Když je člověk člověku fízlem
Josef Vohnout: Naše laskavá vláda se ve své nekonečné dobrotě rozhodla povolit trochu uzdu. I zamysleli se a zplodili povinnost prokazovat se negativním testem, aniž by vzali do úvahy důsledky takové akce, protože takovou věc nelze legálně udělat. Vláda to vyřešila po svém a hodila fízlování na krk druhým podle principu „rozděl a panuj“.
Zkrácená verze článku pro členy a příznivce Svazu pokrokových spisovatelů
Vázat poskytování běžných služeb na negativní test je špatně.
Jaká má být situace?
Stranický deník se zalyká nadšením nad plody lidového vítězství a radostně oznamuje, že v celé republice se otevřou kadeřnictví, kosmetické salony, pedikúry a manikúry, masáže a další podobné služby. Podmínkou bude test či to, že je člověk očkován nebo v posledních 90 dnech prodělal covid. Ale, jak známo, český člověk musí být neustále pod kontrolou, aby si nenatiskl třeba falešný test. Proto uložili provozovateli služeb povinnost vést evidenci prokázání se testem a pak se bude ověřovat, zda to byl pravdivý údaj. Protože se testujeme v zaměstnání, tak tím dokumentem se prokážeme přímo na místě. Tolik veselé plány vlády, které jsou doslova festivalem nezákonnosti. Vládní nařízení zjevně trpí vadou nedostatečného zdůvodnění, viz rozsudek Nejvyššího správního soudu sp. zn. 8 Ao 1/2021-133 ze dne 14. dubna 2021. Co všechno je na tom nelegální? Asi úplně všechno, skoro si troufám říct, že nevím, odkud začít. Vezmu to od toho, co nejvíc bije do očí a to ochrana osobních dat – nařízení Evropského parlamentu a Rady (EU) 2016/679, dále GDPR.
Provozovatel služby se stává správcem osobních dat
Pokud je pro vás problematika GDPR neznámá, pak k prvotnímu seznámení je vhodné si přečíst stránky ministerstva vnitra, dále pro rychlou orientaci v pojmech také tuhle stránku. Další seznámení s povinnostmi a právy nabízí desatero zpracování pro správce.
Klíčovým faktem, který je v této souvislosti potřeba vědět je ten, že se poskytují velice citlivé osobní údaje – jednoznačná identifikace a informace o zdravotním stavu. Jedná se o zvláště chráněný údaj a je naprosto nezbytný dobrovolný a nevynucený souhlas, který nesmí být v rozporu s předpisy či morálkou. Tak praví nařízení.
Soudruh Kůže sice mlel něco o tom, že bude stačit jenom telefonní číslo a jméno, a že si s tím soudruzi vystačí. Jedná se o klasickou právní vyjebávku. Zdánlivě nikdo po nikom nechce evidovat zdravotní data, ale pokud vykoná provozovatel službu netestovanému, dopouští se přestupku. Proto si musí poskytovatel vynutit pod pohrůžkou odepření služby informace o zdravotním stavu zákazníka – test, informaci o proběhlém očkování apod. Zákazník chtě nechtě tento údaj musí sdělit, jinak nedostane za své peníze služby. Jde tedy o vynucený sběr osobních dat o zdravotním stavu, což popírá především princip dobrovolnosti. Jakmile si jednou například kadeřnice zapíše klienta do evidence, znamená to, že služba byla vykonána a tak získává informace o zdravotním stavu klienta.
Tímto sdělením citlivých osobních dat vůči provozovateli služby tak vzniká smluvní vztah a on se tímto stává správcem osobních údajů. Jakmile se stává správcem, musí plnit povinnosti vyplývající z GDPR. Dobrý právní rozbor situace překvapivě poskytl Úřad pro ochranu osobních údajů.
Správce osobních dat také může pověřit třetí stranu, zpracovatele, pro práci se získanými osobními daty. Zpracovatelem může být jen taková osoba, která poskytuje dostatečné záruky zabezpečení dat a vždy musí existovat písemná smlouva. Důležité je také vědět, že se správce nezbavuje odpovědnosti přizváním zpracovatele. Pokud služby zajišťuje vlastními zaměstnanci, je nutná osvěta a odpovídající proškolení personálu, které je kontrolováno ze strany úřadů.
Zodpovědnost správce je vynucována velmi přísnými sankcemi zejména s ohledem na fakt, že dochází ke zpracování citlivých údajů. Lze si asi velmi snadno představit, že prozrazení informace o tom, že zákazník není testovaný, může mít závažný dopad na jeho život. Sankce se může vyšplhat podle dobrého rozmaru úředníka až k 10 miliónům. Provozovatel se může utěšovat, že jako malý provozovatel tolik nedostane, ale však víte, jak to chodí.
Co z toho vyplývá?
V tomto vztahu je poskytovatel osobních údajů nazýván subjektem údajů. V první řadě má právo na informace, jak jsou zpracovávány jeho osobní data. Zejména je důležité, pokud je poskytován souhlas se zpracováním osobních údajů, kdo přesně s předmětnými údaji bude pracovat. V případě účelu zpracování dat a identifikace zpracovatelů nebo správců to platí dokonce tak, že správce musí vůči subjektu údajů vyvinout svoji vlastní aktivitu, aby takové údaje o sobě volně zpřístupnil. Tedy na svých webových stránkách nebo velkou cedulí ve své provozovně. Zároveň ale musí mít pro poskytnutí těchto dat dalšímu správci zákonné zmocnění. Pamatujete si na nelegální poskytování osobních dat hygienou policii? Neexistuje žádné zmocnění, které by provozovateli bez vašeho souhlasu umožňovalo předávat osobní data dále.
Samotné opatření vlády podle Pandemického zákona nestačí, protože nedává vládě možnost zmocnit kohokoliv ke sběru osobních údajů. Legálně to funguje tak, že pokud úřad má zmocnění dané zákonem, nemusí žádat subjekt o souhlas. Přeloženo do češtiny, pokud jako fyzická osoba platíte daň, finanční úřad nepotřebuje souhlas ke zpracování osobních dat nutných ke ztotožnění osoby, ale má ze zákona právo s nimi nakládat. Žádné zákonné zmocnění vládu neopravňuje k tomu, aby dovolovala porušování jiného právního předpisu.
Ukaž mi občanku, soudruhu!
Velmi problematickým místem je povinnost ztotožnit zákazníka. Jak lze bez identifikace dokladem zkontrolovat, že se zákazník pln lstivosti neprohlašuje za někoho jiného? Není zcela normální nebo dokonce zákonné prokazovat se provozovateli občankou, ale to přesně vládní nařízení předpokládá. Jak vlastně takový provozovatel služeb bude ověřovat totožnost? Dokonce ani policii nemusíte ukazovat občanku, stačí říct své iniciály. Takže v tomto případě dostane provozovatel přístup do registru obyvatel ke ztotožnění? Například u prodeje alkoholických nápojů je to jasné. Nařizuje to Zákon o ochraně zdraví, který zakazuje prodej alkoholu osobám mladším 18 let. Pokud by takové zmocnění dostal provozovatel na základě nařízení vlády vyplývající z Pandemického zákona, znamenalo by to, že nařízení má sílu zákona. Tedy vláda se stává zákonodárným orgánem. Ale to pochopitelně odporuje ústavnímu pořádku zejména principu dělby moci. Nejsem sice ústavní právník, ale nemyslím si, že by Pandemický zákon mohl dát vládě právo vydávat nařízení se silou zákona. Požadavek na identifikaci je tak legálně nemožný.
Jakým způsobem budou vedeny záznamy?
Jak bylo řečeno výše, poskytují se zdravotní data a jednoznačná identifikace. Z toho vyplývá další problém, který s danou věcí souvisí. Je to způsob, jakým budou vedeny záznamy s osobními údaji. Možnosti jsou v zásadě dvojí – listinná a na datovém nosiči. Ale ve všech případech správce musí přijmout opatření k ochraně s ohledem na povahu a rozsah dat. Pokud jsou vedeny v listinné podobě, pak musí být zajištěno, že tyto dokumenty jsou uchovávány v uzamykatelné skříni nebo jiném podobném vhodném prostředku. Pokud dokumenty jsou někam přepravovány, nesmí zůstat například pohozené v autě. Pokud bude tato kniha ukradena, má provozovatel docela velký problém. V případě datového nosiče, je správce povinen zajistit vhodnou ochranu pomocí přístupových hesel nebo práv a zvážit vhodnost použití kryptografických metod.
Také nelze zapomenout na povinnost mít vnitřní předpis pro zpracování osobních údajů, který je veřejně přístupný, ať už na webových stránkách nebo na provozovně v listinné formě. Pokud tomu tak není, překračuje se obecné nařízení o ochraně dat. Velkým podnikům a organizacím před platností GDPR dala vláda na přípravu 2 roky a nyní provozovatelům, kteří nikdy podobnou povinnost neměli, týden. To se mi zdá fér.
Znovu zdůrazňuji fakt, že se jedná o údaj vypovídající o zdravotním stavu, který je veden v evidenci. Podle GDRP se jedná o zvláštní kategorii osobních údajů, jejichž ochraně je třeba věnovat vyšší pozornost. Například není možné vstoupit do provozovny a tam před ostatními zákazníky sdělovat své údaje. Takže pokud zákazník chce uvést osobní údaje, provozovatel služby musí zajistit, aby jejich sdělení bylo důvěrné, protože shromažďovat taková data je zakázáno v článku 9 odstavci prvním obecného nařízení.
Údaje o zdravotním stavu spadají pod zmíněnou kategorii a jeho zvýšenou ochranu je možné prolomit pouze v taxativně vyjmenovaných případech podle článku 9 odstavec 2 obecného nařízení. Zákaz z článku 1 lze prolomit výslovným souhlasem subjektu údajů, který je předpokládaný v písemné formě. Další možností je, že vláda bude vtipně argumentovat, že zpracování je nezbytné z důvodu veřejného zájmu v oblasti veřejného zdraví (bod i) nebo nezbytné z důvodu významného veřejného zájmu na základě práva Unie nebo členského státu, které je přiměřené sledovanému cíli (bod g). I kdyby to mělo jediný lidský život zachránit, že? U bodu i vidím jako velmi problematickou tu přeshraniční hrozbu, když je ČR nejhorší. U bodu g dochází k porušování práv na ochranu osobních údajů. Ale pevně věřím, že nám NSS vysvětlí, že je vše vlastně v pořádku, protože je tu hrozná pandemie, takže nehledíme vpravo vlevo. Jak jsem psal dříve, přijetím zákona se z pandemie stala pravda, a proto soudy vždy vychází z faktu, že lidé umírají.
Překročení pravomocí moci výkonné
Nejjasnější soudruh Kůže se ráčil vyjádřit, že do kontrol se zapojí další složky státní správy. Podle soudruha se do kontrol zapojí i živnostenské úřady, Česká obchodní inspekce, Státní zemědělská a potravinářská inspekce nebo Státní veterinární správa. Moc dobrý nápad! Přemýšlím, zda ten chlap je tak pitomý nebo navedený. Napadá mě, co bude dělat hygiena příště? Měřit rychlost, kontrolovat kvalitu mostů? Pandemický zákon sice uvádí, že kdo řeší přestupek, tomu patří penízky, takže by se dalo usuzovat, že kontroly může dělat kde kdo. Existuje však takové pravidlo ze starých časů, že veřejná správa může dělat pouze to, co jí zákon ukládá. Na rozdíl od běžných občanů, kteří mohou dělat, co chtějí, pokud jim to zákon nezakazuje. Tohle pravidlo je základní definice právního státu. Je to princip legality výkonu veřejné moci. Vždy rozsah působnosti a pravomoci subjektů veřejné moci musejí mít zákonný základ. Takže pokud by tohle bylo legální, pak je Pandemický zákon víc než Ústava a pak vláda, potažmo ministr zdravotnictví, smí suspendovat Ústavu. Docela by mne zajímalo, jak se s tím vyrovná NSS, aby dokázal, že když teda ty lidi umírají jako mouchy, tak vlastně vláda smí vše.
Vše bude stejně jako dříve
Aby zákazník docílil služby, musí se vzdát prakticky všech svých práv, udělat pár přestupků a to vše, protože zrovna potřebuje nějakou službu. Provozovatel služby, aby vyhověl vládním nařízením, tak musí porušovat jiné předpisy a násilím tlačit svého zákazníka, aby jednal proti své svobodné vůli. Stát tak likviduje smluvní volnost a vytváří podmínky, že služby de facto poskytovat nelze. Zase na druhou stranu to dává možnost rozlišit, kam se bude chodit nakupovat služby. Kdo bude u vstupu do provozovny pokřikovat něco o testu, jasně deklaruje, že o peníze zákazníka nemá zájem. Kompenzace nebudou, protože služby nejsou oficiálně uzavřeny.
Celý proces poskytování služby lze zoptimalizovat tak, že se na veselou hru na pandemii vykašleme. Bude se dál chodit ke kadeřnicím ilegálně. Když vyslovuji větu, která obsahuje vyjádření o nezákonnosti provozování kadeřnictví, nemohu se ubránit pocitu naprosté absurdity. Co bude příště? Aplikace, kde budeme hlásit, kam jdeme a s kým se chceme potkat? Takže vše pojede jako dosud, kadeřnice budou stříhat na černo, udavači budou slídit a vláda bude mít radost, že něco řídí. Je neuvěřitelné, že to vše dělá menšinová vláda v prostředí nazývaném parlamentní demokracie. Copak tato skutečnost znamená? Parlament má nulovou moc, jelikož lockdownová koalice drží spolu.
