Likvidace osobních údajů jako součást zpracování

Likvidací osobních údajů se uzavírá proces jejich zpracování, a je tak de facto poslední etapou zpracování. Po provedené likvidaci již osobní údaje nebudou existovat (s výjimkou dále uvedenou) a subjekt, který je zpracovával, přestává být správcem osobních údajů v rozsahu likvidovaných údajů,¹⁾ tedy přestává být za jejich zpracování zodpovědný.

Zpracování osobních údajů jako takové je definováno v již zmiňovaném § 4 písm. e) zákona o ochraně osobních údajů, který říká, že zpracováním osobních údajů je jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Tato definice vychází z článku 2 písm. b) Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (dále jen "Směrnice 95/46/ES"), podle něhož je zpracováním osobních údajů jakýkoli úkon nebo soubor úkonů s osobními údaji, které jsou prováděny pomocí či bez pomoci automatizovaných postupů. Důležitou částí této definice je skutečnost, že se nemusí vždy jednat o celý soubor činností, ale může jít v některých případech jen o některé z nich, dokonce se může jednat o jedinou operaci.

Podstatou definice této činnosti tedy je, že musí jít vždy o systematickou činnost správce nebo zpracovatele, případně jiných osob, tedy činnost vykonávanou s určitým záměrem zpracovávat osobní údaje fyzických osob - subjektů údajů. Dalším dnes již sice tolik nezdůrazňovaným kritériem je skutečnost, že se toto ustanovení vztahuje na jakékoliv systematicky uskutečňované operace, aniž je přitom rozhodující, zda jsou prováděny automatizovaně nebo jinými prostředky.²⁾

V návaznosti na první část předmětného ustanovení definice dále uvádí demonstrativní výčet postupů, které se nejčastěji za zpracování považují. Najdeme mezi nimi i likvidaci, která celou paletu uzavírá.³⁾

Jak již bylo řečeno, likvidace je jednou z forem zpracování, jak uvádí § 4 písm. e) zákona o ochraně osobních údajů, a dá se říci, že tímto krokem je zpracování osobních údajů ukončeno. Jak uvedla důvodová zpráva k zákonu o ochraně osobních údajů, cílem likvidace osobních údajů je jejich neexistence pro jakékoliv další zpracování.⁴⁾

Likvidace osobních údajů je tedy takový krok nebo operace, jejímž důsledkem je nenávratné zničení (nebo trvalé vyloučení z dalšího zpracování) těchto informací, osobních údajů. K jejich likvidaci může dojít buď přímým jednáním správce nebo zpracovatele, nebo také jednáním jiného, k tomu oprávněného subjektu.

Ustanovení § 4 písm. i) zákona o ochraně osobních údajů nabízí několik možností, jak údaje zlikvidovat. Způsob likvidace závisí na tom, na jakém nosiči jsou informace uchovávány. V zásadě se vždy jedná o fyzickou likvidaci, tedy o skutečnost, že osobní údaje přestanou u správce existovat. U papírových nosičů se nabízí skartace. Pokud správce nechce zlikvidovat všechny osobní údaje jím zpracovávané na předmětných dokumentech, přichází v úvahu také začerňování "nadbytečných" údajů. U elektronických nosičů je možné zlikvidovat údaje jejich vymazání způsobem, který vyloučí zpětnou obnovu dat, a to např. prázdnými znaky nebo překrytím jiným textem. Definice pojmu "likvidace" v § 4 písm. i) zákona o ochraně osobních údajů připouští i možnost trvalého vyloučení z dalšího zpracování. Tato možnost je nepochybně dána pro případy, kdy dvě první možnosti nebude možné aplikovat ať už vzhledem k charakteru dat nebo jejich nosiče či média. Tento způsob se tedy formálně a také do jisté míry technologicky blíží jiné formě zpracování, kterou je blokování. Z věcného hlediska osobní údaje, informace, stále reálně existují, avšak jsou trvale a nezvratně nepřístupné pro každého včetně správce samotného.

Za likvidaci není možné považovat takový způsob, po jehož aplikaci by přesto bylo možné, např. jinými technickými prostředky, tyto údaje jakkoli obnovit, aby měly charakter osobních údajů.

Základním a v praxi nejčastějším důvodem pro likvidaci osobních údajů je, že pomine účel, pro který byly osobní údaje zpracovány. V případě, že tato skutečnost nastane, stanoví § 20 odst. 1 zákona o ochraně osobních údajů povinnost pro správce nebo na základě jeho pokynu zpracovatele likvidaci provést. Jinak řečeno, pomine-li důvod, pro který byly údaje shromážděny za účelem jejich zpracovávání, musejí být zlikvidovány.⁵⁾ Povinnost likvidace je tedy vztažena k naplnění účelu zpracování, jenž byl správce povinen stanovit podle § 5 odst. 1 písm. a) zákona o ochraně osobních údajů. Podle tohoto ustanovení musí správce stanovit účel, k němuž mají být osobní údaje zpracovány, tj. proč a k jakému cíli se shromažďují a následně zpracovávají údaje. Podle Směrnice 95/46/ES (recital 28) musejí být tyto účely výslovné a legitimní a musejí být stanoveny při sběru údajů. Tato povinnost je jednou z nejzákladnějších a nejdůležitějších povinností správce.

Z dikce tohoto ustanovení vyplývá, že správce by měl vždy předem vědět, proč má ke zpracovávání osobních údajů dojít. Ke stanovení účelu zpracovávání osobních údajů musí dojít vždy, neboť na splnění této povinnosti je navázána řada dalších povinností, mimo jiné tedy i povinnost provést likvidaci, pokud účel pomine, podle § 20 zákona o ochraně osobních údajů.

Účel nebo cíl zpracovávání osobních údajů může být zcela soukromý, který vychází ze zcela specifických záměrů a cílů konkrétního správce, pro které je třeba zpracovat určité kategorie osobních údajů. Na druhou stranu může být tento účel také určen právními předpisy.

Pro bližší vymezení tohoto pojmu, můžeme nalézt řadu odpovědí zejména v právních předpisech, kterými jsou upravena práva a povinnosti subjektů, k jejichž naplnění je nezbytné zpracovávat osobní údaje. Typickým příkladem jsou v této souvislosti ty části zákonů, kde je upravována pravomoc a působnost správních úřadů. Každý správní úřad, má-li rozhodovat o právech, právem chráněných zájmech nebo povinnostech fyzických osob, musí za tím účelem zpracovávat osobní údaje těchto subjektů. V uvedených případech tak dochází ke stanovení účelu, k němuž mají být osobní údaje zpracovávány, přímo ze zákona.

Nejvýrazněji se tento způsob stanovení účelu projevuje přímo v případě, kdy je současně s kompetenčním ustanovením zvláštního zákona zakotvena současně pravomoc k vedení určitého registru nebo evidence (viz například obchodní rejstřík, katastr nemovitostí, živnostenský rejstřík apod.). Vedle toho však existují zákonná zmocnění, která sice obdobnou dikci neobsahují, ale jak vyplývá z obsahu těchto ustanovení, je nezbytné při výkonu těchto pravomocí osobní údaje zpracovávat. Lze konstatovat, že zpracovávání osobních údajů je nedílnou součástí výkonu uvedených pravomocí.

Vzhledem k tomu, že zákon o ochraně osobních údajů nestanoví konkrétní formu likvidace osobních údajů poté, co pomine účel zpracování, je způsob jejího provedení na správci, který by však měl mít stanoveny standardní postupy.

Jak vyplývá z dikce zákona o ochraně osobních údajů, likvidaci provádí správce nebo na základě jeho pokynu zpracovatel. Problém obvykle nastává u papírových nosičů, kde správce likvidaci často dělá tím způsobem, že dokumenty s osobními údaji předá do sběrných surovin. Takové předání bez zvláštních záruk o zabezpečení osobních údajů při jejich likvidaci nelze v žádném případě doporučit. Jak již bylo řečeno, po-dle § 4 písm. i) zákona o ochraně osobních údajů se likvidací osobních údajů rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování. Při předání nosičů s osobními údaji sběrným surovinám ztrácí správce kontrolu nad tím, zda bude likvidace skutečně provedena. Jestliže by osobní údaje byly předány ve formě, která naplňuje znaky zpracování osobních údajů (např. seznamy, evidence, dokumenty uspořádané podle osobních údajů) mohlo by dojít k porušení povinnosti správce osobních údajů podle § 13 zákona o ochraně osobních údajů, tedy povinnosti přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.

Třebaže by se jednalo o předání neuspořádaných spisů, mohlo by dojít k porušení práva na ochranu před zneužitím osobních údajů stanoveného článkem 10 zákona č. 2/1993 Sb., Listina základních práv a svobod, ve znění pozdějších předpisů. V každém případě lze doporučit pouze takový způsob likvidace, který dává záruku vyloučení osobních údajů z jejich dalšího možného zpracování, tedy skartaci. Pokud skartací zpracovávaných osobních údajů na základě smlouvy správce pověří např. jinou firmu, stává se tato firma zpracovatelem, který musí dát záruky podle § 6 zákona o ochraně osobních údajů o zabezpečení ochrany osobních údajů při jejich likvidaci. Tímto zpracovatelem může být případně i oprávněná osoba ve smyslu zvláštního zákona.⁶⁾

Dalším důvodem pro likvidaci zpracovávaných osobních údajů je likvidace podle § 21 zákona o ochraně osobních údajů, který dává subjektu údajů právo reagovat na nesrozumitelné nebo nepravdivé, či jen nepřesné, sdělení od správce a požádat o vysvětlení, případně o nápravu zjištěného nesprávného stavu.

Podle tohoto ustanovení může každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel zpracovává jeho osobní údaje způsobem, který je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování:

- požádat správce nebo zpracovatele o vysvětlení,

- požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, opravu, doplnění nebo likvidaci osobních údajů.

Je zřejmé, že požadavku vznesenému subjektem údajů podle § 21 odst. 1 zákona o ochraně osobních údajů, tedy požadavku o vysvětlení nebo požadavku, aby správce nebo zpracovatel odstranil vzniklý stav, musí předcházet minimálně domnělé porušení povinností správcem nebo zpracovatelem, a to takové porušení, že správce nebo zpracovatel zpracovává jeho osobní údaje způsobem, který je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování.

Častým řešením bude v případech zjištění neoprávněného zpracování osobních údajů právě jejich likvidace.

Nutno dodat, že požadovat odstranění závadného stavu vzniklého následkem porušení povinností správcem nebo zpracovatelem lze pouze v případě, že tento závadný stav trvá, nikoliv tehdy, když závadný stav vzniklý následkem porušení povinností sice dříve existoval, ale v době, kdy subjekt údajů svůj požadavek podle § 21 odst. 1 zákona o ochraně osobních údajů vznesl, byl již odstraněn.⁷⁾

Ustanovení § 21 tedy primárně zakotvuje právo subjektu údajů obrátit se na správce údajů v případech a za okolností uvedených výše. Nestanoví však přímo povinnost správci osobních údajů, aby údaje zlikvidoval. Tuto povinnost správci ukládá § 5 odst. 1 písm. c) zákona o ochraně osobních údajů, který mj. uvádí, že zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, učiní bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Je tedy zřejmé, že obě ustanovení je třeba vykládat a také aplikovat ve vzájemném kontextu.

Likvidaci neoprávněně zpracovávaných osobních údajů bude také ukládat Úřad pro ochranu osobních údajů (dále jen "Úřad") správcům, zpracovatelům a osobám, které osobní údaje shromáždily neoprávněně, v rámci opatření k nápravě, a to podle § 40 zákona o ochraně osobních údajů. Toto ustanovení říká, že zjistí-li kontrolující, že došlo k porušení povinností uložených tímto zákonem, uloží inspektor, jaká opatření je třeba učinit, aby byly zjištěné nedostatky odstraněny, a stanoví lhůtu pro jejich odstranění. Pokud byla uložena likvidace osobních údajů, jsou do likvidace blokovány. Proti uložení likvidace může správce podat námitku k předsedovi Úřadu. Do doby, než bude o námitce rozhodnuto, musejí být osobní údaje blokovány. Proti rozhodnutí předsedy lze podat žalobu podle předpisů o správním soudnictví. Do doby, než bude soudem rozhodnuto, jsou údaje blokovány.

Uložení opatření k nápravě zjištěného stavu při zpracovávání osobních údajů kontrolovaným subjektem je jedním z typických úkonů kontrolujícího. Z dikce zákona o ochraně osobních údajů lze dovodit, že při zjištění pochybení správce nebo zpracovatele při zpracování osobních údajů je přímo povinností kontrolujícího uložit kontrolovanému, jaká opatření má učinit, aby došlo k odstranění kontrolou zjištěných nedostatků.⁸⁾

Je-li uložena kontrolovanému jako jedno z opatření k nápravě i likvidace osobních údajů, musí být v tomto případě kontrolovaný poučen o svém právu podat námitku proti likvidaci osobních údajů zvláštním postupem přímo k předsedovi Úřadu. Jsou-li zároveň podány i další námitky proti kontrolnímu protokolu, rozhoduje se o námitkách proti likvidaci samostatně a vydává se o nich samostatné rozhodnutí.

Je-li kontrolovanému uložena likvidace osobních údajů, musejí být v souladu se zákonem o ochraně osobních údajů do likvidace blokovány. Blokování osobních údajů je jednou z metod jejich dočasného znepřístupnění. Tyto údaje tedy nadále existují, ale musejí být přijata opatření, aby nemohly být po tuto dobu zpracovávány.⁹⁾

Vzhledem k tomu, že § 40 zákona o ochraně osobních údajů nestanoví obsahové náležitosti námitky proti likvidaci, je třeba použít podpůrně relevantních ustanovení zákona č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů. Rozhodne-li předseda Úřadu o tom, že se námitka proti likvidaci zamítá, lze proti takovému rozhodnutí předsedy podat žalobu podle předpisů o správním soudnictví. Do doby, než bude soudem rozhodnuto, musejí údaje, o které se jedná, zůstat blokovány.

Od likvidace osobních údajů vykonané jako součást zpracování prováděné správcem nebo zpracovatelem je nutné odlišit případy, kdy k likvidaci osobních údajů, často provázenou i zničením jejich nosiče nebo jeho vážným poškozením, může dojít i v důsledku události, kterou lze jen s obtížemi předvídat. Rovněž tímto způsobem však může být porušen zákon o ochraně osobních údajů, neboť jednou z povinností správce nebo zpracovatele, obsaženou v § 13 zákona o ochraně osobních údajů je přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

Tímto ustanovením je stanovena obecná povinnost správců a zpracovatelů osobních údajů chránit osobní údaje. Jedná se o další ze základních povinností, jejímž obsahem je povinnost zajistit tzv. "bezpečnost zpracovávaných osobních údajů", a to jak před jednáním úmyslným, tak i nedbalostním, stejně tak jako proti působení přírodních a jiných událostí (povodně, požáry, zemětřesení apod.), které by mohlo způsobit zneužití osobních údajů. Protože je povinnost stanovena absolutně, lze přijmout závěr, že ochrana osobních údajů je podmínkou pro jejich zpracování.¹⁰⁾ Rámec pro řádné plnění povinnosti přijmout bezpečnostní opatření je určován především prostředky a způsobem zpracování osobních údajů. Zpravidla je určuje z vlastního rozhodnutí sám správce. Jeho rozhodnutí, které vychází z jeho vlastních lidských, finančních, prostorových a dalších možností, tak vytváří základní prostor pro bezpečnostní opatření. Bezpečnostní opatření při zpracování osobních údajů musí zajistit, s ohledem na odbornou úroveň a náklady na jejich provedení, odpovídající úroveň bezpečnosti v souvislosti s riziky vyplývajícími ze zpracování údajů a z povahy údajů, které mají být chráněny.

Správce a zpracovatel osobních údajů tedy odpovídají podle zákona o ochraně osobních údajů za provedení náležitých opatření vylučujících rizika spojená s předmětným zpracováním osobních údajů, přičemž je tato jejich odpovědnost objektivní, tedy odpovědností za následek jednání či opominutí (za protiprávní stav). Součástí této prevence je také to, že je třeba chránit nejen osobní údaje jako takové, ale i jejich nosiče a technologie, na nichž jsou zpracovávány.¹¹⁾ Právě díky vnějšímu ohrožení nosiče (povodně, požáry atd.) dochází nejčastěji k nedobrovolné likvidaci údajů, kterou je porušen § 13 zákona o ochraně osobních údajů. Proto je součástí této prevence také to, že je třeba chránit nejen osobní údaje jako takové, ale i jejich nosiče a technologie, na nichž jsou zpracovávány.

Jak je zřejmé, je likvidace jako závěrečná fáze zpracování osobních údajů institucionálním prostředkem pro uplatnění práv, plnění povinností a do jisté míry i sankcí pro ty správce, kterým je likvidace údajů nařízena jako nápravné opatření. Takoví správci, pokud zpracovávali osobní údaje neoprávněně, mohou mnohdy pociťovat jejich ztrátu mnohem citelněji, než peněžitou pokutu. Likvidace jako institut je pak také prostředkem, jímž jsou eliminovány excesy správců údajů a tím je subjektům údajů garantován takový rozsah práva na soukromí, který si sami zvolí nebo jaký jim garantuje zvláštní právní úprava.

Poznámky:

¹⁾ Kučerová, A., Bartík, V., Peca, J., Neuwirt, K., Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. Praha 2003.

²⁾ Tamtéž.

³⁾ Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.

⁴⁾ Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

⁵⁾ Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

⁶⁾ Zákon č. 185/2001 Sb., o odpadech a o změně některých dalších zákonů, § 4 písm. r).

⁷⁾ Tamtéž.

⁸⁾ ... zjistí-li kontrolující, že došlo k porušení povinností uložených tímto zákonem, uloží inspektor, jaká opatření je třeba učinit ...

⁹⁾ Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

¹⁰⁾ Kučerová, A., Bartík, V., Peca, J., Neuwirt, K., Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. Praha 2003.

¹¹⁾ Bartík, V., Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009.

Václav Bartík
Česká národní banka

Eva Janečková
Úřad pro ochranu osobních údajů