„Nicméně by naším úkolem mělo být zjišťovat v případě úniku osobních údajů, odkud k tomuto úniku došlo,“ uvedl předseda Úřadu Jiří Kaucký. Dle § 50 odst. 1 zákona č. 110/2019 Sb., o zpracování osobních údajů, je Úřad ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, jinými právními předpisy, mezinárodními smlouvami, které jsou součástí právního řádu, a přímo použitelnými předpisy Evropské unie.

V případě zveřejněných informací o očkování konkrétní osoby ve zdravotnickém zařízení, kdy zjevně nejde o systémové pochybení, ale o nahodilou situaci, nejde ani o porušení čl. 5 obecného nařízení (GDPR), popisujícího zásady zpracování osobních údajů, konkrétně odst. 1 písm. b) obecného nařízení, kdy osobní údaje musí být shromažďovány pro určité, výslovně vyjádřené a legitimní účely a nesmějí být dále zpracovávány způsobem, který je s těmito účely neslučitelný. Přičemž správce osobních údajů, v tomto případě zdravotnické zařízení, podle čl. 5 odst. 2 obecného nařízení odpovídá za dodržení těchto zásad zpracování osobních údajů.

Přestože tedy nejde o působnost Úřadu, mohlo by se jednat o pochybení zaměstnance, který porušil ustanovení § 301 písm. a) zákoníku práce, podle kterého jsou zaměstnanci povinni pracovat řádně podle svých sil, znalostí a schopností, plnit pokyny nadřízených vydané v souladu s právními předpisy a spolupracovat s ostatními zaměstnanci. Případné porušení povinnosti zachování mlčenlivosti v souvislosti se zdravotními službami dle § 51 odst. 1 a 5 zákona č. 372/2011 Sb., o zdravotních službách a podmínkách jejich poskytování (zákon o zdravotních službách), ve znění pozdějších předpisů, za které dle § 177 odst. 4 téhož zákona hrozí pokuta ve výši 1 000 000 Kč, Úřadu nepřísluší posuzovat. Dle názoru Úřadu může být dokonce úmyslné jednání zaměstnance za určitých podmínek (zejména způsobení vážné újmy na právech nebo oprávněných zájmech osoby, jíž se osobní údaje týkají) posuzováno jako trestný čin dle § 180 trestního zákoníku.