Vážený pane předsedající, dámy a pánové,

já si dovolím být možná trošičku delší, protože tady budu v dvojí roli i jako zpravodaj petičního výboru, který tento zákon dostal přidělený. Musím říct, že v prvním případě se určitě připojíme k vetu na 90ku, protože si myslíme, že tento zákon je bohužel v tom stavu, že nejsme schopni ho dneska přijmout.

Nyní podrobně k věcem, které v tom zákoně jsou, a budu rád, když v průběhu projednávání budou ti, kteří tento zákon tvořili, připraveni na podněty odpovídat, popřípadě si udělají poznámky k připomínkám a budou ochotni nám tyto připomínky v průběhu projednávání na výboru vysvětlit. V prvé řadě chci říci, že je zajímavé, a doporučuji všem, abyste se seznámili s analýzou, která je součástí tohoto zákona, ten zákon sám o sobě není příliš obsáhlý, ale ta analýza ano, a když si přečtete tu analýzu, tak zjistíte, že to vypořádávání připomínek, které k tomu jsou, je dle mého názoru vedeno jedním motivem, a to znamená uspokojit skoro všechny a dostat to do stavu přijatelnosti. Tím se dle mého názoru předkladatel do pasti vlastních ústupků a zavedl do toho návrhu věci, které se navzájem vylučují, popřípadě nejsou vůbec objasněny. (V sále je obrovský trvalý hluk.)

Jak už tady zaznělo, začíná to už tím § 6 v návrhu, to jsou ty výjimky z povinnosti posuzování slučitelnosti údajů, kdy tady mám právě poznámku třeba to vymáhání soukromoprávních nároků a podobně, které je tady napsáno, by vyžadovalo vysvětlení, čeho všeho se to vlastně bude v tom důsledku týkat, protože tento pojem "soukromoprávní nároky" vlastně je všeobjímající a činí dle mého názoru problém.

V § 11 jsou omezení některých práv a povinností. Tady chci upozornit vás všechny na jeden problém, který považuji za velice důležitý a který se prolíná celým tím zákonem. Chybí mi tu absolutně pojmenování jednoho fenoménu sběru dat, a to je politické strany a hnutí. Osobně si myslím, a v tom duchu bych na vás apeloval a případně v rámci pozměňovacích návrhů, abychom do tohoto zákona dopracovali, je přístup politických stran a hnutí k ochraně osobních údajů. Když si uvědomíte, a všichni jsme členové politické strany nebo hnutí, co to znamená v praxi, kolik evidencí vedeme, a teď nehovořím o centrální evidenci členů, hovořím o evidenci základních organizací, hovořím o evidenci v různých stupních politických stran a hnutí, tak zjistíme, že to jsou nepřeberná množství dat, a když se podíváte na právo zapomenout, které tady je obsaženo, tak nejsem vůbec přesvědčen, jak jsme toto schopni v rámci politické strany zrealizovat. Když přijde člen, rok bude členem vaší strany a potom řekne, já vystupuji, což se běžně stává, a dodá k tomu, a mám právo být zapomenut. Tady sice v tom zákoně se hovoří o tom, že to můžete provést označením. Teď je otázka, jak označíte třeba volební plakáty, které někde budou. Může být postižen, když se někde objeví plakát, na kterém ten člověk ještě je, protože byl členem, ale má právo zapomenut, a vy můžete dostat obrovskou sankci? Kdo to bude kontrolovat? Nebo jak to bude realizováno v praxi? Proto bych se velice přimlouval za to, aby předkladatel z vlastní iniciativy zapracoval do výjimek právě politické strany a hnutí zvlášť, když mu je to v tom nařízení umožněno, protože tam se může zohlednit ten veřejný zájem. A já si myslím, že slučování v politických stranách a hnutích je právě oním veřejným zájmem, který by měl být chráněn, jinými slovy, politické strany a hnutí by měly být ve výjimkách právě tady z tohoto zákona uvedeny implicitně.

Další věc, která se týká a která bude vyvolávat asi debatu, je díl dva - zpracování osobních údajů prováděné pro novinářské účely nebo pro účely akademického, uměleckého, nebo literárního projevu. Tady chci upozornit na to, že si předkladatel ulehčil práci. On věděl, že bude muset zohledňovat, a už to tady také zaznělo, že ústavní práva proti sobě, tak to vyřešil tím, že řekl, milý svaze autorský, milí zástupci těchto organizací, je tady směrnice, napište si výjimku. On to v textu přiznává, že díl dvě je vlastně výtvorem právě těch, kterých se měl dotýkat. A výsledkem tady tohoto je, že mají absolutní osvobození od nějaké povinnosti vůči úřadu, který vznikne na kontrolu dodržování ochrany osobních údajů. Nemám až tak nic proti tomu - ochrana dat, zdrojů atd. Ale když se podíváte na ten rozsah oprávnění shromažďovat data, tak jsou to absolutně všechna data, která jsou obzvlášť chráněna zákony od genetické informace, od pohlaví, nevím, od všeho možného, mají výjimku. Dokonce nemusí ani sdělovat úřadu, že něco takového vůbec sbírají a dělají. Říká se, že to je právě to právo na ochranu údajů, hlavně novináři tady tuto možnost mají. Až tak dalece bych s tím nepolemizoval, pokud bych měl jistotu, a ten zákon na to vůbec nepamatuje, jak je to s tou ochranou vůči zaměstnavateli novináře. S tím on vůbec nepočítá. On říká, ano, novinář má právo ke zveřejňování svých článků a sběru informací tato data sbírat. Nemusí uvádět autora, může chránit zdroje, toto všechno tento zákon opatřuje. Ale on je zaměstnanec. Ten novinář ta data eviduje na nějakém technickém záznamu, to znamená obvykle na notebooku. Ale ten notebook už je vlastnictvím třeba té redakce. Když novinář z redakce odejde, a fluktuace u novinářů je také velká, kde ta data skončí? Zůstanou k dispozici na serverech těch novin? A jak s nimi bude dále nakládat? Tato oblast tady vůbec není vyřešena. A dle mého názoru ta data, která si ten novinář samozřejmě odnese, protože jsou jeho, on si je posbíral, pořídil, zůstávají duplicitně umístěna někde, ale též podléhají té ochraně. Ale tam už by neměla podléhat té ochraně, protože už nesouvisí s přímým výkonem chráněným Ústavou, že novinář má právo si ta data pohlídat. Jinými slovy se dostáváme do toho, že tady budou instituce, mediální domy, když to nazvu v širokém slova smyslu, které budou mít obrovské databáze, historicky posbírané, které jednotliví novináři, kteří pro ně kdy pracovali, posbírají, ale absolutně bez kontroly a budou moci je dále využívat. Čili tady bych doporučoval, aby se tento zákon v tomto duchu změnil a svoboda zůstala na ty jednotlivce. Ano, jsi novinář, máš tu svobodu, ale už ne tvůj zaměstnavatel, který ta data sbírá, ten by tu povinnost měl mít, když už ten novinář třeba pro něho nepracuje, popřípadě by měl zabezpečit a úřad by měl zkontrolovat, že ta data, která ten konkrétní novinář sbíral ke své práci, vymazal. Toto je vůbec neřešená oblast v tomto zákoně a považuji to za docela závažnou věc v rámci výjimek.

O výmazu už jsem hovořil a v § 27 bodu 3 se hovoří, místo opravy nebo výmazu osobních údajů může spravující orgán omezit zpracování osobních údajů jejich zvláštním označením. To je ta možnost, kterou jsem hovořil k politickým stranám, že byste měli mít možnost označit v nějaké databázi. Ale vy to nejste schopni zabezpečit. Politická strana tím, jak je rozšířená, jak je roztahaná, nejste schopni vy zabezpečit, aby ta data byla aktualizována tak, že v nějakém městě představitel politické strany nebo kdokoli, kdo sbírá tato data, je schopen toto označení provést. Proto bych doporučoval, aby se doplnilo do tohoto bodu "je-li to možno technicky provést", to znamená, aby tam byla výjimka, že ten, který ta data má a má povinnost označit nebo vymazat údaje, to měl povinnost udělat, pokud je technicky schopen toto provést. Když se mu prokáže, že to byl technicky provést, tak samozřejmě spadá pod sankce úřadu, ale on nemusí být v dosažitelných možnostech techniky a vývoje společnosti prostě vůbec schopen toto provést, aby se někde neobjevila nějaká databáze, ve které by ti lidé byli a na základě toho mohli být sankcionováni. A teď vůbec předesílám to, že takové databáze by mohly být vytvářeny úmyslně, aby později mohly být zneužívány vůči tomu, kdo je vytvářel.

Vůbec se zde nehovoří o problémech, které toto vyvolá mezi spolky, spolkovou činností. A vůbec se zde nehovoří o tom, které to vyvolá ve společenství vlastníků. Je to specifický subjekt, je to specifický subjekt práva, společenství vlastníků bytových jednotek, kteří mají s tímto docela velké problémy. Protože oni jsou sběrateli dat o svých členech, nájemnících, a spadá na ně tento zákon v plné tvrdosti. Ale ty údaje, které sbírají, nejsou schopni ošetřovat. Protože v tom společenství jsou si všichni rovni, nejsou vázáni nějakými vnitřními předpisy, které by opravňovaly k úpravám těchto databází a jejich spravování.

V § 34 se hovoří o automatizovaném pořizování záznamů. Tady bych doporučoval, a vůbec se to tady neuvádí, se hovoří o technice. Ale vůbec se nehovoří o softwaru, kterým jsou tato data zpracovávána. Tady chci upozornit, že je to jeden z největších problémů skladování dat, že data vytvořená v nějakém softwarovém programovém systému nemusí být za deset let čitelná. Protože ten software přestane existovat, nebude se vyvíjet a vy nejste ten soubor schopni otevřít. A on existuje, fyzicky ta data jsou a jste schopni se k němu nějak dostat, ta data vytěžovat, ale nejste schopni je zpracovávat. Protože ten software neexistuje. Čili tady by měla být povinnost zakotvena pro ty, kteří mají tuto povinnost tohoto zákona, aby i ten software, který k tomu byl potřebný, zachovával. Pokud má být vůbec užito to, že ta data mají být k dispozici tak, jak se tady v tomto zákoně hovoří.

Další záležitost v § 39, ohlašování porušení zabezpečení osobních údajů úřadu. Jestli jste si všimli a pokud sledujete pravidelně denní tisk s technickou tematikou, je to jeden z největších problémů současnosti, úniky dat. Tady se hovoří o lhůtě 72 hodin, do kdy je povinen ten, který tato data zpracovává, oznámit narušení té bezpečnosti. Tady bych dával na zvážení tuto lhůtu zkrátit, protože 72 hodin od toho, když zjistíte, že došlo k masivnímu nebo jakémukoliv úniku dat a nahlásit úřadu, že k takovému úniku došlo, považuji za docela výrazně dlouhou dobu, kdy je možno již zamezovat úniku těchto dat popř. činit opatření. A když se to ten úřad dozví až po 72 hodinách, nebude vlastně už mít co dělat než vystavit pokutu.

Otázka § 54, to je mezinárodní spolupráce. Jeden z účelů tohoto zákona je, že v Evropské unii vznikne prostor volného pohybu dat. Jinými slovy, on i ten zákon je koncipován k tomu, že by měl mít jednotná data a neměl by být problém v rámci Evropské unie tato data migrovat. Ono to míří k nadnárodním společnostem fungujícím v evropském prostoru, evropském trhu, kteří tato data sbírají. A je nám asi jasné, že když se někde zaregistrujete na nějakém českém obchodním webu a on se náhodou rozšíří a bude fungovat i v evropském prostoru, nemusí se ta data měnit, ona budou neustále a budou volně k dispozici v Evropě.

Ono to má ale i druhou rovinu. Tato data mají být dle tohoto zákona přístupná všude v Evropě. Jinými slovy, nejenom bezpečnostním složkám atd., byť to už může být vnímáno jako zásah, jinými slovy, že ztrácíme jako Česká republika mít možnost osobní ochrany dat našich uživatelů. A byli jsme toho svědky v době aktivit teroristických útoků, kdy různé státy požadovaly v rámci boje proti terorismu přístup k datům, a teď se bavím třeba o letecké dopravě, kdo vstupuje na palubu atd., kdy Evropský soud to plošné sdělování takových informací odmítl třeba mezi Spojenými státy a Evropskou unií, žádal konkrétní přístupy. Tento zákon umožňuje už bez jakékoliv další kontroly volný přístup na požádání. A ten úřad je povinen dle tohoto zákona tato data sdělit.

Pokud bychom nechtěli do toho zákona až tak vstupovat, tak minimální, co bychom do něho měli dát, je, že při té mezinárodní spolupráci je nutno vést evidenci. Ta tady vůbec není. Evidenci toho, že někdo požádá o ta data a my jsme je předali. Tato evidence tady vůbec není implicitně zakotvena a považuji za docela důležité, abychom v rámci kontroly věděli, jak dalece naše data cestují po světě. Nejenom v rámci Evropské unie, ale i obecně po světě. Klidně by to mohlo být součástí § 55, výroční zprávy úřadu, kde by se měla povinně objevovat informace o tom, komu všemu tento úřad, který je k tomu pověřen, tyto údaje předal, sdělil. Může to být soupisná tabulka, může to být cokoliv, nečekám, že to bude fascikl zvíci knihy, ale minimálně ta povinnost evidovat, komu ten úřad tato data sděloval, by se tam měla objevit.

Na zvážení, a teď mířím k ústavně právnímu výboru, také je, aby zvážil, jestli by takovéto poskytování osobních údajů tímto úřadem na základě tohoto zákona mělo být úplně v benevolenci úřadu, jestli by nemělo být třeba podmíněno soudním příkazem. Jestli by se tam nemělo dostat, že ano, my jsme a poskytneme údaje mezinárodní pomoci, tyto údaje, ale jestli by to nemělo být podmíněno soudním příkazem. Protože ten, kdo požaduje, musí nějaké soudní instituci předložit, proč požaduje tato data, abychom mezinárodně sdíleli data našich občanů, a na základě toho by je ten úřad měl vystavit. Ale říkám, tady bych tuto pasáž nebo úvahu nechal spíše na ústavně právní výbor, který by se k tomu mohl vyjádřit.

Co mně vadí nebo co bych požadoval jako vysvětlení, je, jak jsou ošetřena duplicitní data v rámci Evropské unie. Je zcela logické, že když vedete nějaké databáze a mají mít rozsah po celé Evropské unii, tak budou vznikat duplicitní databáze téhož. Maximálně třeba časově posunuté nebo časově neupravené. Ale tento zákon vůbec neošetřuje takovéto duplicitní databáze, které někde budou v nějakém čase. Jestli se to na ně vztahuje nebo jak dalece se vztahuje anebo řeší duplicitní databáze. V tom zákoně a hlavně v důvodové části se odvolává na to, že rozlišuje skupiny, které jsou nebo nejsou v určité povinnosti vůči tomuto zákonu podle rozsahu dat. Jaké kritérium bylo zvoleno jako rozsah dat? Jak velký rozsah dat je už ten, který opravňuje k tomu podléhat pod ten zákon nebo ne. Čili, měla by být zpracována aspoň nějaká, nechci říct metodika, ale aspoň výčet toho, co považujeme za výrazný nebo velký rozsah dat, který určitě ano, a o tom zbytku můžeme polemizovat, jak dalece je ta ochrana dle tohoto zákona velká.

Hovoří se tady v důvodové zprávě, že tento zákon postrádá korupčních rizik. Jinými slovy, v tom zhodnocení tohoto zákona se hovoří o tom, že nemá korupční rizika. Já si naopak myslím, že má obrovská korupční rizika. A teď, když už odhlédnu od systému korupce technologických firem, které se samozřejmě už dneska, aniž by ten zákon platil už dneska, cpou na kdejaký obecní úřad a všude nabízí své služby, a to korupční riziko je tady obrovské, to si řekněme, protože ty zakázky obvykle jsou podlimitní a jdou pod zákon o veřejných zakázkách, čili tady to korupční riziko je obrovské a vyvoláno tímto zákonem, tak budu hovořit o dodavatelích technologických zařízení. Protože v tom zákoně se ukládá povinnost využívat ty nejmodernější dostupné technologie k zajištění. Jinými slovy, jelikož tento obor je obor, který se dynamicky vyvíjí, každý rok přicházejí nové a nové technologie v zabezpečení sítí, zabezpečení komunikací, logicky to znamená, že všichni ti, kteří budou chtít dodržet dikci tohoto zákona, tak jak je napsáno, budou muset co rok, možná v kratších časových intervalech, obnovovat svůj technologický park. Dovedete si představit ty náklady, které tady tímto spadnou na ty, kteří budou pod tímto zákonem, aby byli schopni dodržet nejmodernější technologická řešení tak, jak vyžaduje tento zákon.

Toto jsou připomínky, které k tomuto zákonu v krátkosti uvádím, protože samozřejmě těch připomínek mám konkrétních víc, byť si myslím, že ty, které jsem zde dal, jsou ty nejzákladnější, které považuji jako problematické vůči tomuto zákonu. A přiznám se, nejsem schopen momentálně říct, jestli jsme v řádném termínu projednáváni schopni tento zákon projednat. Tady každopádně, proč v té devadesátce, (nesrozumitelné) už jsem říkal. Ale doporučuji garančnímu výboru ústavněprávnímu, aby včas, pokud zjistí, že prostě není schopen se tím zabývat v daném termínu, požádal o posunutí, protože si myslím, že ten zákon opravdu bude natolik složitý a tak zasahovat do českého právního řádu a zasahovat hlavně do těch, kterých se týká, to jsme teď skoro všichni, kteří v nějaké formě nějakou databázi někdy vytvořili, a nechtějí ji používat pro osobní potřebu, to je taky další definice, že používání pro osobní potřebu a co ještě je a co není osobní potřeba - když už si vytváříte nějakou databázi, tak to asi děláte s nějakým cílem a ten cíl skoro nikdy není osobní, ale k nějakému ulehčení vaší práce - se bude dotýkat vlastně skoro všech občanů České republiky.

Děkuji vám za pozornost, doufám, že jsem vás příliš neunavil a pevně věřím, že se v dalším čtení tohoto zákona budeme podrobně zabývat mými připomínkami.

Děkuji.