Výplatní páska na veřejné nástěnce - je porušeno GDPR zveřejněním citlivého údaje?

Výplatnice byla otevřená tak, že veškeré údaje v ní obsažené si mohl přečíst, ev. vyfotit každý kolemjdoucí. Porovnáním obou výplatnic jsem udělal závěr:
• výplatnice z nástěnky byla vyrobena ve firmě, ve které jsem pracoval
• údaje na obou výplatnicích jsou shodné a odpovídají mojí osobě
Za tohoto předpokladu se domnívám, že firma „neuhlídala“ moje údaje.
Dotaz:
Co (nebo spíše které zákony) porušila firma, které unikly citlivé údaje o mojí osobě.
Pod dotaz:
Mám to oznámit policii ČR, napsat žalobu, ohlásit porušení zabezpečení osobních údajů podle GDPR …. ? Odkud se vzala druhá výplatní páska na nástěnce v domě není jasné. Nejedná se o kopii z kopírky. Obě výplatnice se liší jen v nějakých číslech, které nemají vliv na výpočet mzdy. Nejprostší hypotéza by mohla být taková. Výplatnici poslala českou poštou jako obyčejný dopis mzdová účetní z vlastní iniciativy a neoznámila to svoji nadřízené. To je to, co bych nazval "neuhlídala". Ze schránky ji mohl kdokoliv vytáhnout, rozbalit a připevnit k nástěnce. Bydlím na velkém sídlišti v domě, kde žije cca 80 rodin. Do domu může vstoupit prakticky kdokoliv, kdo nevypadá podezřele. Většina lidí se navzájem nezná. Děkuji, Roman.

ODPOVĚĎ:
Dobrý den,
v první řadě Vám doporučuji kontaktovat Vašeho bývalého zaměstnavatele a pokusit se zjistit, z jakého důvodu byla vyhotovena druhá výplatnice, zda Vám skutečně byla zaslána poštou a proč se tak vlastně stalo.
Pakliže Váš bývalý zaměstnavatel vyhotovil druhou výplatnici a zaslal Vám jí poštou (což zní poměrně pravděpodobně), nedomnívám se, že by se dalo hovořit o „neuhlídání osobních údajů“. Pokud totiž Váš bývalý zaměstnavatel svěřil dokument s Vašimi osobními údaji poskytovateli poštovních služeb (a to, jak předpokládám, v uzavřené poštovní obálce), učinil de facto vše pro to, aby byly Vaše osobní údaje chráněny. Výplatnice Vám sice mohla být zaslána například doporučeně či s dodejkou, volba obyčejné poštovní zásilky však dle mého soudu nepředstavuje (sama o sobě) porušení ochrany osobních údajů.
Poštovní přeprava výplatnice byla Vaším bývalým zaměstnavatelem zvolena správně. Jelikož mezi Vámi a Vaším bývalým zaměstnavatelem již zanikl pracovní poměr (a nebylo tudíž možné doručovat tyto písemnosti přímo na pracovišti), jeví se využití služeb poštovního doručovatele jako ideální varianta.
Fakt, jakým způsobem bylo nadále s předmětnou poštovní obálkou manipulováno, pak už samozřejmě leží mimo sféru vlivu Vašeho bývalého zaměstnavatele. Pochybit mohl poštovní doručovatel (který například nemusel dohlédnout na to, zda byla obálka vhozena do Vaší poštovní schránky), popř. se protiprávně zachoval někdo třetí (kdo poštovní obálku nalezl, otevřel a umístil na nástěnce).
Zpracování osobních údajů je upraveno především nařízením Evropského parlamentu a Rady č. (EU) 2016/679 (známějšího pod zkratkou „GDPR“) a zákonem o zpracování osobních údajů.
Učinění některého z Vámi zmiňovaných právních kroků Vám doporučuji velmi zvážit, a to ze dvou důvodů. Zaprvé, i pokud by došlo v důsledku porušení právní povinnosti (ať už na straně Vašeho bývalého zaměstnavatele, poštovního doručovatele či někoho z Vašich sousedů) k porušení ochrany Vašich osobních údajů, jedná se o porušení marginální (není mi sice známo, jaké osobní údaje jsou na předmětné výplatnici uvedeny, bezesporu však nedošlo k závažnému zásahu do Vaší osobní sféry). Zadruhé je pak nutné si uvědomit, že (alespoň v současné chvíli) Vám není známo, kdo se vlastně porušení právní povinnosti dopustil.
Podání trestního oznámení postrádá dle mého názoru smysl. Existuje sice trestný čin, který se zabývá porušením ochrany osobních údajů, jeho skutková podstata na Váš případ ale nedopadá. Konkrétně se jedná o trestný čin neoprávněného nakládání s osobními údaji, kterého se dle § 180/1 a 2 trestního zákoníku dopustí ten, kdo, byť i z nedbalosti, neoprávněně zveřejní, sdělí, zpřístupní, jinak zpracovává nebo si přisvojí osobní údaje, které byly o jiném shromážděné v souvislosti s výkonem veřejné moci, a způsobí tím vážnou újmu na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají. Tohoto trestného činu se dále dopustí ten, kdo, byť i z nedbalosti, poruší státem uloženou nebo uznanou povinnost mlčenlivosti tím, že neoprávněně zveřejní, sdělí nebo zpřístupní třetí osobě osobní údaje získané v souvislosti s výkonem svého povolání, zaměstnání nebo funkce, a způsobí tím vážnou újmu na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají.
V úvahu přicházejí dále ještě trestné činy porušení tajemství dopravovaných zpráv (§ 182 trestního zákoníku) a porušení tajemství listin a jiných dokumentů uchovávaných v soukromí (§ 183 trestního zákoníku). Pro učinění závěru o tom, zda došlo ke spáchání některého z těchto trestných činů, by však bylo nutné znát více podrobností. Roli by v této souvislosti v každém případě sehrál fakt, že k zásahu do Vašich osobních údajů, resp. k zásahu do obsahu dopravované listiny, došlo v jediném případě (tzn. že se jedná o zásah zcela minimální).
Dohled nad zpracováváním osobních údajů je platnou právní úpravou svěřen Úřadu pro ochranu osobních údajů:

https://www.uoou.cz/

Dozvíte-li se proto (po konzultaci s Vaším bývalým zaměstnavatelem), že skutečně došlo k pochybení při zpracovávání Vašich osobních údajů, můžete se na tento úřad obrátit s podnětem k prošetření. Lze nicméně předpokládat, že tento úřad (s ohledem na minimální zásah do Vašich osobních údajů) přistoupí nanejvýš k výzvě ke zjednání nápravy.
Podání soukromoprávní žaloby nepřichází v úvahu, a to alespoň do okamžiku, kdy budete vědět, kdo protiprávně zasáhl do ochrany Vašich osobních údajů (žalobu je možné podat vždy proti zcela konkrétně identifikovanému subjektu).

_______________________
Právní předpisy zmiňované v odpovědi:

• nařízení Evropského parlamentu a Rady č. (EU) 2016/679, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o
• zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)
• zákon č. 110/2019 Sb. , o zpracování osobních údajů
• zákon č. 40/2009 Sb. , trestní zákoník