Soudní dvůr EU rozhodl v případu Kočner vs. Europol

Soudní dvůr Evropské unie rozhodoval o právu na ochranu osobních údajů při mezinárodní spolupráci orgánů činných v trestním řízení (konkrétně při aplikaci Threema), stejně jako o právu dotčené osoby na ochranu před únikem informaci třetím stranám - médiím. Soud rozhodl, že Evropská agentura pro spolupráci v oblasti prosazování práva (Europol) v tomto případě porušila práva jednotlivce upravená v obecném nařízení o ochraně údajů (GDPR). 

V rozsáhlé analýze soud poukázal na porušení ochrany osobních údajů, které se týkalo intimní komunikace mezi panem Kočnerem a jeho přítelkyní.

Kdo je Marian Kočner?

Slovenský podnikatel na pomezí oficiální a té druhé sféry. Formálně nikdy nebyl v politice, ale jeho jméno je spojeno s větším počtem kauz než jméno jakéhokoli slovenského politika. Marian Kočner se objevil i v takzvaných mafiánských seznamech, které v roce unikly z policie.

V únoru 2020 mu slovenské soudy vyměřily trest ve výši 19 let vězení v případě padělání milionových směnek TV Markíza. V březnu 2019 ho policie obvinila i z vraždy novináře Jána Kuciaka a jeho snoubenky Martiny Kušnírové. Soudy ho v letech 2020 a 2023 pro nedostatek důkazů osvobodily z obžaloby objednávky vraždy Jána Kuciaka.

Po vraždě novináře Jána Kuciaka a jeho snoubenky Martiny Kušnírové, ke které došlo 21. února 2018 a která otřásla Slovenskem, probíhalo rozsáhlé vyšetřování. Europol provedl na žádost slovenských orgánů extrakci údajů uložených ve dvou mobilních telefonech, které patřily podnikateli Marianovi Kočnerovi. Europol poskytl slovenským orgánům pevný disk, který obsahoval zašifrovaná data.  

Některé informace získané z mobilních telefonů unikly do médií. Kočnerovi se zveřejnění informací z jeho mobilních telefonů nelíbilo, obrátil se proto na soud. Protože ze zásahu do svého soukromí vinil i Europol, žaloval přímo u Soudního dvora EU.

Co zkoumal Evropský soudní dvůr?

Soud posuzoval, zda bylo porušeno právo na ochranu osobních údajů podle GDPR v kontextu spolupráce mezi Europolem a slovenskými orgány. Konkrétně se zabýval otázkou, zda zpracování osobních údajů, kterého se účastnil Europol a slovenské orgány, bylo v souladu s právem EU, resp. zda jejich činnost způsobila Mariano Kočnerovi škodu či nemajetkovou újmu.

Pan Kočner tvrdí, že zveřejnění přepisů komunikace intimní a sexuální povahy mezi ním a jeho přítelkyní představuje porušení článku 32 odst. 1 GDPR. A vinil z toho primárně Eeropol, protože k použití těchto přepisů ze strany slovenských orgánů, k jejich zveřejnění v slovenských médiích, jakož i k jejich zpřístupnění na internetu došlo v době, kdy mobilními telefony obsahujícími tuto komunikaci disponoval pouze Europol.

Jak soud rozhodl?

Evropský soudní dvůr ve svém rozsudku uvedl, že Kočner musí dokázat pouze to, že bylo zasaženo do jeho soukromí. Posouzení, zda to zavinil Europol nebo slovenské orgány, už není na něm. 

Podle Soudního dvoru Evropské unie „Europol a členský stát, v němž vznikla škoda v důsledku nezákonného zpracování údajů, ke kterému došlo v rámci spolupráce těchto subjektů, jsou za tuto škodu společně a nerozdílně zodpovědni". Podle Soudního dvora Evropské unie „dotyčná fyzická osoba musí prokázat pouze to, že v rámci spolupráce Europolu a dotčeného členského státu došlo k nezákonnému zpracování údajů, které jí způsobilo škodu“.

Soudní dvůr EU konstatoval porušení těchto ustanovení GDPR:

• Princip transparentnosti: Europol se nedostatečně zabýval transparentností a jasností ve vztahu k zpracovávaným osobním údajům, což je v rozporu s článkem 5 GDPR.

• Právo na ochranu osobních údajů: Zpřístupnění citlivých osobních údajů třetím stranám, v tomto případě médiím, porušuje článek 9 GDPR, který ukládá povinnost zvláštní ochrany při zpracování osobních údajů patřících do zvláštních kategorií, např. údaje vypovídající o sexuální orientaci či aktivitě dotčené osoby.

• Zabezpečení osobních údajů: Europol selhal v zabezpečení osobních údajů proti neoprávněnému přístupu a jejich následnému zpřístupnění veřejnosti. Takové jednání je v rozporu s článkem 32 GDPR, který stanoví povinnost přijmout vhodná technická a organizační opatření k zabezpečení osobních údajů.

• Právo na zapomenutí: Po zjištění nezákonného zpracování osobních údajů má dotčená osoba právo požadovat vymazání svých údajů podle článku 17 GDPR. V tomto případě se jednalo o nezákonné zpracování osobních údajů pana Kočnera, tyto údaje tedy měly být smazány dříve.

Soudní dvůr EU tímto rozhodnutím potvrdil důležitost dodržování předpisů týkajících se ochrany osobních údajů a důsledky jejich porušení i ze strany veřejných úřadů. V případě Europolu to znamená náhradu škody ve výši 2.000 EUR panu Kočnerovi a důraz na dodržování norem GDPR v budoucnosti.

Článek byl převzat z gdpr.cz.