Po účinnosti nařízení Evropského parlamentu a Rady ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů, ve znění pozdějších úprav, doplňků nebo změn (dále jen "GDPR"), jsme se setkali s dotazy, zda vysoké školy mají případně skrýt (např. začerněním) některé osobní údaje obsažené v rozhodnutí, či zda má být rozhodnutí zveřejněno v celém rozsahu.

Právní úprava ochrany osobních údajů v tomto směru není specifická pro vysoké školy a závěry tohoto článku lze přiměřeně aplikovat též na vyvěšení rozhodnutí jinými správními orgány, jak je uvedeno dále.

Vysoké školy rozhodují v souladu s § 50 a § 68 zákona č. 111/1998 Sb., o vysokých školách, v platném znění (dále jen „zákon o vysokých školách“) o přijetí uchazeče do studia, resp. o právech a povinnostech studentů v případech stanovených zákonem. Nestanoví-li zákon výslovně jinak, jsou tato rozhodnutí rozhodnutími ve smyslu § 67 zákona č. 500/2004 Sb., správní řád, v platném znění (dále jen „správní řád“) a na řízení o jejich vydání se tedy použije správní řád. Aby rozhodnutí nabylo právní moci a mohlo vyvolat účinky vůči osobám, kterým ukládá práva a povinnosti, musí mít stanovenou formu, obsah, náležitosti a musí být doručeno zákonem předpokládaným způsobem.

Při doručování písemností postupuje vysoká škola v souladu s § 69a zákona o vysokých školách. Vysoká škola se při rozhodování o právech a povinnostech považuje za správní orgán ve smyslu správního řádu, je tedy nutno přiměřeně použít postup dle § 19 a násl. správního řádu.

Dle § 69a zákona o vysokých školách platí, že:

Při doručování veřejnou vyhláškou se jedná o náhradní způsob doručení písemnosti, který je krajním způsobem řešení situace při doručování.[1] Správní řád nestanoví, že by v případě doručování veřejnou vyhláškou měly být skrývány jakékoliv údaje, nebo že by se písemnost pozměňovala (např. místo uvedení jména Adam Novák pouze A.N.), za účelem nezveřejnění některých osobních údajů. Takové skrývání nebo pozměňování některých částí rozhodnutí by bylo proti samotnému smyslu doručení písemnosti, která má být doručena v celém svém rozsahu, v případě takového postupu by navíc nebyly splněny požadavky správního řádu pro doručení rozhodnutí.

K obdobnému závěru dospělo též Ministerstvo vnitra ČR v dokumentu Metodický návod pro vedení elektronické úřední desky v územních samosprávných celcích: „V případě doručování veřejnou vyhláškou nemá správní orgán možnost pro zajištění ochrany osobních údajů písemnost pozměnit, např. začerněním osobních údajů či podobnou úpravou. Proto jestliže písemnost obsahuje osobní údaje, které lze považovat za citlivé, postupuje správní orgán tak, že na úřední desce a elektronické úřední desce vyvěsí namísto samotné písemnosti oznámení o možnosti převzít písemnost u příslušného správního orgánu (§ 25 odst. 2 správního řádu).“[2] Ministerstvo vnitra ČR rozebírá tuto situaci podrobněji také v dokumentu Příloha k Průvodci pro přípravu obcí na požadavky GDPR. Také zde dospívá k obdobným závěrům: „Při doručování veřejnou vyhláškou podle správního řádu jsou přípustné jak publikace úplného znění písemnosti samotné, tak i publikace oznámení o možnosti převzít písemnost na úřední desce správního orgánu, který písemnost doručuje. Správní řád neupravuje kritéria pro volbu daného způsobu, obec jako správní orgán by měla tedy zvážit okolnosti konkrétního případu, resp. obsah doručované písemnosti v jednotlivém případě. Vyvěšení písemnosti by mělo být primárním způsobem, pro vyvěšení pouhého oznámení by měly existovat důvody bránící vyvěšení samotné písemnosti (typicky její velký rozsah) a nebo důvody dané ochranou osobních údajů tedy například případy, kdy písemnost samotná obsahuje rovněž osobní údaje jiných osob než adresáta, osobní údaje zvláštních kategorií apod.“[3]

Účelem zveřejnění písemnosti na úřední desce je umožnit adresátovi písemnosti uplatnit jeho práva o oprávněné zájmy.[4] Je tedy nezbytné písemnost vyvěsit v celém svém rozsahu, s celým odůvodněním a uvedením všech práv a povinností, která dané osobě vznikají. Předpokládáme přitom, že rozhodnutí vysoké školy neobsahuje osobní údaje jiných osob nežli adresáta a také neobsahuje citlivé údaje, resp. osobní údaje ze zvláštních kategorií.[5]

V souladu s čl. 6 odst. 1 písm. c) GDPR je zákonné takové zpracování osobních údajů, které je nezbytné pro splnění právní povinnosti vztahující se na správce. Vzhledem k tomu, že se jedná o zpracování z důvodu zákonné povinnosti, nikoliv z důvodu oprávněného zájmu, není nutné provádět test proporcionality práv studenta na ochranu soukromí a práv vysoké školy na řádné rozhodnutí věci, vč. doručení rozhodnutí. K obdobné problematice se v případě obcí vyjadřovalo např. Ministerstvo vnitra ČR, přičemž dospělo k závěru, že „Například v doručování veřejnou vyhláškou se nelze vyhnout zveřejnění osobních údajů a obci dokonce takový postup ukládá přímo zákon. Jestliže je tedy veřejná vyhláška v souladu se zákonem a neobsahuje údaje, které nejsou pro daný účel nezbytné, je postup obce též v souladu s obecným nařízením.“[6]

Právní povinností správce – vysoké školy je řádné doručení písemnosti studentovi. V případě, že písemnost nemůže být doručena na adresu studenta, do jeho datové schránky nebo prostřednictvím elektronického informačního systému (pokud takovou možnost stanoví vnitřní předpis vysoké školy), přichází na řadu doručením prostřednictvím veřejné vyhlášky.

Je tedy důležité, aby správce – vysoká škola dodržela správný proces při doručování písemnosti a ke zveřejnění (tedy k určitému zásahu do práv studenta – subjektu údajů na ochranu jeho osobních údajů) došlo až v případě, že takové omezení je nezbytné k dosažení účelu, pro který jsou osobní údaje zpracovány. Tedy, v první řadě budou v souladu se zákonem zvoleny způsoby doručení, při kterých nejsou osobní údaje studenta zveřejněny. Až v případě, že se těmito způsoby nepodařilo písemnost doručit, může dojít k doručení, při kterém jsou údaje studenta zveřejněny na úřední desce.

Rozhodnutí obsahuje osobní údaje. V souladu s § 68 odst. 2 resp. § 18 odst. 2 správního řádu, obsahuje rozhodnutí identifikační údaje osoby, tedy jméno, příjmení, datum narození a místo trvalého pobytu. Kromě identifikačních osobních údajů může rozhodnutí ve výrokové části a v odůvodnění obsahovat další osobní údaje, zejména informace o uložených právech a povinnostech a důvodech, které k uložení takových práv a povinností vedly.

Správní řád stanoví, že na písemnost se v den jejího vyvěšení vyznačí den vyvěšení a patnáctý den po vyvěšení se písemnost považuje za doručenou. Jakmile je písemnost doručena, je dosaženo účelu zpracování a dle našeho názoru by další uchování zveřejněné písemnost na úřední desce bylo již nadbytečné. Správce – vysoká škola má tedy povinnost, poté co byla písemnost doručena zveřejněním na úřední desce, zpracování osobních údajů omezit a písemnost z úřední desky sejmout.

1. Zpracování osobních údajů, které jsou součástí doručovaného rozhodnutí, je legitimní, jelikož jde o zpracování nezbytné pro splnění právní povinnosti.

2. Obdobně platí totéž také pro zveřejnění rozhodnutí jeho vyvěšením na úřední desce. Vysoká škola však musí postupovat v souladu se zákonem o vysokých školách a správním řádem.

• Musí tedy v prvé řadě zvolit způsoby doručení písemnosti, při kterých nejsou osobní údaje studenta zveřejněny a až v případě, že se těmito způsoby nepodařilo písemnost doručit, může dojít k doručení, při kterém jsou údaje studenta zveřejněny na úřední desce.
• Kromě toho musí rozhodnutí obsahovat výhradně osobní údaje předpokládané zákonem, tedy jméno, příjmení, datum narození, místo trvalého pobytu a případné další osobní údaje obsažené ve výroku a v odůvodnění rozhodnutí.
• Pokud by takto byly v rozhodnutí obsaženy též osobní údaje jiných osob než adresáta, či pokud by rozhodnutí obsahovalo zvláštní kategorie osobních údajů, měla by vysoká škola místo vyvěšení rozhodnutí na úřední desce zvolit publikaci oznámení o možnosti převzít písemnost na úřední desce.

3. Aby písemnost mohla být řádně doručena, nesmí při zveřejnění písemnosti docházet k pozměňování nebo začerňování osobních údajů.

4. Po uplynutí patnácti dní od zveřejnění, po kterých se písemnost považuje za doručenou, má vysoká škola povinnost písemnost z úřední desky odejmout a dále osobní údaje nezveřejňovat.

Uvedené závěry a požadavky na zveřejnění na úřední desce lze také přiměřeně aplikovat na jakékoli doručování správních rozhodnutí jinými orgány státní správy. Je samozřejmě nutno postupovat v souladu s příslušnými zvláštními právními předpisy.

[1] Potěšil, Hejč, Rigel, Marek. Správní řád, 1. vydání, 2016 C.H.Beck

[2] Ministerstvo vnitra České republiky. Metodický návod pro vedení elektronické úřední desky v územních samosprávných celcích. K dispozici >>> zde. 

[3] Ministerstvo vnitra České republiky. Příloha k Průvodci pro přípravu obcí na požadavky GDPR. K dispozici >>> zde. 

[4] Jemelka, Pondělíčková, Bohadlo. Správní řád, 5. vydání, 2016, C.H.Beck

[5] GDPR v čl. 9 odst. 1 vymezuje zvláštní kategorie osobních údajů jako osobní údaje, „které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby“. 

[6] Ministerstvo vnitra České republiky. Dotazy z praxe. K dispozici >>> zde. 

© EPRAVO.CZ – Sbírka zákonů, judikatura, právo | www.epravo.cz