Kontrola Úradu na ochranu osobných údajov – časť II.

Ut, 02/19/2019 - 13:42
Kontrola Úradu na ochranu osobných údajov - Dagital

Dá sa vôbec pripraviť na vopred neoznámenú kontrolu Úradu na ochranu osobných údajov? V tomto príspevku sa zameriame na problematiku tzv. „dawn raid“ kontrol vrátane vysvetlenia praktických úskalí, s ktorými sa pri neoznámených kontrolách musí vysporiadať kontrolný orgán.

Úrad na ochranu osobných údajov a „dawn raids“?

Ako som už spomenul v prvom blogu na tému kontrol Úradu na ochranu osobných údajov SR (ďalej len „Úrad“), Úrad má síce obmedzenú možnosť vykonať kontrolu bez jej predchádzajúceho oznámenia, avšak danú možnosť má. Tzv. „dawn raid“ v podaní Úradu je limitovaný na prípady, v ktorých by predchádzajúce oznámenie mohlo viesť k zmareniu účelu kontroly alebo podstatnému sťaženiu výkonu kontroly.

V prípade neoznámenej „dawn raid“ kontroly je tak v praxi kontrolný orgán Úradu konfrontovaný s povinnosťou oznámiť začatie kontroly priamo na mieste jej výkonu, čo naráža na praktické prekážky. Z povahy danej situácie je zrejmé, že kontrolný orgán bude doručovať oznámenie o začatí kontroly osobne. Je jasné, že ak je takto „prepadnutá“ právnická osoba, nemôže v jej mene konať akákoľvek osoba, ktorú inšpektor zastihne na mieste jej výkonu.

Ak sa nepodarí doručiť oznámenie o začatí kontroly do rúk osoby oprávnenej konať v mene kontrolovanej osoby nemôže po právnej stránke ani začať kontrola. Osobou oprávnenou konať v mene kontrolovanej osoby je štandardne štatutárny orgán, prokurista a/alebo iný zástupca (napr. splnomocnený zamestnanec na preberanie pošty  alebo osoby poverené určitou činnosťou pri prevádzkovaní podniku – štandardne generálny riaditeľ[1]).

Potenciálne problematické konanie inej osoby prítomnej v prevádzkarni podnikateľa[2], ktoré môže zaväzovať podnikateľa, nepovažujeme za právne problematické, nakoľko s ohľadom na úradnú povahu veci spojenú so značnými zásahmi do základných práv kontrolovanej osoby pri výkone verejnej moci musí kontrolný orgán vedieť, že bežný zamestnanec nie je v mene kontrolovanej osoby oprávnený robiť samostatne právne úkony spojené s výkonom kontroly a nie je tu teda potrebné chrániť dobrú vieru kontrolného orgánu vo vzťahu k obsahu úkonov takéhoto zamestnanca.

V tomto smere je však potrebné dať pozor na to, že ak oznámenie o začatí kontroly prevezme zamestnanec určený na prijímanie písomností (napr. ten, ktorému pošta vydala na základe žiadosti o doplnkové a dispozičné služby a splnomocnenia potvrdenie na preberanie zásielok do vlastných rúk), bude kontrola platne začatá s ohľadom na úpravu doručovania v kontrole (viď viac ad doručovanie v procese kontroly). Ak takýto zamestnanec určený na prijímanie písomností nie je prítomný na mieste platí, že kontrolný orgán môže účinne doručiť oznámenie o začatí kontroly iba osobe oprávnenej konať za právnickú osobu (viď výklad vyššie).

Kontrolný orgán teda v prvom rade musí prekonať prekážku spojenú s oznámením začatia kontroly oprávnenému zástupcovi kontrolovanej osoby, čo sa mu s ohľadom na spravidla náhodné okolnosti nemusí podariť. Nie je však vylúčené, že kontrolný orgán využije lesť a vopred si neoficiálne, napr. telefonicky, cez tretiu osobu preverí možnú prítomnosť osoby oprávnenej zastupovať kontrolovanú osobu na mieste plánovaného výkonu kontroly alebo využije verejne dostupné informácie.

Ak by aj kontrolný orgán Úradu úspešne doručil oznámenie o začatí kontroly zástupcovi kontrolovanej osoby, jeho postavenie by bolo oproti vopred oznámenej kontrole stále sťažené s ohľadom na nasledovné skutočnosti:

  • Právo kontrolovanej osoby na právnu pomoc;
  • Nepripravenosť kontrolovanej osoby na výkon kontroly;
  • Prevádzkovo-časové komplikácie;
  • Sťažená možnosť ukladania poriadkových pokút;
  • Príliš široko vymedzený predmet kontroly, ktorý nijako nesúvisí s dôvodmi jej možného zmarenia alebo sťaženia.

Ad právo na právnu pomoc

Táto téma bola v minulosti do značnej miery preskúmaná a aprobovaná súdnou judikatúrou najvyšších inštancií v kontexte vykonávania vopred neoznámených kontrol zo strany Protimonopolného úradu SR.[3] Z čl. 47 ods. 2 Ústavy Slovenskej republiky vyplýva právo každého na právnu pomoc v konaní pred súdmi, ako aj inými štátnymi orgánmi alebo orgánmi verejnej správy od začiatku konania, takže kontrolný orgán musí rešpektovať, ak si chce kontrolovaná osoba privolať advokáta na miesto výkonu kontroly po jej oznámení.

Ak kontrolný orgán nebude rešpektovať vôľu kontrolovanej osoby byť zastúpený počas priameho výkonu kontroly na mieste advokátom a začne vykonávať kontrolné úkony, nie je možné vylúčiť, že Úrad tým poruší základné právo kontrolovanej osoby na súdnu a inú právnu ochranu. Tým sa otvára obrovský priestor na obštrukciu a zmarenie priameho výkonu kontroly prípadne na napadnutie zákonnosti získaných dôkazov pre ďalšie konanie.

Ad nepripravenosť kontrolovanej osoby

V prípade vopred neoznámenej kontroly, nemôže kontrolný orgán očakávať, že by malo ísť všetko tak hladko, ako pri riadnej kontrole, ktorú kontrolovaná osoba vopred očakáva minimálne 10 dní vopred.

Ak sa aj podarí začať výkon kontroly, nemusia byť na mieste výkonu kontroly prítomné dôležité osoby z exekutívy, ktoré by boli schopné poskytnúť kontrolnému orgánu súčinnosť napr. umožnením prístupu do systémov s požadovaným prístupovými právami a rolami umožňujúcimi demonštrovanie niektorých funkcionalít. Úradu sa tak nemusí podariť získať kľúčové dôkazy, ktoré by sa mohli stať podkladmi pre vydávanie rozhodnutí v správnom konaní.

Ad prevádzkovo-časové komplikácie

Podľa povahy predmetu vopred neohlásenej kontroly môžu vzniknúť ďalšie komplikácie na strane kontrolovanej osoby – napr. osoby spôsobilé poskytovať kontrolnému orgánu odbornú súčinnosť nebudú mať z objektívnych a dôležitých dôvodov dostatok času na poskytnutie požadovanej súčinnosti v plnej miere (napr. budú musieť odísť v dôsledku plnenia dôležitej a neodkladnej pracovnej úlohy).

Prípadne nebude z prevádzkových dôvodov dostatočne prístupná určitá technológia spracúvajúca osobné údaje, pretože by to narušilo jej riadny chod, čo by malo priamy vplyv na služby, činnosti, príp. aj bezpečnosť kontrolovanej osoby (napr. ak by bol kamerový systém stráženého objektu konštruovaný tak, že počas jeho skúmania v rozhraní administrátora by SBS nemohla monitorovať časť dôležitého priestoru).

Ad sťažená možnosť ukladania poriadkovej pokuty

Nepripravenosť kontrolovanej osoby ako aj prevádzkovo-časové komplikácie a s nimi spojené praktické situácie, môžu zvádzať kontrolný orgán k iniciovaniu konania o uložení poriadkovej pokuty za marenie účelu kontroly, či sťažovanie podmienok pre výkon kontroly.

V prípade vopred neoznámenej kontroly sa však, podľa môjho názoru, kontrolnému orgánu sťažujú aj možnosti pre ukladanie poriadkových pokút, na ktoré je potrebné klásť oveľa vyššie nároky, ako je tomu pri marení a sťažovaní podmienok výkonu riadne vopred oznámených kontrol.

Ad Príliš široko vymedzený predmet kontroly, ktorý nijako nesúvisí s dôvodmi možného zmarenia alebo sťaženia výkonu kontroly

Triáda legality, legitimity a proporcionality zásahov štátnej moci do práv fyzických a právnických osôb by mala byť, podľa môjho názoru, základným teoretickým aspektom akéhokoľvek konania štátneho orgánu pri výkone verejnej moci.

Úrad totiž sám pri výkone kontroly spracúva osobné údaje dotknutých osôb a zasahuje tým do súkromia dotknutých osôb ako prevádzkovateľ viazaný základnými princípmi spracúvania osobných údajov. To znamená, že Úrad by mal okrem iného spracúvať len osobné údaje primerané, relevantné a obmedzené na rozsah, ktorý je nevyhnutný vzhľadom na účely, na ktoré sa spracúvajú (čl. 5 ods. 1 písm. c) GDPR), t.j. na účel plnenie úloh Úradu resp. vykonania kontroly.

Každým spracúvaním osobných údajov dochádza aj k zásahom do práva na ochranu súkromia a rodinného života, podľa čl. 8 Dohovoru tých osôb, ktorých osobné údaje sú v rámci kontroly skúmané, analyzované, či odoberané ako kópia na hmotnom nosiči informácií. Z tohto hľadiska by teda Úrad pri vymedzovaní predmetu „dawn raid“ kontroly mal prihliadať aj na nasledovné závery nálezu SR:[4]

-       Vychádzajúc z doktríny štrasburských orgánov je potrebné pri zásahu do práva na súkromie fyzickej osoby skúmať jeho legalitu, legitimitu a proporcionalitu.

-       Zásah do práva na súkromie je prípustný, len ak je to v demokratickej spoločnosti nevyhnutné v záujme dosiahnutia legitímneho cieľa. Nevyhnutnosť potom musí skúmať všeobecný súd s ohľadom na konkrétne okolnosti prípadu s dôrazom na skutočnosť, či tieto neumožňujú dosiahnuť stanovený cieľ (predchádzanie zločinnosti) inak, ako zásahom do práva na rešpektovanie súkromného života a korešpondencie.“

Ak teda Úrad vymedzí predmet vopred neoznámenej kontroly príliš extenzívne a bude pri „dawn raid“ kontrole kontrolovať aj také oblasti spracúvania osobných údajov, ktoré by mohli byť pokojne skontrolované v „bežnom“ režime, spôsobí neoprávnené (neproporcionálne) zásahy základných ľudských práv dotknutých osôb ako aj kontrolovanej osoby.

Vyššie uvedené prekážky predstavujú, podľa môjho názoru, pre kontrolný orgán skryté právne míny, pretože ak bude postupovať „premotivovane“ môže tým spôsobiť tichú explóziu, ktorá môže naplno zaznieť v neskoršom správnom konaní, či pri prieskume zákonnosti rozhodnutí Úradu v správnom súdnictve.

JUDr. Ondrej Zimen

 

 

 

[1] Podľa § 15 ods. 1 zákona č. 513/1991 Zb. Obchodný zákonník v znení neskorších predpisov: „Kto bol pri prevádzkovaní podniku poverený určitou činnosťou, je splnomocnený na všetky úkony, ku ktorým pri tejto činnosti obvykle dochádza.“

[2] Podľa § 16 zákona č. 513/1991 Zb. Obchodný zákonník v znení neskorších predpisov: „Podnikateľa zaväzuje aj konanie inej osoby v jeho prevádzkárni, ak nemohla tretia osoba vedieť, že konajúca osoba na to nie je oprávnená.“

[3] Pozri napr. Rozhodnutie Súdneho dvora EU, č. 155/79 zo dňa 18.5.1989, Rozhodnutie Najvyššieho správneho soudu v Čechách č. 5 Afs 95/2007 zo dňa 29.5.2009 a článok autorov JUDr. Daniel Futej, PhD., Mgr. Martin Zajko ( FUTEJ & Partners ): „Dawn Raids a právo na právnu pomoc“ dostupný tu: https://www.epravo.sk/top/clanky/dawn-raids-a-pravo-na-pravnu-pomoc-2786.html

[4] ÚS SR Nález Ústavného súdu Slovenskej republiky sp. zn. I. ÚS 117/07 zo 4. februára 2009