2006 říjen 2006

Pplk. Sochora 27, 170 00 Praha 7, Tel.: 234 665 111, Fax: 234 665 444; e-mail: [email protected]

STANOVISKO č. 7/2006 říjen 2006

Dozorové pravomoci Úřadu pro ochranu osobních údajů v souvislosti s výkonem advokacie Zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen zákon o ochraně osobních údajů či zákon) je již sedmým rokem součástí našeho právního řádu jako komplexní a univerzální norma upravující institut ochrany osobních údajů a současně i výkon státní správy v této oblasti. Působnost zákona je vymezena zejména prostřednictvím ustanovení v § 3 tak, aby zákon dopadal na jakékoliv zpracování osobních údajů. V souvislosti s výkonem advokacie se však opakovaně objevují názory a vyjádření, popírající dopad zákona na tuto oblast včetně pravomoci Úřadu pro ochranu osobních údajů (dále jen „Úřad“) vykonávat dozor nad zpracováním osobních údajů v rámci advokacie. Úřad proto zpracoval přístupové stanovisko, které by mělo přispět k objasnění a pochopení hlavních aspektů této problematiky a zejména by mělo zabránit vzniku jiných názorů týkajících se činnosti podobného charakteru (například činnost notářů, exekutorů apod.), a které nyní předkládá veřejnosti. Zákon o ochraně osobních údajů žádnou speciální výjimku ve vztahu k výkonu advokacie nezakotvuje. Naopak lze konstatovat, že na exempce ze své působnosti je značně skoupý; vyjma zpravodajských služeb, které mají však pouze výjimku z dozorové působnosti Úřadu, nikoli z působnosti zákona jako takového, neexistuje žádná ucelená oblast či obor, ve které by neměl být zákon o ochraně osobních údajů uplatňován. Možné výjimky se týkají pouze jednotlivých zákonných povinností správců nebo zpracovatelů a platí pouze pro oblasti taxativně vyjmenované zejména v ustanovení § 3 odst. 6 zákona (bezpečnost a obrana České republiky, veřejný pořádek, vnitřní bezpečnost a další). Komplexní a universální dopad zákonné úpravy však není ryze českým specifikem; shodné principy vyplývají i z Úmluvy č. 108 Rady Evropy o ochraně osob se zřetelem na automatizované zpracování osobních dat a směrnice 95/46/ES Evropského parlamentu a Rady o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, které byly východiskem národní úpravy. Vzhledem k tomu, že ochrana osobních údajů se stala již dlouho před přijetím zákona v České republice fenoménem mezinárodním a zejména evropským a jeho odpovídající vnitrostátní úprava včetně podmínek vymahatelnosti byla také v oblasti harmonizace právního řádu předpokladem přistoupení České republiky k Evropské unii, je apriori nemožné, aby se pouze,či speciálně v advokacii, neuplatňovaly podmínky a principy ochrany osobních údajů a aby fyzická osoba - subjekt údajů požívající obecně určitého standardu práv - jich pozbyl či se jich nemohl domoci při kontaktu s činností advokáta. Současně ani zákon č. 85/1996 Sb., o advokacii, ve znění pozdějších předpisů (dále jen zákon o advokacii), neobsahuje žádnou ucelenou úpravu ochrany osobních údajů, kterou by bylo možno považovat za lex specialis vylučující aplikaci obecné úpravy zákona o ochraně osobních údajů. Argumentace popírání dopadu zákona o ochraně osobních údajů a dozorové pravomoci Úřadu na zpracování osobních údajů při výkonu advokacie se soustřeďuje na dva okruhy

1

námitek. Prvním z nich je názor, že při výkonu advokacie nedochází ke zpracování osobních údajů ve smyslu zákona, tzn. systematické činnosti, jak vymezuje obsah tohoto pojmu ustanovení § 4 písm. e) zákona; podle těchto námitek jde v případě výkonu advokacie jen – pokud vůbec advokát s osobními údaji přichází do styku – o nahodilé shromažďování informací ve smyslu ustanovení § 3 odst. 4 zákona, tedy jde o činnost, na kterou se tento zákon nevztahuje. Druhým okruhem námitek je princip povinné mlčenlivosti advokáta, který by dle námitek byl nezákonně narušen připuštěním možné aplikace zákona o ochraně osobních údajů na činnost advokáta, zejména zřejmě v souvislosti s dozorovými a kontrolními pravomocemi Úřadu. K názoru, že při výkonu advokacie nedochází ke zpracování osobních údajů, tzn. systematické činnosti, je třeba konstatovat, že podle dosavadních zkušeností Úřadu není vždy nutné, aby systematické shromažďování osobních údajů bylo samotným cílem dané aktivity (hlavní činností) správce nebo zpracovatele. I když advokát přichází často k osobním údajům klienta a případně údajům třetích osob bez jakéhokoliv systému, nebo je do systému nezařazuje, nevkládá je do žádné matice, speciálního archivu apod., půjde o systematické zpracování již za situace, stanou-li se osobní data součástí nebo obsahem dokumentu, který je uchováván v rámci klientského spisu nebo jakékoliv jiné evidence či datového souboru (vedeného jak v listinné podobě, tak i např. za použití technických prostředků), neboť jde o postup nebo operace, které jsou ve smyslu ust. § 4 písm. e) zákona považovány za systematické uchovávání dat. Přitom prvek systematičnosti je dán už tím, že každá z fází (operací) je správcem nebo zpracovatelem prováděna s určitým záměrem. Samo rozhodnutí advokáta o uchování konkrétního údaje či údajů pro další průběh poskytované právní služby nebo provedení jiné operace, kdy bývají jednotlivé, klientem sdělené či jinak získané osobní údaje zřejmě tříděny, možná kombinovány, upravovány či pozměněny a pravděpodobně budou někdy použity nebo i zpřístupněny (např. uvedením v soudním či jiném řízení) je velmi významnou součástí jeho práce; to vše zákon označuje za jednotlivé formy zpracování, přičemž postačí, je-li dána i jen jedna z nich /ustanovení § 4 písm. e) však není taxativním výčtem/. Opominout nelze ani druhou část ustanovení § 3 odst. 4 zákona o ochraně osobních údajů, a to podmínku, že údaje nesmí být dále zpracovávány. Definici zpracování při tom naplňuje již i pouhá pracovní složka s úvodní informací klienta o požadované právní službě či databáze klientů advokátní kanceláře. Podle názoru Úřadu také sám zákon o advokacii prostřednictvím ustanovení § 1 odst. 2 zákona o advokacii, kde je definováno poskytování právních služeb se k tomuto možnému problému vyslovuje tím, že jedním ze základních znaků výkonu právní služby je skutečnost, že právní služby jsou poskytovány soustavně, tedy jako výkon samostatné činnosti, resp. profese. Soustavný výkon činnosti, která s sebou nutně nese zpracování osobních údajů, tak zcela jednoznačně vylučuje nahodilost při shromažďování osobních údajů, i když existenci nahodilého shromáždění osobních údajů není možné zcela z činnosti advokáta vyloučit stejně, jako z činnosti každého dalšího subjektu. Výkon advokacie tedy s sebou apriori nese (jako conditio sine qua non) zpracování osobních údajů nejen klientů, ale i třetích osob. Systematičnost do nakládání s osobními údaji u advokáta tedy vnáší již samotné zahájení poskytování právních služeb, jehož nedílnou součástí je vedení spisové a jiné dokumentace, která nutně obsahuje osobní údaje ve smyslu jejich zákonné definice zakotvené v ustanovení § 4 písm. a) zákona. Vedení přiměřené dokumentace je také zákonnou povinností advokáta, uloženou ustanovením § 25 zákona o advokacii a specifikované ve stavovských předpisech. Vedle toho všechny pojmové znaky stanovené zákonem o ochraně osobních údajů naplňuje činnost advokáta dle ustanovení § 25a zákona o advokacii. Kniha o prohlášeních o pravosti podpisu je pak dalším příkladem zpracování, které advokátu výslovně ukládá zákon.

2

Systematický charakter operací s osobními údaji tedy nevylučuje apriori ani skutečnost, že advokát s nimi nakládá podle pokynu klienta. Je tedy nutné zcela popřít výklad, že nahodilé shromažďování je takové shromažďování, kdy popud nevzniká u správce dat (v tomto případě advokáta), ale objeví se neplánovaně, nepředvídatelně, nikoliv na základě volního rozhodnutí advokáta, ale klienta. Druhým argumentem zpochybňujícím dozorovou pravomoc Úřadu při zpracování osobních údajů při výkonu advokacie je princip povinné mlčenlivosti advokáta. Povinnost mlčenlivosti, uložená ust. § 21 zákona o advokacii, je představiteli profesní skupiny chápána velice ortodoxně. Dle názoru České advokátní komory působí povinnost mlčenlivosti vůči každému, pokud nedojde ke zproštění ze strany klienta; nakládání s osobními údaji klienta se může proto uskutečňovat jen na základě dohody s ním a nemůže být regulováno žádnými právními ani jinými předpisy. Rovněž se dovozuje, že „žádný právní předpis nemůže být interpretován tak, aby toto právo sebemenším způsobem omezoval. To může být omezeno pouze zákonem o advokacii, jak se také výslovně děje v ust. § 21 odst. 2, kde je tato povinnost redukována v případě zvláštních předpisů o správě daní a poplatků.“ Úřad pro ochranu osobních údajů však zastává názor, že rozhodně není nutné, aby všechna přípustná omezení povinnosti mlčenlivosti stanovoval pouze zákon o advokacii; tak tomu ostatně není ani v dalších oblastech, na které dopadá minimálně stejně přísná povinnost mlčenlivosti (např. lékařské, bankovní, poštovní či listovní tajemství a mnohé další). K výkonu kontroly u advokáta proto Úřad považuje za zcela postačující oprávnění, které mu dává zákon o ochraně osobních údajů v ustanovení § 37 písm. c), které zní: Kontrolující jsou při provádění kontroly oprávněni seznamovat se s utajovanými informacemi za podmínek stanovených zvláštním právním předpisem, jakož i dalšími skutečnostmi, které jsou chráněny povinností mlčenlivosti. Negativní přístup představitelů advokacie je zřejmě důsledkem nedocenění podstaty ochrany osobních údajů a z toho vyplývající domněnky, že inspektor Úřadu může při své kontrolní činnosti nějakým způsobem advokátní povinnost mlčenlivosti narušit. Již ze samotného pojmu však vyplývá, že cílem práce inspektora je naopak ochrana údajů. Úřad tedy sleduje shodný cíl jako povinnost mlčenlivosti, avšak v mnohem širším rozsahu. Hovoříme-li o fyzických osobách (právnickými osobami se Úřad nezabývá, neboť u nich nejde o osobní údaje), pak Úřadu přísluší dohlížet nejen na to, zda údaje klienta nejsou neoprávněně zpřístupňovány, jak koresponduje povinnosti mlčenlivosti, ale dohlíží také na dodržování řady dalších práv klienta souvisejících s údaji, o nichž se advokát dozvěděl. Nadto Úřad sleduje dodržování těchto práv nejen u klientů advokáta, ale i u dalších fyzických osob, subjektů údajů, s jejichž osobními daty advokát v průběhu případu (někdy ovšem i mimo něj) operuje, a kdy advokát sám je vázán povinností mlčenlivosti pouze ohledně osobních údajů samotného klienta. A konečně Úřad musí zajímat i možné neoprávněné zpřístupnění osobních údajů ze strany samotného advokáta. Současně je na místě připomenout, že inspektoři a další zaměstnanci Úřadu jsou taktéž vázáni přísnou povinností mlčenlivosti v souvislosti se svou činností. Dle ustanovení § 38 odst. 5 písm. b) zákona o ochraně osobních údajů jsou kontrolující povinni zachovávat mlčenlivost o skutečnostech zjištěných při výkonu kontroly a nezneužít znalosti těchto skutečností. Tato povinnost trvá i po skončení pracovněprávního vztahu k Úřadu. Argument vyloučení dopadu zákona na oblast advokacie z důvodu vázanosti advokáta povinností mlčenlivosti nelze tedy přijmout. Advokát je ve většině případů při výkonu své praxe v postavení správce osobních údajů ve smyslu ustanovení § 4 písm. j) zákona o ochraně osobních údajů, tedy jako subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Je zde však také možnost, že se advokát, který zpracovává osobní údaje podle míry odpovědnosti a nastavení smluvního vztahu s klientem, ocitne v postavení zpracovatele ve smyslu § 4 písm. k) zákona o ochraně osobních údajů. Vzhledem k ustanovení § 7 zákona o ochraně osobních

3

údajů, který uvádí, že povinnosti stanovené správci v § 5 platí obdobně také pro zpracovatele, není v zásadě rozhodné, zda bude v tom kterém konkrétním případě advokát v postavení správce nebo zpracovatele. Na advokáty tedy dopadají zákonem předvídané povinnosti; je však nutno konstatovat, že pro některé z nich obsahuje zákon o advokacii či stavovské předpisy jejich zvláštní úpravu. Týká se to například ustanovení § 5 odst. 1 písm. a) zákona, dle kterého je správce povinen stanovit účel zpracování. Ten je ovšem vymezen především účelem samotného zákona o advokacii, který dle svého ustanovení § 1 upravuje předmět , tedy poskytování právních služeb advokáty a charakterizuje rovněž, co se poskytováním právních služeb rozumí. Touto definicí je zároveň nutno považovat zčásti za stanovené také prostředky a způsob zpracování ve smyslu ustanovení § 5 odst. 1 písm. b) zákona. Obzvlášť pečlivě musí advokát postupovat s ohledem na dopad ustanovení § 5 odst. 1 písm. c), tedy na povinnost zpracovat pouze přesné údaje, které získal v souladu se zákonem. Zvláštní úprava ji ovlivní pouze částečně; advokát sice dle čl. 6 odst. 3 etického kodexu může pravdivost skutkových informací (tedy i takových, které jsou zároveň osobními údaji) ověřovat jen se souhlasem klienta, současně však dle čl. 17 odst. 2 téhož stavovského předpisu nesmí v řízení uvádět údaje, o nichž ví, že jsou nepravdivé nebo klamavé. Je tedy mj. nutno rozlišovat mezi shromažďováním a dalšími formami zpracování těchto údajů. Na výkon advokacie dopadají ustanovení § 5 odst. 1 písm. d) a e) zákona, i když např. určení rozsahu údajů nezbytných pro naplnění účelu bude vyplývat vždy ze svrchovaného individuálního posouzení samotným advokátem. Je možné, že kontrola dodržení tohoto ustanovení je zde vzhledem k charakteru poskytované služby poněkud omezena. V případě, že se klient se svou stížností obrátí na Úřad, a ten zahájí prověření stížnosti, by bylo zřejmě nutné využít pro odborné posouzení tohoto problému stavovské orgány. Na rozdíl od mnoha jiných profesí nestíhá advokáta povinnost získat souhlas subjektu údajů ve smyslu ustanovení § 5 odst. 2 zákona, a to ani ohledně svého klienta, ani při zpracování osobních údajů třetích osob, neboť bude naplněna hypotéza ust. § 5 odst. 2 písm. a) a b); shromáždění či využití osobních údajů klienta, který je smluvní stranou, bude nezbytné pro poskytnutí kvalitní právní služby, což je právní povinnost advokáta. Řadu zvláštních úprav lze v zákoně o advokacii či stavovských předpisech vyčíst i k povinnostem predikovaným ustanovením § 5 odst. 1 zákona o ochraně osobních údajů1 Jejich rozbor však již přesahuje účel tohoto stanoviska. Podobný přístup lze aplikovat také na dodržení povinností správce nebo zpracovatele podle § 11 a 12 zákona, kdy advokát má plnit informační povinnost vůči subjektu údajů za situace, kdy zpracovává jeho osobní údaje. Tuto povinnost opět uznává zákon jako povinnost vůči osobě, od které jsou její osobní údaje přímo shromažďovány (§ 11 odst. 1 a 2) na rozdíl od povinnosti nebo výjimky z této povinnosti za situace, kdy jsou osobní údaje shromážděny z jiného pramene nebo zdroje (§ 11 odst. 3 a 4). Další povinností dopadající i na oblast advokacie představuje například ustanovení § 13 týkající se zabezpečení osobních údajů před neoprávněným či nahodilým přístupem, změnou, zničením, ztrátou, neoprávněnými přenosy či jiným neoprávněným zpracováním či zneužitím. Nebo § 18 odst. 1, obsahující výjimku pro oznámení zpracování osobních údajů advokátem pro poskytování právních služeb klientům, tedy výjimku obsaženou v § 18 odst. 1 písm. b). Závěrem lze konstatovat, že dodržování povinností týkajících se ochrany osobních údajů při jejich zpracování v souvislosti s výkonem advokacie a jejich možná kontrola ze strany Úřadu 1

Např. čl. 17 etického kodexu, čl. 3 Usnesení představenstva ČAK č. 9/99, kterým se stanoví některé podrobnosti o dokumentaci advokáta vedené při poskytování právních služeb.

4

neznamená žádnou újmu či riziko pro práva a ochranu klienta, ale právě naopak může přispět k jejich důslednějšímu prosazování. Pokud jde o práva třetí osoby, je role Úřadu, zejména při vyřizování stížností na porušení zásad ochrany osobních údajů, zcela nezastupitelná.

5