Napadlo nám trochu více sněhu, doufám, že se zvýší objem podzemních vod. V okolí Břevnovského kláštera se objevily desítky sněhuláků, idyla zimního času je tady. Využil jsem čas, abych si prohlédl zasněženou Prahu, je krásná, snad si ji nezkazíme. Na Pražský hrad nejdu, proč se mám nechat pořád lustrovat jen proto, že se pan Mynář, nadále bez prověrky, bojí. Ne, v Praze je pořád něco k vidění. Jel jsem vlakem, zadarmo, přes Pražský Semmering na Cibulku, úžasný pohled na Vltavské údolí, Vávrovu vyhlídku.
GDPR utajuje v územním plánování veřejně dostupné informace
Metodický pokyn MMR o GDPR v územním plánování, vydaný v listopadu 2018, vyvolává nutnost odborné rozpravy, neboť utajuje osobní údaje, které se stejně musí zveřejňovat v registru smluv nebo v katastru nemovitostí.
Odbor územního plánování Ministerstva pro místní rozvoj ČR vydal v listopadu 2018 desetistránkový metodický pokyn Obecné nařízení o ochraně osobních údajů a územní plánování. Uvádíme důležité pasáže doplněné graficky odlišným komentářem, který zpracoval pověřenec ČKAIT pro ochranu osobních údajů Ing. Václav Brožek.
Zkráceně je v článku metodický pokyn MMR Obecné nařízení o ochraně osobních údajů a územní plánování označován jako GDPR (General Data Protection Regulation). Vybrané citace z metodického pokynu MMR o GDPR včetně jejich originálních názvů a čísel jsou modrým textem, následuje komentář pověřence ČKAIT.
1. ÚVOD
Nařízení Evropského parlamentu a rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů). Nařízení nabylo účinnosti 25. 5. 2018.
Nařízení nestanoví požadavek zvláštního právního předpisu pro každé zpracování osobních údajů. V souvislosti s nařízením tedy nebylo nutné přijímat zvláštní zákon, který by upravoval specificky oblast územního plánování.
Kontrola souladu postupů orgánu územního plánování z hlediska souladu s GDPR nebude předmětem případných kontrol Ministerstva pro místní rozvoj.
Metodický pokyn objasňuje vliv obecného nařízení o ochraně osobních údajů výhradně na procesy územního plánování, neklade si za cíl řešit problematiku GDPR obecně. Předpokládá, že orgány územního plánování jako zpracovatelé osobních údajů se k dosažení souladu praxe s GDPR řídí metodikou úřadu, která řeší obecné otázky zpracování osobních údajů, od analýzy rizik až po zabezpečení osobních údajů a hlášení bezpečnostních incidentů.
S ohledem na povinnost správních orgánů vykonávat činnost toliko v mezích zákona nepředpokládá tento metodický pokyn, že by v rámci pořizování územně plánovacích dokumentací (dále též „ÚPD“) mohlo docházet k předávání osobních údajů fyzických osob mimo území České republiky do zemí, kde nebude platit GDPR.
Komentář: Existující zákony a předpisy jsou nadřazeny nařízení GDPR
V druhém odstavci úvodu se píše, že Nařízení nestanoví požadavek zvláštního právního předpisu pro každé zpracování osobních údajů. V souvislosti s Nařízením tedy nebylo nutné přijímat zvláštní zákon, který by upravoval specificky oblast územního plánování.
S tím nelze než souhlasit, ale je třeba správně pochopit následující vztah mezi dokumenty, který zde vyjádřen explicitně není:
Pokud již existuje jakýkoli zákon (popř. jiný právní předpis EU nebo ČR), který je aplikován v oblasti územního plánování a obsahuje řešení v oblasti osobních údajů, má tento tzv. sektorový předpis přednost před Nařízením.
To znamená, že pokud se v územním plánování využijí zákony typu Správní řád (č. 500/2004 Sb.) nebo Zákon o zadávání veřejných zakázek (č. 134/2016 Sb.), mají zde uvedená ustanovení přednost před Nařízením. Úřady, které tento vztah nepochopily, se snaží řídit výhradně Nařízením a dochází ke kuriózním situacím, kdy jsou na úředních deskách vyvěšovány písemnosti se začerněnými jmény a adresami občanů, pro které je mimo jiné písemnost určena.
2. GDPR OBECNĚ
Do působnosti GDPR spadá veškeré zpracování osobních údajů fyzických osob na území Evropské unie, a to bez ohledu na formu, účel, cíl, právní titul, formu zpracování (automatizované/elektronické i manuální) anebo postavení osoby, která za zpracování osobních údajů odpovídá. Ke zpracování osobních údajů je nezbytná existence právního titulu či důvodu pro provádění zpracování.
GDPR se netýká práv a oprávněných zájmů právnických osob. Uvedené neznamená, že by např. názvy právnických osob nepožívaly ochrany, nicméně této ochrany se nelze domáhat prostřednictvím právních prostředků obsažených v GDPR.
Úlohou nařízení je ochrana osobních údajů, nemá se tak však dít na úkor výkonu veřejné správy v rámci zákonů jednotlivých zemí. Samotné nařízení v recitálu 45 uvádí mimo jiné, že „pokud je zpracování prováděno v souladu se zákonnou povinností, která se na správce vztahuje, nebo pokud je zpracování nezbytné ke splnění úkolu ve veřejném zájmu nebo při výkonu veřejné moci, mělo by mít toto zpracování základ v právu Unie nebo členského státu.“
Komentář: Ve světle předchozí poznámky nelze souhlasit s první větou úvodu kapitoly 2.
2.1 Definice
Osobními údaji jsou veškeré informace o identifikované nebo identifikovatelné fyzické osobě. Rozlišujeme osobní údaje obecné a zvláštní. Obecné osobní údaje jsou zejména jméno, pohlaví, věk a datum narození, rodné číslo, osobní stav, e-mailová adresa, telefonní číslo, IP adresa, fotografický záznam, lokační údaje apod. Zvláštní osobní údaje jsou např. údaje o rasovém či etnickém původu, politických názorech, náboženském vyznání, členství v odborech, o zdravotním stavu, sexuální orientaci, trestních deliktech či pravomocném odsouzení, genetické a biometrické údaje (včetně podpisu), osobní údaje dětí atd.
Anonymizace je nevratný proces bez možnosti zpětné identifikace osoby. Anonymizovaný soubor neobsahuje žádné údaje o fyzických osobách, ani identifikátory (jako je např. IP adresa).
Pseudonymizace je procesem vratným. Osobní údaje nemohou být přiřazeny konkrétnímu subjektu údajů bez použití dodatečných informací a tyto dodatečné informace jsou uchovávány odděleně. Nařízení pseudonymizaci uznává jako jedno z možných technických opatření pro zajištění ochrany a bezpečnosti osobních údajů. V případech, kdy lze povinnosti splnit bez zpracování skutečných osobních údajů, měly by být v souladu se zásadou minimalizace poskytnuty pseudonymizované údaje.
Komentář: Nepřesnosti v rozlišení osobních údajů na obecné a zvláštní
Ony všeobecně nazývané citlivé údaje mají správné označení údaje zvláštní kategorie.
Nepřesná je i informace, že Anonymizovaný soubor neobsahuje žádné informace o fyzických osobách... Anonymizovaný soubor původní údaje o fyzických osobách samozřejmě obsahuje (proč by byl jinak vůbec uchováván?), pouze jsou v něm nahrazeny osobní údaje, podle nichž by mohla být osoba identifikovaná, neutrálními znaky (nebo jsou osobní údaje vymazány).
2.2 Zásady zpracování osobních údajů
Zásady zpracování osobních údajů podle GDPR vycházejících především z článků 5, 6, 25 a 32 nařízení, dále ze zásady přístupu založeného na řízení rizik a informačního sebeurčení subjektů údajů. Tyto zásady jsou následující:
Zásada zákonnosti, korektnosti a transparentnosti znamená, že osobní údaje musejí být ve vztahu k subjektu údajů zpracovávány vždy korektně, zákonným a transparentním způsobem.
Zásada účelového omezení znamená, že každé zpracování osobních údajů musí být v souladu se svým legálním účelem.
Zásada minimalizace údajů znamená, že je možné zpracovávat osobní údaje pouze v minimálním rozsahu, počtu operací a množství evidencí, které jsou nezbytně nutné a potřebné pro splnění příslušného účelu zpracování. Každý správce musí usilovat o to, aby osobní údaje nebyly shromažďovány v rozsahu, který překračuje potřeby účelu, zpracovávány nadbytečnými procesy a operacemi, popř. rozmnožovány do většího množství evidencí, než je nutné.
Zásada přesnosti znamená povinnost zpracovávat pouze přesná, správná a aktuální data. Uvedeného lze docílit ověřováním přesnosti a aktualizací osobních údajů.
Zásada omezeného uložení znamená povinnost uchovávat osobní údaje jen po dobu nezbytně nutnou k naplnění účelu zpracování. Tato zásada bude v praxi aplikována a splněna především dodržováním předepsaných archivačních (skartačních) lhůt.
Zásada integrity a důvěrnosti představuje zejména povinnost zajistit bezpečné zpracování osobních údajů. Při posuzování vhodné úrovně bezpečnosti zpracování osobních údajů se zohlední obzvláště rizika, která představuje zpracování osobních údajů, zejména náhodné nebo protiprávní zničení, ztráta, pozměňování, neoprávněné zpřístupnění předávaných, uložených nebo jinak zpracovávaných osobních údajů, nebo neoprávněný přístup k nim. Vhodná technická a organizační opatření poměrně stručně zmiňuje čl. 32 GDPR, přičemž jedním z nich je pseudonymizace.
Komentář: Dodržování skartačních (nikoliv archivačních) lhůt
Drobná nepřesnost je i tady, konkrétně u zásady omezeného uložení, kde je v závěru napsáno ...dodržováním archivačních (skartačních) lhůt. Správně by mělo být pouze ...dodržováním skartačních lhůt, protože žádné archivační lhůty neexistují – pokud má být něco archivováno (skartační znak A), potom toto není žádnou lhůtou omezeno.
3. Konkrétní oblasti územního plánování ve vztahu k GDPR
3.1 Anonymizace ÚPD
Anonymizací prochází údaje identifikující fyzickou osobu při podání uvedené v § 37 odst. 2 správního řádu, tedy jméno a příjmení, datum narození, adresa trvalého pobytu, případně jiná adresa pro doručování. Pokud by nastala situace, že fyzická osoba uvede údaje, které jí identifikují jako fyzickou osobu podnikající, anonymizují se i tyto údaje. Takovými údaji nad rámec již uvedených údajů u fyzických osob by byl případný odlišující dodatek, identifikační číslo osoby a adresa podnikání zapsaná ve veřejném rejstříku či jiná adresa pro doručování.
Předmětem anonymizace nejsou údaje identifikující nemovitosti, k jejichž regulaci podání fyzické osoby směřovalo. Neanonymizují se tedy údaje evidované v katastru nemovitostí pro jednotlivou obec a katastrální území o parcelách, budovách, pokud nejsou součástí pozemku nebo práva stavby, jednotkách, právu stavby, ani údaje o nemovitostech neevidovaných v katastru. Zejména se nebudou anonymizovat parcelní čísla pozemků, čísla popisná a evidenční budov a názvy katastrálních území a obcí.
Územně plánovací dokumentace nabývá účinnosti patnáctým dnem po oznámení veřejnou vyhláškou. Po tuto dobu je též „doručováno“ rozhodnutí o námitkách, které je součástí odůvodnění opatření obecné povahy. Po tuto dobu musí být vyvěšena neanonymizovaná územně plánovací dokumentace. Po stejnou dobu musí být přístupný i neanonymizovaný spis k územně plánovací dokumentaci.
Anonymizovanou verzi vydané územně plánovací dokumentace pořizovatel připraví po jejím oznámení veřejnou vyhláškou. Po nabytí účinnosti opatření obecné povahy pořizovatel zajistí zveřejnění způsobem umožňujícím dálkový přístup anonymizované verze územně plánovací dokumentace (§ 165 odst. 3 stavebního zákona). Do této anonymizované verze je rovněž umožněno nahlížet. Zároveň však musí být zachována i neanonymizovaná verze pro účely případného přezkumu územně plánovací dokumentace. K anonymizaci správního spisu o pořizování územně plánovací dokumentace musí docházet průběžně, s ohledem na možnost nahlížení do správního spisu.
Povinnost ochrany osobních údajů anonymizací se vztahuje na všechny účinné územně plánovací dokumentace a správní spisy z jejich pořizování bez ohledu na datum jejich vydání. Jinými slovy, anonymizovat je potřebné všechny účinné územně plánovací dokumentace, k nimž je umožněn dálkový přístup a u nichž lze třetí osobou vyžadovat u úřadu územního plánování jejich poskytnutí, čímž může dojít k zásahu do práv fyzických osob chráněných GDPR. Obdobně je nezbytné provést anonymizaci před umožněním nahlížení do správního spisu již vydaných územně plánovacích dokumentací. S ohledem na možnost soudního přezkumu územně plánovací dokumentace po stránce hmotné i procesní po celou dobu její účinnosti prostřednictvím incidenčního přezkumu je nezbytné zachovávat nejméně po dobu účinnosti územně plánovací dokumentace i správní spis z jejího pořizování.
Komentář: Tato podkapitola týkající se anonymizace ÚPD je nejproblematičtější z celého textu, vyzařuje z ní snaha uplatnit nějak GDPR za každou cenu.