Dvanáctého března uplynuly tři roky od nabytí účinnosti zákona č. 111/2019 Sb., který v návaznosti na nový Zákon o zpracování osobních údajů novelizoval několik desítek právních předpisů, včetně zákona o archivnictví a spisové službě (č. 499/2004 Sb., dále jen „Zákon“).

Mezi povinnosti původců tak přibylo vedení tzv. jmenných rejstříků, do kterých měly být centralizovány osobní údaje. Dnes již lze konstatovat, že se tato úprava ne zcela povedla. Některé nedostatky se sice podařilo odstranit novelizací provedenou zákonem č. 261/2021 Sb. Základní problém však přetrvává. Je jím minimální rozsah údajů, které je povinen původce vést ve jmenném rejstříku. Ten je definován Zákonem jako samostatná funkční část evidenční pomůcky, určená pro automatické zpracovávání údajů o odesílatelích a adresátech dokumentů evidovaných v evidenční pomůcce, případně i o jiných osobách, jichž se dokumenty evidované v evidenční pomůcce týkají a u nichž původce shledal potřebu jejich vedení ve jmenném rejstříku.

Zákonodárce přitom stanovil, že původci, včetně tzv. „určených“, vedou ve jmenném rejstříku o fyzických osobách povinně jen jméno, příjmení a další dva údaje, kterými však většina fyzických osob nedisponuje – identifikační číslo osoby a identifikátor datové schránky. Samotné jméno a příjmení je přitom pro jednoznačnou identifikaci fyzické osoby zcela nedostatečné. Rozsah údajů, nezbytných pro vedení řady řízení, je dlouhodobě definován v rozsahu obsahujícím vedle jména a příjmení i datum narození a místo trvalého pobytu . Dlužno podotknout, že mezi tato řízení patří i řada procesů definovaných zákonem č. 561/2004 Sb .

Aby tedy jmenný rejstřík obsahoval veškeré potřebné údaje, je pro jeho vedení nezbytné aplikovat i zmocnění z šestého odstavce § 64 Zákona a ve jmenném rejstříku evidovat i další údaje dle přílohy Prováděcího nařízení Komise (EU) 2015/1501, která přináší definiční množinu osobních identifikačních údajů jedinečně identifikujících fyzickou nebo právnickou osobu. Rozsah těchto údajů je přílohou stanoven následovně:

Minimální soubor údajů pro fyzické osoby musí obsahovat všechny tyto povinné atributy:

a) současné (současná) příjmení;

b) současné jméno (jména);

c) datum narození;

d) jedinečný identifikátor vytvořený odesílajícím členským státem v souladu s technickými specifikacemi pro účely přeshraniční identifikace a pokud možno následně neměnný.

Minimální soubor údajů pro fyzické osoby může obsahovat jeden nebo více těchto dalších atributů:

a) jméno (jména) a příjmení při narození;

b) místo narození;

c) současnou adresu;

d) pohlaví.

Rozsah těchto údajů tak fakticky definuje unijní totožnost a zajišťuje její přeshraniční přenositelnost. Je proto vhodné zajistit podmínky pro to, aby bylo možné všechny tyto údaje ve jmenném rejstříku vést a průběžně ověřovat jejich aktuálnost, jak to původcům ukládá mimo jiné platné znění § 25 vyhl. č. 259/2012 Sb., o podrobnostech výkonu spisové služby. Vyhláška fakticky aplikuje povinné využívání tzv. referenčních údajů na vedení spisové služby při výkonu působnosti, tedy zejména činností, specifikovaných v příslušných ustanoveních zákona č. 561/2004 Sb., školský zákon.

Pro správné vedení jmenného rejstříku je tak nezbytné napojení elektronické spisové služby na Informační systém základních registrů a nahlášení působnosti v agendách, umožňujících přístup k jednotlivým datovým položkám. Pro zefektivnění některých procesů lze využít i formulářové portály, podporující tzv. úplné elektronické podání. Nezbytnou podmínkou je v takovém případě propojení portálu se jmenným rejstříkem, aby bylo možné k podaným dokumentům zajistit vazbu na jednající osobu.

Poslední oblastí, kterou je třeba řešit, je samotná správa osobních údajů, zejména určení odpovědnosti za jejich pořizování a výmaz . Ze zákona je povinností původce vymazat údaje o fyzické osobě vedené ve jmenném rejstříku nejpozději po uplynutí tří let ode dne předání dokumentů a spisů, ke kterým se údaje o fyzické osobě vztahovaly, archivu nebo jejich zničení . Sledování těchto lhůt, stejně jako zpětné prokázání oprávněnosti/účelu zpracování jednotlivých transakcí s osobními údaji, je zodpovědností původce. Doporučujeme proto tuto část výkonu spisové služby dostatečně podrobně zapracovat do funkčních požadavků případné zadávací dokumentace a věnovat i dostatek času na školení stávajících či budoucích operátorů.