Několik poznámek k GDPR v oblasti pohřebnictví
22. 5. 2018
Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů), které od 25. května 2018 nahradí zákon č. 101/2000 Sb., o ochraně osobních údajů, ve znění pozdějších předpisů, nepřináší do oblasti pohřebnictví žádné nové právní instituty.
Obecné nařízení o ochraně osobních údajů (dále jen „GDPR“) ve svém úvodu v bodě č. 27 vylučuje svoji působnost na údaje o zesnulých osobách, když stanoví, že „Toto nařízení se nevztahuje na osobní údaje zesnulých. Členské státy mohou stanovit pravidla týkající se zpracování osobních údajů zesnulých osob.“. Dále je v bodě č. 158 GDPR uvedeno, že „Toto nařízení by se mělo vztahovat i na případy zpracování osobních údajů pro účely archivace, přičemž je třeba mít na paměti, že by se nemělo vztahovat na osobní údaje zesnulých osob.“.
Z uvedeného vyplývá, že se GDPR na údaje o zemřelých osobách nevztahuje. Pokud ovšem údaj o zemřelé osobě není současně údajem týkajícím se žijící fyzické osoby, zpravidla osoby blízké, v postavení subjektu údajů, jehož právo na ochranu soukromého života by mohlo být dotčeno.
Z těchto důvodů je možné osobní údaje o zemřelých zveřejnit pouze tehdy, pokud je to nutné k ochraně práv zemřelého zakotvených v ustanovení § 82 odst. 2 zákona č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů („Po smrti člověka se může ochrany jeho osobnosti domáhat kterákoli z osob jemu blízkých.“), vyjma případů, pokud by to bylo v rozporu s vůlí zemřelého vyslovenou před jeho smrtí.
Ochrana osobních údajů a zachování důvěrnosti informací o zemřelém a o jeho pohřbu jsou jedním ze základních práv vypravitelů pohřbu, a proto má vypravitel pohřbu právo zakázat vedení evidence o zemřelém a jeho pohřbu v elektronické formě, zejména pokud by se jednalo o vedení této dokumentace ve formě dostupné na dálku, neboť takovéto vedení dokumentace s sebou nese největší nebezpeční úniku a zneužití informací. Veškeré evidenční knihy a dokumenty obsahující osobní údaje žijících osob (například pohřební knihy, listy o prohlídce těl zemřelých, umrlčí pasy, doklady o pohřbení či zpopelnění, knihy kontrol, knihy jízd, knihy výdeje uren apod.) je třeba zabezpečit před neoprávněným zpracováním, například ukládáním do uzamykatelných skříní a v případě vozidel do uzavíratelných schránek.
Odpovědnost za zpracování osobních údajů, včetně odpovědnosti za jejich zabezpečení, nese provozovatel pohřební služby, nikoli např. dodavatel příslušného informačního systému. V souvislosti s vedením elektronické evidence je tedy třeba, aby byly oprávněným osobám přiděleny individualizované uživatelské účty, které splňují podmínku diverzifikovaných oprávnění přístupu k jednotlivým údajům dle pracovních pozic uživatelů. Provozovatel pohřebiště, který využívá externí služby správce hřbitova, je s ním povinen mít uzavřenou Smlouvu o zpracování osobních údajů dle čl. 28 GDPR.
Pokud se jedná o problematiku zpracování osobních údajů osob odlišných od smluvní strany (kontaktní osoba nájemce, vlastník hrobového zařízení, designovaný budoucí nájemce), Ministerstvo pro místní rozvoj zastává takový názor, že obec, jakožto provozovatel pohřebiště, nemá oprávnění zpracovávat jejich osobní údaje bez jejich předchozího souhlasu. V případě neudělení souhlasu zmíněných osob tak může v praxi docházet často k situacím, kdy po smrti nájemce tyto osoby často ani neví, že jsou vykonavateli vůle a mají pokračovat v nájmu hrobového místa.
Dále je také nutné chránit osobní údaje při zveřejňování informací (například o nájemcích hrobového místa, kteří dluží na nájemném apod.) v místě na daném veřejném pohřebišti obvyklém, na příslušném hrobovém místě či na úřední desce obecního úřadu. Ministerstvo pro místní rozvoj v těchto situacích doporučuje údaje těchto osob přiměřeným způsobem anonymizovat, resp. uvést například pouze číslo hrobového místa a zveřejnit pouze oznámení o možnosti převzít si písemnost či informaci v budově správce pohřebiště.
Závěrem je nezbytné uvést, že při aplikaci GDPR je třeba postupovat uvážlivě, a to zejména při skartaci neplatných nájemních smluv, neboť tyto obsahují velmi cenné informace týkající se například dodatečného projednání dědictví, údajů o hrobovém zařízení včetně jeho stavebního povolení, jde-li o věc nemovitou, délky opuštěnosti a tlecí doby od posledního pohřbení do země apod.