Důvodová zpráva k Vl.n.z. o správě dat a o řízeném přístupu k datům - EU - RJ

Úvod

Na úvod lze stručně uvést, že hlavními důvody pro předložení návrhu zákona jsou přetrvávající nevhodná praxe orgánů veřejné správy při nakládání s daty a zároveň absence právem předvídaných způsobů, jak k těmto datům získat přístup a využívat jejich informační potenciál. Přístup k datům, která nejsou dostupná podle stávající právní úpravy, je navíc téměř nemožný nejen pro zainteresované vnější subjekty, jakými jsou vědci, výzkumníci či novináři, ale i pro ostatní subjekty veřejného sektoru, kterým by přístup k datům umožnil lépe vykonávat veřejnou moc.⁠​‌​‌​​‌​​‌‌​‌​​​⁠

Chybějící právní úprava způsobuje stav, kdy subjekty veřejného sektoru postrádají výslovnou regulaci a právní podklad k tomu, aby efektivně nakládaly se svými daty. Praxe ukazuje, že stávající právní úprava je příliš zaměřena na informační systémy veřejné správy (dále „ISVS“) a data jsou chápána pouze jako jejich součást. To vede ve většině případů k situacím, kdy jsou pomíjeny konkrétní aspekty správy dat jako takových.⁴

Data, uchovávaná v jednotlivých ISVS, nejsou popisována a správce ISVS tak mnohdy přesně neví, s jakými daty vůbec disponuje. Situaci dále neprospívá fakt, že mnoho subjektů veřejného sektoru nemá k datům ve svých ISVS ani reálný přístup, jelikož data má reálně v držení dodavatel informačního systému. Nezřídka jsou navíc smlouvy s dodavatelem špatně nastaveny a dodavatel si za přístup k datům může účtovat další náklady na provoz systému.

To následně vede k nedostatečné transparentnosti, protože znalost a přehled o datech postrádají další agendová místa, která by daná data mohla využít v rámci plnění svých agend. Postrádá je i (odborná) veřejnost, která by data mohla přetvořit v nové nástroje a služby. Tento problém obecně vede k nemožnosti efektivních toků dat uvnitř veřejného sektoru, protože jednotlivá agendová místa nemohou bez znalosti existence specifických dat žádat o přístup k nim a jejich využití a tím pádem nemohou efektivně tvořit služby pro občany a obecně digitalizovat. Důsledkem je stav, kdy jsou nehospodárně pořizována duplicitní data různými subjekty veřejného sektoru pro výkon jejich činností a agend, a kdy není naplněn potenciál efektivních datových toků mezi subjekty veřejného sektoru.

Důkladná znalost toho, s jakými daty stát nakládá, je pak především nezbytným krokem k dosažení cíle, aby mezi úřady obíhala data, nikoli občan. Vyřešení tohoto problému představuje první část z navrhované právní úpravy.

Druhým okruhem problematiky navrhované právní úpravy je současná absence možnosti tzv. řízeného přístupu k datům, a to zejména pro účely vědy a výzkumu, vývoje nových služeb a aplikací, zkvalitňování služeb státu a rozšíření datové základny pro evidence-based přístup ve veřejných politikách. Možnost přístupu k datům je přitom v prvé řadě podmíněna právě kvalitní správou dat a jejich přehlednou katalogizací.

Aktuální právní úprava poskytování informací veřejného sektoru přitom trpí několika zásadními problémy. Stěžejním z nich je nemožnost efektivního a zároveň dostatečně technicky a organizačně zabezpečeného přístupu k datům, jejichž poskytnutí je vyloučeno aktuální právní úpravou poskytování informací. Jedná se zejména o data obsahující některé osobní údaje, data chráněná obchodním tajemstvím či data chráněná právy duševního vlastnictví třetích osob. Kvůli nemožnosti přístupu není možné následné použití těchto dat nebo jejich odvozenin za společensky prospěšnými účely (například vědecký výzkum, společné analýzy orgánů veřejné správy atd.).

Řízený přístup k těmto datům, tj. jejich poskytnutí ve formě, která zároveň naplní cíle žadatele a působením právních a organizačních záruk zajistí, že riziko jejich zneužití bude minimální, v současné právní úpravě, až na výjimky,⁵ chybí. Nemožnost žádat typově stejné informace od většího množství správců dat najednou, nemožnost propojování jednotlivých datových sad a nemožnost efektivního vyřešení takové žádosti významně komplikuje využití skutečné hodnoty dat. Důsledkem je nízká efektivita a navyšování nákladů na straně státu i žadatele (klienta služeb státu). Druhým pilířem navrhované úpravy je proto řízený přístup k datům.

Tento druhý pilíř navrhované právní úpravy a jeho konstrukce vyplývá z nařízení Evropského parlamentu a Rady (EU) ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) (akt o správě dat) (dále „DGA“). DGA v kapitole II předpokládá existenci možnosti řízeného přístupu k datům v právních řádech členských států, ovšem nezakládá ji, ani ji nenařizuje. Základním regulatorním principem předmětné kapitoly II DGA je zajištění základní úrovně, kterou členské státy mají povinnost splnit, pokud se k poskytování takových dat rozhodnou. Návrh zákona tak bude nosičem adaptační úpravy promítající požadavky a cíle DGA.

Obecným procesním předpisem pro řízení o žádosti o zajištění řízeného přístupu k datům je zákon č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, návrh zákona obsahuje pouze úpravu nezbytných zvláštních ustanovení pro řízení o žádosti.

DGA – Nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (Akt o správě dat)

Data Act – Nařízení Evropského parlamentu a Rady (EU) 2023/2854 ze dne 13. prosince 2023 o harmonizovaných pravidlech pro spravedlivý přístup k datům a jejich využívání a o změně nařízení (EU) 2017/2394 a směrnice (EU) 2020/1828 (nařízení o datech)

GDPR – Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

Směrnice o OD - Směrnice Evropského parlamentu a Rady (EU) 2019/1024 ze dne 20. června 2019 o otevřených datech a opakovaném použití informací veřejného sektoru

LZPS – Listina základních práv a svobod

ZoISVS – Zákon č. 365/2000 Sb., o informačních systémech veřejné správy

InfZ – Zákon č. 106/1999 Sb., o svobodném přístupu k informacím

DIA – Digitální a informační agentura

ÚOOÚ – Úřad pro ochranu osobních údajů

DPIA – Data Protection Impact Assessment, neboli posouzení vlivu na ochranu osobních údajů

ISVS – informační systém veřejné správy dle ZoISVS

Úmluva – Úmluva o ochraně lidských práv vyhlášená jako č. 209/1992 Sb., Sdělení federálního ministerstva zahraničních věcí o sjednání Úmluvy o ochraně lidských práv a základních svobod a Protokolů na tuto Úmluvu navazujících

ESLP – Evropský soud pro lidská práva

NKD – Národní katalog dat

NKOD – Národní katalog otevřených dat

ČNB – Česká národní banka

OFN – otevřená formální norma

AIS RPP Působnostní – Agendový informační systém registru práv a povinností Působností

Právní úprava, která se na různých úrovních dotýká dat veřejného sektoru,⁶ je v současné podobě velice roztříštěná, a to jak na evropské, tak národní úrovni. Neexistuje nyní žádný jednotný rámec, který by tuto problematiku upravoval komplexně.

Právní úprava dat veřejného sektoru na úrovni politik Evropské komise je obecně rámována Evropskou datovou strategií, která byla formulována na začátku roku 2020.⁷ Ta zahrnuje již existující právní předpisy, jako je Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále „GDPR“), Nařízení Evropského parlamentu a Rady (EU) 2018/1807 ze dne 14. listopadu 2018 o rámci pro volný tok neosobních údajů v Evropské unii, Směrnice Evropského parlamentu a Rady (EU) 2019/1024 ze dne 20. června 2019 o otevřených datech a opakovaném použití informací veřejného sektoru (dále „směrnice o OD“), nebo specifickou ochranu databází prostřednictvím tzv. databázové směrnice (směrnice Evropského parlamentu a Rady 96/9/ES ze dne 11. března 1996 o právní ochraně databází).

V roce 2022 bylo přijato nařízení Evropského parlamentu a Rady (EU) 2022/868 ze dne 30. května 2022 o evropské správě dat a o změně nařízení (EU) 2018/1724 (Akt o správě dat), které ve svém čl. 38 jako datum použitelnosti stanoví 24. září 2023 a které je součástí souboru opatření oznámených v Evropské datové strategii .⁸ Ve strategii popsala Evropská komise mimo jiné vizi společného evropského datového prostoru, jednotného trhu s daty, na němž lze data používat bez ohledu na místo jejich fyzického uložení v EU v souladu s platnými právními předpisy.

Cílem DGA je proto usnadnit, resp. zvýšit sdílení osobních i neosobních dat v rámci EU. Toho má být dosaženo prostřednictvím:

Zpřístupnění více údajů veřejného sektoru pro jejich opětovné použití je upraveno v kapitole II DGA. DGA zavádí rámec pro opakované použití dat, která jsou chráněna z důvodu obchodního tajemství, statistické důvěrnosti, ochrany práv duševního vlastnictví třetích stran nebo ochrany osobních údajů. V tomto navazuje na již existující unijní úpravu vyplývající v obecné rovině ze směrnice o OD.

Dalším přijatým předpisem Evropské datové strategie je nařízení Evropského parlamentu a Rady (EU) 2023/2854 ze dne 13. prosince 2023 o harmonizovaných pravidlech pro spravedlivý přístup k datům a jejich využívání a o změně nařízení (EU) 2017/2394 a směrnice (EU) 2020/1828 (nařízení o datech) (dále „Data Act“). Ten se zaměřuje na problematiku předávání dat mezi soukromými organizacemi a státními orgány (který však v kontextu navrhovaného zákona v zásadě není relevantní). Krom uvedeného existuje řada specifických právních režimů, které se zaměřují na konkrétní oblasti úpravy a působí tak jako lex specialis. Jde např. o směrnici INSPIRE (směrnice č. 2007/2/ES), a zvláštní úpravu zveřejňování dat o dopravě (směrnice č. 2010/40/EU), případně o nařízení o evropské statistice (nařízení č. 223/2009), které reguluje nakládání se statistickými údaji.

V českém právním řádu, stejně jako na evropské úrovni, neexistuje jeden zastřešující zákonný rámec, který by komplexně upravoval problematiku dat. Existuje řada dílčích právních úprav, které se buď věnují specifické oblasti dat a nakládání s nimi (např. zákon č. 111/2009 Sb., o základních registrech nebo zákon č. 89/1995 Sb., o státní statistické službě), nebo se dat dotýkají nepřímo, ať už skrze regulaci informačních systémů dle zákona č. 365/2000 Sb., o informačních systémech veřejné správy (dále „ZoISVS“), v nichž se data nacházejí, nebo protože upravují určité kontexty nakládání s nimi. To je příklad právní úpravy ochrany osobních údajů, ochrany obchodního tajemství, nebo zákona č. 121/2000 Sb., autorský zákon. Dalším příkladem je zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, a jeho prováděcí vyhláška č. 259/2012 Sb., o podrobnostech výkonu spisové služby a Národní standard pro elektronické systémy spisové služby. Specifickou roli zastávají dva zákony zajišťující právo přístupu veřejnosti k informacím v podobě obecného zákona č. 106/1999 Sb., o svobodném přístupu k informacím (dále „InfZ“) a zvláštního zákona č. 123/1998 Sb. Na podzákonné úrovni je jako zastřešující rámec pro nakládání s daty veřejného sektoru možné zmínit Národní architektonický plán.⁹

V současnosti neexistuje zákonná úprava, která by se specificky zaměřovala na principy efektivního a korektního nakládání s daty, které shromažďuje v rámci své činnosti veřejná správa. Na obecné úrovni musí tato činnost vycházet z principů dobré správy dle správního řádu (zákon č. 500/2004 Sb.). To však, jak praxe ukazuje, není dostatečnou úpravou, neboť orgány veřejné správy nejsou samy o sobě motivovány k tomu, aby si udržovaly o svých datech přehled a pořádek v nich, neboť není jiný obecný právní předpis, který by jim tuto povinnost ukládal, a správcům systémů často chybí i potřebná znalost, jak tento proces správně provádět. Nejblíže se současné právní úpravy správy dat týká ZoISVS, který zavádí pojem informační systém veřejné správy (ISVS) a stanovuje práva a povinnosti, které souvisejí s jejich vytvářením, správou, provozem, užíváním a rozvojem. ISVS je chápán jako funkční celek zabezpečující informační činnosti. Informační činnosti jsou spojeny s informacemi důležitými pro výkon veřejné správy a zaměřují se na reprezentaci informací daty a na řízení dat prostřednictvím funkcionalit ISVS. Nicméně zákon nestanovuje konkrétní povinnosti spojené s daty, ale pouze povinnosti spojené s ISVS jako celkem.

Správce ISVS¹⁰ má na základě ZoISVS jen obecné povinnosti týkající se dat, které jej nutí zabývat se daným ISVS pouze jako celkem. Správce nemá určeny povinnosti týkající se správy dat jako takových. Správa dat se tak pouze implicitně předpokládá v rámci povinností spojených se správou ISVS jako celku. Existující dokumenty, jako je Informační koncepce ČR, pak tyto principy neobsahují dostatečně, a navíc jsou jen velice obtížně efektivně vymahatelné.

Obecným předpisem pro poskytování informací veřejného sektoru, a to včetně zajištění jejich opětovného užití, je zákon č. 106/1999 Sb., o svobodném přístupu k informacím. Pojem „informace” je v zákoně vymezen v § 3 odst. 3 jako „jakýkoliv obsah nebo jeho část v jakékoliv podobě, zaznamenaný na jakémkoliv nosiči”. Tato široká definice zahrnuje i data.

Jádro InfZ leží v zajištění základního politického práva na informace ve smyslu čl. 17 odst. 5 Listiny základních práv a svobod (dále „LZPS“). Zákon rovněž obsahuje implementaci PSI směrnice (směrnice 2003/98/ES) a byla přijata rovněž novela, která provedla implementaci směrnice o OD. Jedná se tedy o klíčový předpis upravující opětovné užití informací (a dat) veřejného sektoru. InfZ povinným subjektům ukládá poskytovat informace žadatelům z řad široké veřejnosti, a to vyjma takových informací, jejichž poskytnutí je InfZ vyloučeno. InfZ dále uděluje povinným subjektům diskreční oprávnění zveřejňovat jakékoli informace, opět s výhradou výjimek uvedených v InfZ.

Předpokladem pro poskytování informací podle InfZ je tzv. princip publicity veřejné správy, dle kterého se informace zásadně poskytují. Žadatel také není nucen prokazovat právní důvod pro jejich poskytnutí, a naopak povinný subjekt musí prokázat v případě odmítnutí žádosti existenci relevantní výjimky, na základě, které nejsou informace poskytnuty. Dalším principem InfZ je princip neformálnosti. V základu nejsou kladeny žádné formální podmínky na žadatele, resp. na žádost o poskytnutí informace. Ideálním případem je taková situace, kdy žadatel a povinný subjekt spolu vstoupí do konverzace a v případě, že jsou žádány informace, které není možné poskytnout z důvodu existující výjimky, povinný subjekt nabídne žadateli alternativu. To se však děje spíše zřídka (více viz nález Ústavního soudu ze dne 1. 7. 2021 sp. zn. III. ÚS 3339/20).

InfZ neupravuje řízený přístup k datům. Základní parametry fungování tohoto předpisu nedávají povinným subjektům na výběr. Pokud informaci poskytnout mohou (tedy pokud neexistuje právní překážka, která by poskytnutí bránila), pak ji poskytnout musí, a to s minimem překážek v souladu s požadavky evropské legislativy (směrnice 2003/98/ES), která byla provedena v § 4a a § 4b zákona. Pokud je informace předmětem některé z výjimek uvedených v InfZ, tak ji povinný subjekt poskytnout nemůže ani přes případné dodatečné zajištění záruk ze strany žadatele. Určitou možnost k poskytnutí představuje anonymizace, kdy výkladová praxe InfZ předpokládá možnost jejího provedení. Dochází tak k naplnění požadavku § 8a odst. 1 InfZ, dle kterého se informace týkající se osobnosti, projevů osobní povahy, soukromí fyzické osoby a osobní údaje poskytují jen v souladu s právními předpisy, upravujícími jejich ochranu (zejména s GDPR, a zákonem č. 110/2019 Sb., o zpracování osobních údajů). Dle výše zmíněného nálezu Ústavního soudu sp. zn. III. ÚS 3339/20 by povinné subjekty měly postupovat tak, aby poskytly požadovanou informaci v její nejširší možné podobě. To se týká rovněž využití procesu anonymizace. Na druhou stranu praxe ukazuje, že obecně povinné subjekty k anonymizaci přistupují toliko mechanicky v podobě odstranění přímých identifikátorů (např. jméno, příjmení, bydliště, identifikační čísla atd.). Anonymizační proces však není mechanická činnost, která by byla v každém případě totožná. Existuje velké množství anonymizačních technik a vhodnost jejich nasazení se může lišit podle specifických potřeb. Technikám anonymizace se blíže věnuje Stanovisko č. 5/2014 k technikám anonymizace pracovní skupiny pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů.¹¹

Efektivní využití dat zejména pro vědecké ale i pro další legitimní účely, které zároveň bude v maximální možné míře chránit práva a zájmy dotčených osob, vyžaduje, aby žadatel mohl ovlivnit, jakým způsobem bude anonymizace provedena. Byť teoreticky je možné tento způsob zahrnout pod režim poskytování informací podle InfZ, není ze strany povinných subjektů využíván vzhledem k velmi přísným lhůtám, které InfZ stanoví, a s odkazem na to, že by šlo o vytváření nové informace dle § 2 odst. 4 InfZ.

Obdobná situace vzhledem k umožnění řízeného přístupu k datům pak panuje i v případě zvláštních právních předpisů, které upravují přístup a následné užití specifických informací, např. zákon č. 455/1991 Sb., o živnostenském podnikání (živnostenský zákon) a zákon č. 123/1998 Sb., o právu na informace o životním prostředí.

I nadále je vhodné, aby InfZ zůstal základním předpisem pro naplňování základního politického práva na informace a obecným předpisem pro poskytování informací a široké zajištění jejich dalšího užití. Z hlediska zajištění řízeného přístupu k datům však jeho současná podoba není dostatečná. Cílem navrhované právní úpravy není ani z části nahradit InfZ, ale zajistit řízený přístup k datům, který InfZ neumožňuje.

Níže uvedený seznam obsahuje vybrané zásadní evropské a české právní předpisy, které obsahují regulaci dat, nakládání s nimi a přístup k nim. Tento výčet vytváří širší kontext, do kterého návrh zákona směřuje, byť se naprosté většiny z nich přímo nedotýká. Návrh zákona má za cíl doplnit tuto mozaiku v mezích doposud neupravené oblasti.

Současný právní stav v oblasti správy dat a přístupu k datům nijak neporušuje zákaz diskriminace a nemá vliv na rovnost žen a mužů.

V posledním desetiletí digitální technologie přeměnily ekonomiku a společnost. Dnes se dotýkají prakticky všech oblastí lidské činnosti a každodenního života. Podstatou technologií jsou přitom data, ekonomický a společenský potenciál dat je tím pádem nesmírný. Data v současnosti umožňují vznik nových produktů a služeb založených na moderních technologiích a pomáhají zefektivnit chod států. Rovněž poskytují nástroje, jak bojovat s novými společenskými výzvami, jakými jsou například zátěž zdravotnického systému a stárnutí evropské populace, vznik nových forem práce a úbytek pracovních míst v tradičních průmyslových odvětvích, či přístup občanů k službám státu a jejich interakce s veřejnou správou.

Data jsou proto dnes naprosto klíčovou surovinou pokroku, ať už hovoříme o digitalizaci, automatizaci nebo užití umělé inteligence. Jejich vnímání, využívání a dostupnost ve veřejné správě České republiky tomu ale zatím až na výjimky neodpovídá. Návrh zákona je proto předkládán právě s akcentem na zlepšení připravenosti státu na budoucnost a umožnění využití potenciálu dat širokým okruhem zainteresovaných žadatelů, zejména pro vývoj nových služeb, aplikací a znalostí. Tento cíl vyžaduje vybudování právních mantinelů pro práci s daty ve veřejné správě.

Z analýz současného stavu subjektů veřejného sektoru v oblasti dat a vývoje okolního prostředí je zřejmé, že bez právní úpravy správy dat a rozšíření cest, jak k nim přistupovat a pracovat s nimi nebude schopna Česká republika efektivně dostát rostoucím nárokům a povinnostem.¹²

Kupříkladu v oblasti zdravotnictví mohou data, shromažďovaná zdravotnickým systémem v průběhu života člověka, významně napomoci poskytnutí lepší a cílenější zdravotní péče jedince.¹³ Data představují také významný pohon velkého množství inovací a vzniku nových pracovních míst, což zdůrazňuje i Evropská komise v Evropské datové strategii. Data jsou zásadním zdrojem pro fungování start-upů, malých a středních podniků, stejně jako nadnárodních koncernů. Rozvoj datových politik a opětovného využití dat je proto jedním z hlavních regulatorních cílů Evropské unie jako celku.¹⁴

Evropská datová strategie uvádí, že přístup k datům a schopnost je využívat mají zásadní význam pro inovace a růst. Inovace založené na datech mohou přinést významné a konkrétní výhody, například:

Jak již bylo řečeno, potenciál dat shromažďovaných veřejným sektorem však není v současné době v České republice adekvátně využit. Instituce veřejné správy přitom mají v držení obrovské množství dat z širokého spektra agend, které instituce spravují. Sdílení a opětovné využití těchto dat však stále zůstává oblastí plnou překážek, restrikcí a často není možné vůbec. Data by měla ideálně “téct” bez větších obtíží jak mezi jednotlivými resorty, tak i mezi veřejným sektorem, akademickou sférou a soukromým sektorem, aby byl jejich potenciál skutečně zužitkován. Kvůli nízké vzájemné důvěře na poli sdílení dat, omezeným možnostem opětovného využití a v neposlední řadě příliš komplikovanou či nedostatečnou technickou infrastrukturou se tok dat neuskutečňuje tak, jak by měl.

Navrhovaný zákon proto spadá do oblasti veřejnoprávní regulace a má za cíl postihnout dvě oblasti, jejichž absence úpravy se dlouhodobě ukazuje jako problematická. Jsou jimi principy správy dat veřejného sektoru a úprava regulace řízeného přístupu k datům veřejného sektoru a jejich opětovné užití. První jmenovaná oblast je pak nutným předpokladem pro reálné fungování druhé. Zároveň umožní efektivnější výkon již existujících povinností vyplývajících ze InfZ, zákona č. 123/1998 Sb., ZoISVS, zákona č. 499/2004 Sb. a mnoha dalších.

Návrh zákona ovšem nemá za cíl být komplexním kodexem, který by vyřešil problém roztříštěnosti právní úpravy nakládání s daty a informacemi ve veřejném sektoru. Zpracování, přijetí a implementace takového všeobjímajícího předpisu bohužel není právně ani technicky možná. Naopak, cílem předkládaného materiálu je vyplnit dílčí doposud neupravené oblasti, tj. vakuum, které vzniká na poli využití dat veřejného sektoru, která podléhají určitému stupni ochrany a nelze k nim nyní podle existujících předpisů získat přístup.

Stručně řečeno, pokud má být potenciál dat veřejného sektoru jako jedné z nejdůležitějších „surovin” současnosti skutečně využit a zhodnocen, data musí být, při dodržení zákonných podmínek, zpřístupněna, musí být důvěryhodná, snadno technicky využitelná a zároveň přehledně katalogizovaná.

V květnu 2022 bylo přijato DGA, které navazuje na předchozí datové legislativní iniciativy, jako je např. GDPR, nebo směrnice o OD. DGA se věcně zaměřuje na data, která podléhají různým režimům ochrany (zejména ochrana osobních údajů) nebo na data v držení soukromého sektoru. Cílem DGA je stanovit obecný základ a umožnit vytvoření bezpečného prostředí pro efektivní předávání dat mezi veřejnou správou a soukromým sektorem a v rámci soukromého sektoru. Kapitola II DGA přímo navazuje na směrnici o OD, a upravuje podmínky pro opětovné užití informací veřejného sektoru, které jsou z aplikace Směrnice o OD vyloučeny z důvodů obchodního tajemství, statistické důvěrnosti, ochrany práv duševního vlastnictví třetích stran a ochrany osobních údajů. Z hlediska rozsahu aplikace se jedná o oblast, které se dotýká navrhovaná úprava řízeného přístupu k datům. Kapitola II DGA nezakládá povinnost poskytování dat, pouze stanoví minimální standard pro případy, kdy je poskytování předmětných dat a jejich opětovné užití umožněno národním právem. Je třeba připomenout, že vzhledem k tomu, že DGA je nařízením, aplikuje se v plném rozsahu již nyní na existující režimy poskytování dat spadajících do jeho působnosti.

Z DGA vyplývají následující okruhy úpravy, které musí být brány v potaz z hlediska jeho adaptace do právního řádu ČR v rámci předkládaného návrhu zákona.

Navrhované řešení nijak nezasahuje do zákazu diskriminace ani nepřináší žádné dopady na rovnost mužů a žen.

Fungování a prosperita společnosti i jednotlivého člověka jsou v dnešní době stále více závislé na množství, rychlosti a kvalitě informací, které má k dispozici a využívá. Beze zbytku to platí také pro stát, který disponuje obrovským množstvím informací, a proto má velkou odpovědnost vůči občanům za to, jak o data ve své správě pečuje a jak je dokáže využívat. Hlavním z důvodů předložení návrhu je právě neustále rostoucí a dosud málo akcentovaná nutnost zacházet s daty napříč veřejnou správou tak, aby byla zajištěna jejich důvěryhodnost a zároveň maximálně podpořeno využívání jejich hodnoty.

Přijetím navržené právní úpravy veřejná správa podstatně zvýší šance České republiky adekvátně reagovat na výzvy a příležitosti pramenící z rychlých proměn globálního prostředí, ekonomických podmínek a společenských změn. Řada z nich totiž bude do budoucna stát na schopnosti dobře pracovat s daty.

Je nutné, aby stát, respektive veřejná správa začala spravovat data jako jedno ze svých nejcennějších aktiv. Mezi hlavní důvody patří: 

Dosavadní právní úprava přitom není dostatečná k dosažení cílů efektivního a hospodárného eGovernmentu. Správci ISVS v kontextu správy dat a jejich zpřístupňování nepostupují s péčí řádného hospodáře. Je nezbytné přijmout právní úpravu, která přímo upravuje správu dat veřejné správy a zajišťuje přístup k nim. Zvláštní úprava musí vyřešit stávající nevhodnou praxi a tím zamezit negativním důsledkům, mezi které patří:

Výzkumy z evropských zemí ukazují výhody, které dobře nastavená správa dat ve veřejné správě jednotlivým institucím přinesla. Více než tři čtvrtiny organizací veřejného sektoru v Británii zdůraznily lepší schopnost rozhodování jako klíčový přínos sdílení dat napříč veřejným sektorem (evidence-based). Mezi další benefity, které sdílení dat přináší, patří: 

•větší spokojenost občanů se službami, 

•vyšší míra dodržování předpisů, 

•zlepšení provozní efektivity a výkonnosti organizace. 

•občany – digitální služby ušetří lidem čas, ale bez dat to nejde; 

•společnost – vyšší míra transparentnosti a důvěry ve stát a politickou reprezentaci – data mají velmi demokratizující efekt na společnost; 

•stát a business – větší efektivita při rozhodování a úspory nákladů; 

•vývoj technologii – pro nové technologie (např. AI) jsou kvalitní data naprosto zásadním atributem, bez kterého nemůžeme zdokonalovat nové systémy.

Další zahraniční příklady a vysvětlení benefitů navrhované úpravy viz zpráva RIA.

Návrh zákona je rovněž komplementární k již vládou schválené Strategii řízeného přístupu k datům pro zajištění podmínek pro kvalitní správu datového fondu veřejné správy České republiky.¹⁶ Tato Strategie podrobně identifikuje problematická místa současné správy dat ve veřejné správě a předestírá nezbytné kroky, které je nutné učinit k tomu, aby stát nakládal s daty hospodárně, data zbytečně neduplikoval, a aby jednotlivé orgány veřejné správy dokázaly identifikovat, jaká data obsahují jejich ISVS a získaly přehled i o datech ostatních státních orgánů. Zmíněná Strategie přitom vychází z navržených ustanovení zákona a bez alespoň základního zákonného zakotvení nebude možné povinnosti týkající se správy dat dostatečně a jednotně vymáhat.

Co se týče řízeného přístupu k datům, v závěrečné zprávě RIA je podrobně rozebrána současná situace, kdy není možné využívat obrovské množství dat, jež stát z veřejných prostředků shromažďuje, a jež by mohly při opakovaném použití přinést řadu dalších benefitů v podobě zacílenější tvorby veřejných politik nebo vědeckých výzkumů cílených na prostředí a populaci ČR (nikoliv pro predikce lokálního vývoje používat data jiných evropských států).

Ačkoliv přínosy navrhované úpravy nelze naprosto přesně kvantifikovat na konkrétní částky úspor nebo procenta zlepšení veřejných služeb, je třeba dodat, že k co nejširšímu opakovaného použití a sdílení dat směřuje i postupně přijímaná legislativa EU (Data Governance Act, European Health Data Space, Data Act) a tento trend bude i nadále pokračovat s postupnou implementací všech složek Evropské datové strategie¹⁷ ve všech členských státech. ČR musí na tento vývoj v národní legislativě reagovat.

Vzhledem k tomu, že existují desítky geoportálů s národní působností, ale vždy specificky pro danou oblast (Geoportál INSPIRE, geoportál ČÚZK pro základní data, geoportál zdravotnických dat, nově vznikající geoportál územního plánování apod.), geoportály samospráv (geoportál má každý kraj, stovky měst a obcí také provozují své geoportály někdy taky nazývané jako mapové portály), avšak tato data není možné nikde na centrální úrovni vyhledat, zřizuje se Geoportál České republiky jako jednotné centrální přístupové místo k národní infrastruktuře pro prostorová data

Zákon o správě dat a o řízeném přístupu k datům dává jedinečnou možnost vybudovat centrální místo pro data prostřednictvím Národního katalogu dat a analogicky centrální místo pro prostorová data s využitím geoportálu České republiky. Protože poskytovatelé prostorových dat jsou na povinnost zpřístupňovat metadat zvyklí již 15 let, i když jejich ochota a aktivita po kontrolách EU v roce 2014 polevila, nebude zpřístupňování metadat na geoportál České republiky novou nákladnou a neproveditelnou povinností. Bude úkolem Ministerstva životního prostředí geoportál České republiky propagovat a znovu komunitu poskytovatelů vybudovat. Klíčovým faktem je, že geoportál České republiky nebudou řídit přísné evropské technické požadavky. Zpřístupňovat data pro národní účely bude hlavním cílem. Povinnosti pro evropskou infrastrukturu INSPIRE bude nový geoportál České republiky zajišťovat jako jeden z dílčích úkolů.

Dne 19. července 2021 byl usnesením vlády č. 636 schválen Věcný záměr zákona o národní infrastruktuře pro prostorové informace (VZZ NIPI), jehož cílem bylo vyřešení problémů týkajících se dostupnosti, kvality, uspořádání, zpřístupnění a sdílení prostorových dat, která jsou společná pro celou řadu oblastí v gesci veřejné správy a vznikají na různých úrovních orgánů veřejné správy. VZZ NIPI navrhnul přijetí nezbytných opatření pro zajištění efektivního pořizování, výměny, sdílení, přístupu a používání interoperabilních prostorových dat a služeb nad prostorovými daty.

Vzhledem k obsahu návrhu zákona o správě dat a o řízeném přístupu k datům bylo Ministerstvem vnitra dne 17. března 2023 rozhodnuto o zahrnutí opatření obsažených ve VZZ NIPI do této právní úpravy.

VZZ NIPI navrhoval níže uvedená opatření. Každé opatření je zhodnoceno ve světle navrhovaného zákona a je vyhodnoceno, zda návrh případně jiné právní předpisy, které byly od doby vzniku VZZ NIPI přijaty opatření navrhovaná ve VZZ NIPI provádí. Stav je výsledkem předchozích konzultací s navrhovateli VZZ NIPI a meziresortního připomínkového řízení.

Vymezení národní infrastruktury pro prostorové informace je vloženo do § 10 odst. 2. Vzhledem k tomu, že prostorové údaje jsou součástí množiny údajů, jejichž výměna a sdílení probíhá prostřednictvím referenčního rozhraní veřejné správy (jak ukotvuje i VZZ NIPI), je tato skutečnost legislativně upravena v zákoně č. 111/2009 Sb., o základních registrech.

Mezinárodní závazky, jimiž je Česká republika vázána v oblasti prostorových informací a služeb, budou nadále naplňovány prostřednictvím Národního geoportálu pro INSPIRE, který se stane integrální součástí geoportálu České republiky, který je upraven § 10 odst. 1 předkládaného zákona.

Koordinační roli pro prostorové informace plní Digitální a informační agentura, která podle § 2a odst. 3 zákona č. 12/2020, o právu na digitální služby, plní koordinační úlohu v oblasti evidence a sdílení dat. Ta je dle organizačního řádu DIA vykonávaná Oddělením evidence a sdílení dat a Oddělením geoinformatiky.

Množina povinných subjektů v návrhu zákona o správě dat se liší od původně předpokládané množiny subjektů ve VZZ NIPI. Toto rozhodnutí je výsledkem rozvahy při přípravě návrhu zákona. Zároveň v návaznosti na meziresortní připomínkové řízení návrh zákona umožňuje dobrovolné plnění povinností správy dat subjekty, které jsou z jeho aplikace jinak vyloučeny (jedná se o samosprávy, které tak mohou činit v rámci své diskrece). Těmto subjektům bude taktéž poskytovaná podpora na bázi dobrovolnosti, a to včetně prostorových informací. Předkladatelé zákona nevylučují budoucí novelizaci zákona, která množinu povinných subjektů rozšíří.

Původně plánované funkcionality IS NIPI budou vykonávané prostřednictvím jiných již existujících procesů, Národního katalogu dat dle § 9 zákona a geoportálu České republiky, který je zřízen dle § 10 zákona.

Především se dle návrhu zákona na prostorová data vztahují obecné povinnosti správy dat, popisování dat a datových rozhraní metadaty dle standardů vydávaných Digitální a informační agenturou ve spolupráci se správci dat a evidence těchto metadat v lokálních katalozích dat, jejichž obsah je centralizován v Národním katalogu dat.

Vzhledem k důrazu na doménová specifika prostorových dat návrh zákona dále v § 10 zřizuje geoportál České republiky, který umožní zpřístupňování a zobrazování prostorových dat, poskytování služeb nad prostorovými daty, sdílení těchto dat a služeb a sledování jejich dostupnosti a využívání.

Aby nedocházelo k duplikaci povinností pro správce dat, kteří spravují taktéž prostorová data, budou tato data evidovaná v lokálním katalogu dat a následně sbírána (harvestována) ze strany Národního katalogu dat a geoportálu České republiky ve stanoveném detailu metadat.

Koordinace a sledování projektů je součástí procesu žádosti o stanovisko dle zákona č. 365/2000 Sb. v souvislosti s předložením dokumentace programů, investičních záměrů, projektů informačních systému a spuštění služby určeného informačního systému. Tento proces je koordinován Odborem hlavního architekta eGovernmentu (DIA), jehož jsou Oddělení geoinformatiky a Oddělení evidence a sdílení dat součástí a budou se dle výsledků předchozích jednání podílet na spoluhodnocení těchto projektů.

Nástroj pro sběr požadavků může být dle předchozích jednání dotčených subjektů jednou z funkcionalit geoportálu České republiky bez nutnosti jejího legislativního ukotvení.

Prostorová data jsou v souladu se zákonem č. 111/2009 Sb. součástí datového fondu veřejné správy. Jejich přesnost, aktuálnost a interoperabilita budou zajištěné dodržování principů správy dat uvedených v Hlavě II zákona.

Geoportál České republiky je zřízen v § 10 zákona. Další platformy jsou součástí referenčního rozhraní upraveného zákonem č. 111/2009, případně jinými resortními legislativními úpravami. Návrh zákona o správě dat neznemožňuje jejich ustavení.

Ad 7 a 8 - dle zákona č. 12/2020 o právu na digitální služby Digitální a informační agentura (§ 2a odst. 3) plní koordinační úlohu v oblasti evidence a sdílení dat a zajišťuje odborný rozvoj, školení, sdílení znalostí, osvětu a vzdělávání v oblasti své působnosti. Není tak nutné tato opatření duplikovat v dalším předpisu.

Navrhovaná právní úprava představuje pouze implementaci části II DGA a je jen jednou částí z celkového souboru právních úprav, kterými Česká republika přizpůsobuje svůj právní řád DGA (další předpisy jsou v legislativním procesu¹⁸).

Řízený přístup k datům je vedle otevřených dat, veřejného datového fondu a propojeného datového fondu čtvrtým, doposud obecně právně neupraveným (až na specifické případy upravené v zákoně č. 372/2011 Sb., o zdravotních službách, a zákoně č. 89/1995 Sb., o státní statistické službě) způsobem předávání dat veřejné správy. Poskytování informací (dat) veřejnou správou v podobě otevřených dat je obecně upraveno v InfZ. Veřejný a propojený datový fond je pak zakotven v zákoně č. 111/2009 Sb., o základních registrech, a upravuje způsoby předávání dat mezi agendovými místy za účelem výkonu jejich agend.

Řízený přístup k datům upravuje datové toky počínající u subjektů veřejného sektoru a směřující k veřejnosti. Dle současné právní úpravy je obecně možné sdílení dat uchovávaných v ISVS a dalších registrech za jiným účelem, než pro které byly vytvořeny a pro které jsou v ISVS nebo dalších registrech uchovávány, pouze u dat veřejných podle InfZ. Také data, která však nemohou být poskytnuta podle InfZ, mají hodnotu spočívající v možnosti jejich sdílení a dalšího užití pro další účely, jako je například vědecký výzkum, datová žurnalistika nebo efektivní výkon veřejné správy. Všechna tato využití pak směřují k prospěchu společnosti jako celku a synergicky doplňují již nyní existující předpisy a principy eGovernmentu a digitalizace veřejné správy.

Základním principem řízeného přístupu k datům je umožnění přístupu k datům, u kterých je regulováno nakládání s nimi, tedy která jsou ze své povahy chráněná zákonem (např. protože jde o osobní údaje, jsou předmětem obchodního tajemství, představují obsah chráněný právy duševního vlastnictví třetích stran atd.). Cílem řízeného přístupu k datům je umožnit přístup k nim nebo jejich odvozeninám a jejich opětovné užití za vybranými zákonem předvídanými účely, které jsou v obecném slova smyslu ve veřejném zájmu, a zároveň zajištění, aby nedošlo k nepřiměřenému zásahu do chráněných práv. Příkladem řízeného přístupu může být zajištění anonymizovaných nebo transformovaných¹⁹ dat z dané datové sady, umožnění přístupu pouze přes zabezpečené počítačové rozhraní nebo jen ve fyzických prostorách správce dat, případně vytvoření právních záruk, které ochranu před zneužitím poskytnutých dat zajistí. Praktické dopady řízeného přístupu se projevují zejména v oblastech vědeckého výzkumu, vývoje a inovací, získávání statistiky o různých oblastech lidské činnosti pro účely rozšiřování znalostí a výkon svobody projevu v širším slova smyslu, vzdělávání a vhodného nastavování veřejných politik. Klíčovou součástí řízeného přístupu je rovněž možnost získat data od většího množství subjektů veřejného sektoru najednou a propojování dat a díky tomu pracovat s komplexnějším a celistvějším obrazem.

Řízený přístup k datům se vyskytuje v právní úpravě ve vybraných zahraničních jurisdikcích, jako jsou Spojené státy americké, ale i v právních řádech členských států EU. Příkladem může být Spolková republika Německo. V případě Německa neexistuje centrální orgán, který by řízený přístup k datům zajišťoval, a data pro vědecké účely jsou k dispozici prostřednictvím různých výzkumných datových center.

Ukázkovým příkladem dobré praxe fungujícího řízeného přístupu v určité oblasti je pak specifická právní úprava ve Finsku, která umožňuje přístup a opětovné užití osobních údajů z oblasti zdravotnictví a sociálních služeb.

V ČR se principy řízeného přístupu k datům objevují v zákoně č. 89/1995 Sb., o státní statistické službě, a v zákoně č. 272/2011 Sb., o zdravotních službách a podmínkách jejich poskytování. Zákon č. 89/1995 Sb. v § 17 odst. 1 písm. f) umožňuje v souladu s evropskými předpisy předání důvěrných statistických údajů na základě smlouvy za účelem vědeckého výzkumu.²⁰ Dále zákon č. 89/1995 Sb. uvádí v § 18 odst. 1 písm. c), že Český statistický úřad může vypracovat a poskytnout statistické informace na základě smlouvy za cenu stanovenou dohodou. Zákon č. 272/2011 Sb. v § 73 upravuje omezené poskytování dat ze zdravotnických registrů za zákonem stanovených podmínek. Oba zákony neupravují řízený přístup k datům dostatečně. Druhý uvedený navíc vylučuje přístup široké veřejnosti, a to i pro obecně společensky prospěšné účely. Příkladem komplexní úpravy poskytování informací, která zahrnuje jak volný přístup formou veřejného datového fondu, tak prvky řízeného přístupu, je úprava katastru nemovitostí podle zákona č. 256/2013 Sb., o katastru nemovitostí.

Vzhledem k uvedenému a zároveň požadavkům vyplývajícím z výše popsané unijní úpravy správy dat je nutné v druhé části předkládaného zákona upravit řízený přístup k datům.

Navrhovanou úpravu lze rozčlenit do hlavních okruhů:

Z hlediska ústavního pořádku se navrhovaný zákon dotýká následujících článků LZPS: čl. 2 odst. 2 a odst. 3, čl. 4 odst. 1, čl. 7, čl. 10, čl. 11, čl. 17 a čl. 34. Navrhovaný zákon je v souladu s ústavním pořádkem.

První část navrhovaného zákona věnující se správě dat má spíše technický charakter a nepředstavuje zvláštní dopady na ústavní pořádek ČR. V případě části upravující řízený přístup k datům je z vyjmenovaných základních práv a svobod nejrelevantnějším právo na ochranu soukromí. Na úrovni ústavního pořádku je toto právo upraveno především čl. 7 odst. 1, čl. 10 odst. 2 a 3 a čl. 13 LZPS. Klíčovou roli pak hraje čl. 10 odst. 3 LZPS, který výslovně zakládá právo „na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.“

Rozhodovací praxe Ústavního soudu následuje judikaturu Evropského soudu pro lidská práva (dále „ESLP“) a přistupuje ke konceptu soukromého a rodinného života se stejně rozšiřující tendencí.²¹ Důležitý limit možnosti omezit právo na ochranu soukromého a rodinného života tvoří čl. 4 odst. 4 LZPS, který uvádí, že „[p]ři používání ustanovení o mezích základních práv a svobod musí být šetřeno jejich podstaty a smyslu.“ Toto ustanovení, ve spojení s čl. 7 odst. 1 a čl. 10 LZPS, formulují jádro práva na ochranu soukromého a rodinného života. Toto jádro nemůže být omezeno a bude působit jako tvrdý limit pro právní úpravu a její aplikaci. K povaze materiálního obsahu práva na soukromí Ústavní soud uvedl: „Zachování materiálního obsahu práva na soukromí vyžaduje, aby v každém jednotlivém případě docházelo jen k takovému omezení základního práva, které je nutné a spravedlivě požadovatelné v demokratickém právním státě k tomu, aby byl ještě naplněn účel omezení. Jinými slovy, po identifikaci účelu, pro který má být základní právo omezováno, je třeba zkoumat, zda jde o omezení vhodné a potřebné (nutné) k tomu, aby byl dosažen aprobovaný cíl. Omezující zásah je vhodný, vykazuje-li takovou věcnou souvislost s účelem, že dosažení účelu přinejmenším podporuje. Potřebnost zásahu předpokládá, že k dispozici není žádný jiný, k právům dotčené osoby šetrnější, tj. menší újmu způsobující, a přitom stejně vhodný prostředek. Omezení základního práva na ochranu osobních údajů se nesmí vymykat z proporcionálního poměru k významu jím sledovaného cíle, …, tedy nesmí jít nad rámec toho, co je pro dosažení tohoto cíle nezbytné. Při splnění těchto předpokladů je omezení základního práva fyzické osoby jako individua vázaného na společenství a vztahujícího se k němu ospravedlnitelné.“²²

Závěry z uvedeného spočívají v tom, že jakékoli opatření, které by způsobovalo omezení práva na ochranu soukromí (resp. soukromého a rodinného života) musí být v první řadě dostatečně konkrétní, přiměřené a nezbytné a bezprostředně směřující k požadovanému cíli. Z nedávné rozhodovací praxe, která je vzhledem k navrhované úpravě relevantní je pak možné zmínit nález Ústavního soudu, sp. zn. I.ÚS 740/15 ze dne 27. 6. 2017, a nález Ústavního soudu sp. zn. Pl. ÚS 25/21 ze dne 17. 1. 2023, ve kterém se Ústavní soud zabýval poskytováním údajů z Národního zdravotnického informačního systému.

Je důležité zmínit, že navrhovaná právní úprava nezakládá jakýkoli sběr nových osobních údajů ze strany státu. Předmětem navrhované úpravy z hlediska dopadů na ochranu soukromí je umožnění přístupu k jinak neveřejným osobním údajům a jejich případné další užití. Možnost tohoto přístupu však není neomezená, ale je jasně konkrétně stanovená. Ústavní konformnost je dodržena taxativním vymezením legitimních účelů, za kterými je možné přístup získat: (a) vědecký výzkum; (b) zajištění kontroly veřejné správy, nebo (c) výuka a vzdělávání. Všechny tyto legitimní účely jsou zařaditelné též pod výjimky uvedené čl. 8 odst. 2 Úmluvy. Limitace zneužití je pak nastavena i tím, že budou poskytnuty jen takové údaje, které jsou v daném případě vzhledem k žádosti nezbytné a příjemce je bude moci uchovávat jen po nezbytnou dobu. Zároveň, pokud by povaha žádosti byla taková, že by jakékoli vyhovění znamenalo nepřiměřený zásah do chráněných práv a zájmů subjektů údajů, správce dat poskytnutí dat odmítne. Při takovémto legislativním nastavení jsou obecně splněny podmínky vyplývající z Úmluvy, LZPS i rozhodovací praxe Ústavního soudu. Navrhovaná úprava není plošná a je jasně limitovaná účelem aplikace. Při formální aplikaci testu proporcionality dojdeme k závěru, že navrhovaná úprava jím může projít. Kritérium vhodnosti je naplněno, protože poskytnutí předmětných osobních údajů prostřednictvím řízeného přístupu umožňuje dosáhnout cíle, kterým je odemknutí jejich potenciálu a možnosti jejich využití za zákonem předvídanými společensky prospěšnými účely. Kritérium potřebnosti je také naplněno, protože neexistuje méně invazivní způsob, jak dosáhnout daného cíle. Třetí krok testu proporcionality pak bude nutné vykonat v případě každé žádosti, protože jej není možné v kontextu navrhované úpravy učinit abstraktně. Na druhou stranu, navrhovaná úprava s tímto počítá, kdy konkrétní kontrola přiměřenosti a řešení kolize práv je zajištěna v průběhu procesu poskytování dat. Vzhledem k tomu je navrhovaná právní úprava ústavně konformní, resp. bude možné ji interpretovat a aplikovat ústavně konformním způsobem.

Navrhovaný právní předpis má za účel především zajistit implementaci dosud neimplementovaného sekundárního právního předpisu Evropské unie, tj. nařízení o správě dat.

V kontextu práva EU je navrhovaný zákon adaptačním předpisem konkrétně kapitoly II DGA. První část navrhovaného předpisu upravuje spíše technické sjednocení a standard pro správu dat řešenou na vnitrostátní úrovni bez jakéhokoli přesahu do práva EU. Druhá část navrhovaného předpisu je adaptačním předpisem ke kapitole II DGA, ale zároveň zakládá novou možnost řízeného přístupu k chráněným datům a jejich opětovné užití v bezpečném kontextu. V tomto směru právo EU tvoří limity pro legální další užití předmětných dat a informací.

Tyto limity jsou tvořeny jednak články Listiny základních práv Evropské unie (zejm. čl. 7 - Respektování soukromého a rodinného života, čl. 8 - Ochrana osobních údajů, čl. 11 - Svoboda projevu a informací, čl. 13 - Svoboda umění a věd a čl. 16 - Svoboda podnikání) a dále sekundární legislativou EU (zejména výše uvedené předpisy evropské datové strategie a GDPR). Důležitou roli pro stanovení hranic možné národní úpravy pak hraje rovněž rozhodovací praxe Soudního dvora Evropské unie, kde je nezbytné uvést zejména rozhodnutí C-439/19 ze dne 22. 6. 2021 (Latvijas Republikas Saeima), nebo rozhodnutí C-92/09 ze dne 9. 11. 2010 (Volker und Markus Schecke and Eifert). Navrhovaný zákon je komplementární k existující a rozvíjející se evropské datové legislativě tvořené zejména GDPR, a dalšími výše uvedenými předpisy. Navrhovaný zákon je s limity stanovenými uvedenou právní úpravou v souladu.

Právo na ochranu osobních údajů se do značné míry prolíná s právem na ochranu soukromého a rodinného života, jak bylo uvedeno výše. Zároveň jde ale o samostatné právo s vlastními základními účely a metodami. V aplikační rovině jde o právo, které má své kořeny silně zakotvené v právu EU. Článek 8 Listiny základních práv EU dává právní základ samostatné úpravě práva na ochranu osobních údajů. Zmínit je vhodné rovněž čl. 16 Smlouvy o fungování EU (bývalý článek 286 Smlouvy o ES), který výslovně zakotvuje, že každý má právo na ochranu osobních údajů, které se jej týkají. Hlavním relevantním předpisem je pak GDPR, a na něj navazující národní adaptační předpis v podobě zákona č. 110/2019 Sb. Je třeba zdůraznit, že právní úprava ochrany osobních údajů má dva základní účely, ke kterým regulace směřuje. Prvním, nepřekvapivým, účelem je ochrana osobních údajů, čímž dochází nepřímo k ochraně dalších práv a zájmů, do jejichž zásahu by mohlo nepřiměřeným zpracováním osobních údajů dojít. Druhým účelem regulace je vytvoření prostředí, v němž je možné zajistit bezpečné a korektní zpracování osobních údajů. Jinými slovy, zpracování osobních údajů je jev, který je regulací předpokládán, a ne něco, co se děje na základě zákonné výjimky, omezením nebo souhlasem dotčené osoby (jako je tomu v případě zásahu do práva na soukromí). Ochranu osobních údajů je třeba chápat jako systém pro korektní nakládání s informacemi. Právní regulace ochrany osobních údajů je vrcholně pragmatická, protože vychází ze základního předpokladu, že zpracování osobních údajů při činnostech a naplňování potřeb moderní společnosti bude a musí probíhat, a je jejím cílem, aby se tak dělo korektním způsobem, který bude co nejméně zasahovat do práv subjektů údajů. Probíhající zpracování osobních údajů tudíž automaticky samo o sobě nutně nepředstavuje zásah do základních práva člověka.

Z uvedeného ve vztahu k navrhované právní úpravě vyplývá, že samotný koncept umožnění přístupu k jinak neveřejným osobním údajům za legitimními účely, a jejich případné následné využití za těmito účely, není rovnou od základu v rozporu s režimem právní úpravy ochrany osobních údajů. Je však nezbytné zajistit dostatečné záruky, aby takové zpracování bylo korektní (férové), přiměřené a nezasahovalo do práv a zájmů subjektů údajů nepřiměřeným způsobem. Je samozřejmě možné, že v určitých konkrétních případech nebude možné osobní údaje řízeným přístupem poskytnout, protože by tak došlo k nepřiměřenému zásahu do chráněných práv a zájmů. Tento závěr však jde ruku v ruce se závěrem z předcházející části, kdy samozřejmě je třeba přiznat možnost, že v rámci konkrétního hodnocení testu proporcionality bude výsledek takový, že údaje není možné poskytnout. Nečiní to však celý koncept navrhované právní úpravy protiústavním a proto nepoužitelným.

Právní úprava dat veřejného sektoru je rámována Evropskou datovou strategií, která byla formulována na začátku roku 2020.²³ Zahrnuje již existující právní předpisy, jako je GDPR, Nařízení o volném toku neosobních údajů (nařízení EU č. 2018/1807) a Směrnici o OD. Do rámce evropské datové strategie přibylo DGA,²⁴ jehož cílem je jednak sjednotit pravidla poskytování specifických typů informací, a jednak zajistit bezpečné prostředí pro datové prostředníky a datový altruismus. Dalším nedávno přijatým předpisem je tzv. Data Act, který se zaměřuje na problematiku předávání dat mezi soukromými organizacemi a státními orgány (který však v kontextu navrhovaného zákona v zásadě není relevantní).

Navrhovaný zákon nikterak nezasahuje do oblastí, které jsou upraveny mezinárodními smlouvami, jimiž je Česká republika vázána. Mezinárodní smlouvy, zejména lidskoprávní úmluvy v čele s Evropskou úmluvou o lidských právech a navazující výkladovou praxí ESLP stanoví v podobě garantování základních práv limity, které nemohou být novým předpisem překročeny. Tyto limity, které omezují zveřejňování informací, budou v kontextu druhé části navrhovaného zákona respektovány. První část navrhovaného zákona pak cílí na ryze vnitrostátní veřejnoprávní úpravu principů řízení dat v informačních systémech. Jedná se tak o zcela technicistní úpravu, která není mezinárodním právem nijak upravena a její aplikace nepůsobí možné kolize s existující mezinárodní úpravou. Je možné konstatovat, že mezinárodní smlouvy, kterými je ČR vázána, se na problematiku nevztahují.

Navrhovaná úprava, resp. část upravující řízený přístup, spadá obecně do oblasti působnosti čl. 8 Úmluvy o ochraně lidských práv (vyhlášené jako č. 209/1992 Sb., Sdělení federálního ministerstva zahraničních věcí o sjednání Úmluvy o ochraně lidských práv a základních svobod a Protokolů na tuto Úmluvu navazujících) (dále „Úmluva“), který garantuje právo na respektování rodinného a soukromého života. ESLP se ve své rozhodovací praxi zpracováním osobních údajů zabýval mnohokrát, a ochranu osobních údajů pod působnost čl. 8 Úmluvy zahrnul (viz např. rozsudky ESLP ze dne 28. 10. 1994 ve věci Murray proti Spojenému království, stížnost č. 14310/88, ze dne 4. 5. 2000 ve věci Rotaru proti Rumunsku, stížnost č. 28341/95 a ze dne 27. 6. 2017 ve věci Satakunnan Markkinapörssi Oy a Satamedia Oy proti Finsku, stížnost č. 931/13). Čl. 8 ve svém druhém odstavci uvádí limit práva na ochranu soukromého a rodinného života, který je však nezbytné interpretovat restriktivně. Z hlediska zákonodárných aktivit tvoří tvrdý nepřekročitelný limit materiální jádro, respektive esence obsahu chráněného práva a nezbytnost jejího zachování. Rozhodovací praxe ESLP zatím nicméně směřovala v kontextu vymezení esence čl. 8 Úmluvy převážně k otázkám rodinného života než soukromí jako takového (viz např. Sheffield a Horsham proti Spojenému království²⁵ nebo Smith a Grady proti Spojenému království²⁶, přičemž oba případy se týkaly homosexuálních sňatků a svazků). V kontextu užití technologií (například ke sledování osob nebo zpracování dat obecně) prozatím ESLP k výslovnému vymezení esence čl. 8 nepřistoupil.²⁷ I přesto, že není esence obsahu práva chráněného čl. 8 ve vztahu k analyzované problematice ESLP zatím stanovena, je třeba k jakémukoli jeho omezení přistupovat opatrně a restriktivně. Podmínkou pro omezení práva na soukromý a rodinný život je, že (i) omezení musí být provedeno za jedním z účelů uvedených v čl. 8 odst. 2 Úmluvy, (ii) musí být zakotveno v zákoně, a (iii) musí úspěšně projít testem proporcionality. Zvláštní ochrany pak dle ESLP zasluhují údaje o zdravotním stavu, jak vyplývá např. z rozsudku L. H. proti Lotyšsku, č. 52019/07²⁸. ESLP konstatoval, že v případě stěžovatele došlo k porušení článku 8 Úmluvy, neboť shledal, že použitelný zákon dostatečně jasně neuvádí rozsah diskreční pravomoci svěřené příslušným orgánům a způsob jejího výkonu.

V kontextu navrhované právní úpravy je proto možné konstatovat, že její cíle je možné, v návaznosti na to, za jakým účelem a kým jsou data vyžádána, zahrnout pod podmínky uvedené v čl. 8 odst. 2 Úmluvy, a to konkrétně pod podmínky hospodářského blahobytu země, předcházení nepokojům a zločinnosti, ochrany zdraví nebo morálky a ochrany práv a svobod jiných. Nutnou podmínkou však zůstává řádné legislativní zakotvení a proporcionalita řešení.

Na základě navrhované právní úpravy budou též ukládány dostatečně předvídatelné sankce. Tyto sankce budou ukládány a vymáhány standardním způsobem prostřednictvím procesu, který zajišťuje všechna práva vyplývající z Úmluvy. Právo na spravedlivé řízení je garantováno systémem správního soudnictví, neboť všem osobám pravomocně uznaným vinnými z přestupku se umožňuje podat ke správnímu soudu žalobu proti pravomocnému rozhodnutí správního orgánu.

Dopady na státní rozpočet a ostatní veřejné rozpočty jsou podrobně rozebrány v Závěrečné zprávě RIA.

Dopady bude představovat především vybudování infrastruktury pro přístup k datům, proškolení personálu na správu dat, vyčlenění personálních kapacit pro zajišťování řízeného přístupu a adaptace informačních systémů na plnění povinností správy dat.

Aplikace principů správy dat, které v konečném důsledku výrazně zvýší efektivitu výkonu veřejné správy a umožní efektivní digitalizaci, nese náklady jednak v podobě jednorázových nákladů nezbytných pro jejich zavedení a jednak v podobě očekávaných průběžných nákladů vynaložených zejména na platy datových expertů působících v institucích, na které zákon bude dopadat.

Celkové odhadované náklady pro zavedení principů správy dat: a) Jednorázové pro zavedení plnění povinností včetně rezervy na zajištění úpravy ISVS: 292 860 000,- Kč; b) Celkové roční personální a provozní náklady: 242 120 000,- Kč. K tomu je navíc třeba přičíst konkrétní náklady na vznik a provoz geoportálu České republiky: a) Jednorázové náklady pro zřízení geoportálu České republiky: 87 000 000,- Kč; b) Celkové roční personální a provozní náklady: 17 000 000,- Kč.

Zároveň je možné očekávat z hlediska dopadů na státní rozpočet a ostatní veřejné rozpočty řadu nepřímých přínosů, které však není možné jednoznačně kvantifikovat. Patří mezi ně např. úspory vyplývající z optimalizace procesů na základě znalosti dat, zisky vyplývající z dalšího užití dat, rozvoj katalogizace dat a jejich další užití veřejným a soukromým sektorem a na to navazující ekonomické benefity na straně státu (zejm. daně, zaměstnanost atd.). Jejich detailní rozpis obsahuje závěrečná zpráva RIA.

Náklady na zavedení řízeného přístupu k datům jsou pak při správné aplikaci principů správy dat nízké v podobě jednorázových nákladů na vybudování infrastruktury pro zajištění řízeného přístupu odhadované na cca 52 720 000 korun. Roční náklady na provoz a expertní pozice pro zajištění agendy vyřizování žádostí o řízený přístup k datům a zajištění anonymizačního procesu jsou odhadovány na cca 28 590 000 korun ročně. Ostatní náklady na nezbytnou aplikaci řízeného přístupu lze spojit s náklady na zajištění správy dat.

Příjmy v podobě poplatku 3000 Kč za žádost nejsou započítávány, protože jsou vzhledem k očekávanému množství žádostí o řízený přístup ročně zanedbatelné.

Jak vyplývá ze zprávy RIA, hlavní zátěž nákladů spočívá v zajištění korektní správy dat, nikoli v zajištění řízeného přístupu. Nedostatečně kvalitní správa dat veřejného sektoru je dlouhodobým dluhem české veřejné správy, který brzdí efektivitu veřejné správy a dále zvyšuje náklady. Orgány veřejné správy jsou na hraně možností a bez navýšení svých kapacit a prostředků nové povinnosti nebudou schopny korektně plnit. Předkládaný návrh je pak řešením, který se pokouší minimalizovat náklady za současného zachování maxima užitku a efektivity.

Pokud má dojít k rozvoji českého eGovernmentu a pokud mají být naplněny cíle, které si předkládaný materiál stanovil, je nezbytné dané prostředky vynaložit.

Oblast úpravy Jednorázové náklady pro zavedení plnění povinností Celkové roční personální a provozní náklady Správa dat 292 860 000 242 120 000 Zřízení geoportálu České republiky 87 000 000 17 000 000 Zajištění a proces řízeného přístupu k datům 53 060 000 30 870 000  Celkový součet 432 920 000 289 990 000  

Pro efektivní naplnění povinností vyplývajících z navrhovaného předpisu je nezbytné, aby správci dat, příslušné subjekty a Agentura byli dostatečně věcně, odborně a zejména personálně vybaveni. Bez splnění tohoto požadavku není reálné dosáhnout cílů navrhované regulace. V případě příslušných subjektů (a jednotného informačního místa) pak povinnost zajistit dostatečné zdroje členskému státu vyplývá přímo z DGA.

Očekávané náklady budou generovat další výdajové požadavky ze státního rozpočtu nad rámec schválených výdajových limitů na roky 2025 až 2027 a to konkrétně v letech 2026 a 2027. V roce 2025 návrh nové výdaje nepřináší, a to vzhledem k tomu, že teprve v jeho průběhu dojde k jeho schválení. Ustanovení, která nabydou účinnosti v první vlně po schválení předpisu sama o sobě nutné náklady nepřináší. Ty jsou spojeny až s přípravou plnění povinností, které nabydou účinnosti k 1. lednu 2028 a 1. lednu 2029.

Vzhledem k tomu je nezbytné, aby došlo k navýšení tabulkových míst u správců dat dle jejich konkrétních potřeb. Zejména se jedná o pokrytí rolí Datový architekt, Datový analytik případně Datový steward (dle standardu DMBOK) potřebných pro popis datových struktur a jejich údržby včetně činností spojených s případným předáváním dat. Je zřejmé, že ty se mohou vzhledem k povaze konkrétního správce dat lišit, kalkulace proto počítá s průměrnými hodnotami. Je proto na konkrétních správcích dat (správcích jednotlivých dotčených rozpočtových kapitol) identifikovat potřebu navýšení svých kapitol rozpočtu nad rámec schválených rozpočtových limitů nebo stanovených limitů počtu míst a objemu prostředků na platy a zahrnout je do standardního vyjednávání o podobě relevantní kapitoly státního rozpočtu. Financování bude součástí rozpočtů příslušných kapitol.

Dopady na podnikatelské prostředí jsou příznivé.

Z hlediska dopadů na podnikatelské prostředí budoucí právní úprava nepřináší nové náklady. Podobně jako v případě hodnocení mezinárodní konkurenceschopnosti ČR očekáváme přínosy v podobě naplnění potenciálu efektivního využívání dat.

Dopady jsou dále podrobně rozebrány v Závěrečné zprávě RIA.

Navrhovaná právní úprava nepředpokládá žádný negativní dopad na práva specifických sociálních skupin obyvatel, jako jsou zdravotně postižení, národnostní menšiny, zaměstnanci a jiné. Navrhovaný zákona také nebude mít žádný specifický dopad na ochranu práv dětí, ani na životní prostředí. Navrhovaná úprava může přinést pozitivní dopady do sociální oblasti, vzhledem k tomu, že efektivní nakládání s daty umožní lepší rozhodování orgánů veřejné správy (vč. orgánů působících v sociální oblasti) v podobě vhodně nastavených data-based politiky. Umožní rovněž efektivní analýzu úspěšnosti sociálních programů a politik. Vzhledem k tomu dojde k optimalizaci výdajů v oblasti sociálních politiky a v konečném důsledku zlepšení situace v této oblasti.

Navrhovaná právní úprava sleduje dva základní cíle. Prvním cílem je zajistit podmínky pro efektivní správu dat ve veřejném sektoru. Druhým cílem je umožnění řízeného přístupu k datům, k nimž za současné právní úpravy přístup možný není. Okruh těchto dat je vymezen v souladu s čl. 3 odst. 1 DGA. Jednou z kategorií, které jsou návrhem dotčeny jsou i doposud neveřejné osobní údaje.

Z hlediska prvního cíle (tedy zavedení principů dobré správy dat) navrhovaná právní úprava nezakládá nové zpracování osobních údajů a celkově se problematiky ochrany soukromí a osobních údajů nijak nedotýká a nepřináší tak z hlediska ochrany soukromí a osobních údajů žádné negativní dopady. Vzhledem k tomu se tato část prvnímu cíli navrhované právní úpravy dále nevěnuje.

Druhý cíl navrhované právní úpravy, tedy zajištění možnosti řízeného přístupu k datům, zakládá zpracování osobních údajů v podobě provádění anonymizace a pseudonymizace dožádaných údajů a dále v podobě řízeného poskytování jinak neveřejných osobních údajů oprávněným žadatelům. Zároveň tak navrhovaná právní úprava otevírá dveře možnému dalšímu užití těchto poskytnutých údajů. Z hlediska ochrany osobních údajů se jedná o poměrně zásadní novinku, kterou je třeba nejprve vyhodnotit z hlediska očekávaných důsledků, které může na chráněná práva a zájmy subjektů údajů mít. K druhému cíli je proto potřeba provést detailní hodnocení dopadů.

Úvodem této kapitoly je třeba poznamenat, že není (a nemůže být) Data Protection Impact Assessment, neboli posouzení vlivu na ochranu osobních údajů (dále „DPIA“) ve smyslu čl. 35 GDPR. Jedná se o abstraktní zhodnocení dopadů regulace na úrovni zákonodárce. Stejně tak nemůže být součástí tohoto hodnocení konkrétní technické provedení chystaného zpracování, protože to už je otázkou a odpovědností správců údajů při chystaném zpracování. DPIA podle čl. 35 pak provádí konkrétní správci osobních údajů v konkrétním kontextu chystaného a probíhajícího zpracování.²⁹

Cílem chystaného nově upraveného zpracování osobních údajů je umožnit žadatelům zabezpečený přístup k doposud zcela neveřejným osobním údajům a jejich další užití za zákonem předvídanými účely. Tyto účely tvoří limit, pro který je možné předmětné osobní údaje požadovat a dále je zpracovávat. Jak je uvedeno výše, jde o následující: (a) vědecký výzkum; (b) zajištění kontroly veřejné správy, nebo (c) výuka a vzdělávání. Předkládaný návrh tak zakládá nový způsob zpracování osobních údajů v podobě procesu jejich poskytnutí žadateli, a následně otevírá možnost dalšího zpracování žadatelem. Vzhledem k povaze předmětných osobních údajů, mezi které spadají i osobní údaje zařazené mezi zvláštní kategorie podle čl. 9 GDPR, je vhodné k hodnocenému zpracování od začátku přistupovat jako k vysoce rizikovému.

Navrhované zpracování věcně vychází z úpravy přítomné v DGA. To v Kapitole II samo o sobě nezakládá povinnost zpracování osobních údajů, ani přímo nevytváří právní základ, na kterém by mohlo zpracování spočívat. Přesto je z povahy DGA zřejmé, že slouží jako prostředek pro vytvoření zákonného rámce, uvnitř kterého má navrhované zpracování osobních údajů probíhat, a které je předvídáno evropským zákonodárcem. Kapitola II DGA upravuje některé otázky přístupu a opakovaného použití chráněných dat (včetně osobních údajů). Navrhovaná právní úprava se pohybuje přesně v tomto rámci vymezeném Kapitolou II DGA. DGA dále uvádí, že jím není dotčena právní úprava ochrany osobních údajů (bod odůvodnění č. 4) a že se na veškeré osobní údaje zpracovávané v souvislosti s DGA vztahují unijní i vnitrostátní předpisy ochrany osobních údajů (čl. 1 odst. 3 DGA). Z hlediska regulace ochrany osobních údajů proto zamýšlené zpracování osobních údajů podléhá ochraně a limitům GDPR a zákonu č. 110/2019 Sb.

V kontextu zamýšleného zpracování osobních údajů je možné identifikovat dva základní správce údajů. Prvním je povinný subjekt, který osobní údaje spravuje a bude je na základě žádosti poskytovat. Variantě, v případě propojování více datových zdrojů, které by prováděla DIA, se budou v procesu poskytování dat DIA a povinný subjekt nacházet v pozici společných správců, protože jimi byl společně stanoven účel (splnění zákonné povinnosti v reakci na žádost) a prostředky (konkrétní způsob provedení předání údajů) daného zpracování. Druhý základní typ správce údajů se objevuje v případě dalšího užití získaných údajů. Tehdy se žadatel dostává do pozice správce údajů a musí tak plnit povinnosti vyplývající z GDPR. Je však nutné dodat, že ve variantě, kdy jsou vyžádané údaje poskytovány v anonymní podobě, a tedy již nemohou sloužit k identifikaci subjektu údajů, se žadatel v pozici správce nenachází a s daty může nakládat bez omezení.

Jak bude dále argumentováno, při nastavení systému regulace je možné najít rovnováhu mezi chráněnými právy a zájmy subjektů údajů a právy a zájmy, které jsou na straně žadatelů o data. Je nutné ale předeslat, že navrhovaná úprava předpokládá efektivní výkon pravomoci ze strany dozorového úřadu, kterým je Úřad pro ochranu osobních údajů (dále „ÚOOÚ“).

V ČR se principy řízeného přístupu k datům objevují v zákoně č. 89/1995 Sb., o státní statistické službě a v zákoně č. 272/2011 Sb., o zdravotních službách a podmínkách jejich poskytování. Zákon č. 89/1995 Sb. v § 17 odst. 1 písm. f) umožňuje v souladu s evropskými předpisy předání důvěrných statistických údajů na základě smlouvy za účelem vědeckého výzkumu. Dále zákon č. 89/1995 Sb. uvádí v § 17 odst. 1 písm. f), že orgány provádějící státní statistickou službu „předávají důvěrné statistické údaje pro účely vědeckého výzkumu na základě smlouvy, která stanoví splnění podmínek ochrany těchto údajů a přesný způsob jejich využití v souladu s právem Evropských společenství, a to právnickým osobám, jejichž základním posláním je vědecký výzkum“. § 18 odst. 1 písm. c) pak uvádí, že Český statistický úřad může vypracovat a poskytnout statistické informace na základě smlouvy za cenu stanovenou dohodou. Zákon č. 272/2011 Sb. v § 73 upravuje omezené poskytování dat ze zdravotnických registrů za zákonem stanovených podmínek.

Zásadní rozdíl navrhované úpravy oproti exitujícím režimům je, že se neomezuje na umožnění řízeného přístupu pouze za účelem provádění vědeckého výzkumu, ale jsou umožněny i další důvody. Z tohoto hlediska je možné exitující zvláštní úpravu vnímat jako rigidnější a v základu silněji chránící základní právo na ochranu soukromí a osobních údajů. Tento nedostatek je v kontextu navrhované úpravy mitigován v podobě robustního systému nástrojů zabezpečení (jak je rozebráno dále).

Klíčovým prvkem právního rámce ochrany osobních údajů jsou práva subjektů údajů. Ta jsou uvedena zejm. v čl. 12-22 GDPR. Subjekty údajů jimi mohou aktivně vstupovat do procesu zpracování, učinit jej tím transparentním a celkově motivovat správce údajů k naplňování zásady odpovědnosti dle čl. 5 odst. 2 GDPR.³⁰ Navrhovaná právní úprava tak buď musí subjektům údajů dávat efektivní možnost svá práva vymáhat, anebo musí spadat do některé z výjimek z aplikace práv uvedených v čl. 12-22, které GDPR obsahuje. Z hlediska umožnění řízeného přístupu bude vyplývat znalost o možnosti takové činnost ze zákona (zde je nutné presumovat zásadu neznalost práva neomlouvá). Na posílení transparentnosti proběhlého zpracování je pak možné zapojit technická řešení, např. v podobě zaznamenání toho, jaká data byla z jakých databází, komu zpřístupněna, a na to navazující možnost subjektů údajů získat tyto informace od jednotného informačního místa (které o vyřízených žádostech o řízený přístup bude mít přehled).

V kontextu hodnocení zajištění ochrany práv subjektů údajů pro další užití získaných dat je třeba uvést, že řada takto získaných dat bude spadat pod aplikaci výjimek z práv subjektů údajů. Typicky půjde o následující situace:

Z uvedeného vyplývá, že navrhovaná právní úprava nezpůsobuje nepřiměřený zásah do možnosti výkonu práv subjektů údajů.

Navrhovaná právní úprava nevytváří rizika pro existující rejstříky s osobními údaji. Nerozšiřuje ani množinu osobních údajů, které jsou veřejnou správou zpracovávány, nezakládá ani nové účely pro jejich sběr.

Hlavní rizika navrhované právní úpravy z hlediska ochrany soukromí a osobních údajů jsou dvě. První spočívá v zásahu do práva na ochranu soukromí a osobních údajů způsobeném neoprávněným, nepřiměřeným, nebo neproporcionálním poskytnutím osobních údajů prostřednictvím řízeného přístupu. Toto riziko v současné právní úpravě takřka není přítomné, protože možnost řízeného přístupu k osobním údajů obecně neexistuje.

Druhé riziko vyvstává v návaznosti na poskytnutí osobních údajů a spočívá v zásahu do práva na ochranu soukromí a osobních údajů způsobeným protiprávním zpracováním těchto údajů žadatelem. Opět, ani toto riziko v současné právní úpravě takřka není přítomné, protože možnost řízeného přístupu k osobním údajů obecně neexistuje.

Preventivní zákonné prostředky snížení rizika zpracování osobních údajů:

Navrhovaná právní úprava obsahuje preventivní zákonné prostředky snižující uvedená rizika.

Jde o následující:

Tento systém preventivních prostředků je natolik robustní, že umožňuje výše uvedená rizika minimalizovat.

Hodnocení navrhované právní úpravy z hlediska základních zásad uvedených v čl. 5 GDPR:

Následující body jsou primárně zaměřené na hodnocení zpracování, které je předmětem navrhované úpravy. Vzhledem k provázanosti s účelem dalšího užití jsou uvedeny rovněž základní principy a případně rovněž očekávatelná řešení dalšího zpracování osobních údajů, které budou prostřednictvím řízeného přístupu poskytnuty žadateli. Je to proto, neboť riziko zásahu do práva na ochranu soukromí a osobních údajů nepředstavuje pouze samo poskytnutí, ale rovněž následné využití poskytnutých dat.

Tyto další základní principy jsou však jen demonstrativním výčtem, protože předmětem tohoto dokumentu z jeho podstaty nemůže být konkrétní hodnocení následného zpracování. Tyto principy je tak třeba chápat jako doporučení, kterými by se správci údajů data dále využívající měli řídit v souladu s posláním DPIA. Souladem aktu o správě dat s GDPR se zabýval i Evropský sbor pro ochranu osobních údajů a Evropský inspektor ochrany údajů ve Společném stanovisku č. 03/2021 ze dne 10. března 2021³¹.

Na straně příjemce dat bude i bez výslovné právní úpravy následné zpracování probíhat na základě právního základu čl. 6 odst. 1 písm. písmeno e) GDPR, pokud půjde o veřejnoprávního uživatele, případně o oprávněný zájem (čl. 6 odst. 1 písm. f) GDPR), pokud půjde o soukromoprávního žadatele. Ten bude muset v souladu se zásadou odpovědnosti správce obhájit a unést důkazní břemeno existence oprávněného zájmu. V tomto kontextu je však nutné dodat, že rozsah zpracovávaných údajů, způsob jejich dalšího zpracování a vlastně všechny klíčové otázky, které musí být před zahájením zpracování vyřešeny, bude žadatel v rámci své žádosti probírat s poskytovatelem řízeného přístupu. Nemělo by tak dojít k situaci, kdy by byly poskytnuty osobní údaje, které by pak nebyly využitelné pro deklarovaný účel, za kterým byly poskytnuty (protože pak by vůbec poskytnuty být neměly). Pro úplnost je vhodné dodat, že zpracování zvláštních kategorií osobních údajů za účelem vědeckého výzkumu je umožněno čl. 9 odst. 2 písm. j) GDPR.

Účely kontroly veřejné správy

Vědecký výzkum

Výuka a vzdělávání

V případě dalšího užití takto zveřejněných údajů nový správce osobní údajů určuje nové účely a prostředky zpracování, kterými je dále vázán. Účely dalšího užití jsou omezeny předpokládanými účely, pro které je možné řízený přístup k datům žádat. Mohou být dále vymezeny v rozhodnutí o povolení řízeného přístupu Takto vymezenými účely je nový správce osobních údajů následně vázán.

V kontextu dalšího užití smí nový správce osobních údajů zpracovávat jen ty osobní údaje, které jsou nezbytné pro účel, který si vymezí.

V kontextu dalšího užití je požadavek přesnosti zásadní, protože nový správce osobních údajů musí zajistit, že pro svoji další činnost (zejména vědeckou) zpracovává pouze přesné osobní údaje.

V kontextu dalšího užití musí správce osobních údajů vymazat osobní údaje ve chvíli, kdy je naplněn jejich účel, který pro zpracování stanovil na jeho počátku. Doložka časového omezení zpracování může být součástí podmínek poskytnutí dat řízeným přístupem.

Příjemce osobních údajů musí řádně zajistit jejich zabezpečení se vším, co k tomu náleží a při vědomí toho, že se může jednat o vysoce rizikové osobní údaje. Tuto povinnost není třeba v návrhu adresovat, protože vyplývá přímo z požadavků GDPR.

To obecně platí i pro oblast dalšího zpracování. Zde je možné jen připomenout, že nový správce osobních údajů má povinnost zajistit dodržení výše uvedených zásad a být schopen toto dodržení prokázat.

Závěrem této části je možné na základě výše uvedených poznatků konstatovat, že návrh v podobě, v jaké je představen, představuje nižší riziko pro zpracování osobních údajů, nepřináší neproporcionální negativní dopady na práva a právem chráněné zájmy subjektu údajů a zároveň v principu umožňuje dostatečné odůvodněné následné zpracování osobních údajů. Takové zpracování pak musí být v souladu s GDPR a dalšími předpisy ochrany osobních údajů. Návrh identifikuje rizika a nabízí vhodné záruky, které tato rizika minimalizují. Návrh tak působí jako vhodný nástroj vyrovnávající zájem a cíle ochrany osobních údajů a obecný zájem a cíl korektního zpracování, ze kterého může společnost profitovat.

V rámci přípravy návrhu zákona byla posouzena míra korupčních rizik v souladu s metodikou hodnocení korupčních rizik. Návrh nevytváří nová korupční rizika. Návrh bude mít pozitivní vliv na snižování korupce v ČR, protože akcentuje transparentnost v široké oblasti fungování veřejné správy a hospodárné využívání ISVS.

Vzhledem ke skutečnosti, že navrhovaný zákon do značné míry rozšiřuje transparentnost, resp. přístup k informacím veřejného sektoru, oproti stávajícímu stavu se povinnost poskytovat data rozšiřuje. Naopak má zákon přispět k účelnějšímu přístupu k datům veřejného sektoru a umožnit jejich kvalitativně lepší zpracování a využití, čímž posílí i úroveň možných analýz veřejných politik a prognózování. Navrhovaný zákon tak v obecném smyslu posiluje dostupnost informací.

Navrhovaná právní úprava nebude mít dopady na bezpečnost nebo obranu státu. Informační systémy a příslušné kategorie dat, vztahující se k bezpečnosti státu, k ochraně, bezpečnosti osob, majetku, veřejného pořádku a k ochraně zájmů České republiky a jejích občanů v zahraničí, jsou z působnosti navrhovaného zákona vyjmuty.

Navrhovaná právní úprava nebude mít dopady na rodiny, plnění funkcí rodiny ani další faktory rodinné politiky a dané oblasti se nedotýká.

Navrhovaná právní úprava nemá dopad na území ani územní samosprávné celky. Územní samosprávné celky nebudou správci dat povinnými podle navrhovaného zákona a povinnosti vyplývající pro správu dat a poskytování přístupu k datům se na ně neaplikují, návrh proto nepřináší nové požadavky na infastrukturu ani administrativní kapacitu územních samosprávných celků.

V rámci této kapitoly je zhodnocen soulad navrhovaného zákona s hlavními deseti zásadami pro tvorbu digitálně přívětivé legislativy.

Budování přednostně digitálních služeb (princip digital by default)

Nově navrhované principy a komponenty řešení infrastruktury pro přístup k datům vznikají jako digitální, samoobslužné služby, bez nutnosti fyzického vyplňování žádostí nebo návštěv úřadů. Proces podávání žádostí o řízený přístup k datům bude plně elektronický, zároveň s ohledem na DGA budou veškeré informace a katalogy datových zdrojů dostupné online.

Maximální opakovatelnost a znovu použitelnost údajů a služeb (princip only once)

Komponenty řešení infrastruktury pro přístup k datům a realizované služby jsou navrženy v principu pro opakované použití dat veřejného sektoru. Jako předpoklad efektivního využívání informací jsou pak upravena základní pravidla správy dat veřejného sektoru, která mají umožnit subjektu veřejného sektoru efektivně využívat již jednou shromážděná data a předejít tak situacím, kdy si subjekty veřejného sektoru opatřují data pro své účely nekoordinovaně a opakovaně. Smyslem celého návrhu je právě umožnění opakovaného a řízeného sdílení dat veřejného sektoru napříč veřejnou správou a s širokou množinou oprávněných subjektů, a to s respektováním pravidel ochrany údajů. Navrhované služby doplňují koncepty propojeného a veřejného datového fondu veřejné správy.

Budování služeb přístupných a použitelných pro všechny, včetně osob se zdravotním postižením (princip governance accessibility)

Tato zásada není návrhem zákona upravena, právní úprava se řídí obecnými právními předpisy upravující tuto problematiku.

Sdílené služby veřejné správy

Navrhované služby jsou koncipovány jako sdílené a plně respektující základní principy eGovernmentu, jako je propojený datový fond a veřejný datový fond. Vybudování infrastruktury pro přístup k datům by mělo přispívat ke sdílení dat a služeb jak ve veřejné správě, zejména usnadněním tvorby analýz a výzkumu veřejných politik, tak i s vymezením okruhu žadatelů, zejména pro vědecké a výzkumné účely.

Konsolidace a propojování ISVS

Ze své podstaty přispívá navrhované řešení k propojování dat z ISVS, a tedy i ke konsolidaci datového fondu veřejné správy. Zároveň služby poskytované infrastrukturou pro přístup k datům přispívají k opakovanému využívání dat a napomáhají ke snížení míry mnohočetně budovaných informačních systémů, funkcionalit, služeb a dat. Návrh zákona vytváří pouze informační systém, jímž bude Národní katalog dat (dále „NKD“). Ten bude propojen s jiným již existujícím informačním systémem, Národním katalogem otevřených dat (dále „NKOD“), a vznikne tak ucelený katalog dat umožňující mít přehled o datech dostupných z většiny (zákonem vymezených) ISVS.

Mezinárodní interoperabilita – budování služeb propojitelných a využitelných v evropském prostoru

Národní katalog dat a Jednotné informační místo přispějí ke sdílení informací a služeb v evropském prostoru v rozsahu zpřístupňování datových sad a služeb podle DGA. NKD bude napojen na evropskou infrastrukturu přístupu k datům a skrze Jednotné informační místo bude umožněn přístup k datům i subjektům v rámci celé EU. Navržená legislativa tak zohledňuje potřeby a povinnosti výměny údajů dle principů mezinárodní interoperability stanovené v DGA.

Ochrana osobních údajů v míře umožňující kvalitní služby (princip GDPR)

Návrh zákona je plně v souladu s touto zásadou. Viz zhodnocení dopadů na ochranu osobních údajů.

Otevřenost a transparentnost včetně otevřených dat a služeb (princip open government)

Návrh zákona sám o sobě nikterak neomezuje otevřenost a transparentnost, jeho cílem je otevřenost, transparentnost a přístupnost dat dále zvyšovat, ovšem nepokrývá problematiku otevřených dat. Návrh doplňuje do českého právního řádu novou možnost, jak přistupovat k datům veřejné správy, která nemohou být kvůli režimu jejich ochrany zveřejňována v režimu otevřených dat.

Technologická neutralita

Návrh zákona neomezuje technické ani technologické prostředky, které mohou využívat dotčené subjekty a nijak nepředurčuje konkrétní způsob technického řešení. Digitální služby realizované navrhovaným zákonem budou technologicky nezávislé a neutrální. Je garantováno, že přístup k veřejným službám nebude závislý na konkrétní (předem určené) platformě či technologii. Toho bude docíleno dodržením otevřených standardů a norem.

Uživatelská přívětivost

Návrh zákona nepředpokládá v této oblasti odchylky od obecné právní úpravy. Návrh zákona má za cíl zvýšit počet uživatelů využívajících data shromažďovaná subjekty veřejného sektoru. Služby budou koncipovány tak, aby byly srozumitelné, uzpůsobené rozdílným požadavkům různých cílových skupin uživatelů služeb v populaci a dostupné i subjektům z ostatních členských států EU. Zpřístupněné služby budou z hlediska uživatelského rozhraní otevřené, nebudou se omezovat na proprietární rozhraní nebo jediný standard a předjímat jediný způsob využití služby.

Navrhovatelka navrhuje, aby Poslanecká sněmovna postupovala podle § 90 odst. 2 zákona o jednacím řádu Poslanecké sněmovny a vyslovila s návrhem zákona souhlas již v prvém čtení. Důvodem pro tento postup je již téměř dvouleté prodlení při implementaci příslušné legislativy EU (Data Governance Act) a související probíhající řízení o porušení smluv, dále široká poptávka vědecké a odborné komunity po této právní úpravě, a konečně potřeba zlepšení správy dat uvnitř veřejné správy nezbytná pro realizaci práva občana na využití údajů, které státní správa již o něm má k dispozici.

B.