Chtějí zveřejnit snímky svých žáků, čekají školy s GDPR komplikace? Jak kdy, říká odborník na osobní údaje |
Během hysterické kampaně kolem Obecného nařízení o ochraně osobních údajů, pod zkratkou GDPR, aniž by si mnozí uvědomovali, že první písmeno té zkratky znamená, že se jedná o předpis obecný, před nímž mají někdy přednost zákony, zaznívala řada absurdních názorů a obav. Například: Mohou novináři zveřejnit jméno člověka, se kterým vedli rozhovor? Může škola vystavit výkresy dětí s podpisem? Příčina zmatků tkví v nepochopení a dezinterpretaci pojmu „zpracování osobních údajů“.
Výklad pojmu je ale důležitější než úvahy, zda ten či onen údaj je osobním, když některé, například adresy elektronické komunikace, jsou osobními údaji někdy až na základě toho, že jsou k identifikaci uživatelů zpracovávány.
Dokument versus zpracování
Při výkladu je třeba držet se definice a působnosti Obecného nařízení a pod pojmem zpracování rozumět jakékoliv operace prováděné s osobními údaji. Nařízení se vztahuje na zcela nebo částečně automatizované a neautomatizované zpracování osobních údajů, které jsou v evidenci či do ní patří. Zpracování osobních údajů není dokument, který nějaké osobní údaje obsahuje, ale operace s osobními údaji. Na osobní údaje v jakémkoli dokumentu se ochrana vztahuje jen na základě operací prováděných k určitému účelu. Vše vzniklo před několika desetiletími z obav z ohrožení soukromí tím, že prostředky výpočetní techniky dokážou informace o lidech vyhodnotit mnohonásobně rychleji než člověk.
Prostředím, kde dochází zpracováním osobních údajů k ohrožení soukromí nejvíc, je internet. Ten je však primárně zdrojem pro automatizovaně prováděné operace s osobními údaji, často bez vědomí dotčených osob. Také vyhledávače provádějí operace s osobními údaji a jejich provozovatelé jsou v postavení správců osobních údajů, jak judikoval Soudní dvůr EU (SDEU) v případu Google Spain. Ti mají na žádost subjektu údajů posoudit, zda je odkaz na zdrojovou stránku ještě aktuální a zda při vyhledávání údajů tímto způsobem převažuje právo na veřejnost informace o určité osobě, nebo právo na soukromí.
O výmazu nestrukturovaných osobních údajů na zdrojové stránce by musel rozhodnout soud. Zveřejnění nestrukturovaných osobních údajů na internetu zpracováním není. Nejvyšší správní soud ČR nedávno poněkud vytrženě z kontextu citoval z rozhodnutí Soudního dvora EU v případu Lindqvist – „úkon, který spočívá v tom, že se na internetové stránce odkáže na různé osoby, které jsou identifikovány buď svým jménem, nebo jinými prostředky, (…) je zcela nebo částečně automatizovaným zpracováním osobních údajů“ – a uvedl, že v daném případě SDEU vyložil, že zveřejnění osobních údajů je zpracováním.
Zveřejním-li v nějakém chatu větu „Včera jsem byl s kolegy Vaškem a Milanem na fotbale“, provádím úkon, který spočívá v tom, že odkazuji na dvě různé osoby. Je-li z kontextu zřejmá moje totožnost, lze zjistit i naše zaměstnání a totožnost kolegů. Má-li jít o automatizované zpracování osobních údajů, musím ke zveřejnění mít nějaký právní důvod. Kolegů jsem se na souhlas neptal a zveřejnění není ani nezbytné pro ochranu mých práv. Coby správce osobních údajů tedy porušuji právo na ochranu osobních údajů svých kolegů.
Mýtus výkresů ve škole
Důsledky takového výkladu pro svobodu slova a projevu jsou zřejmé. Nikdo by na internetu nesměl zveřejnit jakoukoli informaci nebo názor na dvě či více osob bez jejich souhlasu, aniž by byl schopen zdůvodnit, že je to pro ochranu práv nezbytné. To, že určitý úkon probíhá automatizovaně, ještě neznamená, že jde o automatizovaně prováděnou operaci s osobními údaji, když k nestrukturovaným údajům není přidávána hodnota jejich uspořádáním, strukturováním, seřazením či zkombinováním. Právním důvodem pro zveřejnění informace o jiných osobách, která není jejich evidencí, vstupem nebo výstupem z ní či automatizovaného souboru osobních dat, je prostě právo na svobodu slova a projevu. Pokud by mí kolegové považovali zveřejnění za zásah do soukromí, museli by se obrátit na soud.
Výklad pojmu zpracování je důležitý pro vyrovnávání práva na ochranu soukromého a rodinného života a ochranu údajů o své osobě a práva na svobodu slova a na informace. Obě práva jsou si rovna, ani jedno není právem „svatějším“. Je třeba hledat vyrovnaný poměr mezi nimi. Pojem zpracování můžeme přirovnat k zamrzlému rybníku, v jehož středu jsme na pevném ledě registrů a evidencí. Čím extenzivněji bude tento pojem vykládán, tím více se dostáváme na tenký led, který neumožňuje konzistentní výklad. Když se to hodí, zpracování to je. Když se to nehodí, zpracování to není. Takový přístup je neakceptovatelný.
Rádoby bohulibá snaha o vyšší ochranu soukromí extenzivním výkladem pojmu se dostává do konfliktu s právem na svobodu slova a informace. Výrazná nepřiměřenost poškozuje obě práva – minimálně tím, že vyvolává odpor veřejnosti. Sdělení jména osoby, s níž novinář hovoří či o které přináší zpravodajskou informaci, není automatizovanou operací ani evidencí. Podepsané výkresy dětí nejsou automatizovanou operací ani výstupem z evidence – tou je školní matrika. Žádným takovým projevům GDPR nebrání. Zbavme proto pojem „zpracování“ jeho mysteria.
