Informace k provedené fotorekognici
Zveřejnění podle ustanovení § 5 odst. 3 zákona č. 106/1999 Sb.
Žadatel požádal o následující informace:
„Ve věci povinného sp. zn. UOOZ-2173/TČ-2015 se konala fotorekognice 9.12.2015, přičemž jediný z sedmi je Slovák, Požaduji tedy žádost o součinnost / poskytnutí fotografie, adresované slovenské policii, aby tak fotoalbum na č.l. 284 až 286 mohlo být vytvořeno a popř. i doprovodnou informaci, jak tedy česká policie získává informace (fotografie) cizích státních příslušníků? Nejde-li o běžnou žádost, jakou lze jiště poskytnout v anonymizované kopii.“
Povinný subjekt se seznámil s obsahem požadovaného dokumentu a k předmětné žádosti uvedl následující:
Policie České republiky v souladu s trestním řádem používá pro účely fotorekognice fotografie z veřejných databází, a to v náhodném výběru. Tento výběr se řídí jediným kritériem - fotografie osob, které jsou ve vytvořeném fotoalbu společně s fotografii podezřelé osoby, musí být typově shodné. Pakliže se jedná o cizince národnostně – etnicky různých typů, pak jsou využívány fotografie osob vždy stejného národa – etnika. Byl-li osobu podezřelou Slovák, což nelze z pouhé fotografie určit, byly k fotografii této osoby vybrány fotografie osob typově shodné.
Nařízení Evropského parlamentu a Rady (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), dále jen „nařízení EU 2016/679“, v čl. 4 odst. 1 definuje osobní údaje jako „veškeré informace o identifikované nebo identifikovatelné fyzické osobě (dále jen „subjekt údajů“); identifikovatelnou fyzickou osobou je fyzická osoba, kterou lze přímo či nepřímo identifikovat, zejména odkazem na určitý identifikátor, například jméno, identifikační číslo, lokační údaje, síťový identifikátor nebo na jeden či více zvláštních prvků fyzické, fyziologické, genetické, psychické, ekonomické, kulturní nebo společenské identity této fyzické osoby“. Povinný subjekt v této souvislosti konstatuje, že bez ohledu na to, zda požadované informace existují či nikoliv, žadatel se domáhá údajů týkajících se jednoznačně určeného subjektu a že tyto údaje jsou nepochybně osobními údaji, neboť beze zbytku odpovídají citované definici.
Zákon č. 106/1999 Sb. v ustanovení § 8a odst. 1 praví, že „informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje povinný subjekt poskytne jen v souladu s právními předpisy, upravujícími jejich ochranu“, to znamená především v souladu s nařízením EU 2016/679. Podle ustanovení čl. 5 odst. 1 písm. b) tohoto nařízení osobní údaje musí být „shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný; další zpracování pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu nebo pro statistické účely se podle čl. 89 odst. 1 nepovažuje za neslučitelné s původními účely („účelové omezení“). Policie České republiky je nepochybně ve smyslu čl. 4 odst. 7 nařízení EU 2016/679 správcem údajů, jichž se žadatel domáhá, existují-li, a povinnost stanovená citovaným právním předpisem se na ni proto plně vztahuje (správcem se rozumí „fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení“) Zpracováním osobních údajů je podle ustanovení čl. 4 odst. 2 nařízení EU 2016/679 „jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení“. Poskytnutí osobních údajů na základě žádosti podle zákona č. 106/1999 Sb. by bylo nepochybně zpřístupněním a šířením těchto údajů, tedy jejich zpracováním.
Povinný subjekt v této souvislosti konstatuje, že údaje, jichž se žadatel domáhá, pokud existují, byly shromážděny za účelem trestního řízení vedeného policejními orgány Policie České republiky a mimo tyto účely by je mohl zpracovávat jedině v souladu s ustanovením čl. 6 nařízení EU 2016/679. Uvedené ustanovení praví, že zpracování osobních údajů je zákonné, pouze pokud je splněna nejméně jedna z následujících podmínek a pouze v odpovídajícím rozsahu:
„a) subjekt údajů udělil souhlas se zpracováním svých osobních údajů pro jeden či více konkrétních účelů;
b) zpracování je nezbytné pro splnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro provedení opatření přijatých před uzavřením smlouvy na žádost tohoto subjektu údajů;
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
f) zpracování je nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě.
První pododstavec písm. f) se netýká zpracování prováděného orgány veřejné moci při plnění jejich úkolů.“
Povinný subjekt posoudil předmětnou žádost o informace v jejím bodu č. 2) se zřetelem k výše uvedeným podmínkám zákonnosti zpracování osobních údajů a shledal, že nedisponuje souhlasem subjektu údajů se zpracováním jeho osobních údajů ve smyslu této žádosti a že žádná z dalších podmínek zákonnosti uvedených v čl. 6 nařízení EU 2016/679 na tuto žádost nedopadá. Dospěl proto k závěru, že není oprávněn zpracovávat osobní údaje tak, jak to vyplývá z bodu č. 2) předmětné žádosti o informace. Ustanovení čl. 5 odst. 1 písm. f) nařízení EU 2016/679 ukládá správci osobních údajů zpracovávat tyto údaje způsobem, který zajistí náležité zabezpečení osobních údajů, včetně jejich ochrany pomocí vhodných technických nebo organizačních opatření před neoprávněným či protiprávním zpracováním a před náhodnou ztrátou, zničením nebo poškozením („integrita a důvěrnost“)“.
V souvislosti s každou žádostí o předání osobních údajů je Policie České republiky povinna posuzovat, zda existuje právní titul pro jejich předání. V daném případě se žadatel domáhá poskytnutí osobních údajů na základě zákona č. 106/1999 Sb., to znamená, že uvádí tento zákon jako právní titul pro jejich poskytnutí. Sám zákon č. 106/1999 Sb. však přikazuje, aby v případě žádosti o poskytnutí osobních údajů povinný subjekt postupoval specificky, to jest podle nařízení EU 2016/679. Při posuzování předmětné žádosti o informace v jejím bodu č. 2) povinný subjekt shledal, že mu nejsou známy žádné důvody, jež by ho opravňovaly postupovat při zpracování požadovaných osobních údajů podle jednotlivých ustanovení čl. 6 tohoto právního předpisu, a zastává proto názor, že zpracování těchto osobních údajů ve smyslu bodu č. 2) předmětné žádosti o informace by nebylo slučitelné s původním účelem jejich shromáždění, existují-li. Z výše uvedené argumentace vyplývá, že nařízení EU 2016/679 neopravňuje povinný subjekt, který je zároveň správcem požadovaných osobních údajů, existují-li, poskytnout tyto údaje žadateli.
Pokud by tak povinný subjekt učinil, jednal by nejen v rozporu s uvedeným právním předpisem, ale také v rozporu s Listinou základních práv a svobod, která je součástí ústavního pořádku České republiky a která ve svém čl. 10 stanoví: „Každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.“ Z výše uvedených důvodů nemohl povinný subjekt požadovaní informace žadateli poskytnout.
pplk. Mgr.Iva Knolová
NCOZ SKPV
29.11.2021