Smlouva o skartaci dokumentů a odpovědnost za likvidaci osobních údajů

Likvidace je jednou z forem zpracování, jak uvádí § 4 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“), a to součástí velmi důležitou. Likvidací osobních údajů se uzavírá proces jejich zpracování, a je tak poslední etapou zpracování. Po provedené likvidaci již osobní údaje nebudou existovat a subjekt, který je zpracovával, přestává být správcem osobních údajů v rozsahu likvidovaných údajů,¹⁾ tedy přestává být za jejich zpracování zodpovědný.

Zpracování osobních údajů jako takové je definováno v již zmiňovaném § 4 písm. e) zákona o ochraně osobních údajů, který říká, že zpracováním osobních údajů je jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. V návaznosti na část prvou předmětného ustanovení dále definice uvádí demonstrativní výčet postupů, které se nejčastěji za zpracování považují. A mezi nimi najdeme i likvidaci, která celou paletu uzavírá.²⁾

Jak již bylo řečeno, likvidace je jednou z forem zpracování, jak uvádí § 4 písm. e) zákona o ochraně osobních údajů, a dá se říci, že tímto krokem je zpracování osobních údajů ukončeno. Jak uvedla důvodová zpráva k zákonu o ochraně osobních údajů, cílem likvidace osobních údajů je jejich neexistence pro jakékoliv další zpracování.³⁾

Likvidace osobních údajů je tedy takový krok nebo operace, jejímž důsledkem je nenávratné zničení (nebo trvalé vyloučení z dalšího zpracování) těchto informací, osobních údajů. K likvidaci osobních údajů může dojít buď přímým jednáním správce nebo zpracovatele, nebo také jednáním jiného, k tomu oprávněného subjektu.

Ustanovení § 4 písm. i) zákona o ochraně osobních údajů nabízí několik možností, jak údaje zlikvidovat. Způsob likvidace závisí na tom, na jakém nosiči jsou informace uchovávány. V zásadě se vždy jedná o fyzickou likvidaci, tedy o skutečnost, že osobní údaje přestanou u správce existovat. U papírových nosičů se nabízí skartace. Pokud správce nechce zlikvidovat všechny osobní údaje jím zpracovávané na předmětných dokumentech, přichází v úvahu také začerňování „nadbytečných“ údajů. U elektronických nosičů je možné zlikvidovat údaje jejich vymazání způsobem, který vyloučí zpětnou obnovu dat, a to například prázdnými znaky nebo překrytím jiným textem. Definice pojmu „likvidace“ v § 4 písm. i) zákona o ochraně osobních údajů připouští i možnost trvalého vyloučení z dalšího zpracování. Tato možnost je nepochybně dána pro případy, kdy dvě první možnosti nebude možno aplikovat ať už vzhledem k charakteru dat nebo jejich nosiče či média. Tento způsob se tedy formálně a také do jisté míry technologicky blíží jiné formě zpracování, kterou je blokování. Z hlediska věcného, osobní údaje, informace stále reálně existují, avšak jsou trvale a nezvratně nepřístupné pro každého, včetně správce samotného.

Za likvidaci není možné považovat takový způsob, po jehož aplikaci by přesto bylo možno, například jinými technickými prostředky, tyto údaje jakkoli obnovit, aby měly charakter osobních údajů.⁴⁾

V případě většího množství dokladů a materiálů s osobními údaji často likvidaci neprovádí sám správce osobních údajů. Uzavírá obvykle s firmou, která se specializuje na likvidaci odpadu v podobě dokumentů s osobními údaji, smlouvu o skartaci těchto dokumentů.

Navzdory obecně rozšířenému přesvědčení, že tím pro správce osobních údajů odpovědnost končí, tomu tak není. Podle ustanovení § 13 zákona o ochraně osobních údajů jsou správce a zpracovatel povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

Podle § 45 odst. 1 písm. h) zákona o ochraně osobních údajů právnická osoba nebo fyzická osoba podnikající podle zvláštních právních předpisů se jako správce nebo zpracovatel dopustí správního deliktu tím, že při zpracování osobních údajů nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů podle ustanovení § 13 téhož zákona. Zákon o ochraně osobních zákonů připouští i liberační důvod. Právnická osoba, i fyzická osoba podnikající, za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila.

Odpovědnost právnických osob a fyzických osob při výkonu podnikání nebo v souvislosti s podnikáním za správní delikt ve veřejném právu má převážně objektivní charakter a nastupuje naplněním skutkové podstaty příslušného deliktu. Obligatorním znakem skutkové podstaty správního deliktu právnické osoby (nebo fyzické osoby jako podnikatelského subjektu) tedy v naprosté většině případů není zavinění. K vyvození odpovědnosti stačí pouhý fakt porušení či nesplnění povinností stanovených zákonem nebo uložených na jeho základě. Tato odpovědnost, někdy označovaná jako absolutní, však s sebou vždy přináší riziko nepřiměřené tvrdosti a možné nespravedlnosti. Proto v souladu s judikaturou správních soudů v obecné rovině nelze možnost liberace odpovědného subjektu (zproštění odpovědnosti za určitých okolností) zcela vyloučit. Odpovědnost za správní delikt ve veřejném právu má objektivní, ale nikoli absolutní charakter, nejde tedy o odpovědnost za zavinění, ale ani o odpovědnost za výsledek. Jakkoliv se správní sice vyslovila jednoznačně v tom smyslu, že okolnosti vylučující protiprávnost je nutno respektovat a jejich uplatnění vyplývá z obecných právních předpisů, výkladem ustanovení zvláštních zákonů, případně i použitím analogie (která je zde přípustná, neboť podmínky odpovědnosti zužuje, nikoli rozšiřuje), je současně zřejmé, že ne všech obecně uváděných okolností se v případě uplatnění odpovědnosti za správní delikt fyzické či právnické osoby lze vždy dovolat, neboť to jejich povaha někdy vylučuje.⁵⁾

Pravidla ochrany osobních údajů platí v zásadě za všech okolností. Není podstatné, zda se jedná o soubor osobních údajů zpracovávaných výpočetní technikou nebo například o soubor listin, na nichž jsou osobní údaje uvedeny. Vynaložení veškerého úsilí, které je možné požadovat, neznamená jakékoli úsilí, které správce vynaloží, ale musí se ve vztahu ke každému, konkrétně posuzovanému případu, jednat o úsilí maximálně možné, které je správce objektivně schopen vynaložit (zákon používá kritérium veškeré úsilí, které bylo možno požadovat, a nikoli například spravedlivě požadovat, požadovat s ohledem na poměry).

Pouhé uzavření smlouvy, týkající se dalšího bezprostředního nakládání s předměty, obsahujícími osobní údaje, není dostačující. V takovém případě nelze hovořit o vynaložení veškerého úsilí, aby nedošlo k neoprávněnému přístupu k těmto údajům. Pro splnění podmínek ochrany osobních údajů a případnou liberaci v případě nějakého konfliktu ve vztahu k ochraně osobních údajů je třeba mít na paměti, že dosažení, resp. prokázání liberačního důvodu není samo sebou, a že tento důvod musí být správcem či zpracovatelem nejen jednoznačně prokázán, ale také musí vycházet z toho, že ne jakákoli opatření, ale opatření maximálně možná mohou být za liberační důvod uznána.⁶⁾ Pro případnou liberaci nemůže dostačovat fakt, že smlouva bude obsahovat například popis postupu převzetí specifického odpadu smluvní firmou. V každém případě musí dojít nejen ke smluvnímu zakotvení příslušných opatření, zároveň však správce osobních údajů musí zajistit, aby k likvidaci skutečně došlo. Správce má totiž odpovědnost nejen za předání dokumentů ke skartaci, ale i za průběh a kontrolu skartace. Předáním firmě, byť na základě smlouvy, bez zvláštních záruk o zabezpečení a bez dohledu nad výkonem, správce ztrácí kontrolu nad tím, zda bude likvidace skutečně provedena. Jestliže by osobní údaje byly předány ve formě, která naplňuje znaky zpracování osobních údajů (například seznamy, evidence, dokumenty uspořádané podle osobních údajů) mohlo by dojít k porušení povinnosti správce osobních údajů podle § 13 zákona o ochraně osobních údajů.