Holeček (ODS): Když to chorvatští vykukové umějí obejít, proč by to neuměli čeští

Řeknu jenom jednu věc. Já jsem muž činu, takže když si chci zjistit, jak je to v Chorvatsku, tak se tam rozjedu a jedu si zjistit už k živnostníkům, jak se to dá dělat. Takže od svého velmi dobrého přítele v Chorvatsku jsem zjistil jednu věc. Když chcete, úplně v pohodě si koupíte do té pokladničky cinknutý software, ani to moc nestojí. Vyjíždí vám ten račun úplně stejně, taky ta účtenka, ale do centrály to vůbec nedorazí. To znamená kdo chce krást, bude krást dál. Jde to obejít. Když to chorvatští vykukové umějí obejít, proč by to neuměli čeští.

(...)

Pro všechny, kterým chyběla Big Brother tematika, tak jsem tady.

Jako předseda podvýboru pro ochranu soukromí jsem se na vládní návrh zákona už z této pozice díval. Přesto připomínky Úřadu pro ochranu osobních údajů, které mi připadají naprosto logické, zůstaly nevyslyšeny. Je potřeba si je zopakovat, protože to je důvod, proč já pro tento návrh nemohu zvednout ruku a proč, pokud to ještě nikdo neudělal, navrhuji zamítnutí tohoto návrhu.

Úřad pro ochranu osobních údajů požadoval, aby se návrh zákona o evidenci tržeb vrátil do fáze věcného záměru, a udal 11 podle mě jasně logických důvodů.

1. Standardní legislativní postup. Věcný záměr totiž není jen tak nějaký samoúčel. Jeho smyslem je představit a vyhodnotit možné varianty řešení problému a nechat politickou reprezentaci rozhodnout o volbě optimálního modelu, neboť pouze ona za něj nese politickou odpovědnost. Ministerstvo financí však opakovaně věcný záměr přeskakuje. Věcný záměr nahradil RIA, její varianty jsou arbitrárně vyhodnoceny pomocí účelově nastaveného bodování. Tím je politické rozhodování o volbě optimálního modelu konvertováno na rádoby expertní, jako kdyby existovala optimální varianta zřejmá všem. Ve skutečnosti volba modelu odvisí od politické představy správné regulace, která je odlišná v konzervativní, liberální nebo socialistické ideologii. Zvolený přístup je verifikován ve volbách, což expertní rozhodování nikdy nemůže nahradit. To by byl totiž konec demokracie.

2. důvodem: Důvodová zpráva jasně říkala: navrhovaná právní úprava nemá dopad na standard ochrany soukromí a osobních údajů. Prosím vás, a už jsem to tady jednou říkal. Předkladatel tímto zamýšlí největší zpracování osobních údajů v historii České republiky - podnikatelů, fyzických osob. Vyhodnocení dopadu na soukromí odbude jednou nepravdivou větou? To je zcela nepřijatelné. Smyslem DPIA je popsat a vyhodnotit stávající a zamýšlená zpracování osobních údajů. K vyhodnocení dopadů navrhovaného řešení ve vztahu k ochraně soukromí a osobních údajů slouží většinou tento postup: musíický účel, kategorie zpracovávaných osobních údajů, veřejnost zpracování, jeho částí nebo výstupů ze zpracování zakládaného navrhovanou regulací a lhůty pro uchování osobních údajů.

Stejný postup se použije, pokud je někdy měněno již existující zpracování osobních údajů. V takovém případe je třeba jednoznačně vyjádřit povahu změny, jestli rozšiřuji, zmenšuji, uvést klíčový měněný parametr, lhůtu uchování osobních údajů, rozšíření počtu nebo rozsahu jednotlivých údajů nebo údajových položek.

Co se týká rozsahu oprávnění subjektu údajů, uvede se slovní vyjádření obsahu dotčených oprávnění podle zákona o ochraně osobních údajů a popíše, pokud možno je i vyhodnotí za použití běžně používaných kvalifikačních kritérií. Zásah do každého z těchto oprávnění je potřeba učinit. Poté se vyhodnotí, zda navrhovaná regulace představuje zvláštní úpravu některé povinnosti nebo oprávnění subjektu údajů a kvalifikační hodnocení takové změny, pokud to lze. V popisu jiných dopadů na soukromí se uvede jednak obecně používané označení dotčeného aspektu soukromí, tak výstižné označení nebo popis zásahu. Pokud se předpokládá nebo dokonce přímo zamýšlí návaznost na jiná již existující nebo souběžně zakládaná či zamýšlená zpracování osobních údajů, vyhodnotí se, zda jde o prostou výměnu, či zda bude nebo má být dosahováno synergického efektu.

Identifikují se a popíší všechny uzly, ve kterých existuje nebo vzniká potenciálně nebezpečí neoprávněného přístupu nebo zneužití osobních údajů. Popíší a stručně se vyhodnotí kvalita osobních údajů, jež mají být zpracovávány. Pro hodnocení se použijí parametry jako obecný požadavek na kvalitu zejména ve vztahu k možným právním důsledkům, spolehlivost zdroje, stálost vstupních hodnot, a tam, kde jsou na to dány podmínky, rovněž forma a periodicita aktualizace a parametry specifické pro upravované zpracování osobních údajů. Uvedou se základní protiopatření, která zajišťují ochranu osobních údajů, a to jak specifická, tak i obecná, vše podle zákona o ochraně osobních údajů.

Lze shrnout, že předmětem hodnocení jsou pouze přímé projevy. Popis se uvádí, i pokud navrhované řešení zachovává již právně existující zpracování osobních údajů a parametry práva na ochranu osobních údajů. Je-li shledáno, že existují změny ve zpracování osobních údajů, popíší se a zhodnotí záruky pro ochranu osobních údajů, přednostně a v úplnosti se popíší postupy a instituty. Není-li jich, pak se vyhodnotí, zda a v jaké míře se použijí záruky a opatření podle obecného zákona o ochraně osobních údajů a jiného zákona obsahujícího zvláštní úpravu, kterou je potřeba převzít.

3. RIA je přetížena detaily, ale nevysvětluje ani základní věci, a proto je nutno ji přepracovat. Předkladatel zvažoval několik variant působnosti zákona. Ačkoliv píšeme rok 2015, statistická data pro tento zákon jsou z roku 2012. Jak je to možné? Předkladatel zastaralost informací nikde nezdůvodňuje. Ačkoliv je podle ČSÚ v České republice cca 1,3 milionů podnikatelů, podle předkladatele se má zákon týkat jen 600 000 subjektů. Více než 50 procent podnikatelů tedy nemá žádné tržby? RIA postrádá vyhodnocení alternativ u základních otázek, jako je například povinnost převzít účtenku, což je § 17.

4. Legislativně technické podpora (v písemném podkladu je slovo podoba). Je nezbytné osnovu podstatně přepracovat i po legislativně technické stránce. Například § 1 až 3 - tyto paragrafy do osnovy vůbec nepatří, protože nestanovují žádná oprávnění ani povinnosti. Jsou to pouhé informace.

5. Porušení principu dělby moci. Je zcela nemožné, aby k výjimkám ze zákona bylo zmocněno Ministerstvo financí. To je v rozporu s principy dělby moci a zásadou enumenerativnosti veřejnoprávních pretenzí, jak je již stanovena v článku 2 odst. 3 Ústavy a v článku 2 odst. (2) Listiny práv a svobod: "Státní moc lze uplatňovat jen v případech a v mezích stanovených zákonem, a to způsobem, který zákon stanoví." Zde zákon žádné meze nestanovuje. To samé platí i pro další zasílané údaje o tržbě podle § 12 odst. 3.

Důvodová zpráva sice specifikuje, že se předběžně počítá se zasláním základních údajů o poplatníkovi, jako je jméno, příjmení, případně název, sídlo firmy, a o proběhlé transakci zejména čas, objem platby. Dále se předpokládá, že součástí údajů zasílaných správci daně bude údaj o době odezvy, tj. bude možné tento údaj aktualizovat v rámci každé evidované tržby. A to patří přímo do normativního textu.

6. Autentizační údaje. Právní úprava je příliš strohá. Důvodová zpráva pouze definuje, že jsou přihlašovací údaje a certifikát. Navíc je otázkou, proč má poplatník o autentizační údaje žádat. Proč mu nejsou přiděleny automaticky? To vše by měl řešit věcný záměr. Naopak je problematické, že je osnova přetížená podrobností v tom, že se žádost posílá na adresu určenou pro evidenci tržeb. Za jak dlouho budou přiděleny údaje? A tak podobně.

Je nezbytné upozornit i na to, že předkladatel má zcela nesprávné pojetí identifikace a autentizace. Zatímco identifikace je ztotožnění, tj. určení, o který konkrétní subjekt se jedná, autentizace je ověření třídy oprávnění, tj. zda konkrétní subjekt smí něco dělat, aniž by nutně musel být identifikován.

Například znalost PIN k bankovní kartě ještě neznamená, že dotyčný si smí vybrat peníze, i když není vlastníkem této karty. Rovněž je otázkou, a ta tu padla, proč předkladatel nezařadil evidenci tržeb do systému eGovernentu, kde se přímo nabízí jako identifikační údaj AIFO, který by zde byl doplněn o certifikát. Nevyjasněný je vůbec vztah k DIČ. Důvodová zpráva o tom zcela mlčí, v odůvodnění v § 10 jen opisuje normativní text bez pokusu jej opravdu odůvodnit.

Ne zcela vyjasněný je vztah k bezpečnostnímu kódu poplatníka podle § 12, který je definován, že je jedinečným kódovacím algoritmem poplatníka vygenerované označení, které jako výstup konkrétních vstupů v podobě údajů o evidované tržbě a poplatníkovi, který ji uskutečnil, identifikuje poplatníka, který účtenku vydal, a uskutečněnou tržbu s vydanou účtenkou. Ani v důvodové zprávě ani v tezích prováděcích předpisů k tomu nejsou žádné další podrobnosti. A je přitom více než pochybné, že BKP je zveřejňován, a to na účtence, což říká § 13.

Fiskální identifikační kód. Zatímco v § 13 č. 2 písm. c) je FIK vágně vymezen jako jednoznačný identifikátor vytvořený správcem daně potvrzující zaevidování tržby. Teprve důvodová zpráva stanoví: "Správce daně provede na základě údajů povinně zaslaných poplatníkem okamžitou evidenci tržby, přidělí jí unikátní fiskální identifikační kód, pod kterým tržbu nadále eviduje. Přidělený fiskální identifikační kód zašle zpětně poplatníkovi, který jej vytiskne na účtenku, již je povinen vydat původci realizované tržby." Je pak nejasné, proč FIK je nazván tak vágně a ne třeba "evidenční číslo tržby". Je otázkou, zda to takto může fungovat, protože pokud dojde k výpadku internetu, je nutné náhradní řešení podle § 14, tam je to popsané dobře, ale osnova stanoví: "nejpozději však do 48 hodin od uskutečnění tržby", což však nebude možné. Navíc je sporné, zda je skutečně nezbytná komunikace přímo se správcem daně; zda nemůže poplatník tržbu identifikovat sám a proč je nezbytná dvojí identifikace: pomocí BKP a FIK.

S přemírou identifikátorů souvisí údaj o pořadí účtenky, identifikace provozovny a pokladního místa. Proč to není součástí BKP? Důvodová zpráva zcela mlčí.

Za osmé, a už se blížím k závěru: povinnost převzít účtenku a informační povinnost o tom. Lze mít za to, že toto břemeno je dalším výrazem paternalistického státu. Předkladatel by měl ve věcném záměru vyhodnotit alternativní řešení. Rovněž by měl vyhodnotit smysluplnost této povinnosti, když nebude nijak vymáhána. S tím souvisí i další zatěžující povinnost v § 20, že je podnikatel povinen informovat zákazníky o tom, že mají povinnost převzít účtenku. Podnikání neslouží k informování o oprávněních a povinnostech, které má každý ze zákona znát.

Ověření účtenky. Tato právní norma je jen načrtnuta a právní úprava zde zcela postrádá podrobnosti, jak by měla být realizována. Důvodová zpráva k tomuto zákonu o tom zcela mlčí.

Za desáté, zjednodušený režim. Osnova v § 22 nestanoví jiné kritérium pro povolení zjednodušeného režimu, než že standardní režim "nelze spravedlivě požadovat". To je svévole a porušení právního státu. Kritéria se pokouší vymezit důvodová zpráva. Patří však do normativního textu, nikoli do jeho vysvětlení.

A za jedenácté, účtenková loterie. Důvodová zpráva nijak neobjasňuje smysluplnost této právní normy. Na hru, které se lze zúčastnit pouze na základě zaslání účtenek a jejímž pořadatelem je Česká republika, se nepoužije zákon upravující hazardní hry? Jakou veřejnoprávní regulací se tedy účtenková loterie bude řídit?