Souhlas s využitím údajů uživatele služby

Zákon o právu na digitální služby definuje jako jedno z práv uživatele služby možnost poskytnout souhlas s využitím jeho údajů pro potřeby vyřízení digitální služby. Orgány veřejné moci následně musí tento souhlas respektovat a nepožadovat po uživateli služby údaje, které v rámci souhlasu poskytl.

Digitální a informační agentura zveřejnila povinnosti a pravidla implementace ZoPDS

Role Digitální a informační agentury

Digitální a informační agentura plní svou povinnost a umožňuje uživateli služby zadat souhlas s využíváním údajů orgánům veřejné moci vedených v agendových informačních systémech. Využitím svého práva na Portálu občana pomocí vyplněného formuláře se stane několik věcí:

Odešle se datová zpráva správci údajů, které jsou předmětem souhlasu s tím, že má začít poskytovat údaje koncovému orgánu veřejné moci jako příjemci

Odešle se datová zpráva zamýšlenému orgánu veřejné moci v roli příjemce údaje

Do Portálu občana se uloží souhlas uživatele služby, který jej může kdykoliv také odvolat

V případě odvolání souhlasu se opět pošlou datové zprávy na všechny zúčastněné orgány veřejné moci

Chování OVM vůči souhlasu

Orgán veřejné moci může být ve dvojí situaci:

Je poskytovatelem údajů, které souhlas uživatele služby popisuje

Je poskytovatelem služby pro uživatele, která vyžaduje údaje popsané souhlasem

V každém případě, pokud OVM přijde neúplné podání, kde není vyplněno uživatelem služby několik údajů, nemělo by hned podání vracet jako neúplné, ale nejprve ověřit, že uživatel nedal souhlas k využití údajů. Ověření musí provést ve svých procesech a spisové službě, protože samotný souhlas s využíváním údajů je odesílán do datových schránek poskytovatele údajů (publikátor) a poskytovatele služby (čtenář)

Poskytovatel údajů ze souhlasu

Je-li orgán veřejné moci poskytovatel údajů, které jsou předmětem souhlasu uživatele služby, musí orgán veřejné moci splnit svou povinnost a údaje poskytnout:

V případě, že orgán veřejné moci splnil své povinnosti dané zákony č. 365/2000 Sb., o informačních systémech veřejné správy a č. 111/2009 Sb., o základních registrech, tak má veškeré údaje vedené v agendových informačních systémech ohlášené v základním registru práv a povinností a publikované na referenčním rozhraní veřejné správy pomocí kontextu informačního systému sdílené služby. Splnění povinností počítá i s tím, že jednotlivé údaje v základním registru práv a povinností mají uvedeno i v jakém kontextu jsou dostupné.

V případě, že orgán veřejné moci nemá splněny své povinnosti z předchozího bodu, neznamená to, že nemusí plnit povinnost dle souhlasu uživatele služby. Ze svého agendového informačního systému, ve kterém vede předmětné údaje, musí vytvořit ověřený výstup dle zákona č. 365/2000 Sb., o informačních systémech veřejné správy a ten doručit orgánu veřejné moci, který má čerpat údaje pro digitální službu, kterou poskytuje uživateli služby.

Sdílení údajů pomocí ověřených výstupů je proti principům, cílům a zásadám Informační koncepce ČR a orgán veřejné moci je povinen co nejrychleji sjednat nápravu, kterou oznámí Digitální a informační agentuře pomocí žádosti o stanovisko odboru Hlavního architekta eGovernmentu.

Může nastat i situace, kdy naopak uvažovaný příjemce není připraven čerpat kontext informačního systému sdílené služby. V takovém případě má poskytující orgán veřejné moci splněny veškeré své povinnosti a je na jeho uvážení, zda orgánu veřejné moci, který má čerpat údaje pro digitální službu, kterou poskytuje uživateli služby, poskytne údaje formou ověřeného výpisu. Digitální a informační agentura podporuje, aby nebyl na svých právech krácen uživatel služby, proto v tomto případě může poskytovatel kontaktovat Digitální a informační agenturu, která vstoupí do jednání s orgánem veřejné moci na příjmu, aby plnil své povinnosti.

Je nutné zdůraznit, že i v případě splnění prerekvizit ve formě napojení obou stran orgánů veřejné moci a publikování údajů formou kontextu informačního systému sdílené služby, může nastat problém v oprávnění jednotlivých agend, což si může vyžádat práci na straně ohlašovatelů agend. V takovém případě je akceptovatelné nahrazení systémové výměny pomocí posílání ověřených výstupů, aby na svých právech nebyl krácen uživatel služby, do doby ohlášení agend.

Kdy poskytnout údaje?

Poskytovatel poskytuje údaje vždy na základě požadavku příjemce údajů ze souhlasu. A to jak v případě čerpání údajů pomocí kontextu informačního systému sdílené služby, tak pomocí ověřeného výstup informačního systému veřejné správy.

Poskytovatel poskytne údaje bez zbytečného odkladu. Zákon č. 12/2020 Sb., o právu na digitální služby nedefinuje lhůty pro vypořádání těchto požadavků, ale je nutné stále pracovat s tím, že orgány veřejné moci plní své povinnosti a tedy poskytují údaje údaje informačních systémů veřejné správy přes referenční rozhraní v transakčním režimu ihned na vyžádání. Neplnění povinností nemůže být výmluvou pro poskytnutí údajů např. ve správních lhůtách. Max doba na poskytnutí údajů je 24 hodin od přijetí požadavku na poskytnutí na základě souhlasu.

Jak ověřit platnost souhlasu?

Uživatel služby má právo kdykoliv svůj souhlas odvolat. Dle povinností Digitální a informační agentury jsou veškeré souhlasy i jejich odvolání posílány pomocí datové zprávy na všechny zúčastněné orgány veřejné moci. Poskytující úřad tedy musí ve spisové službě v rámci jednoho spisu vždy vědět, zda daný souhlas nebyl uživatelem odvolán.

Příjemce údajů ze souhlasu

Je-li orgán veřejné moci příjemcem údajů, které jsou předmětem souhlasu uživatele služby, musí orgán veřejné moci splnit svou povinnost:

V případě, že orgán veřejné moci splnil své povinnosti dané zákony č. 365/2000 Sb., o informačních systémech veřejné správy a č. 111/2009 Sb., o základních registrech, tak je svými agendovými informačními systémy připojen na referenční rozhraní veřejné správy a je připraven čerpat údaje pomocí kontextu informačního systému sdílené služby. Informace o konkrétním kontextu, ve kterém lze údaje získat jsou taktéž dostupné v základním registru práv a povinností.

V případě, že orgán veřejné moci nemá splněny své povinnosti z předchozího bodu, neznamená to, že nemusí plnit povinnost dle souhlasu uživatele služby. Příjemce může požádat o zaslání ověřeného výstupu z agendového informačního systému orgánu veřejné moci, který je poskytovatelem.

Sdílení údajů pomocí ověřených výstupů je proti principům, cílům a zásadám Informační koncepce ČR a orgán veřejné moci je povinen co nejrychleji sjednat nápravu, kterou oznámí Digitální a informační agentuře pomocí žádosti o stanovisko odboru Hlavního architekta eGovernmentu.

Může nastat i situace, kdy naopak uvažovaný poskytovatel údajů není připraven poskytovat kontext informačního systému sdílené služby. V takovém případě má příjemce splněny veškeré své povinnosti, ale aby splnil požadavky souhlasu uživatele služby, musí požádat poskytovatele o údaje formou ověřeného výstupu.

Je nutné zdůraznit, že i v případě splnění prerekvizit ve formě napojení obou stran orgánů veřejné moci a publikování údajů formou kontextu informačního systému sdílené služby, může nastat problém v oprávnění jednotlivých agend, což si může vyžádat práci na straně ohlašovatelů agend. V takovém případě je akceptovatelné nahrazení systémové výměny pomocí posílání ověřených výstupů, aby na svých právech nebyl krácen uživatel služby, do doby ohlášení agend.

Co dělat v případě nesprávných údajů?

Pokud příjemce má pochybnost o správnosti údajů přijatých od poskytovatele, musí splnit své povinnosti dané zákonem č. 111/2009 Sb., o základních registrech a zpochybnit údaje u původce. Samotný klient nemusí činit nic a přijímající úřad musí počkat na vyřízení u poskytujícího orgánu veřejné moci. V žádném případě není možné reklamovat údaje u uživatele služby.

Jak ověřit platnost souhlasu?

Uživatel služby má právo kdykoliv svůj souhlas odvolat. Dle povinností Digitální a informační agentury jsou veškeré souhlasy i jejich odvolání posílány pomocí datové zprávy na všechny zúčastněné orgány veřejné moci. Přijímající úřad tedy musí ve spisové službě v rámci jednoho spisu vždy vědět, zda daný souhlas nebyl uživatelem odvolán.