Strašák GDPR, aneb nejčastější chyby v SVJ v oblasti ochrany osobních údajů

Formální úvod

Ochraně osobních údajů se věnuje zákon č. 110/2019 Sb., o zpracování osobních údajů. Ten v § 2 stanoví, že upravuje zpracování osobních údajů podle nařízení Evropského parlamentu a Rady (EU) 2016/679.

Toto nařízení je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů, obecně známé pod zkratkou GDPR (General Data Protection Regulation).

SVJ je podle nařízení i zákona „správcem osobních údajů“. Jednotliví členové společenství jsou v roli subjektu údajů, ale zároveň i v roli příjemce (některých) osobních údajů.

U SVJ není nutné mít pověřence pro ochranu osobních údajů (DPO), přesto je vhodné mít vypracovaný dokument „Informace o zpracovávání osobních údajů“, ve kterém je popsáno, jaké osobní údaje a za jakým účelem se zpracovávají a jaké subjekty k nim mají přístup.

Pro ty, kdo netuší, co by v takovém dokumentu mělo být, je vhodná minimálně tato pasáž:

Osobní údaje zpracováváme zejména na základě zákona č. 89/2012 Sb. (občanský zákoník, dále jen „OZ“) – přičemž provádíme pouze zpracování osobních údajů v souvislosti s činnostmi spočívajícími v zajišťování výkonu bytových spoluvlastnických práv a povinností. Toto zpracování je na základě právního podkladu, kde není potřeba souhlasu subjektu údajů (zákonnost zpracování dle GDPR podle článku 6/1/c: „zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje“ a 6/1/f: „zpracování je nezbytné pro účely oprávněných zájmů příslušného správce“).

Může SVJ zpracovávat e-mailovou adresu a telefonní číslo bez výslovného souhlasu?

Pokud SVJ používá e-mailovou adresu pouze pro zasílání aktualit a informací o SVJ a pro přímé kontaktování člena ze strany statutárního orgánu, je zpracování e-mailové adresy zákonné.

Jde o zpracování za účelem, pro který je potřebná doručovací adresa člena (§ 1177 OZ) – jen v elektronické podobě, která je rychlejší, pohodlnější pro členy SVJ a zároveň šetří náklady na poštovné.

Právním podkladem pro použití telefonního čísla je § 1189 OZ:

„Správa domu a pozemku zahrnuje vše, co nenáleží vlastníku jednotky a co je v zájmu všech spoluvlastníků nutné nebo účelné pro řádnou péči o dům a pozemek jako funkční celek a zachování nebo zlepšení společných částí.“

Urychlené řešení havárií a nouzových situací je totiž v zájmu všech členů SVJ a je účelné pro řádnou péči o dům. (I tak ale doporučujeme mít uzavřené pojištění odpovědnosti za škodu.)

K tomu se hodí i stanovisko Úřadu pro ochranu osobních údajů (ÚOOÚ):

„I když se jedná o osobní údaje, jejichž zpracování není dáno některým právním předpisem, Úřad akceptuje zpracování čísel mobilů a e-mailových adres subjektů údajů za účelem urgentního kontaktu např. při haváriích, jejichž zpracování lze zdůvodnit oprávněným zájmem.“
Navíc se má za to, že telefon a e-mailovou adresu dává člen SVJ s vědomým souhlasem, protože správce (SVJ) se nemá jak jinak tyto informace dozvědět – nejsou nikde ve veřejných zdrojích. Zpracování telefonu a e-mailu je tak plně akceptováno a považováno za zpracování se souhlasem nositele údaje.

Může se člen dožadovat kontaktu na jiného vlastníka?

Ne, to není možné, na uvedené údaje od statutárního orgánu SVJ (či správce) není nárok. Podle § 1178 OZ může být sděleno pouze jméno a adresa kteréhokoliv vlastníka nebo nájemce; to ale neplatí pro e-mailovou adresu – z důvodu jejího možného snadného zneužití k rozesílání nevyžádané korespondence.

Statutární orgán ani SVJ nesmí poskytovat a šířit e-mailové adresy nebo telefonní čísla svých členů (leda by k tomu měl od dotčeného člena explicitní souhlas s takovým zpracováním).

Pokud chce jeden člen e-mail nebo telefon jiného člena, musí si tento údaj vyžádat sám přímo u něho – jakou formu zvolí, je jeho věc, a zda mu dotyčný člen údaj sdělí, je jeho svobodné rozhodnutí.

Obvyklá chyba: hromadný e-mail bez ochrany adres

Při odesílání jakékoliv hromadné informace e-mailem v rámci SVJ je nutné použít pole Skrytá kopie (BCC). Občas se stane, že odesílatel omylem použije jiné pole (Komu, Kopie) – tím neuchrání e-mailové adresy členů a způsobí únik osobních údajů. Formálně by taková situace měla být nahlášena na ÚOOÚ, v praxi se to ale téměř neděje.

Problém je o to větší, že stačí, aby takový e-mail zůstal u někoho neopatrného v Inboxu a byl nedopatřením přeposlán dál. Nebo aby něčí techniku napadl „červ“ zaměřený na sběr e-mailových adres, které pak končí v různých (ne zrovna legálních) databázích – a členům začnou na jejich adresy chodit nevyžádané nabídky a SPAM.

Správnou reakcí příjemce by mělo být: pokud jde o důležité sdělení, uložit si jen samotný text zprávy, a hlavně takový hromadný e-mail co nejdřív smazat. Výrazně to snižuje riziko druhotného úniku adres – i když takto to bohužel vyřeší jen naprosté minimum lidí.

Ještě větší chyba: zneužití uniklých údajů

Že někdo jménem SVJ omylem pošle hromadný e-mail bez adres v BCC, se může stát a stává se – nepozornost je potvora a lze předpokládat, že nešlo o záměr (jen o „politováníhodné nedopatření, ke kterému dochází maximálně jednou za deset let …“).

Mnohem horší je, když toho někdo (typicky člen SVJ) využije (přesněji zneužije) a sám odešle hromadný e-mail na takto „získané“ adresy. Zde už nejde o nedbalost / omyl, ale o úmyslný čin – ten, kdo to udělá, jedná vědomě. Přitom se nesmí zpracovávat ani uniklé osobní údaje. Podrobně to řeší §§ 61–65 zákona č. 110/2019 Sb.

Perličky z praxe:

• V jednom SVJ jeho člen, shodou náhod jednatel s.r.o., odeslal e-mail (na všechny adresy členů SVJ, které měl ze špatně odeslananého e-mailu od SVJ kde došlo k úniku adres) z jeho firemní adresy (formálně tak zásady ochrany osobních údajů porušila firma – tam jsou vyšší sankce). V patičce jeho e-mailu byl přitom, patrně pro pobavení, text: „Společnost … zpracovává Vaše osobní údaje v souladu s aktuální právní úpravou (GDPR).“ Jedno je jisté – tuto větu tam mají patrně jen pro marketing, v praxi firma o zásadách ochrany osobních údajů zjevně nic netuší.
• V jednom spolku se stala podobná událost s omylem odeslaným hromadným e-mailem a únikem adres. Uniklé adresy pak začal zneužívat jeden člen a posílal e-maily všem. Když byl konfrontován, napsal na obhajobu: „… domníval jsem se, že výbor má zájem na usnadnění vnitřní komunikace mezi členy …“
• Zcela nejlepší je, když se viník nejen přizná, ale rovnou i usvědčí. Jeden člen po konfrontaci napsal: „… kontakty jsem získal z jedné předchozí komunikace v rámci společenství, kde jsou adresy viditelné všem příjemcům …“

Dlužníci v SVJ a problematické informování

Hodně SVJ řeší, jak korektně informovat o dlužnících, aniž by porušila zásady ochrany osobních údajů. Mnoho SVJ si s tím ale hlavu vůbec neláme – ale pak by se nemělo divit.

• Statutár nesmí zveřejnit informaci o dlužnících na nástěnce – ta je přístupná komukoliv, kdo jde kolem, nejen členům SVJ.
• Na zasedání shromáždění sdělit informaci o dlužnících lze, pokud tam není přítomna „třetí osoba“ (např. zástupce dodavatele větší rekonstrukce). Pak si dejte pozor na to, zda a jak se informace dostane do zápisu a kde zápis skončí.
• Na webu lze informaci o dlužníkovi publikovat jen v zabezpečené části po přihlášení, aby se k ní dostali jen oprávnění příjemci (členové SVJ). Na veřejné části webu to nesmí být nikdy.
• E-mailem se raději nedoporučuje posílat vůbec (viz problémy popsané výše).

Formálně: vlastník jednotky má právo na informaci o tom, jak ostatní spoluvlastníci plní svou zákonnou povinnost, tedy např. přispívat na náklady spojené se správou domu a pozemku. Nejde přitom o zpřístupnění údajů jinému subjektu, ke kterému je potřeba souhlas – každý vlastník je totiž nejen subjektem údajů, ale i osobou, která v rámci plnění zákonných povinností přichází do styku s osobními údaji a je povinna zachovávat mlčenlivost.

Nejen statutár si musí dávat pozor na to, jak informuje o dlužnících – také člen SVJ nesmí informaci o dlužnících, kterou se dozví, dál šířit.

Příliš mnoho údajů na prezenční listině

Při přípravě podkladů na zasedání shromáždění si dejte pozor i na prezenční listinu. Uveďte tam jen minimum nutných údajů – číslo jednotky, jméno, spoluvlastnický podíl na společných částech, adresu a místo na podpis.

Některá SVJ tam uvádí i e-mail či telefonní číslo (nebo mají sloupečky pro tyto údaje) a hned jsou z toho problémy. Prvně hned při podepisování – pokud jsou tyto údaje na listině, nejsou chráněny a mohou se šířit; stačí, že má někdo dobrou paměť a posbírá si kontakty, na které jinak nemá nárok. Dalo by se to řešit dvěma listy a zakrytím listiny tak, aby podepisující viděl jen svůj řádek, ale proč si to komplikovat – navíc to není jediný problém.

Problém nastává i tehdy, když chce někdo nahlédnout do zápisu včetně prezenčky, nebo když se prezenční listina přikládá k podání (typicky při změně stanov nebo statutárního orgánu na rejstříkový soud, kde navíc dochází k digitalizaci a zveřejnění listiny v rejstříku!) – i zde tyto údaje nejsou chráněny a hrozí jejich únik.

Prezenční listina má sloužit jen a pouze na podpisy a má mít minimum údajů.

Pokud chcete od členů sesbírat nebo aktualizovat kontaktní údaje, udělejte to jinou formou než přes prezenčku – a pokud možno ne přes jeden společný formulář nebo tabulku.

Publikování všech zápisů ze zasedání shromáždění

Souvisí to s předchozím bodem. Do sbírky listin na rejstříkový soud se musí založit zápis ze zasedání, na kterém se mění stanovy nebo obsazení statutárního orgánu (tento zápis včetně příloh je podkladem pro zápis změny a jeho publikaci do sbírky listin provede samotný rejstříkový soud). Řada SVJ tam ale vkládá úplně všechny zápisy ze všech zasedání, případně je publikuje na veřejně dostupné části webu. Není to nutně špatně, ale má to svá úskalí.

• Ochrana osobních údajů – je nutné se ujistit, že v zápisu není uveden žádný osobní údaj (kohokoliv z SVJ i mimo něj), protože i to představuje jeho únik. Pokud se na zasedání informovalo o dlužnících, taková informace se ve zveřejněném zápisu objevit nesmí.
• Možné vyzrazení „interních“ informací, které nejsou vhodné ke zveřejnění mimo SVJ – např. informace o bezpečnostní závadě domu nebo o plánovaných revizích, kdy je potřeba součinnost členů (zpřístupnění bytu); i navenek neškodně vyhlížející informace může být zneužitelná.

Doporučení: nezveřejňovat volně prakticky nic – kromě opravdu obecných informací patří vše na neveřejnou část webu, dostupnou až po přihlášení. Pokud se na jednom zasedání řeší jak změna stanov nebo obsazení volených orgánů, tak i běžná agenda (plány oprav, schválení rozpočtu apod.), stojí za zvážení tato dvě témata formálně oddělit – poslat dvě pozvánky na stejný den (druhé zasedání např. o půl hodiny později) a udělat dva zápisy: v jednom jen změnu stanov / obsazení orgánů (ten se pošle rejstříkovému soudu a zveřejní), ve druhém zbývající agendu, která zůstane jen v SVJ.

Fyzická ochrana dokumentů a digitální ochrana dat

Pokud si teď říkáte, že toto všechno ve svém SVJ bez problému dodržujete, možná vás překvapí i tento bod. Důležité jsou i zásady fyzické ochrany dokumentů a digitální ochrany dat, se kterými pracují členové statutárního orgánu. Máte tyto zásady popsané i ve svých „Informacích o zpracovávání osobních údajů“?

Fyzická ochrana:

• SVJ by mělo mít archiv na listinné dokumenty tak, aby se k nim nemohla dostat nepovolaná osoba – nemusí to být rovnou trezor (i když ten odolá i požáru), postačí uzamykatelná ocelová nebo plechová skříň, vždy zamčená a vhodně umístěná (ne volně přístupná na chodbě).
• Kdo s dokumenty pracuje, měl by zajistit, aby se k nim nedostala nepovolaná ani „třetí“ osoba – např. člen výboru by měl zajistit, že k dokumentu nemají přístup ani jeho rodinní příslušníci.
• Staré a neaktuální dokumenty by měly být likvidovány (skartovány).

Digitální ochrana:

Digitální ochrana je natolik komplexní téma, že zde není možné popsat všechny zásady do detailu. Obecně platí zejména toto:

• Při používání cloudových služeb a sdílených úložišť dávejte velký pozor na nastavení přístupů k dokumentům a jejich viditelnosti – pokud se v této oblasti neorientujete, je lepší se jim raději zcela vyhnout; je to dobrý sluha, ale opravdu zlý pán.
• Přístup k počítači, na kterém se zpracovávají a ukládají data SVJ, by neměl být sdílený a měl by být chráněný heslem nebo otiskem prstu.
• Kromě běžných zásad bezpečné práce online (zabezpečení sítě, aktuální antivirové řešení) doporučujeme používat šifrovaný oddíl, složku nebo archiv (např. nástrojem VeraCrypt) a otevírat ho jen na dobu, kdy je potřeba k dokumentům SVJ přistupovat.
• Šifrovaný archiv usnadňuje i zálohování dat (zálohujete? a pravidelně?) a předání celého archivu SVJ dalšímu statutárnímu orgánu po jeho výměně – zkopíruje se soubor se zašifrovaným archivem a předá se heslo.