Kdy je e-mailová adresa osobní údaj?

O ochraně e-mailové adresy jako takové je možné rozjímat ve více rovinách. Pokud někdo použije cizí adresu k tomu, aby vyvolal v příjemci mylný dojem, že odesílatelem je někdo jiný (což není jak známo žádný velký problém), může se tím dopustit trestného činu poškozování cizích práv. Na druhé straně lze uvažovat o tom, že elektronická adresa je osobním údajem ve smyslu zákona o ochraně osobních údajů. Můžete namítnout, že uvažovat se dá o ledasčem, ovšem zrovna v tomto případě můžou takové úvahy vést k důsledkům až nepříjemně konkrétním. Musíme začít otázkou, dalo by se říct, zenovou: Kdo je ten, kdo píše?

Problémy s identitou

Jako dnes prakticky každý, i Internet má problémy s identitou, v jeho případě s identitou digitální. Právo vychází vždy z toho, že někdo udělal něco. Pokud je toto „něco“ jednání právem předvídané, jde o právní úkon, pokud jde o jednání zakázané, mluvíme o úkonu protiprávním. Na netu je však hlavní problém ten „někdo“. Jak přiřadit určité jednání přesně určené osobě ve virtuálním prostředí, v němž vzájemné ukazování občanek není zrovna na pořadu dne?

Digitální identita nemusí mít vůbec žádný vztah k identitě skutečné, může být, a obvykle také je, skrznaskrz falešná. (Debaty o tom, co je „skutečné“, přenecháme NYXu). Tuto identitu může tvořit nejen elektronická adresa, ale také IP adresa, MAC adresa, přezdívka a kdovíco ještě. Na tento typ dat nejsou žádné registry osob, jako je matrika, živnostenský rejstřík apod., vůbec zvědavé, protože vypovídací hodnota takových identifikátorů je velmi malá. Na jedné straně může mít jeden člověk plno digitálních identit, na straně druhé se plno uživatelů může dělit o identitu jedinou.

Haló, kdo je tam?

Člověk na jedné straně optického kabelu (či rezavého drátu, dle stavu infrastruktury) nemá jistotu, kdo je na opačném konci. V současné době už nějaké ty technologie na překonání nedostatku důvěry máme, třeba zaručený elektronický podpis. V počátcích veřejně dostupného Internetu (a ne, není to 100 let, jen asi 20) však stav relativní anonymity vedl k úvahám (David R. Johnson a David G. Post, 1996), zda nepojmout síť prostě jako nové prostředí zcela mimo dosah národní jurisdikce, jako svého druhu nový kontinent či spíš jinou planetu. Podívejte se, říkali v podstatě oba Davidové, právo má vždy úzký vztah ke hmotné realitě. Vychází z fyzických vlastností prostoru, osob a věcí. Jenže Internet žádné srovnatelné vlastnosti nemá, protože kyberprostor se od fyzického světa zásadně liší. (Zejména tím, dodávám já, že existuje pouze v našich hlavách, což ovšem někteří tvrdí úplně o všem). Nedává proto žádný smysl aplikovat na toto prostředí běžné právní normy, které s ním nemají lautr nic společného. Z toho vyšli a navrhli úplně nový systém, v němž by se souvislost mezi digitální a „skutečnou“ identitou vůbec neřešila. Každá digitální identita by měla stejný status, a to status existujícího právního subjektu.

Zde musí zajásat anarchista skrytý v každém správném IT nadšenci. Problém byl ovšem v tom, že takové řešení se silně nelíbilo státům (neboť všem administrativám světa je už od dob Josefa Švejka známo, že na chudý musí bejt přísnost), ale ve své podstatě nevyhovovalo ani uživatelům. Důvody byly, jako vždy, především ekonomické. Přesuny virtuálních peněz, od běžných nákupů na e-shopech až po podplácení představitelů banánových republik, vyžadují stabilní prostředí s jasně stanovenými a především vymahatelnými normami. Po takové digitální identitě toho ovšem nikdo moc nevymůže. Svázání virtuální a reálné identity se ve skutečnosti stalo dosti zásadní podmínkou praktické využitelnosti Internetu jako nástroje ekonomiky a jako prostředí, v němž se některým podaří vydělat neskutečnou vatu – a peníze, jak známo, hýbou světem.

Nevidím zlo (ani dobro)

O pouhé dva roky později už bylo vcelku jasné, že cestou naprostého chaosu to nepůjde. V práci „Digital identity in cyberspace“ (1998) její autoři Lawrence Lessing (spoluzakladatel Creative Commons a profesor práva na Harvardu) a Harold Abelson (též Creative Commons a profesor na MIT) nemají o nutnosti funkčně provázat reál a virtuál žádných pochyb. Zato však nastolují zajímavý problém, týkající se tzv. druhotných informací. Jde zhruba o tohle: v reálném světě, v němž se (téměř) všichni pohybujeme, máme svobodu činit právní úkony vůči ostatním nejen podle samotného obsahu komunikace, ale i dalších faktorů, jako je věk a vzhled protistrany, osobní sympatie a další kontexty. Právo dokonce s těmito druhotnými informacemi, přesněji s jejich správným posouzením, spojuje některé následky, jak zjistí každý, kdo natočí nezletilému pivo v přítomnosti policisty. Tyto druhotné informace však v internetové komunikaci chybí, nebo jsou sice přítomny, ale jejich věrohodnost je slabší než chabá (na čemž vydělávají internetové seznamky).

Samotná e-mailová adresa takovou druhotnou informaci nést může a nemusí. Začínat obchodní vztah odpovědí na e-mail z adresy Conan_the_Warrior@tragedi_sobe.cz by nebylo moudré. Naopak z tvaru Josef.Novak@poskytovatel.cz se nedozvíme zhola nic. Možnost zaručeného elektronického podpisu (ZEP) sice problém druhotných informací úplně neřeší, ale přidává důležité sdělení – provázanost virtuální a reálné identity odesílatele byla prověřena důvěryhodnou osobou. Na druhé straně má každý svobodu ZEP nepoužívat a připojit místo něj např. vlastní aktuální fotografii z poslední spartakiády. Tento rozumný kompromis umožnil i masivní nasazení internetových technologií ve státní správě, což se ještě před 20 lety zdálo být méně reálné než zavedení klingonštiny jako jediného jednacího jazyka EU. (Máte-li pocit, že už k tomu došlo, pak jste zřejmě jen slyšeli někoho z českého zastoupení pokoušet se v Bruselu mluvit anglicky).

Určený a určitelný v říši neurčitosti

V průběhu vývoje se tedy došlo ke stavu, při němž e-mailová adresa může a nemusí být pevně svázána s konkrétní fyzickou nebo právnickou osobou jako její identifikátor. To nám však neříká nic o tom, je-li tato adresa osobním údajem ve smyslu souvisejících právních norem, a zda tedy požívá příslušné právní ochrany.

Co považuje české právo za osobní údaj? Zákon o ochraně osobních údajů (ZoOOÚ) to vidí následovně:

„osobním údajem (se rozumí, m.s.) jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu.“

Klíčovou podmínkou pro uchopení e-mailové adresy jako osobního údaje je tedy určenost nebo určitelnost osoby, která tuto adresu používá. Ty nastávají, pokud subjekt údajů „lze identifikovat“, tj. stačí, že je to technicky možné, nemusí k tomu přímo dojít. Pamatujme také na to, že subjektem údajů je podle ZoOOÚ vždy jen fyzická osoba (jedinec), nikoliv tedy osoba právnická (obchodní společnost apod).

Není ani řečeno, pro koho by měl být subjekt identifikovatelný, což je poměrně závažná otázka. Je nutné, aby tuto možnost měl kdokoliv s přístupem k webu, nebo stačí, když Vás podle e-mailu pozná vaše babička? Musíme vycházet z toho, že není-li tento okruh nijak stanoven, b) je správně.

Koho „lze identifikovat“ podle e-mailové adresy? Určitým vodítkem může být rozsudek Nejvyššího správního soudu (NSS) (týkající se původně telefonních čísel, ale bývá jím argumentováno i při sporech o internetovou identitu) z roku 2009, čj. 9 As 34/2008-68, který uvádí: „Plná identita fyzické osoby v současných podmínkách technologicky vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno dostupná, ve své podstatě neznamená nic jiného, než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu.“

Tuto možnost, dodávám já, poskytuje každý funkční e-mail. A tím, že jde zase o „možnost“, nikoliv o fakt, že se tak již stalo, padají úvahy jako „no jo, ale je kontaktován ten, kdo si nikdy nevybírá schránku?“

Tím by ovšem byly zahrnuty úplně všechny e-mailové adresy (kromě některých firemních, jak si ještě ukážeme). Je ale jasné, že takový výklad by byl příliš extenzivní a jeho následky v praxi těžko realizovatelné – myriády e-mailových adres, vznikajících v každé sekundě po celém světě, není prostě možné bez výjimky všechny úředně ochránit.

To ale neznamená, že by se na tento úkol mělo zcela rezignovat. Protože ZoOOÚ neobsahuje žádné jednoznačné ustanovení o tom, že e-mail je vždy osobním údajem, bude vždy na Úřadu na ochranu osobních údajů (ÚOOÚ), potažmo na soudu, aby v konkrétním případě řekl ano či ne.

Názory na tuto otázku se ovšem stále vyvíjí a zatím nepanuje shoda*. ÚOOÚ nabízí na svých stránkách následující stanovisko:

„Při posuzování, je-li určitá informace osobním údajem, záleží na tom, jestli na jejím základě je možnost identifikovat konkrétní fyzickou osobu. V uváděném případě tedy e-mailová adresa ve tvaru jan_novak@seznam.cz osobním údajem nebude, protože takovouto e-mailovou adresu si může založit kdokoliv a nevypovídá nic o svém majiteli. Naproti tomu e-mailová adresa přidělená zaměstnavatelem, která obsahuje jméno a příjmení zaměstnance a název zaměstnavatele, osobním údaje bude, protože minimálně ostatní zaměstnanci na jejím základě mohou danou osobu jednoznačně identifikovat.“

Je patrné, že názor ÚOOÚ a názor NSS se liší v otázce, jak široce je třeba pojímat identitu fyzické osoby. Zatímco NSS v uvedeném judikátu do ní zahrnuje i pouhou možnost tuto osobu kontaktovat, aniž by bylo o ní cokoliv dalšího známo, ÚOOÚ vyžaduje ztotožnění údaje s konkrétní fyzickou osobou. Z toho jednoznačně neplyne, co je obsahem tohoto ztotožnění (identifikace). Je identifikován i ten, u nějž známe bydliště, pracoviště a e-mail, ale nikoliv například jméno? Těžko říct.

Podle ÚOOÚ adresa jan_novak@seznam.cz osobním údajem nebude, „protože si ji může založit kdokoliv“, zatímco adresa obsahující jméno a příjmení zaměstnance a název zaměstnavatele osobním údajem bude.


Problém zde spatřuji ve čtyřech věcech:

1) Zaměstnavatel jako uživatel domény si může libovolně zakládat a mazat e-mailové adresy podle svého uvážení, včetně použití jména neexistující osoby nebo osoby sice existující, ale zcela bez vztahu k zaměstnavateli. Doména společnosti v e-mailové adrese ve skutečnosti neposkytuje jistotu, že se za adresou schovává konkrétní osoba, jen zvyšuje pravděpodobnost (byť i velmi značně), že tomu tak skutečně je.

2) Arbitrem věrohodnosti e-mailové adresy by pak byl vlastně zaměstnavatel, jehož k tomu ale nic nezmocňuje. Při principu rovnosti subjektů práva nelze tvrdit, že zaměstnavatel má tu moc kvalifikovat zřízením schránky na své doméně určitou adresu jako osobní údaj, zatímco fyzická osoba tuto moc nemá.

3) Podle ÚOOÚ je adresa obsahující jméno a příjmení na doméně zaměstnavatele osobním údajem proto, že „minimálně ostatní zaměstnanci na jejím základě mohou danou osobu jednoznačně identifikovat“. Vracíme se tedy k otázce onoho „kdo“, tedy kdo má schopen osobu identifikovat, aby se nějaký údaj stal údajem osobním. Podle ÚOOÚ jsou to tedy „minimálně“ ostatní zaměstnanci. Co když ale má společnost jen jednoho zaměstnance? Přestává pak být jeho adresa osobním údajem? Nebo z opačné strany, má-li někdo e-mailovou adresu, podle níž je schopno jej přesně identifikovat třeba sto tisíc lidí, která ale není na doméně zaměstnavatele, nejde o osobní údaj? Navíc ostatní zaměstnanci mohou být schopni identifikovat kolegu i podle adresy, která má ve své místní části (před zavináčem) nikoliv jméno, ale třeba jen přezdívku nebo pouhé číslo. Půjde pak o osobní údaj?

4) Zrovna adresy ve tvaru jmeno.prijmeni@poskytovatel.cz jsou zrovna ty, u nichž bych váhal, zda je ochrana podle ZoOOÚ namístě. Zpravidla totiž budou sloužit komunikaci s veřejností, zákazníky, potencionálními smluvní partnery apod. Pokud by například nezisková organizace zveřejnila na svých stránkách návod, jak postupovat v určité životní situaci, a zveřejnila zde seznam e-mailů osob, na něž je možné se obrátit – jako jsou úředníci, pracovníci jiných neziskovek apod., dopustila by se nedovoleného nakládání s osobními údaji. Přitom půjde o údaje běžně přístupné na stránkách příslušných organizací.

To jsou ovšem pouze mé závěry, v první linii bude nakládání s osobními údaji posuzovat právě ÚOOÚ a jeho názory je proto třeba brát v potaz. Z opatrnosti bych však doporučil při nakládání s jakoukoliv e-mailovou adresou, kromě těch úplně obecných, značnou obezřetnost; určitě to bude lepší, než se později pouštět do sporů s nejasným výsledkem. Budeme-li se řídit stanoviskem ÚOOÚ, je e-mailových adres s charakterem osobního údaje poskrovnu a můžeme být celkem v klidu. Vezmeme-li však v potaz i onen judikát NSS, bude jejich rozsah podstatně větší. Jednoznačnou odpověď dát nyní neumím.

Za jisté lze snad pokládat alespoň to, že obecné adresy firemní, tedy ty, z kterých Vám chodí spam, osobním údajem zpravidla nebudou. Stejně tak ani tvar podatelna@generalni_urad_pro_tmu.cz tento charakter nemá.

A co z toho?

V části případů, tedy v okruhu, jehož rozsah jsem naznačil, tedy e-mailová adresa osobním údajem bude. Co z toho vyplývá: Nakládání s takovou adresou je „zpracováním osobních údajů“ podle ZoOOÚ, a musí se tedy dít pouze v intencích tohoto zákona, přičemž tímto zpracováním je prakticky cokoliv, co s e-mailovou adresou uděláte, včetně třeba jejího zveřejnění na webových stránkách: „zpracováním osobních údajů (se rozumí, m.s.) jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.“ (§4 odst. e) ZoOOÚ).

Co nesnese denní světlo

Podskupinou osobních údajů, které požívají obzvlášť přísné ochrany, jsou takzvané citlivé údaje. Obecným rámcem pro vymezení této skupiny je evropská směrnice č. 95/46/ES, definující ve svém čl. 8 „zvláštní kategorie osobních údajů“, což jsou takové, které „odhalují rasový či etnický původ, politické názory, náboženské nebo filozofické přesvědčení, odborovou příslušnost, jakož i zpracování údajů týkajících se zdraví a sexuálního života.“ Jejich zpracování je až na výjimky, stanovené ve stejném článku, zakázáno.

Vtělením této normy do vnitrostátního práva ČR je opět ZoOOÚ, který za citlivý údaj považuje „osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů.“

Dovozuji, že i samotná e-mailová adresa za jistých, byť velmi exotických okolností, citlivým údajem být může. Například tvar jako Josef_Radikal_predak@anarchosyndikalisticky_odborovy_svaz.cz může být dosti vypovídající, stejně jako veleknez@cirkev_letajiciho_spagetoveho_monstra.cz. Příklad formátu adresy prozrazující sexuální orientaci nositele ani nebudu uvádět, každý si jej umí snadno představit. Jde ovšem o to, že taková adresa může vypovídat o pouhé sebestylizaci nebo pokusu o vtip a nemusí znamenat vůbec nic.

U adres jako Josef.Stoupenec@nejaka_politicka_strana.cz je zase nutné vzít v úvahu, že použití takové adresy je svým způsobem veřejnou aktivitou, vystoupením ve veřejném prostoru. To jsou samozřejmě teorie spíše zábavné než použitelné, představitelný scénář by mohl být třeba ten, že by zaměstnavatel dovodil příslušnost zaměstnance k odborové organizaci z jeho e-mailové adresy a tento údaj by zavedl do jeho osobní složky. Obecně však elektronická adresa citlivým údajem zpravidla nebude.

Závěrem si shrneme: e-mailová adresa, i taková, která neobsahuje jméno a příjmení fyzické osoby, může mít za určitých okolností charakter osobního údaje a jako takové jí pak bude příslušet právní ochrana. Adresy institucí s neurčitelným adresátem tento charakter naproti tomu nemají. Jednoznačné zákonné ustanovení však nyní neexistuje, a proto bude takové posouzení vždy věcí příslušného úřadu (ÚOOÚ) nebo soudu.

* viz Bartík, Janečková: „E-mailová adresa jako osobní údaj“ in: Daně a právo v praxi č.5/2013, Wolters Kluwer

Upozornění: Tento článek je osobním názorem autora na aktuální situaci v předmětné oblasti. Výklad příslušných právních ustanovení a judikatury náleží pouze soudu, příp. oprávněným správním orgánům.

Zdroj titulního obrázku: Pixmac