Krátká odpověď: SVJ zpracovává osobní údaje vlastníků hlavně proto, že mu to ukládá občanský zákoník, a k tomu nepotřebuje jejich souhlas. Pověřence pro ochranu osobních údajů běžné SVJ jmenovat nemusí. Musí ale vlastníky informovat, údaje chránit, smluvně zavázat správcovskou firmu a nezveřejňovat víc, než je nutné, typicky jména dlužníků.
1. Je SVJ správcem osobních údajů?
Ano. SVJ je právnická osoba, která určuje, proč a jak se údaje o vlastnících zpracovávají, a je tedy správcem ve smyslu čl. 4 odst. 7 GDPR. Odpovědnost nese SVJ jako celek a za něj jedná výbor nebo předseda jako statutární orgán. Jakou roli mají dodavatelé (správcovská firma, účetní, provozovatel portálu), se posuzuje pro každou činnost zvlášť: kde zpracovávají údaje jen podle pokynů SVJ, jsou zpracovateli; kde sami určují účel nebo plní vlastní zákonnou povinnost, jsou samostatnými správci.
2. Na jakém právním základě údaje zpracovává?
Většina zpracování stojí na plnění právní povinnosti (čl. 6 odst. 1 písm. c GDPR). Občanský zákoník ukládá SVJ vést seznam vlastníků jednotek a osob, kterým vlastník přenechal byt k užívání, a vlastník mu má podle § 1177 oznámit své jméno, bydliště, nájemníka a počet osob v domácnosti. Na tom stojí i předpis záloh, vyúčtování služeb a svolávání shromáždění.
Pro věci nad rámec zákona, třeba kamerový systém, se obvykle použije oprávněný zájem (čl. 6 odst. 1 písm. f). Souhlas vlastníka je potřeba jen výjimečně, například pro zveřejnění fotografie ve zpravodaji domu nebo pro telefon na nástěnce.
3. Musí SVJ jmenovat pověřence (DPO)?
Zpravidla ne. Podle čl. 37 GDPR je pověřenec povinný pro orgány veřejné moci a pro správce, jejichž hlavní činností je rozsáhlé systematické monitorování osob nebo rozsáhlé zpracování zvláštních kategorií údajů. Správa domu nic z toho není. Výbor by měl jen určit, kdo z něj má ochranu údajů na starosti.
4. Smí výbor zveřejnit dlužníky?
Na nástěnku, do výtahu ani na veřejný web jména dlužníků nepatří. Je to zpřístupnění údajů nájemníkům, návštěvám a dalším osobám, které pro vymáhání dluhu není potřeba. Vlastníci ale mají podle § 1179 právo vědět, jak SVJ hospodaří. Přehled pohledávek proto patří do zprávy o hospodaření pro shromáždění, nejlépe podle čísla jednotky a výše dluhu, a do neveřejné části portálu dostupné jen vlastníkům.
5. Smí vlastník chtít kontakt na jiného vlastníka?
Ano, v zákonném rozsahu. § 1178 odst. 2 ukládá SVJ sdělit vlastníkovi na žádost jméno a bydliště kteréhokoli jiného vlastníka nebo osoby, které byl byt přenechán k užívání. Telefon ani e-mail do tohoto rozsahu nepatří; ty sdílejte zpravidla jen se souhlasem dotčeného vlastníka. Jiný právní základ podle čl. 6 GDPR připadá v úvahu výjimečně, například při havárii, kdy je potřeba vlastníka hned zastihnout; výbor ho musí posoudit a své posouzení si zapsat.
6. Co musí SVJ vlastníkům sdělit o zpracování?
Povinný obsah stanoví čl. 13 a 14 GDPR. Patří do něj zejména: kdo je správce a jak ho kontaktovat; jaké údaje a proč zpracovává a na jakém právním základě; u oprávněného zájmu, o jaký konkrétní zájem jde; komu údaje předává (správce, účetní, dodavatel portálu); zda je předává mimo EU a s jakými zárukami a jak je získat; jak dlouho je uchovává; jaká má vlastník práva včetně práva podat stížnost u ÚOOÚ; a zda je poskytnutí údajů zákonným požadavkem. Záleží také na tom, odkud údaje pocházejí:
- Od vlastníka samotného (oznámení podle § 1177, přihláška do portálu): informace podle čl. 13 GDPR předejte při získání údajů.
- Odjinud (z katastru nemovitostí, od předchozího správce, při importu dat): platí čl. 14 GDPR. Informace musí navíc uvést kategorie údajů a jejich zdroj. Vlastník je má dostat v přiměřené lhůtě, nejpozději do jednoho měsíce. Pokud mu SVJ dříve píše (třeba pozvánku), nejpozději s první zprávou, a pokud chce údaje dříve předat dalšímu příjemci (účetní, dodavateli odečtů), nejpozději při tomto prvním předání.
Stačí jedna srozumitelná stránka pro obě situace. Nestačí ale, že visí v portálu: vlastníkovi ji v uvedených lhůtách pošlete, nebo mu pošlete přímý odkaz na ni.
7. Jak vyřídit žádost vlastníka o přístup k údajům?
Vlastník má právo dostat kopii údajů, které o něm SVJ vede (čl. 15 GDPR). Odpovědět je třeba bez zbytečného odkladu, nejpozději do jednoho měsíce (čl. 12 odst. 3), a první kopie je zdarma. Prakticky jde o údaje ze seznamu vlastníků, předpisy plateb, vyúčtování, korespondenci a hlasování.
8. Musí SVJ údaje smazat, když o to vlastník požádá?
Jen ty, které už nepotřebuje. Právo na výmaz neplatí, pokud je zpracování nutné ke splnění právní povinnosti (čl. 17 odst. 3 písm. b), a SVJ musí údaje o vlastnících vést, dokud jsou vlastníky. Účetní doklady uchovává podle účetních předpisů. Údaje bývalého vlastníka po vypořádání závazků a uplynutí lhůt archivace naopak smažte, i bez žádosti.
9. Co když SVJ používá správcovskou firmu nebo portál?
Nejdřív si ujasněte roli dodavatele u každé činnosti (viz pokyny EDPB 07/2020). Tam, kde dodavatel zpracovává údaje jen podle pokynů SVJ, je zpracovatelem a SVJ s ním potřebuje zpracovatelskou smlouvu podle čl. 28 GDPR. Smlouva určuje, jaké údaje zpracovatel dostává, k čemu je smí použít, jak je chrání, komu je smí předat a co s nimi udělá po skončení spolupráce. Smlouva ale odpovědnost SVJ nepřenáší: SVJ dál odpovídá za výběr spolehlivého zpracovatele, za své pokyny i za dohled nad tím, co se s údaji u dodavatele děje.
10. Co dělat při úniku dat?
Únikem je i e-mail se seznamem dlužníků poslaný všem vlastníkům v otevřené kopii nebo ztracený notebook člena výboru. Pokud incident představuje riziko pro práva vlastníků, musí ho SVJ ohlásit Úřadu pro ochranu osobních údajů do 72 hodin od zjištění (čl. 33 GDPR). Při vysokém riziku informuje bez zbytečného odkladu i dotčené vlastníky (čl. 34); lhůta 72 hodin se týká jen ohlášení úřadu. Každý incident, i neohlášený, si výbor zapíše podle čl. 33 odst. 5: co se stalo, koho se to týkalo, jaké má nebo může mít následky a co výbor udělal.
Kontrolní seznam pro výbor
- Víme, jaké údaje vedeme, kde leží a kdo k nim má přístup.
- Vlastníci mají k dispozici informace o zpracování údajů.
- U každého dodavatele víme, zda je zpracovatelem, a se zpracovateli máme smlouvu podle čl. 28.
- Hromadné e-maily posíláme ve skryté kopii nebo přes portál.
- Dlužníky nezveřejňujeme na nástěnce ani na veřejném webu.
- Údaje bývalých vlastníků po uplynutí lhůt mažeme.
- Máme postup pro žádost vlastníka a pro únik dat.
V Rezidexu si vlastník může kopii údajů vedených v portálu stáhnout sám v nastavení účtu. Úplná odpověď podle čl. 15 GDPR ale musí obsahovat i údaje, které SVJ vede mimo portál (účetnictví, e-mail, papír), a informace podle čl. 15 odst. 1 a 2: účely zpracování, kategorie údajů, příjemce, dobu uložení, právo na opravu, výmaz, omezení zpracování a námitku, právo podat stížnost u ÚOOÚ, zdroj údajů, pokud je SVJ nezískalo od vlastníka, informaci o automatizovaném rozhodování (u SVJ obvykle žádné není) a záruky při předání mimo EU. Ty výbor doplní.
Tento průvodce je obecná informace, ne právní rada pro konkrétní případ.