1. Úvod

Kromě zpracování osobních údajů fyzických osob, které podávají stížnosti, může veřejný ochránce práv v závislosti na okolnostech případu zpracovávat osobní údaje ve vztahu k jiným fyzickým osobám („subjekty údajů třetích stran“).

Po obdržení stížnosti veřejný ochránce práv posoudí, zda poskytnuté informace obsahují jakékoli osobní údaje třetích stran, tj. jakékoli informace týkající se identifikované nebo identifikovatelné fyzické osoby jiné než stěžovatel.

Pojem osobních údajů je velmi široký [1]. Například zahrnuje informace o totožnosti a osobních charakteristikách osoby, prohlášeních a názorech a o občanském a zaměstnaneckém stavu [2].

Tato politika se týká způsobu, jakým veřejný ochránce práv plní povinnost informovat subjekty údajů o zpracování jejich osobních údajů v souvislosti se stížností nebo šetřením, pokud tyto údaje nebyly získány od těchto subjektů údajů. Při vypracovávání této politiky vzal veřejný ochránce práv v úvahu pokyny evropského inspektora ochrany údajů (dále jen "EIOÚ")[3].

2. Informační povinnost

Jsou-li osobní údaje subjektu údajů třetí strany obsaženy ve stížnosti nebo jiných dokumentech souvisejících s šetřením, má veřejný ochránce práv povinnost poskytnout dotyčné osobě určité informace [4], a to:

a) totožnost a kontaktní údaje správce, tj. veřejného ochránce práv [5];

b) kontaktní údaje inspektora ochrany údajů veřejného ochránce práv;

c) účel zpracování (například vyřizování stížnosti) a právní základ pro zpracování (například pravidla týkající se zpracování osobních údajů orgány EU [6] a/nebo statut veřejného ochránce práv [7]);

d) kategorie dotčených údajů (například totožnost a postavení dotyčné osoby v zaměstnání);

e) příjemci údajů [8];

f) případně skutečnost, že veřejný ochránce práv má v úmyslu předat osobní údaje do třetí země nebo mezinárodní organizaci, a existenci či neexistenci rozhodnutí Komise o odpovídající ochraně nebo vhodných nebo vhodných záruk a prostředků k získání jejich kopie nebo místa, kde byly zpřístupněny; a

g) tyto další informace nezbytné k zajištění spravedlivého a transparentního zpracování osobních údajů dané osoby:

i) lhůty pro uchovávání příslušných údajů;

ii) skutečnost, že osoba má právo požadovat přístup ke svým osobním údajům, jejich opravu, výmaz nebo omezení jejich zpracování nebo právo vznést námitku proti zpracování [9];

iii) právo dané osoby obrátit se na evropského inspektora ochrany údajů a

iv) původ údajů (případně včetně veřejně dostupných zdrojů).

3. Politika

A – Mimo mandát stížnosti

Pokud veřejná ochránkyně práv zjistí, že stížnost obsahující osobní údaje třetích stran nespadá do jejího mandátu, informuje o tom stěžovatele a pokud možno mu sdělí orgán, který by se stížností mohl zabývat. Pokud stěžovatel souhlasil s postoupením své stížnosti v případě, že veřejný ochránce práv není schopen se jí zabývat, předá stížnost příslušnému orgánu (například vnitrostátnímu veřejnému ochránci práv).

V takových případech veřejný ochránce práv nepovažuje poskytnutí jednotlivých informací uvedených v bodě 2 výše za nutné, protože i) účel, pro který veřejný ochránce práv tyto osobní údaje zpracovává (posouzení, zda stížnost spadá do působnosti veřejného ochránce práv, a pokud ne, případné předání stížnosti jinému subjektu), nevyžaduje, aby veřejný ochránce práv identifikoval třetí stranu, která je subjektem údajů [10]; a ii) individuální informování subjektů údajů, které jsou třetími stranami, o skutečnosti, že veřejný ochránce práv může zpracovávat údaje, které se jich týkají, i když je to možné, by vedlo ke zbytečnému znásobení osobních údajů, a proto by vyžadovalo nepřiměřené úsilí [11].

Místo toho veřejná ochránkyně práv zveřejňuje na svých internetových stránkách informativní poznámku, v níž informuje širokou veřejnost o tom, že v souvislosti s vyřizováním stížností může zpracovávat osobní údaje jiných osob než stěžovatele. Toto sdělení obsahuje odkaz na tuto politiku a na prohlášení o zpracování osobních údajů v souvislosti s vyřizováním stížností a šetření veřejnou ochránkyní práv. Tato poznámka, stávající politika a prohlášení jsou považovány za dostatečné k tomu, aby poskytly veškeré relevantní informace fyzickým osobám, s jejichž osobními údaji může veřejný ochránce práv nakládat [12], a aby jim umožnily požádat o přístup ke svým osobním údajům, jejich opravu, výmaz a omezení jejich zpracování, pokud si to přejí [13].

B - V rámci mandátu, avšak nepřípustné a nepřípustné, žádné žalobní důvody

Ve výše uvedených případech nepovažuje veřejný ochránce práv poskytnutí jednotlivých informací uvedených v bodě 2 výše za nutné, protože individuální informování subjektů údajů, které jsou třetími stranami, o skutečnosti, že veřejný ochránce práv může zpracovávat údaje, které se jich týkají, i když je to možné, by vedlo ke zbytečnému znásobení osobních údajů, což by s ohledem na omezená opatření, zejména na skutečnost, že stížnost nebyla předána mimo úřad veřejného ochránce práv, vyžadovalo nepřiměřené úsilí [14].

Informační sdělení zveřejněné na internetových stránkách veřejného ochránce práv a stávající politika a prohlášení jsou považovány za dostatečné k tomu, aby poskytly veškeré relevantní informace fyzickým osobám, s jejichž osobními údaji může veřejný ochránce práv nakládat [15], a aby jim umožnily požádat o přístup ke svým osobním údajům, jejich opravu, výmaz a omezení jejich zpracování, pokud si to přejí [16].

C – Dotazy

Ve výše uvedených případech musí veřejný ochránce práv nejprve rozhodnout, zda údaje týkající se třetích stran mají, či nemají význam pro předmět šetření. Jedním ze způsobů, jak toho dosáhnout, je přezkoumat, zda by se veřejný ochránce práv zabýval šetřením jinak, pokud by subjekt údajů, který je třetí stranou, nebyl uveden nebo identifikován ve vyšetřovacím spisu.

Relevantními údaji by mohly být například údaje týkající se dřívější odborné praxe úředníka EU, který je členem výběrové komise a údajně je ve střetu zájmů. Nerelevantními údaji by mohly být například údaje týkající se rodinného stavu tohoto úředníka EU. Další nepodstatné údaje, které budou pravděpodobně shromážděny během šetření veřejného ochránce práv čistě náhodným způsobem, jsou například jména jiných úředníků EU uvedených v rozhodnutích příslušného orgánu a dokumenty shromážděné během šetření veřejného ochránce práv.

Rozhodnutí o relevantnosti těchto údajů a související analýza budou uvedeny ve shrnutí, které je zaevidováno v příslušném spisu systému správy případů veřejného ochránce práv (CMS).

Nerelevantní údaje

V případech, kdy jsou údaje pro předmět šetření irelevantní, nepovažuje veřejný ochránce práv poskytnutí individuálních informací třetí straně za nutné, protože i) vzhledem k tomu, že údaje jsou irelevantní, účel, pro který veřejný ochránce práv tyto osobní údaje zpracovává (vyřizování stížnosti/šetření), nevyžaduje identifikaci subjektů údajů třetích stran veřejným ochráncem práv [17]; a ii) individuální informování těchto třetích stran, i když je to možné, by vedlo ke zbytečnému znásobení osobních údajů a vyžadovalo by nepřiměřené úsilí vzhledem ke skutečnosti, že veřejný ochránce práv dotčené údaje v rámci svého šetření nevyužívá [18]. Zjevně irelevantní údaje obsažené v textu stížnosti nebude veřejný ochránce práv dále zpracovávat [19].

Informační sdělení zveřejněné na internetových stránkách veřejného ochránce práv, současná politika a prohlášení jsou považovány za dostatečné k tomu, aby poskytly veškeré relevantní informace fyzickým osobám, s jejichž osobními údaji může veřejný ochránce práv nakládat [20], a aby jim umožnily požádat o přístup ke svým osobním údajům, jejich opravu, výmaz a omezení jejich zpracování, pokud si to přejí [21].

Relevantní údaje

Pokud jsou údaje relevantní, veřejný ochránce práv zvažuje poskytnutí informací uvedených v bodě 2 výše subjektu údajů, který je třetí stranou.

Pokud však posouzení stížnosti umožňuje dospět k závěru, že třetí strana, která je subjektem údajů, již má informace k dispozici (pokud například úředník EU, který je údajně ve střetu zájmů, má úplnou kopii stížnosti a podpůrných dokumentů)[22] nebo že poskytnutí informací je nemožné nebo vyžaduje nepřiměřené úsilí (pokud například dotyčná osoba mezitím opustila službu a nelze ji vysledovat)[23], veřejný ochránce práv zaznamená podrobné posouzení vedoucí k tomuto závěru do souhrnu případu v CMS a sdělení zveřejněném na internetových stránkách veřejného ochránce práv spolu s touto politikou a prohlášením se považuje za dostatečné k poskytnutí nezbytných informací fyzickým osobám, s jejichž osobními údaji může veřejný ochránce práv nakládat [24], a k tomu, aby jim umožnil požádat o přístup, opravu, výmaz a omezení zpracování jejich osobních údajů, pokud si to přejí [25].

V případech, kdy subjekt údajů, který je třetí stranou, tyto informace nemá a kdy je jeho informování možné a nevyžaduje nepřiměřené úsilí, veřejný ochránce práv zkoumá, zda je pravděpodobné, že informování subjektu údajů, který je třetí stranou, znemožní nebo vážně ztíží dosažení cílů uvedeného zpracování, konkrétně řádně prošetřit možný nesprávný úřední postup při činnosti orgánů, institucí nebo jiných subjektů EU a rozhodnout o něm, a to na základě výkonu základního práva (stížnost veřejnému ochránci práv) nebo z vlastního podnětu veřejného ochránce práv [26].

Tak by tomu bylo například v případě, kdy by subjekt údajů, který je třetí stranou, mohl ovlivnit šetření: například skrýváním důležitých důkazů nebo odvetnými opatřeními vůči stěžovateli za to, že uplatnil základní právo (stěžovat si veřejnému ochránci práv), což má dopad na vyšetřování (stěžovatel například již není ochoten přispět k šetření).

Pokud veřejný ochránce práv na základě výše uvedené analýzy dospěje k závěru, že poskytnutí informací subjektu údajů, který je třetí stranou, by pravděpodobně znemožnilo nebo vážně ohrozilo šetření a schopnost veřejného ochránce práv dospět k rozhodnutí o obviněních z nesprávného úředního postupu, zaznamená se posouzení a následný závěr do spisu v systému CMS. Sdělení zveřejněné na internetových stránkách veřejného ochránce práv spolu s touto politikou a prohlášením se považuje za dostatečné k tomu, aby poskytlo nezbytné informace fyzickým osobám, s jejichž osobními údaji může veřejný ochránce práv v těchto výjimečných případech nakládat [27], a aby jim umožnilo požádat o přístup ke svým osobním údajům, jejich opravu, výmaz a omezení jejich zpracování, pokud si to přejí [28].

Pokud naopak veřejný ochránce práv dospěje k závěru, že poskytnutí informací subjektu údajů, který je třetí stranou, pravděpodobně neznemožní nebo vážně nenaruší šetření a schopnost veřejného ochránce práv rozhodnout o obviněních z nesprávného úředního postupu, poskytne subjektu údajů, který je třetí stranou, informace uvedené v bodě 2 výše, jakmile je dokončeno posouzení stížnosti a orgán je informován [29].

4. Příspěvky v reakci na veřejné konzultace veřejného ochránce práv

Zásady stanovené v této politice se vztahují rovněž na veškeré osobní údaje obdržené v rámci veřejných konzultací veřejného ochránce práv.

 

Emily O'Reillyová

Štrasburk, 16. července 2019

 

[1] Článek 3 odst. 1 nařízení Evropského parlamentu a Rady (EU) 2018/1725 ze dne 23. října 2018 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů orgány, institucemi a jinými subjekty Unie a o volném pohybu těchto údajů a o zrušení nařízení (ES) č. 45/2001 a rozhodnutí č. 1247/2002/ES (Úř. věst. 2018, L 295, s. 39): „osobními údaji“ veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou se rozumí fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo sociální identity této fyzické osoby“.

[2] Podrobnou analýzu pojmu osobní údaje naleznete ve stanovisku 4/2007 Pracovní skupiny pro ochranu údajů zřízené podle článku 29, které je k dispozici zde: http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2007/wp136_en.pdf

[3] https://secure.edps.europa.eu/EDPSWEB/

[4] Ustanovení čl. 16 odst. 1 a 2 nařízení 2018/1725.

[5] Ustanovení čl. 3 odst. 8 nařízení 2018/1725: „správcem“orgán nebo subjekt Unie nebo generální ředitelství či jakýkoli jiný organizační subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny zvláštním aktem Unie, může právo Unie stanovit správce nebo zvláštní kritéria pro jeho jmenování.“

[6] Článek 5 nařízení 2018/1725.

[7] Rozhodnutí Evropského parlamentu ze dne 9. března 1994 o pravidlech a obecných podmínkách pro výkon funkce veřejného ochránce práv (94/262/ESUO, ES, Euratom), Úř. věst. 1994, L 113, s. 15, ve znění rozhodnutí ze dne 14. března 2002, Úř. věst. 2002, L 92, s. 13, a ze dne 18. června 2008, Úř. věst. 2008, L 189, s. 25.

[8] Článek 3 odst. 13 nařízení 2018/1725: „příjemcem“fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, kterým jsou osobní údaje sdělovány, ať už se jedná o třetí stranu, či nikoli. Orgány veřejné moci, které mohou obdržet osobní údaje v rámci zvláštního šetření v souladu s právem Unie nebo členského státu, se však za příjemce nepovažují; zpracování těchto údajů těmito orgány veřejné moci musí být v souladu s platnými pravidly pro ochranu údajů podle účelů zpracování“.

[9] Články 17 až 20 a článek 23 nařízení 2018/1725.

[10] Článek 12 odst. 1 nařízení 2018/1725: „Pokud účely, pro které správce zpracovává osobní údaje, nevyžadují nebo již nevyžadují identifikaci subjektu údajů správcem, není správce povinen uchovávat, získávat nebo zpracovávat dodatečné informace za účelem identifikace subjektu údajů pouze za účelem dosažení souladu s tímto nařízením.“

[11] Článek 16 odst. 5 písm. b) nařízení 2018/1725: „Odstavce 1 až 4 se nepoužijí, pokud a pokud: [...] se poskytnutí těchto informací ukáže jako nemožné nebo by vyžadovalo nepřiměřené úsilí [...]“

[12] Článek 16 odst. 6 nařízení 2018/1725: „V případech uvedených v odst. 5 písm. b) přijme správce vhodná opatření na ochranu práv a svobod a oprávněných zájmů subjektu údajů, včetně zveřejnění informací.“

[13] Čl. 12 odst. 2 nařízení 2018/1725: „Pokud je správce v případech uvedených v odstavci 1 tohoto článku schopen prokázat, že není schopen identifikovat subjekt údajů, informuje o tom subjekt údajů, je-li to možné. V takových případech se články 17 až 22 nepoužijí, s výjimkou případů, kdy subjekt údajů za účelem výkonu svých práv podle těchto článků poskytne dodatečné informace umožňující jeho identifikaci.“ Tak by tomu mohlo být například v případě, kdy třetí strana, která je subjektem údajů, požádá o přístup ke svým osobním údajům zpracovávaným veřejným ochráncem práv, a po vyhledávání v systému správy případů veřejného ochránce práv jej veřejný ochránce práv informuje, že jeho údaje nebyly nalezeny. Pokud však subjekt údajů následně poskytne další informace, jako je například číslo stížnosti nebo jméno stěžovatele, může to umožnit jeho identifikaci ve spisech veřejného ochránce práv a rozhodnutí veřejného ochránce práv o žádosti.

[14] Čl. 16 odst. 5 písm. b) nařízení 2018/1725.

[15] Článek 16 odst. 6 nařízení 2018/1725.

[16] Článek 12 odst. 2 nařízení 2018/1725. Viz poznámka pod čarou 13 výše.

[17] Článek 12 odst. 1 nařízení 2018/1725

[18] Čl. 16 odst. 5 písm. b) nařízení 2018/1725.

[19] Je možné, že údaje, které nelze považovat za relevantní pro předmět šetření v jeho raných fázích, však mohou být nakonec použity pro účely šetření a mít dopad na jeho výsledek.

[20] Článek 16 odst. 6 nařízení 2018/1725.

[21] Čl. 12 odst. 2 nařízení 2018/1725. Viz poznámka pod čarou 13 výše.

[22] Článek 16 odst. 5 písm. a) nařízení 2018/1725: „Odstavce 1 až 4 se nepoužijí, pokud:  subjekt údajů již má informace k dispozici...“

[23] Článek 16 odst. 5 písm. b) nařízení 2018/1725: „Odstavce 1 až 4 se nepoužijí, pokud a pokud: [...] se poskytnutí těchto informací ukáže jako nemožné nebo by vyžadovalo nepřiměřené úsilí [...]“

[24] Čl. 16 odst. 6 nařízení 2018/1725.

[25] Článek 12 odst. 2 nařízení 2018/1725. Viz poznámka pod čarou 13 výše.

[26] Článek 16 odst. 5 písm. b) nařízení 2018/1725: „Odstavce 1 až 4 se nepoužijí, pokud: [...] je pravděpodobné, že povinnost uvedená v odstavci 1 tohoto článku znemožní nebo vážně ztíží dosažení cílů uvedeného zpracování [...]“

[27] Čl. 16 odst. 6 nařízení 2018/1725.

[28] Čl. 12 odst. 2 nařízení 2018/1725. Viz poznámka pod čarou 13 výše.

[29] Článek 16 odst. 3 nařízení 2018/1725: „Správce poskytne informace uvedené v odstavcích 1 a 2:... c) pokud se předpokládá sdělení jiným příjemcům, nejpozději při prvním sdělení osobních údajů.“