva trestního). Jedná se o vyjádření zmíněného principu ultima ratio trestní represe. Uvedené nevylučuje, ţe vedle správněprávní odpovědnosti vznikne i odpovědnost občanskoprávního typu. Nároky z ní plynoucí je třeba vymáhat podle občanského zákoníku,49 a to zcela v souladu s ustanovením § 21 odst. 5 zákona o ochraně osobních údajů. Podotýkám, ţe by jistě nebylo vhodné, aby občanskoprávní odpovědnost nesl pouze správce údajů, zvláště poté, co osobní údaje na ţádost subjektů údajů z internetového serveru odstranil. Na omezení odpovědnosti poskytovatele sluţby informační společnosti pamatuje i ustanovení § 5 zákona č. 480/2004 Sb., o některých sluţbách informační společnosti a o změně některých zákonů (zákon o některých sluţbách informační společnosti). Ustanovení § 5 tohoto zákona stanoví, ţe poskytovatel sluţby50 bude odpovědný, pokud se dozvěděl o protiprávnosti ukládaných informací a neučinil potřebné kroky k jejich odstranění, anebo pokud mohl vzhledem k předmětu své činnosti a okolnostem a povaze případu vědět, ţe obsah ukládaných informací nebo jednání uţivatele jsou protiprávní. 51 Tím je dán základní reţim odpovědnosti mezi zadavatelem inzerátu a provozovatelem inzerátu. 48
Podobné názory lze nalézt i na internetových stránkách, které se zabývají právní regulací internetu. Blíţe viz http://www.lupa.cz/clanky/odpovednost-provozovatelu-portalu-zadiskuser/?utm_source=Lupa&utm_medium=textlink&utm_campaign=homepage (otevřeno dne 30. června 2010). 49 Zákon č. 40/1964 Sb., občanský zákoník, ve znění pozdějších předpisů. 50 Většinou se jedná se o ISP typu storage nebo hosting. Viz Polčák, Radim. Právo na internetu (spam a odpovědnost ISP). Praha: Computer press, 2007. s. 94. 51 Ustanovení § 5 zákona č. 480/2004 Sb., o některých sluţbách informační společnosti: „Odpovědnost poskytovatele sluţby za ukládání obsahu informací poskytovaných uţivatelem: (1) Poskytovatel sluţby, jeţ spočívá v ukládání informací poskytnutých uţivatelem, odpovídá za obsah informací uloţených na ţádost uţivatele, jen a) mohl-li vzhledem k předmětu své činnosti a okolnostem a povaze případu vědět, ţe obsah ukládaných informací nebo jednání uţivatele jsou protiprávní, nebo b) dozvěděl-li se prokazatelně o protiprávní povaze obsahu ukládaných informací nebo o protiprávním jednání uţivatele a neprodleně neučinil veškeré kroky, které lze po něm poţadovat, k odstranění nebo znepřístupnění takovýchto informací.
20
D - Závěr Vzhledem k výše uvedeným informacím jsem dospěla k následujícím závěrům. I. V postupu OO PČR shledávám pochybení ve smyslu ustanovení § 1 odst. 1 zákona o veřejném ochránci práv, poněvadţ OO PČR vyţadovalo od společnosti M-SOFT, spol. s r. o., identifikaci subjektu uţívajícího IP adresu 213.226.232.94. Ke dni 30. září 2008 však nebylo oprávněno takový údaj získat. Dále v jeho činnosti spatřuji porušení principů dobré správy (zákonnost, přesvědčivost), poněvadţ společnostem AVÍZO CZ, a. s., ANNONCE, k. s., v přípisech čj. ORJI-3567-12/PŘ-2008 nesdělilo, na základě kterého konkrétního ustanovení zákona vyţadovalo sdělení IP adresy. II. Úřad se rovněţ dopustil pochybení ve smyslu ustanovení § 1 odst. 1 zákona o veřejném ochránci práv, neboť stěţovatele špatně informoval o tom, ţe inzertní společnosti nelze povaţovat za správce osobních údajů ve smyslu ustanovení § 4 písm. j) zákona o ochraně osobních údajů. Tato informace však není v souladu s platným zákonem. V daném případě nemohu Úřadu přičítat nečinnost, jelikoţ nebylo nutné iniciovat ţádný z dozorových mechanismů (státní kontrolu či správní řízení). Obě inzertní společnosti totiţ vyhověly ţádosti stěţovatele a inzeráty z internetových stránek odstranily (fakticky aplikovaly postup předvídaný v ustanovení § 21 zákona o ochraně osobních údajů). Cílem mého šetření je přesvědčit zástupce Úřadu, ţe je v rozporu s právem, pokud Úřad vyřizuje skutkové obdobné stíţnosti s odůvodněním, ţe působnost zákona (a tím ani Úřadu) není dána. Zpracování osobních údajů inzertními společnostmi nelze z působnosti zákona vymezené v ustanovení § 3 zákona o ochraně osobních údajů předem vylučovat. Inzertní společnosti provozující internetové servery zpracovávají osobní údaje (nejčastěji ve formě zveřejnění) za účelem zprostředkování nabídky a poptávky mezi fyzickými a právnickými osobami vztahující se k movitým a nemovitým věcem či sluţbám. Prostředkem (médiem) zpracování údajů je z povahy věci internet. Za poměrně problematické povaţuji stanovisko, ţe ani jedna z inzertních společností nestanovila, které osobní údaje jsou u bezplatné soukromé inzerce povinné. Pro podání inzerátu je povinné uvedení e-mailové adresy, přičemţ i tu lze povaţovat za osobní údaj, třebaţe nemá formu jméno, příjmení a doména (2) Poskytovatel sluţby uvedený v odstavci 1 odpovídá vţdy za obsah uloţených informací v případě, ţe vykonává přímo, nebo nepřímo rozhodující vliv na činnost uţivatele.“
21
zaměstnavatele. Rozhodující je, ţe má poslouţit jako komunikační prostředek mezi dvěma či více zájemci, jejichţ cílem je získat na sebe kontakt (osoba se tak musí stát pro účely zákona „určitelnou“). Navíc v šetřeném případě byl subjekt údajů (stěţovatel) plně identifikován na základě jména, příjmení, bydliště, telefonního čísla a e-mailu. Je tedy mimo jakoukoliv pochybnost, jestli byl určitý či určitelný. Na inzertní společnosti, které jsou správci údajů, dopadají povinnosti ze zákona o ochraně osobních údajů. Jednou z hlavních povinností správce je zpracovávat údaje na základě informovaného souhlasu osoby, jíţ se údaje týkají. Tímto zásadním poţadavkem se automaticky zvyšují poţadavky na autentizaci subjektů při podávání inzerátů, čímţ se ve výsledku zabraňuje zásahům do práv třetích osob. Případné porušení zákona (např. zveřejnění údajů bez souhlasu, nevyhovění ţádosti o likvidaci údajů) přísluší prověřit Úřadu. III. Zároveň si uvědomuji, ţe tyto průběţné závěry mohou změnit postupy OO PČR a Úřadu pouze do budoucna. Jejich formulování jsem ale povaţovala za svou povinnost především proto, ţe komplexní posouzení případu se od instituce typu veřejného ochránce práv i do jisté míry očekává, a to zejména tehdy, jestliţe jiţ ochránce s dotčenými úřady komunikoval a vyzýval je v rámci principů dobré správy a zásady spolupráce mezi státními orgány k odpovídající součinnosti. Zákon o veřejném ochránci práv stanoví, ţe zjistí-li ochránce šetřením porušení právních předpisů či jiná pochybení, vyzve úřad, aby se k jeho zjištěním ve lhůtě 30 dnů vyjádřil. Vzhledem k důleţitosti, kterou při výkonu svěřené agendy přikládám prošetřování přestupků proti občanskému souţití a ochraně osobních údajů, budu po OO PČR a Úřadu poţadovat vyjádření ke zprávě o šetření ve smyslu ustanovení § 18 zákona o veřejném ochránci práv. O součinnost poţádám i Policejní prezidium ČR. Zprávu obdrţí rovněţ stěţovatel. Dodávám, ţe tato zpráva shrnuje poznatky ze šetření, které budou po vyjádření obvodního oddělení Policie ČR Jihlava a Úřadu pro ochranu osobních údajů podkladem pro závěrečné stanovisko veřejného ochránce práv ve věci.
RNDr. Jitka S e i t l o v á v. r. zástupkyně veřejného ochránce práv (zpráva je opatřena elektronickým podpisem)
22
