Ve smyslu obecného nařízení o ochraně osobních údajů (GDPR) má správce osobních údajů (SVJ, BD a FO) povinnost poskytnout subjektům údajů (vlastníkům nebo uživatelům jednotek) v GDPR stanovené informace. Informace musí správce osobních údajů poskytnout písemně, přičemž GDPR považuje i elektronickou formu za písemnou, informace lze tedy zaslat např. e-mailem.
Výčet povinně poskytovaných informací se liší v závislosti na tom, zda byly zpracovávané osobní údaje získány přímo od vlastníka nebo uživatele jednotky jako nositele těchto údajů, nebo zda byly získány jiným způsobem.
SVJ, BD a FO jako správci osobních údajů získávají osobní údaje vlastníků nebo uživatelů jednotek obojím způsobem, tedy jak přímo od daných osob, tak i z jiných zdrojů. Přímo od vlastníka nebo uživatele jednotky jsou osobní údaje získány přímým sdělením např. uvedením svých identifikačních údajů pro účely vedení seznamu členů SVJ nebo BD, pro účely uzavření nájemní smlouvy, nebo nahlášením počtu osob v domácnosti, apod. Povinnost SVJ, BD a FO poskytnout předepsané informace je v tomto případě stanovena k okamžiku získání údajů od jejich nositelů.
Některé osobní údaje pak SVJ, BD a FO získávají nikoliv přímo od dané osoby, ale z jiných zdrojů. Může jít o případy, kdy vlastník nebo uživatel jednotky nesplní své povinnosti a neoznámí informace nebo osobní údaje, které je povinen sdělit dle příslušných právních předpisů. Jiným zdrojem bude například katastr nemovitostí, veřejné rejstříky apod. V dalších případech půjde zejména o situace, kdy vlastník nebo uživatel jednotky přímou povinnost ke sdělení daného údaje nemá a SVJ, BD a FO získávají tyto osobní údaje z jiného zdroje proto, aby mohli plnit své právní nebo smluvní povinnosti při správě nemovitosti. Jiným zdrojem bude zejména banka pro účely evidence plateb. V případě získání osobních údajů jiným způsobem je lhůta stanovena nejpozději do jednoho měsíce od okamžiku získání osobních údajů.
GDPR udává přesný výčet informací, které musí správce osobních údajů poskytnout. Jde zejména o totožnost a kontaktní údaje správce, účel a právní základ zpracování, kategorie příjemců osobních údajů. Pro zajištění spravedlivého a transparentního zpracování je pak nutné předat i další informace například o době uložení osobních údajů, o právech subjektu údajů na opravu, výmaz, omezení zpracování a přístup k osobním údajům, jakož i právo podat námitku proti zpracování nebo podat stížnost u dozorového orgánu – Úřadu na ochranu osobních údajů. Pokud byly osobní údaje získány z jiného zdroje než od subjektů údajů, je povinnou informací i určení kategorie zpracovávaných osobních údajů a informace o zdroji, ze kterého byly osobní údaje získány.
O vydání těchto informací nemusí subjekt údajů žádat, povinností správce je zpřístupnit informace bez dalšího. V případě, že subjekt údajů již dané informace má, výše uvedená povinnost se neuplatní. Obdobnou informační povinnost obsahuje i právní úprava účinná před GDPR, pokud tedy SVJ, BD a FO tuto povinnost splnili dle této předcházející právní úpravy, nemusí tak činit opětovně. Obecně lze tedy říci, že se nejedná o povinnost, kterou by bylo nutné plnit při každém dalším získání osobního údaje. Pokud tedy SVJ, BD a FO již jednou vlastníku nebo uživateli jednotky předepsané informace předali (a to i dle předcházející právní úpravy), informační povinnost tím byla splněna.
Vlastníci a uživatelé jednotek jako subjekty osobních údajů mají dle GDPR rovněž právo na přístup k jejich osobním údajům. Přístupem k osobním údajům se rozumí oprávnění subjektu údajů na svou žádost získat od správce údajů (SVJ, BD, FO) potvrzení, zda osobní údaje, které se ho týkají, jsou či nejsou zpracovávány, a pokud je tomu tak, má právo tyto osobní údaje získat. Přístup k osobním údajům si tedy subjekt údajů musí aktivně vyžádat, na rozdíl od shora uvedené povinnosti správce poskytnout informace bez žádosti. Žádost subjektu údajů nemusí být obecná, může být žádána informace např. pouze k některému údaji, některému příjemci, nebo k některé konkrétní situaci, při které dochází ke zpracování osobních údajů. Vlastníci a uživatelé jednotky mohou požádat SVJ, BD nebo FO o vydání tohoto potvrzení, resp. o vydané takové informace. Pokud o něj nepožádají, není povinností správce údajů takové potvrzení vydat.
GDPR pak rovněž uvádí povinné obsahové náležitosti tohoto potvrzení, mezi které opět patří informace o účelu zpracování, kategoriích osobních údajů a příjemců, kritérium pro určení doby uložení údajů, o dalších právech subjektů údajů, o zdroji ze kterého byly údaje získány atd. Mimo tyto informace však musí správce poskytnout i kopii zpracovávaných osobních údajů, ke kterým je žádost vázána.
Lhůta pro vydání potvrzení činí nejvíce jeden měsíc, může však být s ohledem složitost nebo počet žádostí prodloužena o další dva měsíce. O prodloužení musí správce údajů žadatele předem informovat a uvést důvody odkladu.
Jak pro povinnost správce údajů poskytnout informace, tak pro uplatnění práva na přístup k osobním údajům platí, že musí být správcem činěny bezplatně. Jsou-li však žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď uložit přiměřený poplatek, nebo odmítnout žádosti vyhovět.
Pokud SVJ, BD a FO vlastníky a uživatele již dříve neinformovali o zpracovávání jejich osobních údajů, budou ve smyslu GDPR jako správci osobních údajů povinni každému z vlastníků a uživatelů jednotek v písemné formě, která zahrnuje i formu elektronickou, předat informaci o tom, že zpracovávají jejich osobní údaje. O poskytnutí těchto informací nemusí vlastník nebo uživatel jednotky žádat, mají být ze strany správce údajů předány bez dalšího.
Ve smyslu práva subjektu údajů na přístup k osobním údajům budou SVJ, BD a FO rovněž povinni na žádost vlastníka nebo uživatele jednotky vydat žadateli písemné potvrzení o tom, jaké osobní údaje žadatele zpracovávají, včetně povinně stanovených informací a kopie zpracovávaných osobních údajů.
Mgr. Zuzana Molíková, advokátka