Veřejné registry: možnosti a limity výmazu osobních údajů

Veřejné registry: proč existují a odkud se berou osobní údaje

Veřejné registry slouží k transparentnosti právních vztahů, ochraně třetích osob a právní jistotě v obchodním či občanskoprávním styku. Základním principem je veřejnost – možnost nahlížet do vybraných údajů bez prokazování právního zájmu. Z pohledu soukromí to znamená, že se v registrech běžně objevují osobní údaje (jméno, adresa, datum narození, funkce, podíly, vlastnická práva) a někdy také citlivá metadata (historie zápisů, vazby na spisy, čísla listů vlastnictví).

Typy veřejných registrů a typické údaje

• Obchodní rejstřík / registr partnerů veřejného sektoru: statutární orgány, společníci, podíly, sídlo, základní kapitál, skuteční majitelé.
• Živnostenský rejstřík: jméno podnikatele, místo podnikání, předměty činnosti a přerušení živnosti.
• Katastrální / pozemkové registry: vlastníci nemovitostí, podíly, břemena, zástavní práva (zpravidla bez rodného čísla, s datem narození nebo jiným identifikátorem podle místní legislativy).
• Insolvenční / konkurzní registry: informace o platební neschopnosti, insolvenčních správcích, přihlášených pohledávkách, usneseních soudů.
• Soudní rozhodnutí / justiční desky: anonymizované rozsudky, oznámení o jednáních; míra anonymizace se liší.
• Registr smluv a povinně zveřejňované informace: smlouvy subjektů veřejného sektoru, faktury a objednávky, jména kontaktních osob.
• Profesní registry: licence a členství (lékaři, architekti, auditoři), disciplinární rozhodnutí.

Právní rámec: kde končí právo na výmaz

V EU platí, že GDPR přiznává právo na výmaz (čl. 17), obsahuje však výjimku pro případy, kdy je zpracování nezbytné ke splnění právní povinnosti nebo k výkonu práva na svobodu projevu a informací, případně pro veřejný zájem v oblasti veřejného zdraví, archivnictví a výzkumu. U veřejných registrů proto typicky dochází ke kolizi mezi právem na soukromí a principem veřejnosti + zákonnými povinnostmi zveřejňování. Z toho vyplývá, že:

• Úplný výmaz často není možný, pokud zákon zveřejnění přímo nařizuje (např. zápis statutárního orgánu v obchodním rejstříku).
• Možná je však oprava, aktualizace, omezení zpracování, anonymizace nebo nezveřejnění části údajů, pokud to zákon připouští (např. adresa bydliště oproti korespondenční adrese).
• V sekundárních databázích (agregátory, portály s „open data“, komerční vyhledávače) je prostor pro uplatnění práv širší – tam lze často dosáhnout výmazu nebo vyřazení z výsledků vyhledávání, i když primární registr zůstává veřejný.

Primární vs. sekundární zdroj: dvě bojiště

• Primární registr (státní orgán nebo orgán pověřený zákonem): zpracovává údaje na základě zákona; možnosti zásahu jsou striktně stanoveny zákonem (oprava, doplnění, někdy „skrytí“ citlivé části).
• Sekundární šíření (komerční databáze, vyhledávání osob, SEO zrcadla): často zpracovávají údaje na základě oprávněného zájmu; zde můžete uplatnit právo na výmaz, vznést námitku proti profilování, požádat o vyřazení z výsledků vyhledávačů („právo být zapomenut“ ve vztahu k vyhledávači), případně požádat o aktualizaci.

Co je typicky možné podle druhu registru

Open data a indexace vyhledávači

I když je samotný registr v souladu se zákonem, zpracování v režimu open data a jejich hromadná indexace vyhledávači mohou zvýšit riziko profilování a doxxingu. Správci by měli uplatňovat minimalizaci údajů, používat pro osobní stránky „noindex“ a zvažovat míru podrobnosti vs. veřejný zájem. Jako subjekt údajů můžete sekundární zpracovatele požádat o vyřazení z výsledků vyhledávání a omezení opakovaného zveřejňování.

Praktický postup: jak uplatnit svá práva

1. Identifikujte správce (primární registr vs. sekundární web) a právní základ zpracování (zákon vs. oprávněný zájem).
2. Určete přesný cíl: oprava, aktualizace, omezení zveřejnění, doplnění anonymizace, vyřazení z výsledků vyhledávačů, výmaz u agregátorů.
3. Připravte důkazy: odkazy/URL, snímky obrazovky, referenční čísla spisů, doložení neaktuálnosti nebo nepřiměřenosti zásahu.
4. Podejte žádost (DSAR / RTBF) písemně a uveďte konkrétní články GDPR (např. čl. 16 – oprava; čl. 17 – výmaz; čl. 21 – námitka; čl. 18 – omezení).
5. Sledujte lhůty: standardní doba pro odpověď je 1 měsíc (ve složitých případech lze prodloužit o 2 měsíce); u vyhledávačů bývá vyřízení zpravidla rychlejší.
6. Odvolání / stížnost: pokud nejste spokojeni, obraťte se na dozorový úřad (DPA) nebo se domáhejte ochrany u soudu.

Argumenty, které zvyšují šanci na úspěch

• Neaktuálnost: údaje již neodpovídají skutečnosti a uvádějí v omyl (např. dřívější funkce, zaniklý závazek).
• Nepřiměřený dopad: mechanická indexace údajů obsahujících jména bez přínosu pro veřejný zájem (např. hromadné databáze osob).
• Bezpečnostní riziko: zvýšené riziko pronásledování, domácího násilí či stalkingu – v některých jurisdikcích existují režimy důvěrné adresy.
• Chyba / nezákonnost: nezákonný rozsah zveřejněných údajů nad rámec zákona; chybějící právní základ u sekundárního správce.

Časté limity a očekávání

• Historie zápisů: registry uchovávají historii kvůli právní jistotě; zpětný výmaz se standardně neprovádí.
• Minimum identifikačních údajů: jména a funkce statutárních orgánů jsou oprávněně veřejné; jejich odstranění je výjimečné.
• Archivní a statistický režim: i po skončení účelu mohou být údaje nadále zpracovávány v archivním režimu – uplatňuje se zde přísná anonymizace/pseudonymizace.

Šedá zóna: komerční agregátoři a „lidé v databázích“

Weby, které hromadně shromažďují veřejné údaje a profilují osoby (propojují katastr, obchodní rejstřík a sociální sítě), často nemají jasný zákonný důvod pro jejich rozsáhlé zveřejňování. Téměř vždy je namístě námitka podle čl. 21 GDPR a žádost o výmaz podle čl. 17. Pokud agregátor žádost ignoruje, je účinné současně požádat vyhledávače o vyřazení konkrétních URL z výsledků vyhledávání při zadání dotazu obsahujícího vaše jméno.

Bezpečnostní rizika a prevence „doxxingu“

• Adresy a mapy: zveřejněná adresa v kombinaci s katastrálními mapami usnadňuje fyzické sledování; zvažte právní nástroje k omezení sekundárního zveřejňování.
• Škodlivé propojování: SEO „farmy“ vytvářejí profily osob – cíleně žádejte o jejich odstranění a nastavte si upozornění na nové výskyty (monitorování jmen/aliasů).
• Účet u vyhledávače: využívejte formuláře k vyřazení výsledků vyhledávání obsahujících osobní jména; argumentujte neaktuálností a nepoměrem mezi veřejným zájmem a zásahem do soukromí.

Minimalizace budoucích zásahů: co můžete udělat předem

• Adresní strategie: tam, kde to zákon umožňuje, používejte místo domácí adresy korespondenční nebo virtuální adresu (dbejte na soulad s právem).
• Firemní nastavení: při zakládání společnosti zvažte struktury odpovědnosti a role, které minimalizují množství osobních údajů v zápisech.
• Kontrakty a smlouvy: před zveřejněním zajistěte redakci osobních údajů a používejte funkční e-mailové adresy (např. info@) namísto osobních adres.
• Monitorování: pravidelně kontrolujte výskyt svého jména a adresy; objeví-li se nové údaje, jednejte rychle, dokud se obsah nerozšíří.

Vzorová osnova žádosti (DSAR/RTBF)

Pozn.: text upravte podle jurisdikce a adresujte konkrétnímu správci.

• Předmět: Žádost o uplatnění práv podle GDPR – [Oprava/Výmaz/Omezení/Vyřazení z výsledků vyhledávání]
• Identifikace: Jméno, kontaktní údaje, popis dotčených záznamů (URL, čísla spisů, datum).
• Právní základ: Odkaz na čl. 16/17/18/21 GDPR; vysvětlení neaktuálnosti/nepřiměřenosti/bezpečnostního rizika.
• Žádost: Přesný popis toho, co má správce udělat (opravit údaj X, odstranit stránku Y z indexace, anonymizovat pasáž Z).
• Doložení: Přílohy s důkazy; upřednostněte needitovatelné formáty (PDF s časovým údajem).
• Lhůta a kontakt: Požadavek na odpověď v zákonné lhůtě; preferovaný komunikační kanál.

Rizika při neodborné anonymizaci

„Přeškrtnutí jména v PDF“ nestačí – text lze často extrahovat. Je třeba provést redakci ve zdrojovém dokumentu nebo export s nevratnou anonymizací. Dbejte na to, aby nezůstala žádná metadata (autor, historie revizí) a aby kontext neumožňoval zpětnou reidentifikaci (např. kombinací data narození a obce).

Co dělat, pokud správce žádosti nevyhoví

• Formální odvolání s poukazem na kritéria proporcionality a nezbytnosti.
• Stížnost k dozorovému úřadu (DPA) s dokumentací komunikace a dopadem na soukromí.
• Návrh na předběžné opatření při akutní hrozbě (např. ohrožení bezpečnosti osob).
• Souběžné vyřazení z výsledků vyhledávání u vyhledávačů a zásah vůči sekundárním webům s cílem minimalizovat šíření.

Kontrolní seznam: rychlá orientace před podáním žádosti

• Je zdroj primární (zákonný registr), nebo sekundární (agregátor/archiv)?
• Je cíl realistický (oprava/anonymizace/vyřazení z výsledků vyhledávání) s ohledem na zákonnou povinnost?
• Mám důkazy o neaktuálnosti, omylu nebo nepřiměřeném zásahu?
• Které články GDPR jsou pro můj případ nejrelevantnější (16/17/18/21)?
• Komu zaslat souběžnou žádost (vyhledávače, hostingy, SEO zrcadla)?

Mezi právní jistotou a lidskou důstojností

Veřejné registry jsou nezbytné pro fungování práva a ekonomiky, nesmějí se však stát nástrojem nepřiměřeného zásahu do soukromí. Klíčem je přesná identifikace zdroje, pochopení právního základu a cíleně zvolená strategie zásahu – od oprav a doplnění anonymizace v primárních registrech až po výmaz a vyřazení z výsledků vyhledávání v sekundárních databázích. Pečlivou argumentací, dokumentací a využitím právních prostředků lze dosáhnout rozumné rovnováhy mezi veřejným zájmem a ochranou soukromí.