Centrální evidence ubytovaných: vyzýváme k úpravě návrhu zákona

Autor Zveřejněno dne

Centralizace dat o tom, kdo a kdy se ubytoval v hotelu, penzionu, či apartmánu, zvyšuje riziko nadužívání či přímo zneužívání těchto dat. V pátek jsme proto zaslali dopis ministru Ivanu Bartošovi, ve kterém varujeme před současnou podobou novely a žádáme její stažení nebo zásadní přepracování.

Na připravovaný návrh novely zákona č. 159/1999 Sb., o některých podmínkách podnikání a o výkonu některých činností v oblasti cestovního ruchu upozornil dne 26. 1. 2024 server iRozhlas v článku: Kdo, kdy, kde a s kým. Bartošovo ministerstvo chystá centrální registr ubytovaných s přístupem pro úřady.

Za silně znepokojující však považujeme i navazující vyjádření Ministerstva pro místní rozvoj.

Ministra Ivana Bartoše jsme proto dopisem vyzvali ke stažení či zásadnímu přepracování chystané novely tak, aby skutečně respektovala právo na ochranu soukromí. Aktuálně vidíme dva zásadní problémy:

1) Centralizace systému

Prvním problémem je centralizace systému a absence některých základních pravidel stanovujících hranice zásahu do základních práv (zde dopad na soukromí) přímo ve znění zákona. Společným jmenovatelem je pak nedostatečné povinné zhodnocení dopadu na soukromí.

Tvrzení ministerstva, že zavedení systému žádnou změnu pro ochranu osobních údajů neznamená, protože všichni budou mít pouze přístup k tomu, k čemu ho mají již dnes (což mimochodem ze znění zákona nevyplývá – viz dále), považujeme za zcela nekompetentní.

Samotná centralizace dat v jednom systému totiž umožňuje mnohem efektivnější využití dat a současně i mnohem vyšší riziko nadužívání či přímo zneužívání těchto dat. Při hodnocení dopadu na soukromí nejde pouze o to, kdo má teoreticky k jakým datům přístup, ale také o to, jak náročné je se k jednotlivým informacím dostat a jak cenné propojené informace je možné ze systému vytěžit.

Je například zásadní rozdíl v rizicích dopadu na soukromí mezi právem policie vyžádat si u konkrétního ubytovatele konkrétní informace o ubytovaném (což umožňuje stávající decentralizovaný systém), a právem policie obrátit se na základě oprávnění dle § 8 trestního řádu na správce registru a žádat například informaci kde a s kým byl někdo ubytovaný v posledních několika letech, což by umožňoval systém nyní navrhovaný.

Vzhledem k tomu, že například údaje o spolu ubytovaných osobách jsou do značné míry unikátní a těžko zjistitelné jiným způsobem, je zde vytvořen obrovský prostor pro zneužití, který ale v návrhu není nijak reflektován a zhodnocen ve smyslu tzv. posouzení vlivu na ochranu osobních údajů (DPIA). To by měl přitom návrh zákona v souladu s ustanovením § 10 zákona o zpracování osobních údajů a čl. 4 odst. 1 písm. h) Legislativních pravidel vlády obsahovat.

Zhodnocení dopadu na ochranu osobních údajů v důvodové zprávě se omezuje na konstatování, že se nic nemění, na výčet dat, která budou zpracovávána a na popis omezení, které v zákoně částečně vůbec nenajdeme (viz dále): povinné hodnocení z hlediska nezbytnosti a přiměřenosti či zhodnocení rizik či možných opatření k jejich omezení tedy chybí.

Vytvoření takto centralizovaného registru je v neposlední řadě bohužel nejen z našich zkušeností předmětem snah o rozšiřování účelů používání a přidávání dalších oprávněných orgánů s přístupem do registru v budoucnu. Za rizikový tak považujeme i budoucí potenciál tohoto registru.

2) Chybějící omezení přístupu

Dalším zcela zásadním problémem je, že v zákoně chybí úprava účelového a funkčního omezení přístupu k jednotlivým datům či částem registru, zejména pak k osobním údajům, které mají být do registru vkládány o ubytovaných osobách.

Předložený návrh zákona například k těmto údajům umožňuje bez jakéhokoli zákonného omezení přistupovat ministerstvu nebo správci daně (viz § 9k návrhu zákona).

Tvrzení v důvodové zprávě, že ministerstvo bude mít přístup pouze k agregovaným datům, nebo že přístup správce daně se bude vztahovat k datům ubytovaných z obcí, které zavedly poplatek z pobytu, je bez propsání do znění zákona spíše matením veřejnosti, než jakoukoli zárukou čehokoli.

Netřeba připomínat, že úprava takové hranice zásahu do základních práv nepatří ani do prováděcích vyhlášek, natož jakýchkoli interních předpisů nebo dokonce pouhých pravidel „nastavení systému“, o čemž se zmiňuje vyjádření ministerstva ze dne 26. 1. 2024. Musí být jednoznačně formulována přímo v zákoně.

Ačkoli z důvodové zprávy nebo mediálních vyjádření můžeme dojít k závěru, že cílem ministerstva není vytvořit nástroj k zasahování do soukromí občanů, tak legislativní výsledek těmto proklamacím bohužel neodpovídá. Žádáme proto o učinění zásadních změn v předloženém návrhu, ale i v samotné koncepci řešení, kterou považujeme z pohledu ochrany soukromí za neakceptovatelnou.

Články k tématu: