VII.a/2
Ochrana spotřebitele a jeho osobních údajů
53. Ochrana spotřebitele spolu s ochranou (i jeho) osobních údajů představují dynamicky se vyvíjející oblasti právního řádu, a to na vnitrostátní i unijní úrovni. Přestože právo Evropské unie není referenčním kritériem ústavnosti [viz nález ze dne 14. 5. 2019 sp. zn. Pl. ÚS 45/17 (161/2019 Sb.)], je v zájmu dosažení tzv. eurokonformního výkladu napadených ustanovení [viz nálezy ze dne 8. 3. 2006 sp. zn. Pl. ÚS 50/04 (N 50/40 SbNU 443; 154/2006 Sb.) nebo ze dne 3. 5. 2006 sp. zn. Pl. ÚS 66/04 (N 93/41 SbNU 195; 434/2006 Sb.)] přiblížen jeho vztah k unijní právní úpravě obecné ochrany spotřebitele a osobních údajů. I v řízení podle čl. 87 odst. 1 písm. a) nebo b) Ústavy přitom platí, že pouze Soudní dvůr podává závazný výklad práva Evropské unie [srov. nález ze dne 7. 4. 2020 sp. zn. Pl. ÚS 30/16 (254/2020 Sb.)]. Při přezkumu ústavnosti právní normy v tomto řízení pak její nezpůsobilost vyložit ji způsobem slučitelným s právem Evropské unie, která (pokud) je zároveň i deficitem ústavního rozměru, vede k jejímu zrušení. Rozpor s právem Evropské unie však Ústavní soud v posuzované věci neshledal.
54. Relevantní právní úpravu představují na podústavní úrovni zejména zákon o ochraně spotřebitele, zákon č. 257/2016 Sb., o spotřebitelském úvěru, ve znění pozdějších předpisů, obecné nařízení (tzv. "GDPR", viz bod 8) a zákon č. 110/2019 Sb., o zpracování osobních údajů, který navazuje na přímo použitelné obecné nařízení a ke dni 24. 4. 2019 nahradil zákon o ochraně osobních údajů; do tohoto okruhu lze řadit i směrnici (viz bod 11) a některé další unijní předpisy.
55. Východiskem ochrany spotřebitele v koincidenci s ochranou osobních údajů v rovině primárního unijního práva je Listina základních práv Evropské unie (dále jen "Listina EU"). Podle ní se v politikách Evropské unie, potažmo však i na vnitrostátní úrovni při implementaci těchto politik, jednak zajišťuje vysoká úroveň ochrany spotřebitele (čl. 38), jednak osobní "údaje musí být zpracovány korektně, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu" (čl. 8 odst. 2); posléze uvedené právo je zároveň zaručeno v čl. 16 Smlouvy o fungování Evropské unie jako jedna ze zásad obecně použitelných ve všech unijních politikách. Tato ustanovení Listiny EU jsou podle čl. 51 odst. 1 "určena" i členským státům, a to "výhradně pokud uplatňují právo Unie" a nerozšiřují oblast působnosti práva Evropské unie nad rámec jí svěřených pravomocí (odstavec 2). Výrazem "určena" Listina EU nade vši pochybnost míní závazek její ustanovení plně respektovat, přičemž za "uplatňování" práva Evropské unie je třeba pokládat veškeré postupy a akty orgánů členských států (moci zákonodárné, výkonné a soudní) bezprostředně spojené se zajišťováním plných vnitrostátních účinků předmětné unijní úpravy [srov. Piers, S.; Hervey, T.; Kenner, J.; Ward, A. (eds.). The EU Charter of Fundamental Rights. A Commentary. London: Hart Publishing, 2014, s. 1433-1448, a tam citované rozsudky Soudního dvora, např. C-617/10 Aklagaren proti Akerbeg Fransson, C-411/10 a C-493/10 NS proti Secretary of State, C-370/12 Thomas Pringle proti Government of Ireland]. Jakkoli se tedy čl. 8 Listiny EU podle nálezu Ústavního soudu sp. zn. Pl. ÚS 3/14 bezprostředně nepoužije jako součást referenčního rámce ústavního přezkumu napadeného ustanovení, je i prizmatem tohoto východiska nicméně právo na ochranu osobních údajů podle čl. 8 Listiny EU zdrojem kritérií pro (tzv. eurokonformní) výklad právních předpisů členských států v oblasti ochrany osobních údajů, jež dopadají na použití vnitrostátních norem. Příslušná ustanovení Listiny EU jsou proto relevantní jak pro výklad obecného nařízení, tak pro použití zákona o zpracování osobních údajů, jež je souladné s právem Evropské unie.
56. Ustanovení § 5 zákona o zpracování osobních údajů opravňuje správce osobních údajů (tj. i provozovatele ve smyslu § 20z zákona o ochraně spotřebitele) zpracovávat údaje, je-li to nezbytné pro splnění povinnosti uložené mu právním předpisem nebo úkolu ve veřejném zájmu. Obecné nařízení podmiňuje zákonnost zpracování osobních údajů udělením souhlasu jejich subjektem [čl. 6 odst. 1 písm. a)], ledaže je toto zpracování "nezbytné pro splnění právní povinnosti, která se na správce vztahuje" [písmeno c)], nebo je "nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce" [písmeno e)], anebo je "nezbytné pro účely oprávněných zájmů příslušného správce či třetí strany, kromě případů, kdy před těmito zájmy mají přednost zájmy nebo základní práva a svobody subjektu údajů vyžadující ochranu osobních údajů, zejména pokud je subjektem údajů dítě" [písmeno f)]. S tím, že zpracování citlivých osobních údajů se zakazuje, není-li "nezbytné z důvodu významného veřejného zájmu [...], které je přiměřené sledovanému cíli, dodržuje podstatu práva na ochranu údajů a poskytuje vhodné a konkrétní záruky na ochranu základních práv a zájmů subjektu údajů" [čl. 9 odst. 2 písm. g)]. Citlivými osobními údaji jsou podle čl. 9 odst. 1 obecného nařízení informace vypovídající o rasovém či etnickém původu, politických názorech, náboženském vyznání, filozofickém přesvědčení a další, pročež zákaz jejich zpracování ani výjimky z něj nejsou pro posuzovanou věc významné.
57. Ustanovení čl. 6 odst. 2 obecného nařízení upravuje možnost členských států stanovit konkrétnější úpravu k přizpůsobení pravidlům zpracování osobních údajů podle čl. 6 odst. 1 písm. c) a e) obecného nařízení (viz výše). Mimo jiné i z § 20z zákona o ochraně spotřebitele lze dovodit, že této možnosti zákonodárce využil, a to v souladu s čl. 6 odst. 3 obecného nařízení vymezujícím další předpoklady právního základu příslušné konkretizace. Hodno doplnit, že podmínky zpracování osobních údajů jsou podle čl. 5 odst. 1 písm. c) obecného nařízení vedeny zásadou minimalizace údajů, podle níž mají být informace přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu zpracování. Stejně tak mají být informace zpracovávány způsobem zajišťujícím náležité zabezpečení apod. [písmeno f)].
58. Ustanovení čl. 14 odst. 1 až 4 obecného nařízení upravují obsah a rozsah poskytování informací o zpracování osobních údajů subjektu údajů správcem v případě, že údaje správce nezískal od subjektu samotného. Odstavec 5 téhož článku vymezuje kritéria, při jejichž splnění se předchozí odstavce nepoužijí. Ta se uplatní zejména v případech, v nichž subjekt (tj. pro posuzovanou věc i spotřebitel jako kupující) již informace má [písmeno a)] nebo je získávání a zpřístupnění výslovně stanoveno právem Evropské unie nebo členského státu, které se vztahuje na správce (tj. v posuzované věci např. i na sdružení) a v němž jsou stanovena vhodná opatření na ochranu oprávněných zájmů subjektu údajů.
59. Podle § 84 odst. 2 zákona č. 257/2016 Sb., o spotřebitelském úvěru, má spotřebitel povinnost poskytnout prodávajícímu úplné a pravdivé informace k posouzení jeho úvěruschopnosti. Tyto "informace je za účelem posouzení úvěruschopnosti spotřebitele poskytovatel a zprostředkovatel povinen ověřit způsobem přiměřeným dané situaci, je-li to nutné, též použitím nezávisle ověřitelných údajů". Podle § 86 odst. 1 téhož zákona prodávající "posoudí úvěruschopnost spotřebitele na základě nezbytných, spolehlivých, dostatečných a přiměřených informací získaných od spotřebitele, a pokud je to nezbytné, z databáze umožňující posouzení úvěruschopnosti spotřebitele nebo i z jiných zdrojů. Poskytovatel poskytne spotřebitelský úvěr jen tehdy, pokud z výsledku posouzení úvěruschopnosti spotřebitele vyplývá, že nejsou důvodné pochybnosti o schopnosti spotřebitele spotřebitelský úvěr splácet". Podle odstavce 2 posuzuje prodávající úvěruschopnost spotřebitele i podle jeho způsobu plnění dosavadních dluhů. Porušení povinnosti prodávajícího prověřit úvěruschopnost spotřebitele má za následek neplatnost smlouvy (§ 87 odst. 1 zákona č. 257/2016 Sb., o spotřebitelském úvěru). Podle § 88 odst. 1 zákona č. 257/2016 Sb., o spotřebitelském úvěru, "[o]soby oprávněné poskytovat spotřebitelský úvěr se mohou vzájemně informovat o údajích o dluzích, které vypovídají o úvěruschopnosti spotřebitele, prostřednictvím databáze spravované právnickou osobou", kterážto osoba zpracovává údaje o spotřebitelích právě za účelem posouzení jejich úvěruschopnosti a poskytuje přístup k údajům osobám oprávněným poskytovat spotřebitelský úvěr a zachovává o získaných údajích mlčenlivost a chrání je před zneužitím. Podle § 88 odst. 2 zákona č. 257/2016 Sb., o spotřebitelském úvěru, je poskytovatel "povinen k údajům získaným o spotřebiteli z databáze podle odstavce 1 přistupovat tak, jako by šlo o údaje, které získal od spotřebitele sám. Poskytovatel může údaje o spotřebiteli získané prostřednictvím databáze podle odstavce 1 využít výhradně pro vyhodnocení předpokladů řádného splácení jeho dluhů [...]". O záměru vyhledávat údaje v databázi musí prodávající spotřebitele informovat v souladu se zákonem upravujícím ochranu osobních údajů (odstavec 3).
60. Z citovaných ustanovení zákona č. 257/2016 Sb., o spotřebitelském úvěru, je patrné, že příslušná úprava stanovuje prodávajícím povinnost prověřovat bonitu spotřebitelů - potenciálních kupujících. Kromě toho, že toto prověřování nemusí být založeno pouze na posuzování informací získaných přímo od spotřebitele, musí být za určitých podmínek spotřebitel o zpracovávání a vyhledávání příslušných údajů informován.