Úřad pro ochranu osobních údajů vydal nové stanovisko k prokazování totožnosti a pořizování kopie občanských průkazů. Mohou si půjčovny a kurýři okopírovat vaši občanku? A proč je finanční správa proti? Jak tedy postupovat?
Dne 13. května 2021 vydal Úřad pro ochranu osobních údajů dle svých slov přehledný materiál, který má zodpovědět zásadní otázky týkající se prokazování totožnosti a vyhotovování kopie občanských průkazů. Netrvalo však ani týden a 17. května 2021 se vůči tomuto stanovisku ohradil Finanční analytický úřad (dále jen FAÚ). Pojďme se podívat na to detailněji.
Stanovisko ÚOOÚ
ÚOOÚ se na dvanácti stránkách vyjadřuje k poměrně palčivým otázkám, jež se obecně týkají střetu zásady minimalizace osobních údajů a potřebě zpracovávat některé osobní údaje ve formě například kopie občanského průkazu. Úřad poměrně jasně opakuje, že samotné předložení osobního dokladu (ať už tedy občanského průkazu, či jiného) není samo o sobě zpracováním osobních údajů dle GDPR. V rámci takového prokázání totožnosti totiž dle ÚOOÚ nedochází k samotnému zaznamenání předmětných údajů, a tudíž se de iure nejedná o zpracování osobních údajů tak, jak jej chápe GDPR. Opačná situace však nastává v případě, kdy dojde k vytváření kopie daného průkazu či opisu některých údajů, které takový průkaz obsahuje. A této části se ÚOOÚ věnuje nejvíce. Prokazování totožnosti orgánům veřejné moci V rámci zákonem určených operací zpracování fakticky nevzniká skoro žádná kontroverze. ÚOOÚ pouze opakuje, že některé zákony nám ukládají prokázat svoji totožnost prostřednictvím dokladu. Ať už se tedy jedná o zákon o Policii České republiky, daňový řád, kontrolní řád, či další předpisy, zákon ukládá, kdy se musíme prokázat vůči takovému orgánu daným dokladem. ÚOOÚ zde v poznámce pod čarou vyjmenovává seznam ustanovení, podle nichž taková povinnost vzniká. Pokud vás tato problematika v obecné rovině zajímá, nahlédněte na čtvrtou stranu předmětného dokumentu, který je dostupný zde. Co se týče pořizování kopií občanského průkazu ze strany orgánů veřejné moci, ÚOOÚ předesílá, že takových zákonných povinností je relativně málo, nikoliv však v případě zákona uvedeného níže. Prokázání totožnosti fyzickým a právnickým osobám Existují však zákonné povinnosti, kdy je nutno totožnost prokázat vůči fyzickým či právnickým osobám. Ty se pravděpodobně staly trnem oku finanční správě a dle jejich slov předmětná doporučení pravděpodobně budou potřebovat úpravy. Co se totiž týče vytváření kopie občanského průkazu, existuje zákon č. 328/1999 Sb., o občanských průkazech, který poměrně pregnantně popisuje, za jakých podmínek s takovým průkazem můžeme nakládat. Konkrétně v § 15 odst. 2 tohoto zákona je výslovně zakázáno pořizovat kopie občanského průkazu, pokud k tomu nedal jeho držitel prokazatelný souhlas, popřípadě pokud zvláštní zákon či mezinárodní smlouva nestanoví jinak. Pravděpodobně vám také neušlo, že v rámci boje proti financování terorismu a praní špinavých peněz Česká republika přijala zákon č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu (dále jen jako AML zákon). A právě v tomto zákoně je stanovena povinnost určitých právnických osob (jako jsou banky, pojišťovny či investiční společnosti a podobně) identifikovat klienta a zaznamenat si o něm určité údaje. Doslova například v § 8 odst. 2 písm. a) AML zákona se uvádí, že povinná osoba dané „identifikační údaje zaznamená a ověří z průkazu totožnosti, jsou-li v něm uvedeny, a dále zaznamená druh a číslo průkazu totožnosti, stát, popřípadě orgán, který jej vydal, a dobu jeho platnosti; současně ověří shodu podoby s vyobrazením v průkazu totožnosti“. Jenže tím oprávnění povinné osoby nekončí, neboť v druhé větě ustanovení § 8 odst. 11 AML se píše, že „povinná osoba může pro účely tohoto zákona pořizovat kopie nebo výpisy z předložených dokladů a zpracovávat takto získané informace k naplnění účelu tohoto zákona, a to bez souhlasu klienta“. A zatímco ÚOOÚ toto chápe jako fakultativní možnost, tedy jako oprávnění, nikoliv povinnost kopii občanského průkazu vytvářet, FAÚ má jiný názor. ÚOOÚ totiž de facto doporučuje, aby kopie občanského průkazu byla pořizována jen v pevně daných případech (jako je například uzavírání smlouvy bez fyzické přítomnosti klienta dle § 11 odst. 7 AML zákona), popřípadě v odůvodněných případech, jako pokud vzniká podezření na možné porušování zákona. Jak již bylo řečeno, proti tomuto se relativně ostře vymezil FAÚ ve svém stanovisku ze dne 17. května 2021, kde tvrdí, že stanovisko, které ÚOOÚ vydal, je v rozporu s Metodickým pokynem FAÚ č. 8 (dostupný zde), jenž byl navíc vydán po konzultaci a získání souhlasu ÚOOÚ a který považuje za souladný s danými ustanoveními AML zákona. Dlužno dodat, že v rámci daného metodického pokynu lze v mezích vykonávaných činností daný průkaz kopírovat v zásadě vždy. Dokonce na straně 5 tohoto stanoviska říká úplný opak toho, co ÚOOÚ, a sice že byť v rámci takzvané identifikace tváří tvář lze kopírování nahradit opisem požadovaných údajů, „FAÚ povinným osobám doporučuje, aby průkazy totožnosti kopírovaly“. Máme zde tedy dva odlišné názory na to, zda je možností nebo prakticky povinností v daných případech uchovávat kopii občanského průkazu, či nikoliv. FAÚ však ve svém stanovisku naznačil, že o vyjasnění přístupu se nadále jedná. Nechme se tedy překvapit výsledkem. Co půjčovny a jiné soukromé osoby? Sám ÚOOÚ uvádí, že se velmi často potkává se stížnostmi, které směřují na vytváření kopií občanských průkazů ze strany soukromých osob, respektive podnikatelů. Velmi často se totiž setkáváme s tím, že náš občanský průkaz kopírují nejen banky, ale půjčovny aut či lyží nebo také kurýři, kteří nám doručují zásilky. ÚOOÚ v tomto případě opakuje, že kopii občanského průkazu můžeme pořizovat jen v případě, kdy nám to ukládá zákon, nebo pokud dostaneme předchozí a výslovný souhlas. Zde se však nabízí otázka, zda předmětný souhlas může být podmíněný. Na to ÚOOÚ odpovídá, že při získávání souhlasu nelze postupovat přístupem „take-it or leave-it“, tedy velmi volně přeloženo jako „buď nám souhlas dáte, nebo máte smůlu“. ÚOOÚ to dokládá na dvou příkladech. První se týká autopůjčovny – případ, kdy držitel dokladů s pořízením kopie nesouhlasí, by neměl vést k odmítnutí poskytnutí vozu, ale pouze k opisu potřebných údajů z dokladů. Naopak jako nerozporný příklad pak ÚOOÚ uvádí případ kurýra, který zásilky od telefonního operátora předával na základě získání částečné kopie občanského průkazu. ÚOOÚ v tomto případě uvedl, že „operátoři v kontrolovaném případě poskytovali prostřednictvím e-shopu kromě samostatného zboží i základní a doplňkové služby elektronických komunikací a související služby spojené do budoucna s plněním závazků vázaných na konkrétní osobu zákazníka, které by při nedodržení stanovených postupů (zjištění přesných osobních údajů) mohly být plněny vůči neoprávněné osobě. Zákazník byl prostřednictvím všeobecných obchodních podmínek vztahujících se k zásilkovému obchodu operátorů předem informován o rozsahu i postupech shromažďování osobních údajů potřebných k poskytnutí služeb, a to ‚redukovanou‘ kopií občanského průkazu přes přiloženou šablonu, která znepřístupní nepotřebné osobní údaje. Zákazník uskutečněním objednávky potvrzoval, že souhlasí se všeobecnými obchodními podmínkami.“ Závěr Výše uvedené stanovisko ÚOOÚ určitě stojí za pozornost. ÚOOÚ se pokouší vysvětlit, jaké okolnosti je nutno před vyžadováním předložení dokladu totožnosti, respektive vytvoření jeho kopie, zvážit. K tomu uvádí poměrně dost příkladů, na jejichž základě dokáže každý vyhodnotit, jak v rámci svého případu postupovat. Ve vztahu ke správcům, kteří mají svoje povinnosti dle AML zákona, je nutno zopakovat, že se závěry stanoviska nesouhlasí FAÚ a lze očekávat, že buď ÚOOÚ, nebo FAÚ bude muset v předmětné věci ustoupit. Článek vyšel v Elektronickém zpravodaji pro pověřence