Žádost o poskytnutí informací a GDPR

Dnes a denně se ministerstva, kraje, obce, ale třeba i veřejné instituce setkávají s žádostmi o poskytnutí informací. Fyzické a právnické osoby mohou po těchto povinných subjektech požadovat téměř jakékoli informace vztahující se k jejich činnosti. Pro představu může jít o poskytnutí kopií správních rozhodnutí, přehledu či kopií uzavřených smluv, informace o počtu zaměstnanců, přehledu majetku, ale třeba i výši platů jejich čelních představitelů.

Postup pro vyřízení samotné žádosti o poskytnutí informací je dobře nastaven v zákoně č. 106/1999 Sb., o svobodném přístupu k informacím. Ten komplexně upravuje a zpřesňuje pravidla a podmínky pro uplatnění ústavně zaručeného práva na informace. Základním pravidlem přitom je, že se poskytují všechny informace o činnostech veřejnoprávních subjektů (povinných subjektů), pokud není v informačním zákoně nebo jiném právním předpise upravena výjimka. Přitom je potřeba mít na paměti, že omezení práva na informace musí být přiměřené a při případné kolizi s jinými (ústavně zaručenými) právy je třeba uplatňovat tzv. test proporcionality.

Jak se poskytují osobní údaje

Jedním ze zákonných důvodů pro omezení přístupu veřejnosti představuje právo na ochranu osobních údajů, resp. právo na ochranu soukromí. V následujícím textu se zaměříme na základní otázky ochrany osobních údajů veřejnoprávními subjekty (neboli povinnými subjekty) při vyřizování žádostí o poskytnutí informací.

Základy ochrany osobních údajů v informačním zákoně nalezneme v § 8a. Jeho první odstavec uvádí, že informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje povinný subjekt poskytne jen v souladu s právními předpisy, upravujícími jejich ochranu. V případě ochrany osobních údajů je jím obecné nařízení o ochraně osobních údajů (GDPR), případně zákon č. 110/2019 Sb., o zpracování osobních údajů.

Pro ujasnění je třeba uvést, že případné omezení přístupu k některým kategoriím informací (vedle ochrany soukromí může jít o omezení z důvodu např. ochrany obchodního tajemství, utajovaných informací) ještě neznamená, že by o ně veřejnost nemohla žádat. Povinný subjekt má i v takovém případě povinnost žádost o poskytnutí informací přijmout a následně ji vyřídit. Součástí tohoto postupu bude i posouzení, zda v konkrétním případě převáží právo na informace a požadované informace se poskytnou, či nikoli. Za situace, že povinný subjekt žadateli požadované informace neposkytne, musí o této skutečnosti vydat rozhodnutí o odmítnutí žádosti, včetně řádného odůvodnění úvah, které povinný subjekt k tomuto odmítnutí vedly.

Poskytnutí je zpracováním údajů v režimu GDPR

V prvé řadě je důležité si ujasnit, že poskytování osobních údajů je jejich zpracováním. Platí to jak pro jejich zpřístupnění na základě žádosti individuálnímu žadateli, tak i pro jejich následné zveřejnění na webových stránkách povinného subjektu. Povinný subjekt totiž musí  informace poskytnuté na žádost (případně jen doprovodnou informaci) zveřejnit způsobem umožňujícím dálkový přístup, a to nejméně po dobu 6 let.

Kdo je správcem osobních údajů zpřístupněných podle informačního zákona?

V případě poskytování osobních údajů podle informačního zákona je jejich správcem povinný subjekt. Ten musí, stejně jako u každého jiného zpracování osobních údajů, dodržovat všechny povinnosti stanovené v GDPR, a to včetně základních zásad a stanovení právního titulu. Správce mimo jiného nesmí zapomenout na princip transparentnosti a poučit subjekty údajů o tom, že může docházet ke zpracování osobních údajů pro účely poskytnutí informací na základě informačního zákona.

Právní titul pro poskytnutí osobní údajů podle informačního zákona

Pro naplnění požadavku na zákonné zpracování osobních údajů je nezbytné, aby správce disponoval odpovídajícím právním titulem. Pro účely poskytování informací podle informačního zákona jím bude nejčastěji plnění právní povinnosti podle čl. 6 odst. 1 písm. c) GDPR (tato povinnost bude nejčastěji vyplývat z informačního zákona), případně souhlas subjektu údajů podle čl. 6 odst. 1 písm. a) GDPR.

V této souvislosti je nezbytné upozornit na skutečnost, že disponuje-li povinný subjekt osobními údaji pro určitý účel, například pro účely vedení správního nebo kontrolního řízení, neznamená to bez dalšího, že má i právní titul pro jejich poskytnutí podle informačního zákona. Jedná se totiž o jiný účel, než pro který byly osobní údaje primárně shromážděny. Pro tento nový účel tak musí správce disponovat novým (samostatným) právním titulem.

Jaké osobní údaje se poskytují?

Informační zákon přímo definuje, jaké osobní údaje a v jakém rozsahu lze na základě žádosti o poskytnutí informací zpřístupnit. Jedná se o údaje uvedené v § 8a odst. 2, § 8b a § 8c informačního zákona, konkrétně jde o informace o veřejně činných osobách, o příjemcích veřejných prostředků a informace o příjmech fyzických osob. Toto zpracování (poskytování) osobních údajů probíhá na základě právního titulu uvedeného v čl. 6 odst. 1 písm. c) GDPR, tzn. plnění právní povinnosti správce.

Subjekty údajů budou v daném případě v postavení dotčených osob podle správního řádu a povinný subjekt je musí o podané žádosti vyrozumět a umožnit jim se k ní vyjádřit. Následně, pokud je vydáno rozhodnutí o odmítnutí žádosti o poskytnutí informace, musí jim být také oznámeno, protože dotčené osoby se podle správního řádu stávají účastníky řízení.

Údaje o veřejně činných osobách

Povinný subjekt žadateli poskytne osobní údaje o veřejně činné osobě, funkcionáři nebo zaměstnanci veřejné správy, tedy například osobní údaje politika, soudce, advokáta, státního úředníka, zastupitele nebo starosty. Musí se však jednat pouze o informace, které vypovídají o jejich veřejné nebo úřední činnosti nebo o jejich funkčním nebo pracovním zařazení.  

Jsou-li splněny tyto podmínky, má povinný subjekt povinnost tyto informace žadateli poskytnout. Příkladmo se může jednat o informace o pracovním nebo služebním zařazení zaměstnance v rámci organizace, informace o dosaženém vzdělání a odborné praxi zaměstnanců veřejné správy, ale například i informace o kárném provinění advokáta (Česká advokátní komora je také povinnou osobou podle informačního zákona). 

Obecně platí, že více veřejně exponované osoby musí snést vyšší míru zásahu do soukromí. V každém jednotlivém případě je nutné posoudit, zda na požadovanou informaci je ještě veřejný zájem, nebo je již chráněna právem na soukromí. Jiné míry ochrany soukromí (a osobních údajů) bude požívat představitel vrcholné politiky, jiné řadový zaměstnanec veřejné správy. 

Příjemci veřejných prostředků

Další skupinu osob, jejichž osobní údaje lze zpřístupnit žadateli o informace podle informačního zákona, představují příjemci veřejných prostředků. Důvod zakotvení tohoto ustanovení je zřejmý, umožnit veřejnosti kontrolu hospodaření s veřejnými prostředky. 

Veřejné prostředky jsou ve smyslu informačního zákona chápány celkem široce, řadí se mezi ně jakékoli platby poskytnuté z veřejného rozpočtu státu, obce či kraje, ale také majetek či práva náležející státu, obci nebo kraji. Může se tak jednat například o informace o osobě, jíž povinný subjekt pronajímá byt ve svém vlastnictví, nebo které prodal některý ze svých pozemků. Vzhledem k dikci zákona je zřejmé, že by se mělo jednat o již ukončený proces, tedy již schválený prodej, nájem apod.

Informační zákon stanovuje rozsah osobních údajů příjemců veřejných prostředků, které lze žadateli poskytnout, a to:

• jméno a příjmení příjemce veřejných prostředků,

• rok narození,

• obec, kde má příjemce trvalý pobyt,

• výše, účel a podmínky poskytnutých veřejných prostředků.

Výše uvedené se nevztahuje na informace o poskytování veřejných prostředků podle zákonů v oblasti sociální, poskytování zdravotních služeb, hmotného zabezpečení v nezaměstnanosti, státní podpory stavebního spoření a státní pomoci při obnově území.

Informace o příjmu fyzických osob nebo souhlas s poskytnutím informací naleznete v plné verzi článku na gdpr.cz.