Dotaz odeslaný odborem informatiky Krajského úřadu Vysočina Úřadu pro ochranu osobních údajů dne 2.2. 2005 :

OCHRANA OSOBNÍCH ÚDAJŮ PŘI HOSTOVÁNÍ ELEKTRONICKÉ PODATELNY  

	Na základě zmocňovacích ustanovení zákona č. 227/2000 Sb., o elektronickém podpisu bylo vydáno vládní nařízení č. 495/2004 Sb. a vyhláška Ministerstva informatiky            č. 496/2004 Sb.,  o elektronických podatelnách. Co se ochrany osobních údajů týká, samotný zákon o elektronickém podpisu v ustanovení § 8 odkazuje na zákon č.101/2000 Sb., o ochraně osobních údajů, v platném znění.  

	Značný počet základních územně – samosprávných celků (obcí), zejména těch nejmenších, nejsou z objektivních schopny dostát kodifikovaným povinnostem a zajistit příjem a odesílání podání v elektronické podobě pomocí vlastních technických zařízení. 

Za této situace (pro rok 2005 – tedy do nabytí účinnosti zákona č.500/2004 Sb., správní řád) se řadě obcí jeví jako optimální řešení „hostování“ podatelny jiným subjektem. Za „hostování“ pro účely tohoto dotazu považujeme provoz vlastní aplikace v prostředí a na technice druhé firmy (například soukromoprávního subjektu) nebo úřadu (dále „hostitel“).

S tímto výše uvedeným řešením však vyvstávají otázky, za jakých podmínek z hlediska ochrany osobních údajů (osobních dat) lze k tomuto řešení přistoupit.

+	Je pro orgány veřejné správy (státní orgány, obce a kraje) z hlediska platného zákona o ochraně osobních údajů přípustná forma hostování elektronické podatelny za účelem příjmu a odesílání podání v elektronické podobě jiným subjektem (tedy subjektem soukromoprávního charakteru, odlišným od orgánů veřejné správy) něž jiným orgánem veřejné moci ?

+	Pokud je forma hostování elektronické podatelny za účelem příjmu a odesílání podání v elektronické podobě z hlediska zákona o ochraně osobních údajů přípustná   soukromoprávním subjektem jako hostitelem, je třeba, aby subjekt údajů s tímto postupem vždy předem souhlasil (udělil písemný souhlas) ? Nebyl-li od subjektu údajů získán  předchozí písemný souhlas (například formou vyplnění elektronického formuláře při podání datové zprávy), je třeba získat souhlas subjektu údajů dodatečně (v jaké lhůtě), a pokud nebude tento souhlas subjektem údajů udělen, je třeba získaná data ihned zničit ? 

+	Je třeba získat předchozí písemný souhlas subjektu údajů i v těch případech, kdy by podatelnu hostoval jako hostitel některý z orgánů veřejné moci (státní orgány, obce a kraje) ? 

+	Je třeba, aby mezi konkrétním orgánem veřejné správy a hostitelem byla vždy uzavřena písemná smlouva, ve které budou – kromě jiného – i zcela konkrétní ujednání týkající se ochrany osobních údajů ?  Pokud ano, jaká ujednání musí (nebo by měla) být  z hlediska ochrany osobních údajů být ve smlouvě uvedena ?

Pro úplnost z hlediska technického podotýkáme, že v praxi je autorizovaný přístup uživatele k datům zabezpečen pomocí hesel a klíčů. Archivaci a zálohování takto chráněných dat provádí hostitel, který poskytne své technické zařízení. 

+	Jaké konkrétní povinnosti z hlediska zákona o ochraně osobních údajů  vzniknou orgánu veřejné moci a hostiteli v případě realizace příjmu a odesílání podání formou hostování ?

Zpracovali :	Karel Žák (telefon : 564 602 309, e-mail : zak.k@kr-vysocina.cz), Robert Sobotka (telefon : 564 602 326, e-mail : sobotka.r@kr-vysocina.cz)

ÚŘAD PRO OCHRANU OSOBNÍCH ÚDAJŮ
Pplk. Sochora 27,  170 00 Praha 7
Telefon:  234 665 111,  Fax: 234 665 444

Sobotka.R@kr-vysocina.cz
Krajský úřad Vysočina
Ing. Petr Pavlinec
vedoucí odboru informatiky

V Praze dne 16. března 2005
Č.j.: 171/05/OLP
Vyřizuje: JUDr. Richard Tuscany

Vážený pane inženýre,

	odpovídáme na Váš dotaz ze dne 2. února 2005 týkající se hostování elektronických podatelen pro orgány veřejné moci z hlediska zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů, (dále jen „zákon“).

	Podle ustanovení § 1 odst. 1 písm. a) nařízení vlády č. 495/2004 Sb., kterým se provádí zákon č. 227/2000 Sb., o elektronickém podpisu a o změně některých dalších zákonů (zákon o elektronickém podpisu), ve znění pozdějších předpisů, orgány veřejné moci „provozují jednu nebo více elektronických podatelen; to se považuje za splněné rovněž v případě, kdy orgán veřejné moci dohodne s jiným orgánem veřejné moci, že bude přijímat a odesílat datové zprávy prostřednictvím jím provozované elektronické podatelny,“. Hostování elektronické podatelny subjektem soukromoprávního charakteru není tedy možné.

Z hlediska zákona musí podle ustanovení § 6 orgán veřejné moci, který není schopen elektronickou podatelnu provozovat, jako správce uzavřít s jiným orgánem veřejné moci, zpracovatelem, smlouvu o zpracování osobních údajů. Souhlas subjektu údajů se nevyžaduje.

	Povinnosti správce a zpracovatele stanoví zejména § 10 až 13 zákona.

	S pozdravem

JUDr. Václav Bartík v. r.
                                                                   ředitel odboru legislativního a právního