Postup Policie ČR je nesprávný. Vhodné je podat odvolání podle § 16 zák. č. 106/99 Sb. (InfZ), neboť Policie ČR odmítla Vaši žádost o informaci bez jakéhokoli relevantního zákonného důvodu. . Odvolání se podává k povinnému subjektu, který mu buď vyhoví, anebo je povinen předat jej nadřízenému orgánu. V odůvodnění odvolání je možné uvést:

Žádost výslovně založila postup dle zák. č. 106/99 Sb. Úvahy povinného subjektu o postupu podle § 12 Zákona o ochraně osobních údajů (ZOOÚ) jsou nesprávné. Žadatelka nežádala informaci „o zpracování svých osobních údajů“ (§ 12 ZOOÚ), ale informaci o tom, kvůli kterému příspěvku byl zablokován přístup. Pokud je takový údaj osobním údajem osoby, která je vlastníkem profilu, z něhož byl příspěvek vložen, pak je třeba otázku ochrany osobních údajů řešit podle § 5 odst. 2 ZOOÚ, tedy stanovit právní titul a právní základ, podle kterých lze osobní údaje zpracovat (poskytnout).

Pokud osoba, jíž se osobní údaje týkají, o tyto informace žádá, pak tím zároveň sděluje souhlas k jejich zpracování. Souhlas se zpracováním běžných osobních údajů lze udělit i nevýslovně (srov. § 9 písm. a) ZOOÚ), jelikož výslovného souhlasu je třeba jen ke zpracování kategorie citlivých údajů. Každá osoba má tak cestou žádosti o informace přístup ke svým osobní údajům, neexistuje-li jiný důvod jejich ochrany.

Úvaha povinného subjektu o účelu zpracování osobních údajů je zcela mylná a svědčí o neznalosti úpravy ochrany osobních údajů. Účelem, k němuž byly jakékoliv údaje povinným subjektem shromážděny, je vždy zároveň takový účel, k němuž tyto údaje lze na základě zákona zpracovat, tedy včetně účelu poskytování informací na základě práva na informace. Pokud by tomu tak nebylo, nemohl by žádný povinný subjekt nikdy nikomu poskytnout žádné osobní údaje kohokoliv, což je zjevně v naprostém rozporu s veškerou praxí, rozhodováním a judikaturou v oblasti práva na informace a ochrany osobních údajů. Podle logiky povinného subjektu by například nesměl poskytnout informaci, kdo je policejním presidentem, neboť taková informace by v této logice byla shromážděna pouze pro účel personalistiky a řízení, nikoli však pro účel práva na informace.

Uvedené dokládá i odborná literatura. Např. komentář Kučerová, A., Nováková, L., Foldová, V., Nonnemann, F., Pospíšil, D.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha : C. H. Beck, 2012, 536 s., v pasáži k § 5 odst. 1 písm. f) (s. 99 a násl.)uvádí „je-li správci osobních údajů uloženo zpracování osobních údajů zákonem, vyplývá z tohoto zákona i jeho účel, který je zde buď přímo vyjádřen, nebo je možno jej odvodit. Tento účel je potom daný správce povinen sledovat a je přinejmenším vhodné, resp. z hlediska dalších povinností například dle § 5 odst. 1 písm. f), g) nebo h) ZOOÚ i nezbytné, aby údaje zpracovával způsobem, ze kterého je zřejmé, že se jedná o zpracování prováděné na základě konkrétního zákona …“).

Účel zpracování určuje správce - povinný subjekt, avšak je povinen při jeho určení respektovat i zpracování, dané zákonem. Pokud ve svých interních dokumentech (či jen představách svých pracovníků) nedostatečně určil účel zpracování a nezahrnul do něj také účely, určené zákonem, nemůže takovým nedostatkem omezovat právo na informace, založené čl. 17 Listiny a zákonem o svobodném přístupu k informacím. Povinný subjekt se tedy mýlí, když uvádí, že údaje byly shromážděny pouze k účelu provozování facebookového profilu. Jde o informace, vztahující se k působnosti povinného subjektu (srov. § 2 odst. 1 InfZ), a tedy účelem jejich zpracování je (potenciálně) též jejich poskytování podle zákona o svobodném přístupu k informacím.

Pokud povinný subjekt poskytuje informace, které mají povahu jinak chráněných osobních údajů, osobě, která k nim má privilegovaný přístup (například proto, že jde o její osobní údaje, anebo například poskytuje osobní údaje v zápisu jednání zastupitelstva občanovi obce), zatímco jiným osobám by je poskytnout nemohl, pak je s ohledem na povinnost podle § 13 ZOOÚ povinen přijmout opatření, aby nemohlo dojít k neoprávněnému přístupu k těmto údajům (povinný subjekt si tuto souvislost vyložil zcela nesprávně jako nemožnost poskytnout osobní údaje tomu, kdo k nim má oprávněný přístup). Takovým opatřením může například být vyšší stupeň ověření totožnosti privilegovaného příjemce osobních údajů a ověření zabezpečeného přenosu těchto údajů k němu. Na takovou situaci pamatuje § 15 odst. 5 písm. a) InfZ, podle kterého – v případě, že nedostatek údajů v žádosti brání postupu vyřízení informace – „vyzve žadatele ve lhůtě do 7 dnů ode dne podání žádosti, aby žádost doplnil; nevyhoví-li žadatel této výzvě do 30 dnů ode dne jejího doručení, žádost odloží“.

Zde se však opět ukazuje, že povinný subjekt není zorientovaný v oblasti ochrany osobních údajů a (přesto či právě proto) se pokouší zneužít ji k obstrukčnímu znemožnění práva na informace. Opomíjí totiž princip hodnocení rizika při zabezpečení zpracování osobních údajů, uvedený v § 13 odst. 3 ZOOÚ. Podle něj totiž má posoudit rizika v dané konkrétní situaci. Je zřejmé, že jednak – s ohledem na předchozí komunikaci a reakce povinného subjektu na aktivity žadatelky – povinnému subjektu je dostatečně známo, že žadatelka vlastní uvedený facebookový profil a užívá e-mailovou adresu, z níž byla odeslána žádost o informace, a jednak se v žádosti žádají takové osobní údaje, jejichž zpřístupnění neoprávněné osobě ve skutečnosti nepředstavuje pro subjekt údajů prakticky žádnou újmu. Představa, že žadatelka pociťuje jako svou výraznou újmu, kdyby se kdokoliv jiný dozvěděl, kvůli kterému příspěvku na facebookové stránce Policie ČR jí tato zablokovala přístup, je úsměvná. Z uvedených důvodů tedy měl povinný subjekt vyhodnotit identifikaci žadatelky jako dostatečnou a žádané informace jí poskytnout obvyklou cestou, například e-mailovou zprávou.

Namísto toho povinný subjekt zvolil cestu obstrukce a předstíral, že ověření identity žadatelky je problém.

I v takovém případě však postupoval chybně. Měl žadatelku vyzvat k tomu, aby nějakým způsobem doložila, že je skutečně tou fyzickou osobou, o jejíž osobní údaje v žádosti jde. Takovým doložením by například mohlo být jednoduché aranžmá, v němž by žadatelka prokázala povinnému subjektu, že má přístupová práva k danému profilu. To lze zorganizovat jak při využití datové schránky (DS), jednoznačně identifikující její držitelku (např. přenesením určitého kódu zaslaného do DS na facebookový profil držitelky DS), anebo formou osobní návštěvy, kdy plně identifikovaná přítomná fyzická osoba může svá přístupová práva k profilu přímo „předvést“.

Stejně tak je možné při takovém aranžmá požadované osobní údaje bezpečně přenést k identifikované žadatelce, buď pomocí datové schránky, osobním předáním anebo doručením do vlastních rukou.

Namísto tohoto řádného postupu zvolil povinný subjekt absurdní pseudovýklad právních norem a obstrukci. Takový postup je však v rozporu s jeho právní povinností. Nadřízený orgán by měl takový postup posoudit i z hlediska porušení pracovních či služebních povinností (např. § 4 a § 6 správního řádu).

Proto žadatelka navrhuje, aby povinný subjekt při vyřízení odvolání v autoremeduře změnil své rozhodnutí a požadovanou informaci plně poskytl. Pokud tak neučiní a předá odvolání nadřízenému orgánu, navrhuje, aby nadřízený orgán vadné rozhodnutí zrušil a v odůvodnění vyjádřil závazný právní názor, že informace mají být poskytnuty, i kdyby k tomu bylo potřebné ověřit, že příjemce osobních údajů je skutečně osobu, oprávněnou je obdržet, a zajistit bezpečný přenos osobních údajů oprávněnému příjemci.