Zákon o zpracování osobních údajů, aneb jak se k GDPR staví český zákonodárce

Poslanecká sněmovna nakonec až po 6 měsících účinnosti Nařízení schválila zákon o zpracování osobních údajů, který měl být původně účinný nejpozději ve stejný okamžik, jako samo Nařízení. Aktuálně byl zákon o zpracování osobních údajů vrácen Senátem s několika pozměňovacími návrhy zpět Poslanecké sněmovně. Pozdě, ale přece, chtělo by se říci. Důsledkem je mimo jiné, že Úřad pro ochranu osobních údajů nemůže udílet sankce (včetně pokut) podle Nařízení a namísto toho musí vyjít s podstatně užší paletou nápravných opatření obsažených v zákoně č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů. Cílem tohoto článku je přiblížit čtenářům hlavní otázky, kterými se poslanci při projednávání zákona o zpracování osobních údajů zabývali.

Diskuze v dolní komoře parlamentu nad zákonem o zpracování osobních údajů byla skutečně bohatá, což reflektuje i nadprůměrný počet pozměňovacích návrhů, kterých poslanci nakonec předložili více než 20. Jednoznačně pozitivně lze vnímat zavedení nových výjimek u některých povinností správců osobních údajů ve specifických případech. Mezi tyto výjimky patří zpracování osobních údajů pro účely vědeckého či historického výzkumu a zpracování pro statistické účely, nebo zpracování osobních údajů novináři. V uvedených případech bude redukována informační povinnost. Další jednoznačně pozitivní úpravou je posílení postavení subjektů, které budou vymáhat své pohledávky vůči dlužníkům – v takovém případě bude možné omezit některá práva subjektů údajů. Úřad pro ochranu osobních údajů bude moci díky adaptačnímu zákonu naplno využít potenciál Nařízení, pokud jde o možnosti opatření a sankcí. Správnou myšlenkou je dle mého názoru rovněž svěření řešení sporů v oblasti práva na informace do kompetence Úřadu pro ochranu osobních údajů. Uvedené opatření by mohlo přispět k zefektivnění justice tím, že část agendy bude přenesena ze soudní soustavy na bedra Úřadu pro ochranu osobních údajů. Všechny shora uvedené kroky zákonodárců mají své ratio a sledují správný záměr. Co však správný záměr a logiku postrádá, je snížení horní hranice pokut pro malé obce, jejich příspěvkové organizace a školy na v některých případech 15 tisíc korun a v některých případech dokonce na 5 tisíc korun. Jistě není žádoucí, aby právě menším subjektům, jako jsou menší obce a školy, hrozily natolik vysoké pokuty, že by mohly ohrozit ekonomické fungování těchto subjektů. Na druhou stranu ovšem není zřejmý racionální důvod, pro který by Úřadu pro ochranu osobních údajů měla být odejmuta mnohdy nejefektivnější sankce, kterou může správce a zpracovatele, kteří hrubě porušují pravidla na ochranu osobních údajů, donutit tato pravidla ctít. Uvedené platí zvlášť s ohledem na skutečnost, že rozhodovací praxe Úřadu pro ochranu osobních údajů konstantně sleduje primárně nápravu závadného stavu, je přiměřená a podléhá navíc zásadám správního trestání. Rovněž je nesystematické a nespravedlivé, že menší sankce platí pro školy a obce, ale nikoliv už pro drobné podnikatele či živnostníky. Stát tak vlastně menším obcím a školám říká, že mu příliš nezáleží na tom, zda tyto subjekty budou Nařízení dodržovat či nikoliv. Nepochopitelnost tohoto kroku je o to větší, že i menší obce a školy často mohou zpracovávat rozsáhlé množství osobních údajů, v případě škol jsou pak subjekty těchto osobních údajů děti.

Jak v naší kotlině bývá dobrým zvykem, stát se v případě zákona o zpracování osobních údajů zachoval jako chytrá horákyně – na jednu stranu přijal několik rozumných a žádoucích opatření, na stranu druhou dopad největšího biče, kterým Nařízení mohlo hrozit některým subjektům, které jeho existenci neoprávněně ignorují, nedůvodně omezil. S trochou nadsázky se tedy dá říci, že kdyby ochrana osobních údajů byla žena, pak v České republice nepůjde ani pěšky, ani na voze, ani oblečená, ani vysvlečená – přesně jako ona pověstná chytrá horákyně ze známé pohádky Boženy Němcové.