2. Č. j. FAU-13021/2025/031 ze dne 5. 2. 2025

Ochrana oznamovatele

Dotaz:

Vážený Finanční analytický úřade,

obracím se na Vás s žádostí o poskytnutí informací podle zákona č. 106/1999 Sb., o svobodném přístupu k informacím.

Rád bych se dozvěděl, jakými způsoby Finanční analytický úřad (FAÚ) v systému pro přijímání oznámení o porušení povinností podle zákona č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu, zajišťuje ochranu oprávněných zájmů osob dle ustanovení § 34a tohoto zákona.

Konkrétně mě zajímá:

  1. Jakým způsobem probíhá příjem oznámení od Oznamovatele v případě, že se Oznamovatel dostaví na Váš úřad osobně?
  2. Je Oznamovatel povinen doložit důkazy ke svému oznámení?
  3. Jaké technické a organizační opatření jsou přijata k ochraně osobních údajů oznamovatelů a dalších zúčastněných osob?
  4. Jakým způsobem Váš úřad v zájmu eliminace křivých a nepravdivých obvinění postupuje, aby nedošlo k porušení práv osoby, která je podle oznámení odpovědná za porušení povinností podle tohoto zákona?
  5. Jaké jsou interní kontrolní mechanismy pro zajištění dodržování těchto opatření?

Předem děkuji za Vaši odpověď.

Odpověď:

K Vašemu dotazu sdělujeme informace níže, strukturované dle jednotlivých bodů:

1. Jakým způsobem probíhá příjem oznámení od Oznamovatele v případě, že se Oznamovatel dostaví na Váš úřad osobně?

Odpověď: Obecně je preferovaný způsob oznámení podle § 34a AML zákona (zákon č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu), skrze emailovou schránku reditel@fau.mfcr.cz.[1] Tato emailová schránka byla zřízena výhradně za tímto účelem a je omezen okruh osob, který ji spravují.

Pokud oznamovatel chce podat oznámení osobně, je vhodné o tom spravit FAÚ s předstihem a domluvit si schůzku. Tím bude zajištěna přítomnost pracovníka FAÚ, který může takové oznámení přijmout a rovnou navrhnout další postup, např. dodání dalších podkladů.

Poté, co oznamovatel dorazí, bude pozván do místnosti FAÚ, kde bude zajištěna bezpečnost a důvěrnost jak oznamovatele, tak sdělovaných informací.

2. Je Oznamovatel povinen doložit důkazy ke svému oznámení?

Odpověď: Obecně nikoliv. Pro řádné prošetření oznámení je ovšem velmi přínosné, pokud bude oznámení podloženo důkazy, o které svá tvrzení oznamovatel opírá. Tím se předejde nedorozuměním nebo odlišné interpretaci skutkových zjištěních a jiným nežádoucím jevům. Podle konkrétních okolností, mohou mít důkazy různou podobu. Např. může jít o svědectví, listinné důkazy, audiovizuální záznam, obsah datového nosiče apod.

3. Jaké technické a organizační opatření jsou přijata k ochraně osobních údajů oznamovatelů a dalších zúčastněných osob?

Odpověď: FAÚ odpovídá pouze obecně a mj. cituje z komentáře k AML zákonu.[2] Ochrana osobních údajů, které FAÚ zpracovává, se řídí obecnými právními předpisy k ochraně osobních údajů. Ovšem, AML zákon obsahuje speciální ustanovení, které má přednost před obecnou úpravou ochrany a zpracovávání osobních údajů. Podle ustanovení § 31a AML zákona existují výjimky z ostatních právních předpisů týkající se zpracovávání osobních údajů Úřadem v rámci jeho činnosti.

K odst. 3 až 6 § 31a AML zákona:

„Obecné nařízení o ochraně osobních údajů dává ve svém čl. 23 členským státům možnost omezit v nezbytně nutném rozsahu stanovená práva subjektu údajů. Omezení práva subjektu údajů (zcela nebo zčásti) na přístup k osobním údajům, je zakotveno i v AML směrnici (čl. 41 odst. 4), která jej umožňuje v rozsahu, v němž je takové omezení potřebné a přiměřené s ohledem na oprávněné zájmy dotčené osoby, tj. umožnění příslušnému vnitrostátnímu úřadu (v ČR je jím FAÚ) řádně plnit své úkoly v oblasti AML/CFT nebo zajištění toho, aby se nebránilo úředním nebo právním šetřením, analýzám, vyšetřováním nebo postupům podle AML směrnice a jejímu účelu. Dané omezení nakonec povoluje i vnitrostátní zákonná úprava na ochranu osobních údajů (zákon o zpracování osobních údajů) v § 11, ta jej z důvodu zamezení nadužívání podmiňuje povinností správce oznamovat omezení práv subjektu údajů dozorovému úřadu. V daném oznámení by pak měl správce takový postup zdůvodnit, přičemž by toto zdůvodnění mělo obsahovat body dle čl. 23 odst. 2 obecného nařízení o ochraně os. údajů.
Existence výjimky z uplatňování opatření na ochranu osobních údajů je pro potřeby AML/CFT a naplnění jejich účelu stěžejní. FAÚ provádí finanční šetření, jehož výstupem je při potvrzení podezření na ML/TF trestní oznámení. Toto šetření je tak „předstupeň“ k případnému zahájení trestního řízení. Z tohoto důvodu je nezbytné vyloučit poskytování údajů dotčeným osobám na vyžádání, aby tím nedošlo k varování možného pachatele. Zároveň je žádoucí uchránit povinné osoby a konkrétní „oznamovatele“ (jejich zaměstnance, kteří zpracovávali oznámení podezřelého obchodu) před nežádoucími útoky ze strany oznámené osoby. Na oznámení podezřelého obchodu a jeho šetření prováděné FAÚ se navíc vztahuje povinnost mlčenlivosti dle § 38 AMLZ, což je i v této souvislosti potřeba zohlednit.“
Z toho plyne, že FAÚ při práci s osobními údaji zajišťuje potřebné technické a organizační opatření, aby se s informacemi seznámily pouze osoby, které to nezbytně potřebují ke své práci.  Dále je nutné osobní údaje náležitě chránit, to interně uvnitř Úřadu, tak také navenek vůči třetím osobám. Účelem zpracování takových osobních informací je naplňování politiky České republiky v oblasti boje proti praní špinavých peněz a financování terorismu, popřípadě provádění mezinárodních sankcí. Tam přesně spadá oznamování o porušení AML zákona podle § 34a AML zákona.

 Pokračování citace z komentáře:

„Omezení práv subjektu údajů navzdory tomu musí respektovat podstatu základních práv a povinností vyplývající z obecného nařízení o ochraně osobních údajů, být nezbytné a přiměřené. Komentované ustanovení za tímto účelem taxativně vymezuje, za jakých podmínek může FAÚ žádosti o přístup k osobním údajům nevyhovět či vyhovět pouze částečně. K takovému kroku může přistoupit už při naplnění jednoho ze tří uvedených důvodů.
FAÚ by při následné komunikaci se subjektem údajů, tj. při reakci na příslušnou žádost, měl naplnit postupy a lhůty uvedené v obecném nařízení o ochraně osobních údajů. I zde se ale může z výše uvedených důvodů uchýlit v souladu s odstavcem 4 komentovaného ustanovení k odlišnému postupu. Jestliže by totiž vyhověním žádosti o přístup k osobním údajům nebo naopak sdělením o jeho nevyhovění, včetně uvedení důvodů k takovému postupu, hrozilo zmaření plnění úkolu za účelem zabránění zneužívání finančního systému k ML/TF nebo vytváření podmínek pro odhalování ML/TF či ochranu utajovaných informací, má FAÚ pravomoc informovat subjekt údajů ve stejném rozsahu jako toho, jehož osobní údaje nezpracovává. Samotná informace o tom, že nějaké osobní údaje FAÚ o subjektu údajů zpracovává či naopak i informace o tom, že o něm žádné informace nezpracovává, by mohla být porušením mlčenlivosti a zároveň by mohla významně ohrozit samotné probíhající vyšetřování.“ [zvýraznění doplněno Úřadem]
Komentář zde poukazuje na omezené možnosti, které právní předpisy poskytují Úřadu, jak reagovat na žádosti o informace nebo jiné typy žádostí směřující k osobním údajům za stanovených podmínek v ustanovení § 31a AML zákona. Tím je také zajištěna ochrana oznamovatele před případným informováním širší veřejnosti.

4. Jakým způsobem Váš úřad v zájmu eliminace křivých a nepravdivých obvinění postupuje, aby nedošlo k porušení práv osoby, která je podle oznámení odpovědná za porušení povinností podle tohoto zákona?

Odpověď: § 34a odst. 5 AML zákona určí: „Oznamovatel nesmí být z důvodu podání oznámení vystaven odvetným opatřením“. Mezi taková odvetná opatření ovšem nelze řadit trestný čin křivého obvinění, podle § 345 zákona č. 40/2009 Sb., trestní zákoník, ve znění pozdějších předpisů, který může oznamovatel spáchat. Je tak nutné na jedné straně vážit oznámení a zájmy oznamovatele, a na straně druhé vážit zájmů osob, vůči nimž oznámení směřuje. Pouze řádným prošetřením oznámení je možné eliminovat křivá a nepravdivá oznámení. To je podpořeno poskytnutím potřebných důkazů. Lapidárně řečeno, ne každé oznámení je stejně hodnotné a sleduje nutně legitimní cíl. FAÚ pečlivě oznámení vyhodnocuje a tím eliminuje taková, která by mohla způsobit ohrožení nebo porušení práv osob, vůči nimž oznámení směřuje. 

5. Jaké jsou interní kontrolní mechanismy pro zajištění dodržování těchto opatření?

Předem děkuji za Vaši odpověď.

Odpověď: Dle § 29c odst. 3 AML zákona platí, že „Úřad při své činnosti uplatňuje taková organizační, personální a jiná opatření, která zaručují, že s informacemi získanými při jeho činnosti podle tohoto zákona nepřijde do styku nepovolaná osoba“. Na úrovni Úřadu jsou tak zajištěna opatření, která mají za cíl chránit informace získané při jeho činnosti, včetně osobních údajů. Konkrétně jde o technická omezení[3] přístupu k osobním údajům, kdy přístup mají pouze konkrétní osoby, které přístup nezbytně potřebují k plnění svých pracovních úkolů. Tím je současně zajištěn definovaný okruh osob, které v daný okamžik přístup k osobním údajům mají, a následně je zajištěna auditní stopa takových přístupů. Jednotlivé způsoby nakládání s osobními informacemi jsou zaznamenány a jsou dohledatelné pro účely auditu. Mimo to jsou obecně všichni zaměstnanci Úřadu vázáni přísnou mlčenlivostí podle § 38 AML zákona. Jedním z požadavků, které musí splnit zaměstnanci FAÚ, patří nutnost tzv. prověrky, podle zákona č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti, ve znění pozdějších předpisů.

[1] Více informací je dostupných na webové stránce: https://fau.gov.cz/kontakty, v záložce Whistleblowing.

[2] KATOLICKÁ, Michaela. Zákon o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu: komentář. 2. vydání. Komentáře Wolters Kluwer. Praha: Wolters Kluwer, 2021. ISBN 978-80-7676-166-7. Část k § 31a AML zákona.

[3] K vedení spisové služby Úřad využívá IS ELO. Zmínka dostupná např. ve výroční zprávě za rok 2021: https://fau.gov.cz/files/vyrocni-zprava-financniho-analytickeho-uradu-za-rok-2021.pdf.