GDPR a novinářské výjimky nejen pro novináře
Přesun do online prostředí v souvislosti s pandemií SARS-Cov-2 znamená významný nárůst sdílení dat. V návaznosti na to se do popředí opětovně dostávají otázky spojené s ochranou osobních údajů.
V tomto článku se zaměříme na zpracování osobních údajů při provozování webových stránek, které informují veřejnost o společenském dění.[1] Takové webové stránky vytváří prostředí pro širokou veřejnost, popřípadě pro předem určenou skupinu osob[2], prezentovat svá stanoviska, a to formou článků nebo videí. Aktuálně se jedná zejména o informační weby týkající se pandemie SARS-Cov-2 či webové stránky prezentující informace od zdravotnického personálu. Podstatným znakem takových webových stránek je, že se nejedná o standardní novinářskou činnost nebo o informace od státní správy, ale o aktivity soukromých osob.
Rozsah zpracovávaných osobních údajů
Prezentací příspěvku na webových stránkách dochází ke zpracování osobních údajů nejen jeho autora, ale také osob, jichž se příspěvek může týkat. Vzhledem k tomu, že u tohoto typu webových stránek je často kladen důraz na důvěryhodnost prezentovaných informací, jsou obvykle v pozadí, bez zveřejnění, zpracovávány i další osobní údaje. Rozsah osobních údajů může být představován jménem a příjmením autora, jeho pracovní pozicí, zaměstnavatelem, místem pobytu nebo působení či jeho fotografií. U osob, jichž se příspěvek může týkat, je rozsah zpracovávaných osobních údajů velmi široký. Příkladem může být zpracováváno jméno či příjmení osoby, její pracovní zařazení, přezdívka a mnohé další.
Zpracování osobních údajů
Právní úpravu zpracování osobních údajů nalezeme v GDPR[3]. Dalšími zdroji jsou judikatura Soudního dvora Evropské unie a také adaptační zákon[4].
Aby bylo možné správně určit povinnosti všech zúčastněných osob z pohledu ochrany osobních údajů, je nezbytné předně určit postavení jednotlivých osob v procesu zpracování osobních údajů a dále určit účel a související oprávněnost zpracování osobních údajů.
Postavení osob v procesu zpracování osobních údajů
V procesu zpracování osobních údajů jsou zapojeni provozovatel webové stránky, autor příspěvku a osoba, která je v příspěvku označená, nebo je z něj jinak identifikovatelná.
Provozovatel webových stránek bude správcem osobních údajů autora příspěvku a návštěvníků webových stránek. Postavení správce je určeno tím, že provozovatel webových stránek určuje účel a způsoby zpracování osobních údajů.
Autor příspěvku bude mít dvojí postavení. Bude správcem osobních údajů, které zazní v příspěvku samotném. Současně bude i subjektem osobních údajů, které o něm zpracovává provozovatel webových stránek.
Osoba, která bude označena, nebo jinak identifikovatelná z obsahu vlastního příspěvku, bude pouze subjektem údajů.
Poslední vztah, který je třeba vyřešit, je vzájemný vztah mezi provozovatelem webových stránek a osobou, která je v příspěvku označena, nebo je jinak identifikovatelná. Přímý vztah mezi nimi není a zpracování osobních údajů je zprostředkované přes autora příspěvku. To však neznamená, že by takovýto vztah nepodléhal ochraně osobních údajů. Provozovatel webových stránek bude muset s údaji naložit v souladu s čl. 14 GDPR, kdy osobní údaje subjektu získal z jiného zdroje.
Účely a oprávněnost zpracování osobních údajů
Ruku v ruce s postavením jednotlivých zúčastněných osob jdou i účely zpracování a jeho oprávněnost. Základní oprávnění pro zpracování osobních údajů nám vymezuje GDPR v čl. 6.
Adaptační zákon v souladu s GDPR oprávněné zpracování rozšiřuje mimo jiné i o novinářské účely.[5] Obecně byl tento pojem vztahován pouze na profesionální žurnalistiku, nicméně v souladu s judikaturou Soudního dvora Evropské unie bylo dovozeno, že i aktivita jiných osob, která spočívá „v činnosti, jejichž účelem je zpřístupnit veřejnosti informace, názory či myšlenky, ať již je způsob přenosu jakýkoli,“[6] naplňuje znaky žurnalistické činnosti.
Výše uvedené pro tento druh webových stránek, jejich provozovatele a autory příspěvků znamená, že zpracovávají-li osobní údaje za účelem zpřístupnění informací veřejnosti, uplatní se pro takovou jejich činnost výjimky upravené v adaptačním zákoně.
Zde je na místě upozornit, že v případě, kdy dochází k převzetí osobních údajů od jiného zdroje a k jejich následnému zpracování, je nutné posuzovat slučitelnost původního účelu pro něž byly osobní údaje získány a zpracovány s novým účelem. Současně je nezbytné neopomenout také očekávání subjektu údajů, že budou jeho osobní údaje zpracovány.
V našem případě můžeme uzavřít, že pro osobu, která je označena, nebo jinak v příspěvku identifikovatelná, je očekávatelné, že dojde k jeho následnému zveřejnění prostřednictvím provozovatele webových stránek a také účely se zcela shodují. Platí tedy, že je-li zpracování osobních údajů autorem provedeno za účelem jejich zveřejnění, bude k jejich zpracování oprávněn i provozovatel webového portálu.
Novinářské výjimky
Jaký je však praktický dopad aplikace výjimek pro novináře upravených v adaptačním zákoně na provozovatele webových stránek a autory jednotlivých příspěvků?
Adaptační zákon mimo to, že přidává k GDPR i další zákonná zpracování, modifikuje pro zachování smyslu a účelu novinářské činnosti také další povinnosti spojené s ochranou osobních údajů. Jde o možnost odložit poučení subjektu osobních údajů ve smyslu čl. 13 a čl. 14 GDPR a o ochranu zdroje informací. Výše uvedenými výjimkami tak je pozměněno plnění informační povinnosti a jsou omezena práva subjektů údajů vyplývající z GDPR.
Ustanovení § 18 adaptačního zákona umožňuje správci osobních údajů odložit, či zcela upustit od plnění informační povinnosti plynoucí z čl. 13 GDPR.
Z pohledu provozovatele webových stránek je uplatnění výjimky, ale omezené. Výjimka upravená v § 18 odst. 2[7] adaptačního zákona, která umožňuje zcela upustit od plnění informační povinnosti, je na provozovatele webových stránek neaplikovatelná, jelikož nenaplní ani jednu z uvedených podmínek. Provozovatel webových stránek tak může poučení subjektu údajů odložit ve smyslu § 18 odst. 1 adaptační zákona. Uvedené bohužel nemá praktický dopad, když odložit informační povinnost lze pouze toliko, že bude splněna správcem veřejně dostupným způsobem umožňujícím dálkový přístup. Provozovatel informačního portálu je tedy povinen informovat všechny subjekty, jejichž osobní údaje zpracovává v souladu s čl. 13 a čl. 14[8] na svých webových stránkách.
Naopak autoři příspěvků výjimku § 18 odst. 2 adaptačního zákona zřejmě splňovat budou, neboť splnění informační povinnosti by pro takovéto osoby představovalo nepřiměřené úsilí.
Pro oba správce osobních údajů však stále platí, že jsou povinni šetřit práva subjektu údajů v maximální možné míře[9].
Výjimky, které řeší ochranu zdroje informací a s tím související uplatňování práv subjektu údajů, jak je stanovují čl. 15 až 23 GDPR, ale již ve vztahu k provozovateli webových stránek uplatnitelné jsou, stejně jako pro autora příspěvku.[10]
Pro praxi to znamená, že subjekt údajů nemůže využitím svých práv, vyplývajících z GDPR, zjistit zdroj informací. Dále se subjekt údajů nemůže domáhat nezveřejněných informací, které o něm správce zpracovává, uplatněním práva na přístup k informacím. Naopak práva na omezení zpracování se subjekt údajů domáhat může. Podmínky pro jeho uplatnění jsou však omezené na případy, kdy nejsou osobní údaje subjektu údajů již dále potřebné pro účel, pro který byly získány[11].
Závěr
Je zcela na místě, že ochrana, která je poskytována profesionálním novinářům, je poskytnuta také zpravodajcům z řad běžných občanů, neboť tímto je podpořena ústavně zaručená svoboda slova. Současně musíme chránit i práva osob, jejichž osobní údaje jsou zpracovávány.
Provozovatelé webových portálů musí dostát povinnostem stanoveným adaptačním zákonem a řádně všechny informovat o tom, za jakým účelem a v jakém rozsahu zpracovávají osobní údaje. V rámci plnění informačních povinností však zásadně nedoporučujeme přebírat GDPR z jiných zdrojů, neboť práva subjektů údajů, jejichž osobní údaje jsou zpracovávány pro novinářský účel, jsou odlišná od běžných poučení o GDPR a je třeba subjekt údajů řádně poučit o jeho právech a povinnostech.
Mgr. Ing. Radka Klusáčková,
advokátní koncipient / associate
Stuchlíkova & Partners, advokátní kancelář, s.r.o.
Spálená 97/29
110 00 Praha 1 – Nové Město
Tel.: +420 222 767 393
e-mail: info@stuchlikova.com
[1] Účelem webových stránek nejsou činnosti přinášející zisk nebo následné zpracování osobních údajů, např. sledování chování návštěvníků webových stránek, ale primárně informování veřejnosti. Nejedná se také o oficiální zpravodajské portály, ale o soukromou aktivitu osob.
[2] Povětšinou se jedná o skupinu osob patřící k příslušnému odvětví činnosti, jejichž sdělení mají pro stávající dění význam. V současné době se jedná zejména o zdravotnické odvětví.
[3] Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů);
[5] § 17 odst. 1 adaptačního zákona;
[6] Bod 53 Rozsudku Soudního dvora Evropské unie (druhého senátu) ze dne 14. 2. 2019 ve věci C-345/17;
[7] V souladu s § 18 odst. 2 adaptačního zákona lze upustit od poučení subjektu údajů v případě, že to není možné nebo by to vyžadovalo nepřiměřené úsilí, subjekt údajů může zpracování uvedené v § 17 odst. 1 oprávněně očekávat, subjekt údajů takové informace má, nebo by poskytnutí takové informace ohrozilo nebo zmařilo účel zpracování osobních údajů, je-li takový postup nutný k dosažení oprávněného účelu zpracování osobních údajů, zejména v záležitostech veřejného zájmu.
[8] V kontextu čl. 14 GDPR, resp. § 19 odst. 1 adaptačního zákona postačuje informovat subjekt údajů o obvyklých způsobech zpracování osobních údajů správcem.
[9] § 17 odst. 1 adaptačního zákona;
[10] Výjimky z uplatnění právu subjektu údajů jsou upraveny v § 19 a násl. adaptačního zákona.
[11] Za podmínky, že je uvedeného třeba pro účely určení, výkonu či obrany právních nároků subjektu údajů.
© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz
