Co kauza Turek vs. Abel ukazuje o GDPR ve veřejné správě

Kauza Turek vs. Abel se rozebírá ze všech možných stran, a jedna z nich je i nakládání s osobními údaji. Bohužel většinou v podobě obecného vykřikování termínu GDPR, bez hlubší analýzy skutečného skutkového stavu a dopadu stávající regulace. Vystoupení vládního zmocněnce Filipa Turka v internetové televizi XTV, kde z papíru přečetl, kolik si měl bývalý analytik Martin Abel vydělat za padesát hodin práce, je přitom z tohoto pohledu zajímavou ukázkou aplikace této problematiky.

Pro připomenutí, Abel si v dubnu na půdě Sněmovny dovolil označit Turkovy výroky o energetice za nesmysly. Výzkumný ústav pro krajinu (VÚK) s ním obratem rozvázal smlouvu. Turek o pár týdnů později vystoupil v živém vysílání, mával listem papíru a s nepřehlédnutelným uspokojením oznámil, že příkazní smlouvu vlastně vůbec nemá mít u sebe, jen prostě „někde někomu vypadla na chodbě ministerstva“. Iniciativa Štít demokracie následně avizovala podnět k Úřadu pro ochranu osobních údajů.

Plat a smlouva osobním údajem jsou, ale příběh tím nekončí

Jméno, datum narození, ale i výše mzdy nebo počet odpracovaných hodin. To vše jsou osobní údaje, pokud je lze přiřadit ke konkrétní fyzické osobě. O tom žádný spor není.

Spor je o něco jiného a v tom je celá kauza didakticky cenná. Příkazní smlouva uzavřená mezi Abelem a VÚK byla totiž už dávno v registru smluv, volně dostupná komukoliv. Znamená to, že informace, které Turek čte z papíru před kamerou, nejsou samy o sobě nějakým utajeným pokladem, ale údaje, které byly zveřejněny v souladu se zákonem. Tady však leží intelektuálně poctivá část otázky: pokud jsou data již legálně veřejná, co přesně se tedy stalo špatně?

Tři místa, kde je led tenký

Odpověď se neskrývá v samotné výši platu. Skrývá se v tom, k čemu a jak jsou data použita. Zveřejnění v registru smluv má jasně vymezený účel daný zákonem, tedy transparentnost nakládání s veřejnými prostředky. Vystoupení v zábavné talk show má účel úplně jiný. Pokud nazýváme věci pravými jmény, v daném případě to byla osobní odveta vůči člověku, který si dovolil veřejně oponovat.

První problém je tedy změna účelu. Stejné údaje, jiný účel, jiné posouzení. To, že je něco dostupné v registru smluv, neopravňuje kohokoliv k tomu, aby si z toho udělal pořad. Argument „je to přece veřejné“ na první pohled zní logicky, jenže při bližším pohledu nestačí.

Druhý problém je právní důvod, proč to vůbec smí veřejně zaznít. Pokud Turek vystupoval jako fyzická osoba, mohl by se odvolávat na to, že jde o jeho čistě soukromou aktivitu. Veřejné vystoupení vládního zmocněnce v televizi ale do škatulky soukromé aktivity těžko zapadne. Pokud naopak vystupoval ve funkci zmocněnce, musí mít pro takové sdělení nějakou zákonnou oporu. Souhlas dotčené osoby zjevně chybí. Argument typu „obhajoba před kritikem“ jako legitimní zájem neobstojí. A zákonný postup pro zveřejňování platů z veřejných rozpočtů má svá pravidla, která se odbavují přes úřední žádost, ne přes pořad Přísně tajné.

Třetí problém je způsob získání dokumentu. Smlouva sice byla v registru, ale konkrétní výtisk se podle Turkových slov „povaloval na chodbě“. Toto vyjádření je (tragi)komické. Pokud se dokumenty s osobními údaji skutečně válejí po chodbách ministerstva, mluvíme o vážném selhání zabezpečení ze strany úřadu. Pokud se neválely a Turek si scénář upravil pro lepší dramaturgii, mluvíme o jiném problému, který už ale řeší jiné předpisy.

Co si z toho může odnést běžná organizace

Politické divadlo nechme stranou. Pro HR oddělení, právníky a vedení firem i úřadů je v této kauze několik velmi konkrétních poučení.

Smlouvy a mzdové údaje nejsou nástrojem veřejné polemiky. Když odchází zaměstnanec nebo dodavatel, ať už hladce nebo v sporu, jeho odměna patří do uzamčené složky. Emoce, ego a touha mít poslední slovo do správy osobních údajů nepatří. V praxi nejnebezpečnější únik nikdy nezpůsobí asistentka v HR. Způsobí jej vrcholový management v krizové komunikaci, kdy chce „uvést věci na pravou míru“.

Veřejnost dokumentu neznamená volnou licenci na další zpracování. Tohle je nejdůležitější poučení z celé kauzy. Registr smluv je nástroj transparentnosti, nikoliv zdroj materiálu pro youtubery. Mnoho organizací zaměňuje pojem „veřejně dostupné“ za „libovolně zpracovatelné“. Není to totéž.

Zabezpečení dokumentů na pracovišti není formalita. Pokud má vaše organizace dokumenty s osobními údaji v režimu „někde na chodbě“, není to půvabně bohémské. Je to porušení povinností správce. Vedení by mělo zvážit, kolik kontrol fyzické bezpečnosti za poslední rok vlastně proběhlo, a jestli nejsou všechny v Excelu vyplněném zpětně den před auditem.

Sociální sítě a živá vysílání vytvářejí falešný pocit neformality. Kamera v hospodě působí jako večerní pokec. Soud při posuzování zásahu do osobnostních práv se ale na produkční hodnotu nedívá. Co byste neumístili na úřední desku ani na firemní web, nepatří ani do živého streamu.

Sankce nejsou jen administrativní pokuta. Pokud ÚOOÚ pochybení shledá, hrozí pokuta. Tím to ale nekončí. Dotčená osoba má samostatně právo žalovat o náhradu újmy za zásah do soukromí, a civilní spor se počítá v jiných jednotkách než správní řízení.

Závěrem

Bude zajímavé sledovat, jak ÚOOÚ s případným podnětem naloží. Mluvčí úřadu už avizoval, že se případem hodlá zabývat a že i u veřejně dostupných údajů platí, že jejich další zveřejnění musí mít právní důvod a musí být přiměřené. GDPR totiž není o tom, jestli je něco v registru. Je o tom, proč to děláte právě teď a právě takto.

Smlouvy a mzdové údaje patří do zaheslovaných systémů, ne před objektiv kamery. A pokud vaše vedení nedávno mluvilo o tom, že někoho „srovná“, je možná vhodný okamžik pozvat ho na školení.

Nevíte si v oblasti ochrany osobních údajů rady? Ozvěte se, rádi poradíme.