Ref. Ares(2024)1197492 – 16. února 2024

1/ Popis operace zpracování

Veřejný ochránce práv provádí šetření týkající se možných případů nesprávného úředního postupu v orgánu, instituci nebo jiném subjektu EU (dále jen „orgán EU“) a podává o nich zprávy.

Veřejný ochránce práv zpracovává osobní údaje fyzických osob pro vyřizování stížností a šetření z vlastního podnětu, pokud shromažďuje a registruje osobní údaje ve svém elektronickém systému pro vyřizování stížností (CMS). Veřejný ochránce práv zpracovává osobní údaje stěžovatelů a třetích stran, které souvisejí se stížností/šetřením, a to buď proto, že jsou poskytnuty stěžovatelem, nebo shromážděny během šetření. Veřejný ochránce práv může předávat osobní údaje jiným orgánům EU nebo příležitostně orgánům členských států, jak je popsáno níže.

Právním základem tohoto zpracování údajů je článek 228 Smlouvy o fungování Evropské unie (SFEU) a statut evropského veřejného ochránce práv (dále jen „statut“).

Osobní údaje se zpracovávají v souladu s nařízením Evropského parlamentu a Rady (EU) 2018/1725 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů.

2/ Jaké osobní údaje shromažďujeme, za jakým účelem a jakými technickými prostředky?

Co

Při vyřizování stížností a šetření veřejný ochránce práv přijímá a/nebo shromažďuje dokumenty, které mohou obsahovat osobní údaje týkající se:

i) fyzické osoby podávající stížnosti (dále jen „stěžovatelé“) a

ii) jiné osoby relevantní pro stížnost/šetření nebo jiné třetí strany uvedené ve stížnostech nebo jiných dokumentech souvisejících s šetřením, které jsou pro šetření irelevantní nebo pouze vedlejší.

Tyto osobní údaje zahrnují identifikační a kontaktní údaje (jméno, adresu, e-mail, telefon, fax), státní příslušnost, profesní údaje a veškeré další informace o fyzické osobě, které souvisejí s dotazem. Stížnost může obsahovat také zvláštní kategorie údajů, jako jsou například údaje odhalující rasový nebo etnický původ, politické názory, náboženské nebo filozofické přesvědčení, členství v odborových organizacích a údaje týkající se zdraví nebo sexuálního života [1].

Pokud se veřejný ochránce práv rozhodne provést veřejnou konzultaci (obecnou nebo cílenou) v souvislosti s vyřizováním případů, příspěvky, které obdrží v reakci na tuto konzultaci, budou většinou obsahovat některé osobní údaje. Od přispěvatelů do veřejných konzultací (obecných nebo cílených) se požaduje, aby uvedli svou předchozí úroveň souhlasu se zpřístupněním svých údajů. Další informace naleznete v prohlášení o ochraně osobních údajů týkajícím se konzultací evropské veřejné ochránkyně práv na těchto internetových stránkách.

Proč

Veřejný ochránce práv musí zpracovávat osobní údaje za účelem prošetření možných případů nesprávného úředního postupu s cílem:

a) nalezení řešení konkrétních otázek dané stížnosti,

b) identifikaci možných systémových problémů a v případě potřeby předložení souvisejících návrhů a

c) přitom zajišťuje trvalou dlouhodobou konsolidaci souvisejících příslušných znalostních základen, z nichž tyto činnosti vycházejí.

Pokud jde konkrétně o veřejné konzultace týkající se jednotlivých případů, účelem je zajistit, aby bylo posouzení dotčených otázek co nejlépe informováno.

Osobní údaje se rovněž používají ke komunikaci se stěžovateli a k určení, zda stížnost spadá do působnosti veřejného ochránce práv. Některé údaje se používají pro statistické účely (země, státní příslušnost, profesní kategorie a jazyk) anonymizovaným způsobem, aby byl splněn požadavek na podávání zpráv stanovený ve statutu evropského veřejného ochránce práv.

Jak

Veřejný ochránce práv obvykle shromažďuje nebo přijímá osobní údaje v dokumentech, včetně formulářů, které jsou většinou elektronické.

V některých případech jsou údaje součástí informací, které jsou zpočátku přijímány ústně na zasedáních, inspekcích nebo slyšeních. Během těchto schůzek nebo bezprostředně po nich jsou příslušné informace zaznamenány v dokumentech ke spisu, většinou v elektronické podobě, ale v některých případech i v tištěné podobě.

3/ Kdo má přístup k vašim informacím a komu jsou sdělovány?

Zaměstnanci veřejného ochránce práv

Zaměstnanci veřejného ochránce práv, kteří se podílejí na vyřizování případů úřadem, mají přístup ke spisům a jejich dokumentům, z nichž některé obsahují osobní údaje, jakož i k databázi, která uvedené dokumenty a související údaje obsahuje.

Orgány EU

Pokud je v souvislosti s šetřením zaslána stížnost orgánu EU, zůstávají osobní údaje v dokumentech obvykle viditelné. Tak je tomu i v případě, kdy stěžovatel požádal o důvěrné zacházení se svou stížností. Tato důvěrnost se nevztahuje na komunikaci týkající se šetření mezi veřejným ochráncem práv a orgánem, který má právo být plně informován o všech informacích týkajících se obvinění, jejichž je předmětem. Před zasláním stížnosti a případné související dokumentace však vyšetřující úředník veřejného ochránce práv provede kontrolu, aby ověřil, zda by předání dokumentů nevedlo ke zjevně zbytečnému předání osobních údajů. Úprava nadměrných osobních údajů, jak je zde popsáno, je řádně zaznamenána v poznámce k případu vypracované pro zahájení šetření. Pokud stížnost obsahuje nadměrné množství osobních údajů, budou tyto nadměrné osobní údaje vymazány.

Pokud veřejný ochránce práv nemůže stížnost vyřídit nebo přijmout, může ji rovněž předat jinému příslušnému orgánu nebo instituci EU, které mohou mít lepší předpoklady k řešení otázky vznesené stěžovatelem. Příkladem jsou Evropská komise v souvislosti se stížnostmi na možné porušení práva EU, Evropský parlament v souvislosti s politickými otázkami, Evropský úřad pro boj proti podvodům v souvislosti s otázkami podvodů a evropský inspektor ochrany údajů.

Veřejná ochránkyně práv používá „eTranslation“ (strojový překlad) k automatickému překladu dokumentů souvisejících se stížností, které mohou obsahovat osobní údaje. eTranslation je služba provozovaná Evropskou komisí, která neanalyzuje obsah přeloženého dokumentu. Překlady a další výstupy generované službou jsou vráceny jejich uživatelům a jsou navrženy tak, aby byly během zpracování nepřístupné. Veřejný ochránce práv může rovněž zasílat dokumenty k překladu překladatelským službám Evropského parlamentu nebo Překladatelskému středisku pro instituce Evropské unie, pokud je třeba dokumenty přeložit. Tyto dokumenty mohou někdy obsahovat osobní údaje. Překladatelé pracují na základě povinnosti mlčenlivosti, kterou zavedly výše uvedené subjekty EU.

Jiné subjekty nebo organizace

Obdobně v případě jiných stížností, kterými se veřejný ochránce práv nemůže zabývat, může rozhodnout o předání stížnosti vnitrostátním institucím nebo organizacím, které mohou být schopny stěžovateli pomoci, aniž by byly osobní údaje skryty. Může se tak rozhodnout, pokud k tomu stěžovatel udělil výslovný souhlas. Převody provádí pouze takovým subjektům nebo organizacím, které se nacházejí v EU.

Dozví-li se veřejný ochránce práv o skutečnostech, které by mohly představovat trestný čin nebo s ním souviset, oznámí to příslušným vnitrostátním orgánům, Úřadu evropského veřejného žalobce (EPPO) a/nebo Evropskému úřadu pro boj proti podvodům (OLAF).[2] Přitom obvykle zašle dotčenému orgánu příslušné neupravené dokumenty.

Jednotlivé žádosti o přístup veřejnosti k dokumentům

Občané EU mohou uplatnit své základní právo požádat o přístup veřejnosti k jakémukoli dokumentu, který má veřejný ochránce práv v držení, včetně dokumentů obsažených ve spisu nebo souvisejících dokumentů. Tyto žádosti jsou vyřizovány na základě nařízení (ES) č. 1049/2001 o přístupu veřejnosti k dokumentům orgánů EU.

V reakci na žádosti o přístup veřejnosti k dokumentům jsou osobní údaje stěžovatelů a třetích stran, které nezahrnují zaměstnance EU, standardně před zveřejněním dokumentů, které má veřejný ochránce práv v držení, skryty.

Práva subjektů údajů

Subjekty údajů mohou uplatnit své právo na přístup, opravu nebo výmaz svých osobních údajů v souvislosti s vyřizováním stížností zasláním žádosti e-mailem správci na níže uvedenou e-mailovou adresu.

Mají možnost požádat o důvěrné zacházení se svou stížností nebo některými jejími částmi uvedením takového požadavku ve stížnosti a poskytnutím podpůrného odůvodnění nebo zdůvodnění.

Veřejný ochránce práv dodržuje pravidla ochrany údajů, včetně povinnosti informovat subjekty údajů, které jsou třetími stranami, o zpracování jejich osobních údajů a o právu těchto subjektů údajů na přístup ke svým osobním údajům a na opravu chyb v těchto údajích nebo na omezení či vymazání údajů v souladu s těmito pravidly. S ohledem na zásadu minimalizace údajů se stěžovateli doporučuje, aby poskytl pouze informace, které jsou relevantní pro předmět stížnosti, a aby se vyhnul zbytečným a irelevantním podrobnostem, zejména pokud zahrnují osobní údaje třetích stran. Veřejný ochránce práv však při plnění svých povinností v oblasti ochrany údajů vždy zohlední okolnosti stěžovatele, zejména pokud se stěžovatel nachází ve zranitelné situaci. Veřejný ochránce práv provede posouzení každého jednotlivého případu, v němž vyváží práva a oprávněné zájmy stěžovatele a třetí strany, která je subjektem údajů.

Pokud se stěžovatel rozhodne podat anonymní stížnost, bude taková stížnost vždy nepřípustná.[3] Veřejný ochránce práv však může v závislosti na informacích uvedených v takové stížnosti rozhodnout, že se bude touto záležitostí zabývat prostřednictvím šetření z vlastního podnětu.

4/ Jak chráníme a chráníme vaše osobní údaje?

V rámci organizace chrání evropský veřejný ochránce práv osobní údaje prostřednictvím pravidel a praktických opatření.

Všichni zaměstnanci jsou informováni o svých přísných povinnostech týkajících se důvěrnosti a absolvují související školení a aktualizované informace o postupech a pravidlech.

Každý zaměstnanec veřejného ochránce práv nese prvostupňovou odpovědnost za vedení svých pracovních spisů tak, aby byla zaručena bezpečnost osobních údajů v nich obsažených.

S dokumenty a datovými formuláři souvisejícími s případem se téměř výhradně nakládá elektronicky, což poskytuje konfigurovatelná přístupová práva a snižuje riziko neúmyslného oběhu tištěných kopií. Jak je uvedeno výše, zaměstnanci veřejného ochránce práv, kteří se podílejí na vyřizování případů úřadem, mají přístup ke spisům a jejich dokumentům.

Každý skutečný nebo potenciální stěžovatel může kdykoli podat odůvodněnou žádost o omezený přístup ke spisu své stížnosti, což může být relevantní například v případě, že stěžovatel je současným nebo bývalým zaměstnancem veřejného ochránce práv, jiným zaměstnancem EU, členem sítí nebo podobnými skupinami, s nimiž je v kontaktu několik zaměstnanců úřadu veřejného ochránce práv nebo lze očekávat, že s nimi bude v kontaktu. Dokumenty a datové formuláře jsou uchovávány elektronicky na virtuálních serverech, které veřejnému ochránci práv zpřístupnil Evropský parlament. Přístup Evropského parlamentu k údajům je kontrolován a je určen výhradně pro účely správy a podpory IT.

Fyzické archivy jsou uzamčeny v samostatných archivních místnostech a případně trezorech.

5/ Jak nás můžete požádat o ověření, změnu nebo vymazání vašich údajů?

Subjekty údajů mají právo na přístup k osobním údajům, které o nich uchováváme, a právo požádat veřejného ochránce práv o jejich opravu, doplnění nebo případně vymazání.[4] Jakákoli žádost o přístup k osobním údajům nebo o opravu, omezení nebo vymazání osobních údajů by měla být adresována odpovědnému vyšetřovateli a/nebo správci údajů (e-mail: EO@ombudsman.europa.eu).

Máte-li jakékoli dotazy týkající se zpracování vašich osobních údajů, můžete se rovněž obrátit na pověřence evropského veřejného ochránce práv pro ochranu osobních údajů (DPO-Euro-Ombudsman@ombudsman.europa.eu).

Mohou se použít omezení podle článku 25 nařízení 2018/1725, viz rozhodnutí veřejného ochránce práv ze dne 9. listopadu 2020 [5].

6/ Jak dlouho uchováváme vaše údaje?

Na spisy případů, včetně údajů souvisejících s dokumenty nebo údajů začleněných do databází, se vztahuje doba uchovávání:

• Dva roky v případě stížností, které nespadají do mandátu úřadu.
• Deset let v případě stížností, které spadají do mandátu úřadu. To zahrnuje stížnosti, u nichž veřejný ochránce práv zahájil šetření, a stížnosti, u nichž veřejný ochránce práv nezahájil šetření buď proto, že byly nepřípustné, nebo z nedostatku důvodů. Dokumenty týkající se stížností, které měly významný veřejný význam nebo které jsou jinak považovány za závažné případy, jsou později archivovány v anonymizované podobě pro historické účely. Výjimečně však mohou být osobní údaje uchovávány, pokud je to nezbytné pro zajištění historických nebo veřejných zájmů.

Na důvěrné dokumenty, které jsou součástí spisu, se vztahují kratší lhůty uchovávání. Zejména důvěrné dokumenty se obecně vymažou, jakmile je případ uzavřen, a pokud se jedná o stěžovatele, vyprší lhůta pro vyřízení žádosti o přezkum.

Ve výjimečných případech se standardní desetiletá doba uchovávání vztahuje na důvěrné dokumenty, pokud:

• a) je zřejmé, že dotyčné informace jsou nebo mohou být důležité pro pochopení případu v budoucnu, včetně okolností, za nichž má případ přednost nebo má vzdělávací hodnotu;
• b) uchování dokumentu pravděpodobně slouží historickým nebo veřejným zájmům; nebo
• c) uchovávání dokumentu může být relevantní v souvislosti se stávajícími nebo možnými budoucími formálními postupy.

Veškerá rozhodnutí a opatření týkající se nakládání s výše uvedenými důvěrnými dokumenty jsou řádně zaznamenána ve spisu.

7/ Využití

Subjekty údajů mají kdykoli právo podat stížnost evropskému inspektorovi ochrany údajů (edps@edps.europa.eu), pokud se domnívají, že veřejný ochránce práv porušil jejich práva podle nařízení 2018/1725.

[1] Článek 10 nařízení 2018/1725.

[2] Čl. 9 odst. 2 statutu veřejného ochránce práv.

[3] Čl. 2 odst. 2 statutu veřejného ochránce práv.

[4] Články 17 až 20 nařízení 2018/1725.

[5] Rozhodnutí evropské veřejné ochránkyně práv ze dne 9. listopadu 2020 o vnitřních pravidlech pro omezení některých práv subjektů údajů při zpracování osobních údajů, k dispozici na adrese https://www.ombudsman.europa.eu/en/document/en/141577.