 |
| |||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
Zeptejte se p°φmo u kovß°eà
V diskuzφch o provozu elektronick²ch obchod∙ Φasto sklouzne °eΦ na tΘma registracφ a naklßdßnφ s ·daji, kterΘ o sob∞ zßkaznφk uvede. Aby obchodnφk mohl virtußln∞ zakoupenΘ zbo₧φ doruΦit, musφ objednatele po₧ßdat nejmΘn∞ o jeho jmΘno, p°φjmenφ a poÜtovnφ adresu. To jsou ale podle zn∞nφ zßkona informace, kterΘ subjekt jednoznaΦn∞ identifikujφ. Jednß se o osobnφ ·daje, kterΘ je t°eba chrßnit. Nßzory na to, jak zßkon 101/2000 Sb. v tomto konkrΘtnφm p°φpad∞ vyklßdat, se znaΦn∞ liÜφ, proto jsem se rozhodl po₧ßdat o stanovisko p°φmo ┌°ad pro ochranu osobnφch ·daj∙. Zde je jeho odpov∞∩:
Havelkova 22, 130 00 Praha 3
Telefon: 221008227, Fax: 222717680
Vß₧en² pane doktore,
┌°ad pro ochranu osobnφch ·daj∙ obdr₧el VßÜ dotaz ze dne 17. zß°φ 2002 t²kajφcφ se aplikace zßkona Φ. 101/2000 Sb., o ochran∞ osobnφch ·daj∙ a o zm∞n∞ n∞kter²ch zßkon∙, v platnΘm zn∞nφ (dßle jen zßkon), ve vztahu k elektronick²m obchod∙m.
Jak ve svΘm dopisu uvßdφte, kupujφcφ se mohou p°i elektronickΘm obchodu registrovat, tedy poskytnout n∞kterΘ informace majiteli elektronickΘho obchodu. P°i posuzovßnφ, zda se na tento p°φpad bude zßkon aplikovat, je t°eba v prvΘ °ad∞ urΦit, jestli jsou tyto informace osobnφmi ·daji. Podle º 4 pφsm. a) zßkona je osobnφm ·dajem jak²koliv ·daj t²kajφcφ se fyzickΘ osoby, kterou lze identifikovat. Poskytne-li tedy kupujφcφ ·daj o jmΘnu, p°φjmenφ a bydliÜti, jednß se o ·daje osobnφ. OvÜem nap°φklad E-mailovß adresa (pokud nenφ jejφm obsahem osobnφ ·daj) v kombinaci s ·dajem o mφstu podnikßnφ fyzickΘ osoby û podnikatele by ji₧ osobnφmi ·daji nebyly. Je tedy t°eba posuzovat p°φpad od p°φpadu, zda lze z tΘ kterΘ kombinace ·daj∙ zjistit identitu fyzickΘ osoby. Zßkon nelze automaticky aplikovat na vÜechny ·daje shromß₧d∞nΘ majiteli internetov²ch obchod∙. Je ale velmi pravd∞podobnΘ, ₧e se v t∞chto databßzφch budou osobnφ ·daje vyskytovat, v takov²ch p°φpadech je t°eba osobnφ ·daje zpracovßvat v souladu se zßkonem.
Ve svΘm dopisu se ptßte, jakß pravidla platφ pro uchovßnφ osobnφch ·daj∙. Sprßvce osobnφch ·daj∙ (tzn. majitel elektronickΘho obchodu) je povinen ·daje uchovßvat pouze po dobu nezbytnou (a v nezbytnΘm rozsahu) k napln∞nφ stanovenΘho ·Φelu (º 5 odst. 1 pφsm. e), zabezpeΦit osobnφ ·daje p°ed nahodil²m Φi neoprßvn∞n²m p°φstupem Φi jin²m zpracovßnφm (º 13), nesmφ tyto ·daje zpracovßvat pro jin² ·Φel, ne₧ pro kter² byly shromß₧d∞ny (º 5 odst. 1 pφsm. f), v tomto p°φpad∞ lze tedy ·daje zpracovßvat jen k ·Φelu zjednoduÜenφ internetovΘho nßkupu; dßle sprßvce nesmφ r∙znΘ databßze ani jednotlivΘ osobnφ ·daje zφskanΘ k rozdφln²m ·Φel∙m sdru₧ovat (º 5 odst.1 pφsm. h), je povinen osobnφ ·daje zlikvidovat, jakmile pomine ·Φel zpracovßnφ (º 20). Sprßvce mß informaΦnφ povinnost ve smyslu º 11 a povinnost oznamovacφ v∙Φi ┌°adu pro ochranu osobnφch ·daj∙ (º 16). V danΘm p°φpad∞ m∙₧e sprßvce osobnφ ·daje zpracovßvat, a tedy i uchovat, pouze se souhlasem subjektu ·daj∙, p°iΦem₧ souhlas musφ mφt nßle₧itosti º 5 odst. 5 zßkona.
S pozdravem
JUDr. Alena K u Φ e r o v ß
°editelka odboru legislativnφho a prßvnφho
PraktickΘ dopady
Podle zn∞nφ zßkona lze za osobnφ ·daj pova₧ovat (citace) "jak²koliv ·daj t²kajφcφ se urΦenΘho nebo urΦitelnΘho subjektu ·daj∙. Subjekt ·daj∙ se pova₧uje za urΦen² nebo urΦiteln², jestli₧e lze na zßklad∞ jednoho Φi vφce osobnφch ·daj∙ p°φmo Φi nep°φmo zjistit jeho identitu. O osobnφ ·daj se nejednß, pokud je t°eba ke zjiÜt∞nφ identity subjektu ·daj∙ nep°im∞°enΘ mno₧stvφ Φasu, ·silφ Φi materißlnφch prost°edk∙". Obsahuje-li tedy registrace zßkaznφka v elektronickΘm obchod∞ kombinaci jmΘno, p°φjmenφ a adresa, jednß se nepochybn∞ o osobnφ ·daje. P°evzetφm dat prvnφho nakupujφcφho se tedy cht∞ necht∞ majitel e-shopu stßvß i sprßvcem osobnφch ·daj∙.
Sprßva dat
Paragraf 5 uvedenΘho zßkona urΦuje povinnosti takovΘho sprßvce. Mezi ty nejd∙le₧it∞jÜφ pat°φ:
- Shroma₧∩ovat osobnφ ·daje odpovφdajφcφ pouze stanovenΘmu ·Φelu a v rozsahu nezbytnΘm pro napln∞nφ stanovΘho ·Φelu (º5, odst. 1, pφsm. d).
- Uchovßvat osobnφ ·daje pouze po dobu, kterß je nezbytnß k ·Φelu jejich zpracovßnφ. Po uplynutφ tΘto doby mohou b²t osobnφ ·daje uchovßvßny pouze pro ·Φely statistickΘ, v∞deckΘ a pro ·Φely archivnictvφ. P°i pou₧itφ pro tyto ·Φely je t°eba dbßt prßva na ochranu p°ed neoprßvn∞n²m zasahovßnφm do soukromΘho a osobnφho ₧ivota subjektu ·daj∙ (º5, odst. 1, pφsm. e).
- Zpracovßvat osobnφ ·daje pouze v souladu s ·Φelem, k n∞mu₧ byly shromß₧d∞ny, pokud zvlßÜtnφ zßkon nestanovφ jinak. Zpracovßvat k jinΘmu ·Φelu lze osobnφ ·daj, jen pokud k tomu dal subjekt ·daj∙ souhlas (º5, odst. 1, pφsm. f).
- Shroma₧∩ovat osobnφ ·daje pouze otev°en∞; je vylouΦeno shroma₧∩ovat ·daje pod zßminkou jinΘho ·Φelu nebo jinΘ Φinnosti, pokud zvlßÜtnφ zßkon nestanovφ jinak (º5, odst. 1, pφsm. g).
- Nesdru₧ovat osobnφ ·daje, kterΘ byly zφskßny k rozdφln²m ·Φel∙m, pokud zvlßÜtnφ zßkon nestanovφ jinak (º5, odst. 1, pφsm. h).
Pokud sprßvce nepou₧ije data jednorßzov∞ (k vy°φzenφ objednßvky) a ulo₧φ je do databßze, musφ zßkaznφka po₧ßdat o souhlas. "Ze souhlasu musφ b²t patrnΘ, v jakΘm rozsahu je poskytovßn, komu a k jakΘmu ·Φelu, na jakΘ obdobφ a kdo jej poskytuje. Souhlas m∙₧e b²t kdykoliv odvolßn, pokud se subjekt ·daj∙ se sprßvcem v²slovn∞ nedohodne jinak. Tento souhlas musφ sprßvce prokßzat po dobu zpracovßnφ osobnφch ·daj∙, k jejich₧ zpracovßnφ byl dßn souhlas" (citace º5 odst. 5, na kter² dopis ┌OO┌ takΘ poukazuje).
ProblΘmem nenφ stav, kdy e-shop p°edß osobnφ data dalÜφmu subjektu (nap°. distribuΦnφ firm∞), kterß se tak stane zpracovatelem ·daj∙. Pro zpracovatele platφ stejnΘ povinnosti jako pro sprßvce, ale navφc nesmφ zφskanΘ informace poskytnout dalÜφ osob∞.
InformaΦnφ povinnost dle º 11
"Sprßvce je p°ed zahßjenφm zpracovßnφ osobnφch ·daj∙ povinen subjekt ·daj∙ °ßdn∞ a vΦas pφsemn∞ informovat o tom, v jakΘm rozsahu a pro jak² ·Φel budou osobnφ ·daje zpracovßvßny, kdo a jak²m zp∙sobem bude osobnφ ·daje zpracovßvat a komu mohou b²t osobnφ ·daje zp°φstupn∞ny Φi komu jsou urΦeny, nejsou-li subjektu ·daj∙ tyto informace ji₧ znßmy." Tyto a dalÜφ informaΦnφ povinnosti, kterΘ jsou zßkonem na°φzeny (pouΦenφ o prßvu p°φstupu k informacφm, d∙sledky odmφtnutφ apod.) m∙₧e management e-shopu splnit zve°ejn∞nφm prohlßÜenφ b∞hem aktu registrace.
Ochrana dat dle º 13
"Sprßvce a zpracovatel jsou povinni p°ijmout takovß opat°enφ, aby nemohlo dojφt k neoprßvn∞nΘmu nebo nahodilΘmu p°φstupu k osobnφm ·daj∙m, k jejich zm∞n∞, zniΦenφ Φi ztrßt∞, neoprßvn∞n²m p°enos∙m, k jejich jinΘmu neoprßvn∞nΘmu zpracovßnφ, jako₧ i k jinΘmu zneu₧itφ osobnφch ·daj∙. Tato povinnost platφ i po ukonΦenφ zpracovßnφ osobnφch ·daj∙." No comment :-)
Oznamovacφ povinnost dle º 16
Op∞t cituji zßkon 101/2000 Sb.: "Ten, kdo hodlß zpracovßvat osobnφ ·daje, je povinen tuto skuteΦnost oznßmit ┌°adu p°ed zapoΦetφm zpracovßvßnφ osobnφch ·daj∙. Oznßmenφ je povinen uΦinit i sprßvce, jestli₧e hodlß zm∞nit zpracovßnφ osobnφch ·daj∙. Oznßmenφ musφ b²t uΦin∞no pφsemn∞." O tom, jakΘ nßle₧itosti musφ "buma₧ka" mφt a kdy lze oΦekßvat jejφ vy°φzenφ, hovo°φ dalÜφ Φßst tohoto paragrafu.
ResumΘ
Pokud e-shop od sv²ch zßkaznφk∙ vy₧aduje p°i registraci vypln∞nφ osobnφch ·daj∙ (staΦφ kombinace jmΘno + p°φjmenφ + poÜtovnφ adresa), musφ se °φdit p°i manipulaci s takov²mi daty Zßkonem o ochran∞ osobnφch ·daj∙ . Podmφnkou nutnou je oznßmenφ ┌°adu pro ochranu osobnφch ·daj∙, kter² nad nφm nadßle vykonßvß kontrolnφ Φinnost a m∙₧e mu za nespln∞nφ litery zßkona "napa°it" dokonce a₧ desetimili≤novou pokutu.