Legitimace a souhlas s kopírováním dokladů
Doklad totožnosti za účelem legitimování naší osoby vytahujeme čím dál častěji. Někdy do něj dotyčný jen nahlédne, jindy jsou z něj opsány údaje nebo je pořízena jeho kopie. Pojďme se podívat, kdy máme povinnost prokazovat svou totožnost, zda musíme souhlasit s kopírováním dokladu a jak se případně můžeme bránit.
K tomuto tématu nedávno zveřejnil Úřad pro ochranu osobních údajů poměrně rozsáhlý dokument Prokazování totožnosti a zpracování osobních údajů 
. My vám přinášíme to nejdůležitější obohaceno o náš pohled.
Občanský průkaz je dle zákona č. 328/1999 Sb., o občanských průkazech veřejnou listinou, kterou občan prokazuje svá jména, příjmení, podobu, státní občanství a další údaje. Ještě letos se pravděpodobně začnou vydávat občanské průkazy s čipy, které budou povinně obsahovat také biometrické údaje – kromě fotky i dva otisky prstů.
Povinnost vlastnit občanský průkaz má každý, kdo dosáhl věku 15 let. Mezi lidmi je hluboce zakořeněná povinnost nosit občanský průkaz neustále u sebe, avšak zákon, který takovou povinnost určoval, byl v roce 2000 zrušen.
Je-li to druhou stranou akceptováno, lze jako průkaz totožnosti využít i cestovní doklad (obsahuje-li fotografii držitele) nebo jiný doklad, například řidičský průkaz či služební průkaz. Totožnost však v určitých případech můžete prokázat i různými potvrzeními, jejich kombinací, nebo i prohlášením třetí osoby, která dosvědčí vámi uvedené nacionále.
Prokázání totožnosti vůči orgánům veřejné moci je zákonná povinnost občana.
Policie České republiky je oprávněna požadovat prokázání totožnosti. Podle zákona o Policii ČR však rozsah a způsob zjišťování osobních údajů musí být přiměřené účelu zjišťování totožnosti.
Koho by snad napadlo vzdorovat či svou totožnost na místě prokázat nemohl (za to, že u sebe nemáte doklady nemůžete dostat pokutu), je policista oprávněn odpůrce předvést na policii za účelem zjištění jeho totožnosti dle evidencí, sejmutím otisků prstů, zjišťováním tělesných znaků, měřením těla, pořizováním obrazových, zvukových a jiných záznamů či odebíráním biologických vzorků.
Obdobná oprávnění mají i příslušníci některých jiných bezpečnostních sborů (vojenská policie, příslušník hasičského záchranného sboru atd.) či strážník dle zákona o obecní policii.
Zjišťovat totožnost však mohou i další orgány veřejné moci na základě příslušných zákonů například podle daňového řádu, kontrolního řádu, zákona o inspekci práce, zákona o rybářství, zákona o ochraně přírody a dalších.
Totožnost účastníků soudního řízení ověřují soudy. Stejně tak je potřeba prokázat správním orgánům totožnost účastníků správního řízení.
V některých případech máme zákonnou povinnost prokázat svou totožnost také vůči fyzickým či právnickým osobám, bez jejíhož splnění by nebylo možno uplatnit určité právo či poskytnout nějakou službu.
Zákonnou povinnost identifikovat klienta mají povinné osoby – banky, investiční společnosti, pojišťovny, auditoři, daňoví poradci, účetní – podle zákona o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu (dále jen zákon č. 253/2008 Sb.).
Svou totožnost musíme jakožto volič prokázat volební komisi, jsme-li pacient, prokazujeme ji zdravotnickému pracovníkovi, totožnost prokazujeme také při výkupu kovového odpadu, do kasina nás bez tohoto úkonu nepustí a zariskujeme-li cestování v roli černého pasažéra, prokazujeme svou totožnost osobě pověřené ke kontrole. Stejně tak účastníci dopravní nehody by neměli odmítnout vzájemnou legitimaci.
Uzavírání řady smluv se také neobejde bez prokázání totožnosti.
Stejně tak může být oprávněný i požadavek na prokázání totožnosti návštěvníka objektu – výrobní haly, skladu, kancelářské budovy, areálu školy apod. Můžeme být vyzváni k předložení občanského průkazu, služebního průkazu či jiného odpovídajícího dokumentu (třeba předvolání).
Nezřídka dochází k zaznamenání osobních údajů návštěvníka. Obvykle z bezpečnostních důvodů pro případ vzniku mimořádné události a potřeby následné identifikace návštěvníka.
Správce osobních údajů by měl dle GDPR dbát na minimalizaci osobních údajů. Lze zaznamenat jméno a příjmení návštěvníka, číslo a typ předkládaného dokladu, účel návštěvy či jméno navštívené osoby. Je však nezbytné informovat návštěvníky proč, jakým způsobem a po jakou dobu budou jejich osobní údaje zpracovávány.
Pořizování kopií dokladů totožnosti je poměrně častý jev, byť ve většině případů by mělo stačit jejich pouhé předložení a případné zaznamenání (opsání) nezbytných údajů. Ani orgány veřejné moci při kontrole totožnosti fyzické osoby zpravidla kopii občanského průkazu či cestovního dokladu nepotřebují a ani zákon jim takový postup neukládá.
Zákonem stanovené pořizování kopií těchto dokladů je spíše výjimečné. Kopie se například přikládá k žádosti o ověření rodného čísla. Kopie či výpisy z předložených dokladů mohou pořizovat povinné osoby dle zákona č. 253/2008 Sb. Kromě bank, dalších finančních institucí, pojišťoven, notářů patří mezi povinné osoby také obchodníci s uměleckými díly či bazary a zastavárny. Nicméně zákonná povinnost zpracovávat kopie průkazu totožnosti je těmto osobám dána pouze v případech, kdy dochází k uzavření smlouvy bez fyzické přítomnosti klienta (například při sjednání bankovního účtu na dálku – online). Jinak by pořizování kopií nemělo být plošné, ale v konkrétních případech odůvodněné (například při podezření na možné porušování zákona).
Vzhledem ke zneužitelnosti občanského průkazu (případně cestovního dokladu) stanoví příslušné zákony zákaz pořizovat jakýmikoliv prostředky kopie těchto průkazů bez prokazatelného souhlasu občana, kterému byl průkaz vydán. Z praxe však víme, že poskytnutí některých služeb je podmiňováno souhlasem s pořízením kopie průkazu totožnosti. Takový souhlas však není získán v souladu s GDPR, neboť nenaplňuje podmínku svobodného projevu vůle.
Neoprávněné pořízení kopie občanského průkazu nebo cestovního dokladu je v současné době přestupkem fyzické osoby, která kopii pořídila (byť se tak stalo na základě rozhodnutí zaměstnavatele/právnické osoby) a tento přestupek projednává příslušný obecní úřad. Aktuálně se však projednává novela zákona o občanských průkazech, kde se už počítá s tím, že za takové jednání bude moci být postihnuta i právnická osoba. Nicméně z pohledu GDPR je za správné (a minimalistické) zpracování osobních údajů odpovědný správce, tedy ve zmíněném případu právnická osoba. Tento přestupek patří do agendy Úřadu pro ochranu osobních údajů.
Pozor na pořizování kompletních kopií dokladů a jejich ukládání do evidence. Mohou obsahovat i další osobní nebo i citlivé údaje, které nejsou nezbytné pro daný účel a došlo by tak k porušení zásady minimalizace zpracovávaných údajů. Zde se pak jedná o zpracování osobních údajů na základě souhlasu se zpracováním osobních údajů ve smyslu GDPR (tedy svobodný, konkrétní, informovaný a jednoznačný).
Možné porušení zásady minimalizace i v případě osobních dokladů bývá někdy řešeno pořízením kopie pouze části dokladu se zakrytím nepotřebných údajů např. pomocí šablony, což je akceptovatelné (např. při uzavírání soukromoprávních smluv).
Přestupky proti zpracování osobních údajů projednává Úřad pro ochranu osobních údajů.
Proto jsme-li žádáni o umožnění pořízení kopie svého průkazu totožnosti, měli bychom se zajímat, zda je požadavek vznášen na základě zákona nebo na základě dobrovolného souhlasu. Rovněž by nám nemělo být lhostejné, jaké jsou pro to důvody a případné následky odmítnutí. Není-li pořízení kopie pro ověření totožnosti nezbytné, mělo by stačit pouhé nahlédnutí do dokladu či zaznamenání příslušných údajů.
Pokud byla kopie občanského průkazu nebo cestovního dokladu pořízena neoprávněně, obraťme se se stížností na příslušný obecní úřad s rozšířenou působností. Máme-li podezření na porušení zásady minimalizace (například při ukládání kompletních kopií), jedná se o porušení GDPR, což přísluší k posouzení Úřadu pro ochranu osobních údajů.
