Ochrana osobních údajů z pohledu pracovního práva

Právnická fakulta Masarykovy univerzity v Brně Katedra pracovního práva a sociálního zabezpečení

Ochrana osobních údajů z pohledu pracovního práva Rigorózní práce

Mgr. Dana Zerzánová 2007

Prohlašuji že jsem rogorózní práci na téma ochrany osobních údajů v oblasti pracovně-právních vztahů zpracovala sama pouze s využitím pramenů v práci uvedených.

1

OBSAH 1 1.1

ÚVOD........................................................................................................... 5 Terminologie použitá v práci....................................................................7

2

ÚSTAVNĚPRÁVNÍ ROVINA...................................................................... 9

3 3.1 3.2

PRÁVO NA OCHRANU SOUKROMÍ ..................................................... 11 Osobní údaje jako součást soukromí, mezinárodněprávní úprava ... 11 Právní úprava ochrany soukromí v České republice .......................... 12

4 4.1 4.2 4.2.1 4.2.2 4.2.3 4.2.4

OSOBNÍ ÚDAJE ....................................................................................... 19 Pojem osobní údaj................................................................................. 19 Druhy osobních údajů ........................................................................... 20 Identifikační údaje.................................................................................. 20 Adresní (kontaktní) údaje ...................................................................... 21 Popisné údaje ........................................................................................ 21 Citlivé údaje............................................................................................ 21

5 5.1 5.1.1 5.1.2 5.1.3

ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ ....................................................... 23 Pojem zpracování osobních údajů....................................................... 23 Obecné vymezení ................................................................................. 23 Dílčí zpracování osobních údajů .......................................................... 25 Zveřejňování osobních údajů................................................................ 26

6 6.1 6.2 6.3

ZPRACOVÁNÍ VYŇATÁ Z PŮSOBNOSTI ZÁKONA O OCHRANĚ OSOBNÍCH ÚDAJŮ......................................................... 28 Zpracování pro osobní potřebu ............................................................ 28 Nahodilé shromažďování...................................................................... 28 Další výjimky .......................................................................................... 30

7 7.1 7.2

SUBJEKTY ZPRACOVÁVAJÍCÍ OSOBNÍ ÚDAJE................................ 31 Správce – zaměstnavatel...................................................................... 31 Zpracovatel osobních údajů.................................................................. 32

8 8.1 8.1.1 8.1.2 8.1.3 8.1.4 8.1.5 8.2 8.2.1 8.2.2

POVINNOSTI PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ....................... 34 Povinnosti zaměstnavatele před zahájením zpracování .................... 34 Povinnost stanovit účel zpracování ...................................................... 34 Povinnost stanovit prostředky a způsob zpracování........................... 35 Povinnost získat souhlas zaměstnance jako subjektu údajů ............. 35 Informační povinnost ............................................................................. 40 Oznamovací povinnost ......................................................................... 41 Povinnosti zaměstnavatele v rámci zpracování .................................. 44 Povinnost zpracovávat přesné údaje................................................... 44 Povinnost zpracovávat údaje odpovídající účelu a v nezbytném rozsahu......................................................................... 48

2

8.2.3 8.2.4 8.2.5 8.2.6 8.2.7 8.3 8.4

Povinnost uchovávat osobní údaje pouze po nezbytnou dobu......... 49 Povinnost zpracovávat osobní údaje pouze ke stanovenému účelu .......................................................................... 49 Povinnost shromažďovat osobní údaje otevřeně................................ 50 Povinnost nesdružovat osobní údaje ................................................... 50 Povinnost zabezpečit osobní údaje...................................................... 51 Povinnost zaměstnavatele při ukončení zpracování........................... 58 Povinnosti zpracovatele ........................................................................ 59

9 9.1 9.2 9.2.1 9.2.2 9.2.3 9.2.4

PRÁVA SUBJEKTU ÚDAJŮ.................................................................... 61 Vymezení pojmu.................................................................................... 61 Jednotlivá oprávnění ............................................................................. 62 Právo na informace o zpracování......................................................... 62 Právo nesouhlasit se zpracováním ...................................................... 63 Právo na přístup k osobním údajům .................................................... 64 Práva subjektu údajů domáhat se ochrany svých práv ...................... 65

OSOBNÍ ÚDAJE ZÍSKÁVANÉ PRO PRACOVNĚPRÁVNÍ ÚČELY.... 69 Osobní údaje shromažďované při výběru zaměstnance.................... 69 Osobní údaje shromažďované a zpracovávané před uzavřením pracovního poměru.................................................... 71 10.2.1 Jméno, příjmení a akademický titul...................................................... 73 10.2.2 Rodné číslo ............................................................................................ 73 10.2.3 Datum a místo narození........................................................................ 76 10.2.4 Bydliště zaměstnance ........................................................................... 77 10.2.5 Státní příslušnost ................................................................................... 78 10.2.6 Dosažené vzdělání................................................................................ 79 10.2.7 Předchozí praxe zaměstnance............................................................. 80 10.2.8 Údaj o tom, zda je zaměstnanec poživatelem důchodu..................... 80 10.2.9 Informace, zda se jedná o osobu se zdravotním postižením............. 81 10.2.10 Informace o další činnosti zaměstnance shodné s činností zaměstnavatele..................................................................... 82 10.2.11 Posudek o zdravotní způsobilosti zaměstnance ................................. 83 10.3 Osobní údaje shromažďované a zpracovávané za trvání pracovního poměru................................................................ 83 10.3.1 Rodinný stav zaměstnance................................................................... 84 10.3.2 Údaje o dětech zaměstnance............................................................... 84 10.3.3 Údaje o manželovi/manželce zaměstnance........................................ 85 10.3.4 Údaje o rodičích zaměstnance ............................................................. 85

10 10.1 10.2

11 11.1 11.2

PŘÍKLADY PRAKTICKÝCH PROBLÉMŮ V SOUVISLOSTI SE ZPRACOVÁVÁNÍM OSOBNÍCH ÚDAJŮ......................................... 87 Evidence při vstupech do budovy......................................................... 87 Monitorování elektronické pošty zaměstnanců ................................... 88 3

11.3

Provozování kamerového systému...................................................... 91

12 12.1 12.2

EVROPSKÁ OCHRANA OSOBNÍCH ÚDAJŮ ...................................... 98 Současná ochrana osobních údajů...................................................... 98 Ochrana osobních údajů v rámci Evropské ústavy........................... 106

13

ZÁVĚR ..................................................................................................... 109

RESUMÉ ................................................................................................................. 111 POUŽITÁ LITERATURA........................................................................................ 114 PŘÍLOHA A ............................................................................................................. 116

4

1

ÚVOD

Problematika ochrany osobních údajů se stále více dostává do povědomí nejširší veřejnosti. Děje se tak zejména díky medializovaným kauzám týkajících se osobních údajů (na tomto místě mohu připomenout například údaje uveřejňované na jízdních dokladech nebo údaje pasažérů poskytované leteckým společnostem). Seznamování veřejnosti s možností ochrany jejich osobních údajů však bohužel není tak efektivní, jak bychom si přáli. Průzkumy ukazují, že ani v dnešní době dost velké procento obyvatel České republiky nevěnuje pozornost ochraně svých osobních údajů, případně nemá představu o tom, jak chránit své soukromí, a to zejména v souvislosti s právy či povinnostmi jiných osob. Bez rozmýšlení tak lidé poskytují svá osobní data komukoliv a kdykoliv jsou o to požádáni. Problémem ovšem není jen liknavost českého národa k této problematice. S politováním musím konstatovat, že legislativní úprava ochrany osobních údajů vykazuje hrubé nedostatky, o kterých pojednám dále. Nedotknutelnost osoby a jejího soukromí patří mezi základní lidská práva garantovaná Listinou základních práv a svobod i mezinárodními smlouvami. V právním řádu České republiky je v současné době ochrana osobních údajů stanovena zvláštním zákonem, a sice zákonem č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů. Právo člověka na ochranu jeho soukromí pak garantuje i zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů, ve znění pozdějších předpisů, který má v pracovněprávní oblasti zásadní význam pro každodenní praxi všech zaměstnavatelů. V čem spočívají avizované problémy české právní úpravy? Uvedený zákon o ochraně osobních údajů je obecnou normou, upravující základní práva a povinnosti správce a zpracovatele osobních údajů, zvláštní pravidla pro kategorii citlivých údajů a v neposlední řadě také složení a kompetence Úřadu pro ochranu osobních údajů jako dozorového orgánu. Podle mého názoru ale v právním řádu citelně chybí zvláštní právní předpis, který by se zabýval ochranou osobních údajů v pracovněprávních vztazích. Určité fragmenty této úpravy nalezneme v jednotlivých pracovněprávních předpisech, nejčastěji v souvislosti s diskriminačními hledisky nebo výčtem údajů, které mají být zaměstnancem poskytnuty zaměstnavateli. Jde tedy o naprosto neucelenou a nedostatečnou úpravu způsobující interpretační a aplikační potíže, navíc v tak exponované oblasti, jakou pracovněprávní vztahy bezpochyby jsou. Ale vraťme se nyní do minulosti… Dřívější právní úprava se týkala pouze osobních údajů v informačních systémech a nedávala jednotlivci možnost výše zmíněnou praxi změnit 5

(neexistoval dozorový orgán, který by prošetřil, zda nedochází k porušení zákona v oblasti zacházení s osobními údaji a příslušná právní norma neobsahovala úpravu sankcí, které by bylo možné proti případnému porušiteli zákonných ustanovení uplatnit). Až nová legislativa přinesla zlepšení nastíněné situace. Informace mají zásadní význam pro rozvoj vědy, a tedy i pro společenský pokrok, nicméně mohou působit i kontraproduktivně a podílet se na zkáze civilizace. Zřejmě neodmítnete tvrzení, že kdo má dostatečné množství informací, ten má celkový přehled a dokáže předvídat určité skutečnosti (ať politické, nebo ekonomické) a v konečném důsledku je tudíž ve společnosti úspěšnější. Lidé informace potřebují ke svému životu a aktivně si je vyhledávají, současně se ale mohou dostat do situace, kdy nevědí, co si se získanými informacemi počít. Ještě důležitější než schopnost informace přijímat je tedy umění vybírat si z nich takové, které opravdu potřebujeme a jejichž získání má pro nás skutečný význam. Co si ale můžeme pod slovem „informace“ představit? Spousta lidí si pojem informace mylně spojuje s myšlenkou v něčí hlavě, textem dokumentu, disketou nebo pevným diskem počítače. Její spojení s hmotným nosičem je však pouze jejím znakem. Jako její další znak se uvádí nevyčerpatelnost (informace se neustále rozvíjejí, navazují na sebe a vrství se). O informaci můžeme hovořit jen tehdy, pokud je vyjádřena ve vnímatelné podobě (nejčastěji slovy, písmem nebo pomocí znaků). V okamžiku svého vzniku se stává nezávislou na svém tvůrci a získává svou hodnotu (která nemusí odpovídat a zpravidla neodpovídá nákladům vynaloženým na její získání). Pro informace, které vypovídají o určité fyzické osobě, se používá označení osobní údaj. Osobní údaje jsou součástí soukromí každého z nás a právo na jejich ochranu se v moderních demokratických společnostech považuje za samostatné základní lidské právo.

6

1.1

Terminologie použitá v práci

V práci je použito následujících výrazů1: osobní údaj – jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Zaměstnance lze tedy v praxi určit přímo např. pomocí jeho osobního čísla, rodného čísla, ale též nepřímo, např. řekneme-li „ta žena ze mzdové účtárny s dlouhými hnědými vlasy“; citlivý údaj – osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a jakýkoliv biometrický nebo genetický údaj subjektu údajů. Pro nakládání s citlivými údaji pak platí přísnější režim, než jaký se uplatní na „běžné“ osobní údaje; anonymní údaj – takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů; subjekt údajů – fyzická osoba, k níž se osobní údaje vztahují, v našem pojetí pak subjektem údajů rozumíme zaměstnance případně uchazeče o zaměstnání; zpracování osobních údajů – jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace; shromažďování osobních údajů pro pracovněprávní účely – záměrná systematická činnost zaměstnavatele směřující k získání potřebných údajů a informací za účelem jejich dalšího uložení na nosič informací (ať už arch papíru nebo počítačový disk) pro jejich okamžité nebo pozdější zpracování. Z hlediska zákona o ochraně osobních údajů není rozhodující, zda zaměstnavatelé shromažďují osobní údaje ojediněle (např. při výběrovém řízení) nebo soustavně (např. pro účely plnění daňových povinností); uchovávání osobních údajů – udržování údajů v takové podobě, která je umožňuje dále zpracovávat; 1

§ 4 zákona č. 101/2000 Sb.. o ochraně osobních údajů,

7

blokování osobních údajů – vytvoření takového stavu, při kterém je osobní údaj určitou dobu nepřístupný a nelze jej jinak zpracovávat; likvidace osobních údajů – fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování (volba způsobu likvidace osobních údajů záleží na způsobu jejich zpracování, nejobecněji zda jsou údaje zpracovány automatizovaně nebo manuálně); správcem – každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj (z našeho hlediska zaměstnavatel). Zpracování osobních údajů o zaměstnancích může zaměstnavatel provádět sám, nebo k tomu využívá jinou právnickou nebo fyzickou osobu, kterou pak zákon o ochraně osobních údajů označuje jako zpracovatele osobních údajů; zpracovatelem – každý subjekt, který na základě zvláštního zákona nebo pověření zaměstnavatelem zpracovává osobní údaje podle tohoto zákona; zveřejněným osobním údajem – osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu. Jak se dále dočteme, na zpracování zveřejněných osobních údajů platí volnější režim; evidencí nebo datovým souborem osobních údajů (dále jen „datový soubor“) – jakýkoliv soubor osobních údajů uspořádaný nebo zpřístupnitelný podle společných nebo zvláštních kritérií; souhlasem subjektu údajů – svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Náležitostem a podmínkám udělení souhlasu je pak věnována zvláštní část; příjemcem – každý subjekt, kterému jsou osobní údaje zpřístupněny; za příjemce se podle zákona nepovažuje subjekt, který zpracovává osobní údaje podle § 3 odst. 6 písm. g).

8

2

ÚSTAVNĚPRÁVNÍ ROVINA

Ochranu osobních údajů jako zvláštní obor činnosti výstižně charakterizuje hledání rovnováhy mezi více právy každého individua. Na jedné straně pomyslných vah stojí právo na soukromí (neodmyslitelně v sobě zahrnující i jeho ochranu), na straně druhé právo každého jedince na informace (jinými slovy právo být informován).2 Tato základní práva našla své vyjádření jak v mezinárodních dokumentech, tak v právních řádech jednotlivých států, Českou republiku nevyjímaje. V České republice nejsou vyjádřena přímo v Ústavě, ale jak jsem již výše uvedla, v Listině základních práv a svobod (dále jen Listina), která je součástí ústavního pořádku České republiky. Článek 10 Listiny zakotvuje jako jedno ze základních lidských práv a svobod právo na ochranu soukromí, když říká: „Každý má právo, aby byla zachována jeho lidská důstojnost, osobní čest, dobrá pověst a chráněno jeho jméno.“ (odst. 1) „Každý má právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života.“ (odst. 2) „Každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.“ (odst. 3) V souvislosti s ochranou osobních údajů se zpravidla uvádí pouze třetí odstavec citovaného ustanovení Listiny, který akcentuje ochranu před neoprávněnou manipulací s osobními údaji. Takto zužující pohled však není zcela přesný, protože ochrana osobních údajů konkrétní osoby v konkrétní situaci souvisí se současným uplatněním více práv, přičemž právo na ochranu osobních údajů navazuje na právo na ochranu soukromého a rodinného života, o kterém pojednává odstavec druhý citovaného článku Listiny. Jak jsem již výše uvedla, osobní údaje jsou jedním z elementů soukromí každého člověka, a těžko bychom si tedy mohli představit kvalitní ochranu osobních údajů při neexistenci práva ochrany soukromí jako celku. Do opozice vůči právu na ochranu osobních údajů je stavěno právo na informace, vymezené v článku 17 Listiny v rámci garantovaných politických práv: „Svoboda projevu a právo na informace jsou zaručeny.“ (odst. 1) 2

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

9

„Každý má právo vyjadřovat své názory slovem, písmem, tiskem, obrazem nebo jiným způsobem, jakož i svobodně vyhledávat, přijímat a rozšiřovat ideje a informace bez ohledu na hranice státu.“ (odst. 2) „Cenzura je nepřípustná.“ (odst. 3) „Svobodu projevu a právo vyhledávat a šířit informace lze omezit zákonem, jde-li o opatření v demokratické společnosti nezbytná pro ochranu práv a svobod druhých, bezpečnost státu, veřejnou bezpečnost, ochranu veřejného zdraví a mravnosti.“ (odst. 4) „Státní orgány a orgány územní samosprávy jsou povinny přiměřeným způsobem poskytovat informace o své činnosti. Podmínky a provedení stanoví zákon.“ (odst. 5) Právo na ochranu osobních údajů můžeme z hlediska uvedeného ustanovení Listiny (odst. 4) zařadit mezi jedno z „práv druhých“, která mohou být důvodem pro omezení zacházení s osobními údaji jiných lidí.

10

3 3.1

PRÁVO NA OCHRANU SOUKROMÍ Osobní údaje jako součást soukromí, mezinárodněprávní úprava

Pod pojmem soukromí si člověk zpravidla představuje určitý prostor, který patří jen jemu a do něhož mu nesmí bez povolení nikdo zasahovat. V této podobě se ale jedná o dosti zužující interpretaci, podle které by do soukromí spadaly jen „věci“ týkající se izolovaně pouze daného individua (např. jeho názory, duševní vývoj, osobní data atd.). Judikatura Evropského soudu pro lidská práva se propracovala k mnohem širšímu výkladu, v jehož rámci do oblasti soukromí spadá i právo na normální styky s jinými lidmi, především s členy rodiny.3 Právo na soukromí vyžaduje zvláštní ochranu, protože v okamžiku, kdy je postiženo soukromí, dochází i k zásahu do všech ostatních osobnostních práv. Ani právo na soukromí, stejně jako právo na informace, není právem absolutním. Existují případy, kdy do něj může být zasahováno, ovšem pouze za situace, kdy příslušný zásah umožňuje litera zákona. Vzhledem k tomu, že osobní údaje většinou spadají do soukromí, nepřekvapí, že v rámci práva na soukromí se postupně vydělilo právo na ochranu osobních údajů, které bylo nakonec uznáno za samostatné právo. V předchozí větě jsem při vymezení osobních údajů jako součástí soukromí záměrně použila slovo „většinou“. Osobní údaje totiž nemusí vždy tvořit součást soukromí (není tomu tak například u jména, příjmení a adresy určité osoby uvedených ve veřejně dostupném seznamu). Přestože takto veřejně zpřístupněné údaje nezahrneme do soukromí člověka, kterého se týkají, nakládáním s nimi může být do jeho soukromí zasahováno. V této souvislosti se jako klasický příklad uvádějí praktiky nejrůznějších reklamních agentur a direkt marketinkových firem. Zde nám ovšem hrozí jen to, že budeme zaplavováni nabídkami zboží, jehož prezentaci jsme si nevyžádali, eventuálně dopisy o zařazení do soutěže o pohádkové ceny, jejichž možná výhra je podmíněna objednáním firmou nabízených produktů v určité hodnotě. Od počátku 70. let začaly demokratické státy přijímat zvláštní zákony na ochranu osobních údajů. Tyto zákony vznikaly jako reakce na možnosti jednotlivce ovlivnit využívání osobních údajů o sobě samém. Jednotlivec je považován za subjekt osobních údajů, je tím, kdo je chráněn, a zvláštní zákon musí garantovat ochranu jeho osobních údajů, aniž by se této ochrany musel jednotlivec aktivně domáhat. Zvláštní právní úprava si pak 3

Mates P.: Ochrana osobních údajů, 1. vydání, Praha: Karolinum, 2002, 73 str.

11

klade za cíl zabránit zneužití osobních údajů a současně umožnit jejich zpřístupnění k legálním účelům. Při tvorbě zákonů na ochranu osobních údajů sehrála významnou roli Rada Evropy, která 28. ledna 1981 přijala ve Štrasburku první mezinárodní dokument tohoto zaměření – Úmluvu č. 108 na ochranu osob se zřetelem na automatizované zpracování osobních dat (dále „Úmluva 108“), jejímž účelem je „…zaručit na území každé smluvní strany každé fyzické osobě, ať je jakékoli národnosti nebo pobývá kdekoli, úctu k jejím právům a základním svobodám, a zejména k jejímu právu na soukromý život, se zřetelem k automatizovanému zpracování osobních údajů, které se k ní vztahují („ochrana údajů“).“ 4 Úmluva dále vymezila základní pojmy z této oblasti a stanovila zásady pro nakládání s osobními údaji. V dalších letech na ni navázala řada doporučení Výboru ministrů pro nakládání s osobními údaji v různých sférách života, v souvislosti s rozvojem internetu a rozšířením jeho užívání širokou veřejností mohu uvést např. Doporučení Výboru ministrů č. 99/5 o ochraně soukromí na internetu. V rámci Evropské unie lze za důležitý dokument v této oblasti považovat Směrnici Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a s volným pohybem těchto údajů z 24. října 1995 (dále Směrnice 95/46/ES). Směrnice jako akty orgánů Společenství nemají obecnou závaznost, nemohou tedy přímo zavazovat vnitrostátní subjekty členských států (jednotlivé fyzické a právnické osoby), ale zavazují výhradně členské státy. Předepisují jen určitý výsledek, stav, kterého má být dosaženo, přičemž formy a metody dosažení tohoto cíle zůstávají na vůli a možnostech jednotlivých států. Směrnice zpravidla stanoví určité zásady, které mají členské státy následně vtělit do svých právních řádů – jednoduše řečeno, členské státy (prakticky rovněž státy ucházející se o členství v Evropské unii) musí svou právní úpravu přizpůsobit komunitárnímu právu.5

3.2

Právní úprava ochrany soukromí v České republice

Od roku 1948 do tzv. sametové revoluce vládnoucí režim žádnou ochranu soukromí v podstatě nepřipouštěl. První zmínky o právu lidí na ochranu soukromí se objevují až na počátku 80. let, o samotné problematice ochrany osobních údajů se ale začalo mluvit až koncem uvedené dekády. Tento žalostný stav zřejmě působil jako jeden ze základních důvodů, proč zákonodárce výslovně zakotvil v čl. 10 Listiny nejen právo jedince na soukromí, ale rovněž právo na ochranu před neoprávněným

4 5

čl. 1 Úmluvy č. 108 na ochranu osob se zřetelem na automatizované zpracování osobních dat Týč V.: Základy práva Evropské unie pro ekonomy, 3. vydání, Praha: Linde, 2002, 335 str.

12

shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě. Nedlouho po přijetí Listiny našlo právo na ochranu osobních údajů své vyjádření ve zvláštním zákoně inspirovaném Úmluvou 108, a sice v zákoně č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech. Kromě vymezení hlavních pojmů z dané oblasti zákon stanovil základní právní rámec nakládání s osobními údaji včetně stanovení povinností souvisejících s ochranou informací. To vše se ovšem týkalo pouze provozování informačních systémů nakládajících s osobními údaji (jinými slovy zákon stanovil povinnosti provozovatelů těchto systémů na jedné straně a práva subjektů údajů na ochranu v případě protiprávního nakládání s jejich osobními údaji na straně druhé). Na manuální zpracování se jeho úprava nevztahovala, v takovém případě nezbývalo, než zákon přiměřeně aplikovat. Za další nedostatek této normy můžeme považovat skutečnost, že zákon buď neupravil, nebo upravil pouze částečně řadu dalších souvisejících oblastí (např. dostatečnou ochranu osobních údajů vypovídajících o osobnosti a jejím soukromí, informační povinnost osoby shromažďující osobní údaje ve vztahu k subjektům těchto údajů, oznamovací povinnost subjektu nakládajícího s osobními údaji u kontrolního orgánu a další). V České republice, do jejíhož právního řádu byla tato norma po rozpadu federace převzata, sehrál zákon o ochraně osobních údajů v informačních systémech jen malou roli. Jeho text totiž kromě výše zmíněných nedostatků neobsahoval ani úpravu sankcí uplatnitelných vůči porušitelům stanovených povinností (v úvahu tak přicházela jen zdlouhavá ochrana soudní cestou), stejně tak nedošlo ke zřízení zvláštního orgánu, který by registroval informační systémy s osobními údaji a dohlížel na jejich provozování. Zákon sice ve svém § 24 předpokládal ustavení takového orgánu, ovšem k vydání zvláštního předpisu, kterým měl být zřízen, nikdy nedošlo. Projekt na zřízení zmíněné instituce – tzv. datové inspekce – byl totiž v roce 1993 odmítnut jako nepřijatelný a v dalších letech se k němu již nikdo nevrátil. Neexistence dozorového orgánu byla také hlavním důvodem, proč zákon o ochraně osobních údajů v informačních systémech neodpovídal svým obsahem úpravě obsažené v Úmluvě 108 a Česká republika k ní tehdy nemohla přistoupit (stalo se tak až k 1. červnu 2002 po přijetí nové legislativy). Zlepšení nastíněné situace přinesla až snaha České republiky o vstup do Evropské unie, z jejíž strany byla kritizována zcela nedostatečná česká právní úprava ochrany osobních údajů. V rámci dosažení kompatibility českého právního řádu s komunitárním právem, což byla jedna z podmínek pro přijetí České republiky do Evropské unie, muselo dojít ke změně legislativy v této oblasti. Vláda vypracovala návrh zákona vycháze13

jící ze Směrnice Evropského parlamentu a Rady č. 95/46/ES, který byl schválen jako zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“). Přijetím uvedeného zákona Česká republika především zdokonalila svůj postoj k základním právům a svobodám svých obyvatel. Snadnost zpracování osobních údajů, které zaměstnavatelé využívají v pracovněprávních vztazích, s sebou totiž přináší i nebezpečí jejich zneužití. Nový zákon garantuje ochranu před neoprávněným zasahováním do soukromí každého člověka. Zákonem o ochraně osobních údajů došlo k celkovému posílení práv jednotlivců jako subjektů údajů. Zákon totiž staví subjekt údajů do role oprávněné osoby.6 Jednotlivé fyzické osoby se pak podle jeho úpravy aktivně podílejí na ochraně svých osobních údajů (jen na nich záleží, zda udělí, či neudělí souhlas se zpracováním o nich vypovídajících údajů, mají právo požadovat informace o údajích, které o nich určitý subjekt shromáždil atd.). Návrh tohoto zákona byl navíc koncipován tak, že dopadal jak na automatizované, tak na neautomatizované zpracování osobních údajů. Nikdo nepochybuje o tom, že celá řada osobních údajů je zpracovávána pro pracovněprávní účely. Schválený zákon o ochraně osobních údajů se tak stal předmětem zájmu personalistů, kteří se jeho ustanovení snaží více či méně úspěšně uvádět do praxe. V každodenní praxi se dosud vyskytuje mnoho nejasností a problémů, které je nutné řešit. Mnoho zaměstnavatelů bohužel stále nerespektuje Listinou garantovanou nedotknutelnost soukromí zaměstnance a upřednostňují vlastní zájem na co největší informovanost o svých zaměstnancích nad zákon. Cílem této práce je nastínit problematiku ochrany osobních údajů se zaměřením na osobní údaje v oblasti pracovněprávní, včetně rozebrání v praktickém životě často se vyskytujících problémů. Zákon o ochraně osobních údajů upravuje v souladu s právem Evropských společenství a mezinárodními smlouvami, kterými je Česká republika vázána (viz. § 1 a 2 zákona o ochraně osobních údajů): • ochranu osobních údajů o fyzických osobách, • práva a povinnosti při jejich zpracování, • podmínky, za nichž se uskutečňuje přenos osobních údajů do zahraničí • a zřizuje Úřad pro ochranu osobních údajů, který vedle řady dalších činností provádí zejména dozor nad dodržováním povinností stano-

6

Maštalka J.: Nová právní úprava na ochranu osobních údajů, Asociace firem pro ochranu informací (AFOI): Bezpečnost informačních systémů a uživatelé (sborník příspěvků 10. semináře), Praha: AFOI, 2001, 64 str.

14

vených zákonem o ochraně osobních údajů při zpracování osobních údajů jednotlivými správci údajů.7 Jak jsem již v úvodu uvedla, dalším zvláštním zákonem, garantujícím právo člověka na ochranu soukromí je zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o evidenci obyvatel a rodných číslech“). Tímto zákonem byly navíc Úřadu svěřeny další kompetence, a sice v případech, kdy jde o neoprávněné nakládání s rodným číslem nebo o jeho neoprávněné využívání. Nejnověji došlo k rozšíření kompetencí Úřadu pro ochranu osobních údajů v souvislosti se zákonem č. 159/2006 Sb., o střetu zájmů, a sice s účinností od 1.1.2007. K tomuto datu nabyla účinnosti nová právní úprava podmínek týkajících se omezení některých činností veřejných funkcionářů a neslučitelnosti výkonu funkce veřejného funkcionáře s jinými funkcemi. Ustanovení § 13 a 14 tohoto zákona upravuje podmínky pro vedení registru oznámení o činnostech, oznámení o majetku a oznámení o příjmech, darech a závazcích, které zabezpečují orgány tam uvedené a právo každého do registru nahlížet, a to i prostřednictvím Internetu. Fyzická osoba, která informace získané z registru dále zpracuje k jinému, než uvedenému účelu (§ 23 písm. a) ), nebo poruší povinnost mlčenlivosti (§ 23 písm. b) ), spáchá přestupek, jehož projednání spadá do kompetence Úřadu pro ochranu osobních údajů (§ 25 odst. 2) zákona č. 159/2006 Sb.). Protiklad práva na ochranu soukromí a práva na informace, který jsem již v úvodu nastínila v ústavněprávní rovině, se samozřejmě promítá do celého právního řádu České republiky. Stejně jako právo na ochranu osobních údajů je i právo na informace upraveno velkým množstvím zákonů vztahujících se k určité specifické oblasti. Tato odvětvová úprava je pak doplněna průřezovou úpravou, kterou představuje zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů. Tento zákon je považován za obecnou normu zajišťující právo široké veřejnosti na informace, vymezuje podmínky práva svobodného přístupu k informacím a podmínky, které musí být splněny pro poskytnutí informací. Povinnými subjekty pak podle jeho § 2 jsou státní orgány, orgány územní samosprávy a veřejné instituce hospodařící s veřejnými prostředky (např. vysoké školy), přičemž tyto subjekty poskytují informace vztahující se k jejich působnosti. Podle tohoto zákona jsou dále povinny poskytovat informace subjekty, kterým bylo zákonem svěřeno rozhodování o právech, právem chráněných zájmech nebo povinnostech fyzických nebo právnic7

d’Ambrosová H.: Ochrana osobních údajů v personalistice od roku 2005, 1. vydání, Praha: Pragoeduca, 2005, 87 str.

15

kých osob v oblasti veřejné správy, vždy pak pouze v rozsahu jejich rozhodovací pravomoci. Do negativní působnosti zákona pak spadá poskytování osobních údajů a informací podle zvláštního právního předpisu, přičemž příkladem je uveden zákon o ochraně osobních údajů. Na tomto místě uvádím případ žaloby na přezkoumání rozhodnutí žalovaného, Úřadu pro ochranu osobních údajů, o odepření informace dle zákona o svobodném přístupu k informacím, kterým se zabýval Městský soud v Praze pod č.j. 33 Ca 51/2002. Uvedený judikát je příkladem rozporu mezi právem na informace a právem na ochranu soukromí, nikoliv však pouze v obecné rovině, ale navíc s řešením rozsahu kompetencí jednotlivých státních orgánů. Žalobce se domáhal soudního přezkoumání rozhodnutí Úřadu pro ochranu osobních údajů (dále „Úřad“) ve smyslu ust. § 16 odst. 6 zákona o svobodném přístupu k informacím. Jako publicista a novinář se v roce 2001 zabýval problematikou sčítání lidu, domů a bytů a za tím účelem požádal Úřad o poskytnutí informací podle uvedeného zákona (konkrétně se dožadoval textu správní žaloby týkající se přípustnosti zpracování některých osobních údajů při sčítání lidu, kterou proti rozhodnutí Úřadu podal Český statistický úřad). O výsledku soudního řízení Úřad informoval na tiskové konferenci. Žalobci na jeho žádost odpověděl žalovaný dopisem, č.j. 12133/01/625/KON, ve kterém mu sdělil, že žalobcem požadované informace se nevztahují k jeho působnosti a že jeho žádost dle § 14 odst. 3 písm. b) zákona o svobodném přístupu k informacím odkládá. Proti tomuto rozhodnutí se žalobce 27.11.2001 odvolal, odvolání však žalovaný zamítl. Své rozhodnutí zdůvodnil žalovaný tak, že požadované informace se nevztahují k jeho působnosti s ohledem na § 11 odst. 4 písm. b) zákona o svobodném přístupu k informacím, podle kterého povinné subjekty neposkytují informace o rozhodovací činnosti soudů. Žalobce se domníval, že obě rozhodnutí žalovaného jsou v rozporu se zákonem o svobodném přístupu k informacím. Podle názoru žalobce musí v souladu se zákonem o svobodném přístupu k informacím všechny povinné subjekty žadateli poskytnout veškeré požadované informace vztahující se k jejich působnosti s výjimkou těch, na které se vztahuje v zákoně uvedená výjimka. V tomto případě se dle názoru žalobce jednalo 16

o informace vztahující se k působnosti žalovaného (podaná a projednaná správní žaloba proti rozhodnutí žalovaného). Žalobce se dále domníval, že stačí, když informací je obsah předmětné žaloby, čímž je dána přímá souvislost mezi textem požadovaného dokumentu a činností žalovaného jako povinného subjektu. Dle ustanovení § 11 odst. 4 písm. b) zákona o svobodném přístupu k informacím by tak podle žalobce měl být z povinnosti poskytnout informace vyloučen text rozhodnutí ve věci samé, nikoliv samotná žaloba, která neinformuje o rozhodovací činnosti soudu, ale o požadavku jednoho orgánu státní správy vůči druhému. Žalovaný ve svém vyjádření k žalobě zdůraznil, že žalobcem požadovaná informace se nevztahuje ve smyslu § 2 odst. 1 zákona o svobodném přístupu k informacím k působnosti žalovaného. Žalovaný již v odůvodnění svého dřívějšího rozhodnutí uvedl, že mezi žalobou, kterou nepodal, a jeho působností není žádná přímá souvislost. Jde sice o správní žalobu, která napadá jeho rozhodnutí, ale její obsah a argumentace jsou věcí žalobce (s působností žalovaného by mohl být spojován maximálně soudem vydaný rozsudek ve věci). Dle názoru žalovaného je obsah žaloby dokumentem vztahujícím se k rozhodovací činnosti soudu, proto by neměl být v souladu s § 11 odst. 4 zákona o svobodném přístupu k informacím poskytován. Jiným osobám by mohla být žaloba zpřístupněna pouze nahlédnutím do spisu, což upravuje § 44 občanského soudního řádu. A i podle tohoto ustanovení se mohou s obsahem žaloby seznámit pouze účastníci řízení a jejich zástupci a dále osoby, jež na tom mají právní zájem, nebo je k tomu vedou vážné důvody (zde však rozhoduje o zpřístupnění spisu předseda senátu na žádost příslušné osoby). Podle názoru žalovaného by pak měl žalobce požadovat informace o žalobě od Českého statistického úřadu, který žalobu podal a který by mohl mít zájem o seznámení široké veřejnosti se svými argumenty. Soud dospěl k závěru, že žaloba není důvodná. Žalobce se domáhal, aby mu žalovaný ve smyslu zákona o svobodném přístupu k informacím poskytl správní žalobu, kterou vůči jeho rozhodnutí podal jiný správní orgán. Podle ustanovení § 11 odst. 4 písm. b) zákona 17

o svobodném přístupu k informacím povinné osoby neposkytnou informace o rozhodovací činnosti soudů. K tomu soud odkázal na instrukci Ministerstva spravedlnosti ze dne 21.12.1999, č.j. M – 1827/99, kterou se provádějí některá ustanovení zákona č. 106/99 o svobodném přístupu k informacím. Podle instrukce se informací rozumí sdělení údajů o skutečnostech, které se týkají zákonem stanovené působnosti povinného subjektu, jeho činnosti vyplývající z jeho působnosti a z jeho charakteristiky. Za rozhodovací činnost soudů v jiných než trestních věcech je pak dle instrukce třeba považovat nejen vlastní rozhodování soudů, ale také postup v řízení a úkony účastníků vůči soudu a jiným účastníkům řízení. Z uvedeného vyplývá, že žalobcem požadovaná informace se v souladu se zákonem o svobodném přístupu k informacím neposkytuje. Soud navíc dospěl k závěru, že Úřad pro ochranu osobních údajů – žalovaný, není ve smyslu zákona o svobodném přístupu k informacím povinným subjektem. Tento zákon v § 2 odst. 3 stanoví, že se jeho úprava nevztahuje na poskytování osobních údajů a informací podle zvláštního zákona, přičemž na tomto místě odkazuje přímo na zákon o ochraně osobních údajů, kterým byl zřízen žalovaný. Všechny tyto důvody vedly soud k zamítnutí žaloby.

18

4 4.1

OSOBNÍ ÚDAJE Pojem osobní údaj

Jak jsem již výše uvedla, v souvislosti se vstupem České republiky do Evropské unie bylo nutné harmonizovat české právní normy s komunitárním právem. Na počátku roku 2004 byl v Parlamentu České republiky dokončen legislativní proces novelizace zákona o ochraně osobních údajů. Uvedená novela, kterou můžeme rovněž nazvat „euronovelou“, zcela harmonizovala zákon o ochraně osobních údajů se základními evropskými směrnicemi. Vzhledem k blížícímu se členství České republiky v Evropské unii bylo nutné sjednotit obecné podmínky ochrany soukromí v souvislosti se zpracováním osobních údajů v českém právním řádu s podmínkami, které vyplývají z mezinárodních závazků České republiky v této oblasti, a které jsou vyjádřeny především ve směrnici Evropského parlamentu a Rady 95/46/ES a v Úmluvě 108. I když se vzhledem ke složitosti legislativního procesu nepodařilo dodržet předpokládaný termín účinnosti novely, kterým mělo být datum vstupu České republiky do Evropské unie, přijatá novela vstoupila v účinnost natolik včas (26.7.2004), aby se zákon o ochraně osobních údajů nestal terčem kritiky ze strany Evropské unie. Základní pojmy zákona, jako je pojem osobní údaj nebo pojem zpracování, byly novelou dotčeny v minimálním rozsahu.8 Jako osobní údaj zákon o ochraně osobních údajů vymezuje „jakýkoliv údaj týkající se určeného nebo určitelného subjektu“.9 Z definice pojmu byla novelou odstraněna část obsahující negativní vymezení pojmu „osobní údaj“, definice byla naopak doplněna o kritéria určenosti a určitelnosti subjektu údajů. Zákonná definice se však bohužel vůbec nezabývá obsahem pojmu „údaj“. Údajem se rozumí informace vyznačující se tím, že vyjadřuje a pojmenovává nějakou charakteristiku určité entity a současně vyjadřuje hodnotu takové charakteristiky. Vysvětlení samotného pojmu „údaj“ tedy nenalezneme přímo v zákoně, ale pro takovouto bližší specifikaci bychom museli sáhnout po encyklopedii.10 Z citovaného ustanovení zákona pouze vyplývá, že osobní údaj vyjadřuje vztah mezi reálnou fyzickou osobou a hodnotou údaje. Tato vazba vzniká na základě jednoho, ale zpravidla více údajů, jimiž lze danou osobu odlišit od jiných. Pod osobním údajem si tedy můžeme představit každý údaj uve-

8

Výroční zpráva Úřadu pro ochranu osobních údajů za rok 2004, www.uoou.cz § 4 písm. a) zákona č. 101/2000 Sb., o ochraně osobních údajů a změně některých zákonů 10 Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str. 9

19

dený do vztahu k nějaké fyzické osobě. O fyzické osobě, k níž byl údaj vztažen, potom hovoříme jako o subjektu údaje, eventuálně údajů. Určitelnost, tedy stav, kdy lze osobu na základě údajů identifikovat, spadá do kategorie objektivní (záleží na tom, jaké údaje máme k dispozici). O určenost subjektu jde v situaci, kdy na základě údajů, jež máme k dispozici, a s přihlédnutím ke konkrétním okolnostem, můžeme subjekt jednoznačně určit (jednoznačného určení subjektu lze dosáhnout, máme-li současně k dispozici jméno, příjmení a rodné číslo nebo datum narození). O osobní údaj se nejedná, pokud bychom ke zjištění identity určité osoby potřebovali nepřiměřené množství času, úsilí či materiálních prostředků. Z působnosti zákona je tedy vyloučen např. otisk prstu, pokud jej nelze ztotožnit s údaji obsaženými v dostupné evidenci nebo pokud je nám tato evidence nepřístupná.11

4.2 4.2.1

Druhy osobních údajů Identifikační údaje

Jako identifikační se označuje osobní údaj, který lze využít k určení totožnosti subjektu pouze za použití dalších údajů, které ovšem rovněž plní identifikační funkci. Důvodem vzniku a rozvoje ochrany osobních údajů však jsou všechny osobní údaje kromě identifikačních. k narušení soukromí, kterému se společnost snaží předcházet, totiž může dojít až při použití dalších údajů (údajů kontaktních a popisných, o kterých bude řeč dále), k nimž slouží údaje identifikační pouze jako klíč. Mezi základní identifikační údaje přidělené v zásadě volním aktem spadají jméno a příjmení. Jejich používání je právem každého občana, ale současně i jeho povinností před orgány veřejné moci. Konkrétní jméno a příjmení jsou osobními údaji pouze v případě, že existuje vazba mezi nimi a reálnou fyzickou osobou. Mezi údaje, které nebyly získané volním aktem, ale které byly zjištěny a jako jednou zjištěné byly předepsaným způsobem úředně zaznamenány, můžeme zařadit datum a místo narození a dále identifikační čísla (rodné číslo, daňové identifikační číslo a další). Bezesporu nejdiskutovanějším osobním údajem z této kategorie jsou rodná čísla, jejichž používání upravuje zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů. Podle názoru pracovníků Úřadu pro ochranu osobních údajů si obyvatelé České republiky, zejména starší generace, nedokáží chránit své soukromí. Jako nešťastný postup označoval RNDr. Karel Neu11

Maštalka J.: Nová právní úprava na ochranu osobních údajů, Asociace firem pro ochranu informací (AFOI): Bezpečnost informačních systémů a uživatelé (sborník příspěvků 10. semináře), Praha: AFOI, 2001, 64 str.

20

wirt, bývalý předseda Úřadu pro ochranu osobních údajů, praxi všude uvádět rodná čísla: „Rodná čísla, od doby jejich vzniku, automaticky uvádíme, aniž bychom si uvědomili, že tento číselný kód je klíč k trezoru našich osobních údajů. Přes rodné číslo se dostanete do řady registrů a evidencí. Málokdo třeba ví, že v současné době existuje jenom ve zdravotnictví na třicet registrů! Už jsme nejednou upozorňovali na to, že je třeba přesně a v dostatečné právní síle nastavit pravidla pro jejich provozování.“12 Třetí podskupinu identifikačních údajů představují údaje vytvořené ad hoc a fyzické osobě náhodně přidělené (číslo občanského průkazu, číslo cestovního dokladu, číslo služebního průkazu a další).

4.2.2

Adresní (kontaktní) údaje

Adresní údaje mají na rozdíl od identifikačních smysl samy o sobě (je-li něco adresou, pak má smysl se na ni obracet a někoho tam nalézt)13, plní současně identifikační a kontaktní funkci. Do kontaktních údajů můžeme zařadit místní doručovací adresy (např. adresu trvalého pobytu), telefonní číslo, faxové číslo, adresu elektronické pošty a další.

4.2.3

Popisné údaje

Do popisných údajů spadají všechny údaje, které vytvářejí komplexní obraz fyzické osoby. Příkladem lze uvést údaje o chování, názorech, zájmech, zvycích, trávení volného času, dosaženém vzdělání, rodinných vztazích, majetkových poměrech a další.

4.2.4

Citlivé údaje

Původní charakter ustanovení § 4 písm. n) zákona o ochraně osobních údajů zůstal po zmíněné euronovele zachován, definice citlivých údajů je nadále pojata jako jejich taxativní výčet. Do tohoto výčtu však přibyly nové významné kategorie citlivých údajů, jako kategorie „genetický údaj“ nebo „biometrický údaj“. Citlivé údaje, vymezené českou právní úpravou jako „osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a jakýkoliv biometrický nebo genetický údaj subjektu

12 13

Géblová A.: Češi, nenechte si šacovat soukromí!, Podnikání v praxi, 2003, č. 28, str. 4 – 5 Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

21

údajů“,14 zaujímají specifické postavení mezi osobními údaji a přísnější režim pro jejich zpracování vymezuje jak Směrnice 95/46/ES (čl. 8), tak český zákon o ochraně osobních údajů (§ 9). To je pochopitelné, protože citlivých údajů určité osoby může být použito k její diskriminaci bez vazby na hodnoty dalších osobních údajů. Směrnice ale na rozdíl od zákona o ochraně osobních údajů neuvádí v základním výčtu citlivých údajů údaje o trestné činnosti, pro něž stanovuje v odst. 5 článku 8 speciální režim. K tomu, aby byl údaj označen jako citlivý, tedy musí splňovat nejen obecné znaky požadované pro osobní údaje, ale zároveň je třeba, aby na jeho základě bylo možno určit u subjektu údajů národnost, rasový původ atd. Zákonný výčet citlivých údajů je taxativní a jiné údaje povahu citlivých údajů nemají. Bude-li údaj obsahovat jak citlivé, tak i ostatní osobní údaje, je třeba při jeho zpracování postupovat podle ustanovení o citlivých osobních údajích.

14

§ 4 písm. b) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů

22

5 5.1 5.1.1

ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Pojem zpracování osobních údajů Obecné vymezení

Zpracováním jako činností správce nebo zpracovatele osobních údajů se rozumí „jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky…“15 Z věcného hlediska obdobnou definici nalezneme v čl. 2 Směrnice 95/46/ES, Úmluva 108 se naproti tomu vztahuje pouze na automatizované zpracování (jiného než automatizovaného zpracování se její úprava netýká). Legální definice dále obsahuje demonstrativní výčet operací nejčastěji prováděných s osobními údaji – „… zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.“ Znaky, jimiž je vymezen pojem zpracování údajů jsou v zákoně uvedeny demonstrativně, neboť zákonodárce si byl vědom toho, že nelze vyjmenovat všechny v úvahu přicházející činnosti. Svým pojetím pak v zákoně o ochraně osobních údajů uvedená definice zpracování aspiruje na soulad se směrnicí 95/46/ES, v jejímž čl. 2 bodu b. stojí: „Pro účely směrnice se rozumí zpracováním osobních údajů jakýkoli úkon nebo soubor úkonů, které jsou prováděny pomocí či bez pomoci automatizovaných postupů a které jsou používány na osobní údaje, jako je sběr, záznam, uspořádání, uchovávání, přizpůsobování nebo pozměňování, výběr, konzultace, použití, sdělení pomocí přenosu, šíření nebo jakékoli jiné zpřístupnění, srovnání či propojení, jakož i zajištění, vymazání nebo zničení;“ Můžeme konstatovat, že mezi oběma definicemi není věcných rozdílů, neboť obě se snaží vystihnout všechny činnosti, které jsou s osobními údaji prováděny za nějakým účelem a jako s osobními údaji.16 Jak jsem již uvedla shora, Úmluva 108 definuje pouze automatizované zpracování a sice v čl. 2, podle kterého „automatizované zpracování zahrnuje následující operace uskutečňované zcela nebo zčásti pomocí automatizovaných postupů: ukládání na nosiče dat, provádění logických a/nebo

15 16

§ 4 písm. e) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

23

aritmetických operací s těmito daty, jejich změna, výmaz, vyhledávání nebo rozšiřování;“ Zpracovávána může být jak jednotlivá informace, tak jejich soubory. Aby nedocházelo k nedorozuměním, zákonodárce výslovně stanovil, že není důležité, zda dochází k automatizovanému nebo neautomatizovanému (manuálnímu) zpracování (např. kartotéky). Jako nutný znak, abychom mohli hovořit o zpracování podle zákona o ochraně osobních údajů, uvádí zákonodárce jeho systematičnost. Na nesystematická zpracování osobních údajů se vztahuje právní úprava občanského zákoníku. Zpracování osobních údajů můžeme rozdělit na: • Institucionalizovaná zpracování, která jsou spojena s činností státních orgánů a bez výjimky založena zákonem. • Neinstitucionalizovaná zpracování (početně převládající), o jejichž účelu, rozsahu, způsobu, použitých prostředcích zpracování a zabezpečení osobních údajů rozhoduje výlučně správce. Stejně tak do této skupiny spadají zpracování osobních údajů prováděná správci na základě povinnosti uložené jim zákonem. Následující tabulka17 obsahuje přehled některých zpracování osobních údajů, která jsou zákonem uložena všem organizacím nebo podnikatelským subjektům (zaměstnavatelům).

17

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

24

Název evidence

Právní předpis

Denní evidence o době řízení dopravního prostředku a o čerpání bezpečnostních přestávek

nař. vl. č. 168/2002 Sb.

Evidence lhůt podpůrčích dob nemocenského pojištění

zákon č. 582/1991 Sb.

§ 21

Evidence o náhradách za ztrátu na výdělku (po skončení prac. neschopnosti po úrazu)

zákon č. 582/1991 Sb.

§ 37

Evidence o skutečnostech oznamovaných zdravotní pojišťovně

zákon č. 48/1997 Sb.

§ 9, § 10

Evidence o uskutečněných platbách (zdravotní pojištění)

zákon č. 592/1992 Sb.

§ 1, § 25

Evidence o zaměstnancích spojená s poskytováním a výplatou dávek

zákon č. 100/1988 Sb. zákon č. 582/1991 Sb.

§ 108 § 21, § 22

Evidence pracovní doby, práce přesčas, pracovní pohotovosti a noční práce u jednotlivých zaměstnanců

zákon č. 262/2006 Sb.

§ 96

Evidence rizikových prací

zákon č. 258/2000 Sb. zákon č. 262/2006 Sb.

§ 40 § 103

Evidence v souvisosti se zajišťováním bezpečnosti a ochrany zdraví při práci

zákon č. 262/2006 Sb.

§ 102

Evidenční listy důchodového pojištění

zákon č. 582/1991 Sb

§ 38, § 39, § 41

Kniha úrazů

zákon č. 262/2006 Sb. nař. vl. č. 494/2001 Sb.

§ 105

Mzdové listy pro účely daně z příjmu fyzických osob ze závisé činnosti

zákon č. 586/1992 Sb. zákon č. 582/1991 Sb.

§ 38j § 35a

Záznamy o skutečnostech rozhodných pro nároky na dávky sociálního zabezpečení

zákon č. 100/1988 Sb. zákon č. 582/1991 Sb.

celý § 35a, § 37

5.1.2

Konkrétní ustanovení

Dílčí zpracování osobních údajů

Každé zpracování vymezují chronologicky i logicky první a poslední operace prováděné s osobními údaji. Můžeme si představit situaci, kdy určité zpracování osobních údajů jako celku bude rozčleněno do několika samostatných dílčích zpracování. Vyvstává pak aplikační problém, zda třeba zálohování osobních údajů z informačního systému nějaké společnosti nebo jejich úpravu máme považovat za samostatné zpracování osobních údajů (pro jehož realizaci musí správce splnit zákonem stanovené povinnosti), nebo za součást zpracování osobních údajů v rámci dané společnosti (tedy za dílčí zpracování). Uvedené činnosti mohou být samostatným zpracováním, ale obvykle jím nejsou. Za zpracování osobních údajů totiž praxe nepovažuje jakoukoli operaci nebo soubor operací prováděných s osobními údaji, ale operace prováděné za určitým, předem stanoveným účelem. Samostatným zpracováním pak bude v našem případě zálohování osobních údajů z informačního systému pro subjekt, který jako zpracovatel osobních údajů 25

poskytuje tuto službu jinému subjektu a žádnou jinou činnost s osobními údaji pro něj dále nevykonává. Například shromažďování osobních údajů (jako vůbec první krok jejich zpracování) je samostatným zpracováním pro spolupracující subjekt; pro zadavatele a pozdějšího uživatele nashromážděných osobních údajů představuje pouze dílčí zpracování. Stejně tak uchovávání osobních údajů můžeme organizovat jako samostatné zpracování nebo jako zpracování dílčí (půjde sice o organizačně a technicky víceméně samostatnou operaci určitého subjektu, ale tato bude představovat jen jednu z množiny činností prováděných tímto subjektem s osobními údaji za určitým účelem).

5.1.3

Zveřejňování osobních údajů

Zveřejňování osobních údajů považujeme za formu jejich zpřístupňování. Zákon neobsahuje definici zveřejňování, nalezneme v něm však vymezení pojmu „zveřejněný osobní údaj“ (§ 4 písm. l) zákona o ochraně osobních údajů), z čehož můžeme vydedukovat, že zveřejňování se nejčastěji realizuje: • hromadnými sdělovacími prostředky, • jiným veřejným sdělením nebo • vydáváním veřejných seznamů. Periodický tisk, který spadá do oblasti hromadných sdělovacích prostředků a jehož prostřednictvím tedy rovněž dochází ke zveřejňování osobních údajů, zákonodárce vymezil jako „noviny, časopisy a jiné tiskoviny vydávané pod stejným názvem, se stejným obsahovým zaměřením a v jednotné grafické úpravě nejméně dvakrát v kalendářním roce.“18 Povahu hromadného sdělovacího prostředku má ovšem také např. Internet, byť s ním citovaný zákon výslovně nepočítá jako s periodickým tiskem. Pod „jiné veřejné sdělení“ můžeme zařadit např. oznámení učiněné na veřejné schůzi, publikace na plakátech nebo informaci podanou v knižní publikaci. Pokud se týče veřejných seznamů, nerozlišuje zákon mezi seznamy vedenými orgány veřejné moci a seznamy provozovanými pro komerční účely. Za zveřejněný tedy musíme považovat údaj obsažený v úředních rejstřících (za podmínky, že se jedná o údaje veřejně přístupné, např. údaje obsažené v rejstříku osob podnikajících podle živnostenského zákona), stejně jako údaj uveřejněný v seznamu typu „Katalog manažerů.“ Kromě chybějící definice pojmu „zveřejňování“ můžeme za další nedostatek právní úpravy považovat fakt, že zákon nerozlišuje, zda došlo ke

18

§ 3 písm. a) zákona č. 46/2000 Sb., o právech a povinnostech při vydávání periodického tisku a o změně některých dalších zákonů (tiskový zákon)

26

zveřejnění údajů oprávněně nebo protiprávně. Na druhé straně ovšem lze bez souhlasu subjektu údajů nakládat pouze s oprávněně zveřejněnými údaji (§ 5 odst. 2 písm. d) zákona o ochraně osobních údajů). Zveřejňování osobních údajů, které současně představuje jejich zpracování, tvoří zpravidla součást nějakého rozsáhlejšího zpracování a v takovém případě na ně pohlížíme jako na zpracování dílčí. Abychom mohli zveřejňování osobních údajů považovat za zpracování, na které se vztahuje zákon o ochraně osobních údajů, musí jít, jak vyplývá ze zákonné definice zpracování, o činnost systematickou. Jako příklad mohu uvést pravidelné zveřejňování seznamu zaměstnanců, kteří nesplnili své výkazové povinnosti, na informační tabuli zaměstnavatele. Takovou činnost není možné provádět bez průběžného zjišťování a shromažďování osobních údajů zaměstnanců ke stanovenému účelu. Navíc jde o pravidelnou (tedy opakovanou) činnost, nebo-li soubor operací prováděných systematicky s osobními údaji zaměstnanců podle rozhodnutí správce (zaměstnavatele), k účelu stanovenému zaměstnavatelem a za použití prostředků a způsobem zaměstnavatelem stanovených. Zveřejnění osobních údajů ad hoc, např. v novinovém článku, tedy údajů nezískaných ze systematického zpracování, zákonu o ochraně osobních údajů podléhat nebude a domáhat se případného zadostiučinění musíme v tomto případě podle občanského zákoníku. Údaje, které byly již jednou zveřejněny, se velmi obtížně chrání (v některých případech jejich ochrana není možná vůbec). Proto také pro další zpracování již zveřejněných osobních údajů platí někdy trochu jiná pravidla. Jak jsem již uvedla výše, pro další zpracování osobních údajů, které byly oprávněně zveřejněny, tedy zveřejněny v souladu se zvláštním právním předpisem – uvést mohu např. zákon č. 46/2000 Sb. o právech a povinnostech při vydávání periodického tisku a o změně některých dalších zákonů (tiskový zákon), není třeba získat souhlas od subjektu údajů.19 Zároveň však platí, že tím není dotčeno právo subjektu údajů na ochranu jeho soukromého a osobního života. Můžeme říci, že takové nastavení parametrů je výrazem momentální rovnováhy mezi právem jedince na ochranu soukromí (ochrana před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě), tak jak je upravuje čl. 10 Listiny, a právem na informace obsaženého v čl. 17 Listiny (práva vyjadřovat své názory slovem, písmem, tiskem, obrazem nebo jiným způsobem, jakož i svobodně vyhledávat, přijímat a rozšiřovat informace). 20 19

§ 5 odst. 2 písm. d) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů 20 Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

27

6

ZPRACOVÁNÍ VYŇATÁ Z PŮSOBNOSTI ZÁKONA O OCHRANĚ OSOBNÍCH ÚDAJŮ

6.1

Zpracování pro osobní potřebu

Zákon o ochraně osobních údajů (§ 3 odst. 3) i Směrnice 95/46/ES vylučují ze své působnosti zpracování osobních údajů, které provádí fyzická osoba pouze pro svou osobní potřebu. Zpravidla půjde o záležitosti týkající se soukromého života jedince (např. vedení adresáře nebo seznamu výročí), které nejsou určeny ke zveřejnění ani k podnikání, slovy čl. 3 Směrnice 95/46/ES „zpracování osobních údajů prováděné fyzickou osobou pro výkon výlučně osobních či domácích činností.“ Pokud by došlo ke zveřejnění osobních údajů, které fyzická osoba zpracovávala pro svou osobní potřebu, nelze subjekt údajů, do jehož soukromí bylo tímto počinem zasaženo, chránit prostřednictvím zákona o ochraně osobních údajů, ale pouze za použití ustanovení občanského zákoníku, která směřují k ochraně osobnosti.21

6.2

Nahodilé shromažďování

Zákon o ochraně osobních údajů nedefinuje pojem nahodilého shromažďování, v rámci negativního vymezení své působnosti pouze uvádí v § 3 odst. 4, že „…se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.“ Na rozdíl od zpracování osobních údajů pro osobní potřebu má tedy výjimka nahodilého shromažďování povahu relativní. Podle důvodové zprávy k zákonu splňují kritéria uvedené výjimky osobní údaje, „které jsou shromážděny nahodile, bez prvku systematičnosti, jsou vedeny manuálně a nejsou nijak dále zpracovávány.“ Jako příklad důvodová zpráva k zákonu uvádí zaznamenání adresy zákazníka při poskytování konkrétní služby (např. v kadeřnictví). Do kategorie nahodilého shromažďování osobních údajů však nespadají systematicky vedené adresáře zákazníků, kterým je pak např. pravidelně zasílána nabídka služeb a produktů. Ani novela zákona č. 177/2001 Sb. nevyřešila interpretační problémy spojené s nahodilým shromažďováním osobních údajů – neobsahuje výklad pojmu „nahodilé shromažďování“, ani z jejího textu nevyplývá, kdy můžeme podmínku, že osobní údaje nejsou dále zpracovávány, považovat za splněnou. Nezbývá tedy, než použít jako interpretační pomůcku Směrnici 95/46/ES, která se nahodilým shromažďováním osobních údajů, jež pojímá 21

§§ 11 – 16 zákona č.40/1964 Sb., občanský zákoník, ve znění pozdějších předpisů

28

jako „neautomatizované“ zpracování, zabývá v úvodním ustanovení č. 27. Podle zmíněného ustanovení „pokud jde o manuální zpracování týká se tato směrnice pouze kartoték a nikoliv neuspořádaných spisů; …obsah kartotéky musí být zejména uspořádán podle stanovených hledisek týkajících se osob, která umožňují snadný přístup k osobním údajům; …spisy nebo soubory spisů, stejně jako jejich obaly, které nejsou uspořádány podle určených hledisek, nespadají v žádném případě do oblasti působnosti této směrnice.“ Členským státům Evropské unie dává směrnice právo určit pořádací znaky takových uspořádaných souborů osobních údajů. Z citovaného ustanovení můžeme pro naše potřeby vyvodit, že o nahodilé shromáždění osobních údajů půjde v případě spisů (tedy manuálního zpracování osobních údajů), které nejsou uspořádány podle žádného kritéria. Naopak použití jakéhokoli osobního údaje k pořádání osobních údajů samotných (například příjmení k abecednímu seřazení skupiny osob), nebo i rozsáhlejších dokumentů (např. osobní dotazník) a souborů dokumentů (zdravotnická dokumentace, osobní spisy zaměstnanců), znamená systematickou, cílevědomě prováděnou činnost, v níž dotyčná osoba zamýšlí pokračovat. V takovém případě se nepochybně jedná o zpracování osobních údajů (je zde splněna podmínka systematičnosti), tedy o činnost spadající do působnosti zákona o ochraně osobních údajů. Shromažďování osobních údajů pro takové spisy musíme proto logicky rovněž považovat za zpracování. Bylo by však zbytečné posuzovat shromažďování osobních údajů v této situaci jinak, než jako součást celkového zpracování osobních údajů (nebudeme je tedy posuzovat samostatně, odděleně od ostatních operací prováděných s osobními údaji). Z uvedeného můžeme vyvodit závěr, že jiné shromažďování osobních údajů než to, které je součástí jejich zpracování, označujeme za nahodilé shromažďování. Nesmíme však zapomenout na další podmínku – abychom konkrétní činnost správně vyhodnotili jako nahodilé shromažďování, nesmí být spojena s úmyslem získané údaje dále zpracovávat. Uvedený příklad zaznamenávání objednávek např. v kadeřnictví je tedy do jisté míry zavádějící. Jestliže si kadeřnictví nepovede „kartu zákazníka“, ale pouze do nějaké formy plánovacího kalendáře zaznamenává jednotlivé objednávky ve formě příjmení zákazníka, datum, hodina a požadovaná služba, nenaplňuje tato činnost pojmové znaky shromažďování. Chyběl by zde totiž úmysl dalšího zpracování osobních údajů. Pokud by však firma zákazníkům např. zasílala nabídky svých produktů nebo služeb, jednalo by se o další zpracování osobních údajů.

29

6.3

Další výjimky

Zvláštní zákon stanoví zpracování osobních údajů pro statistické účely a archivnictví. V tomto případě nejde o úplné vynětí z působnosti zákona o ochraně osobních údajů, ale o řešení otázky vztahu obecného a zvláštního zákona. Pokud by zákony o výkonu státní statistické služby nebo o archivnictví obsahovaly zvláštní úpravu, měla by přednost před obecnou úpravou zákona o ochraně osobních údajů, v opačném případě se pro úpravu zmíněné problematiky použijí ustanovení zákona o ochraně osobních údajů. Účely statistické a archivnictví jsou stanoveny příslušnými zákony, takže pro vynětí zpracování osobních údajů z působnosti zákona č. 101/2000 Sb. a podřazení zvláštní právní úpravě nepostačí prohlášení správce, že si např. provádí statistická zjišťování nebo si vede archiv. Poslední výjimky se týkají státních orgánů vyjmenovaných v § 3 odst. 6 zákona o ochraně osobních údajů (Policie České republiky při odhalování trestné činnosti, zpravodajských služeb a dalších).

30

7

SUBJEKTY ZPRACOVÁVAJÍCÍ OSOBNÍ ÚDAJE

7.1

Správce – zaměstnavatel

Postavení jednotlivých subjektů při plnění povinností, které pro ně při zpracování osobních údajů vyplývají ze zákona o ochraně osobních údajů, není identické. Rozhodující podíl připadá správci (zaměstnavateli). Podle zákona o ochraně osobních údajů je správcem „každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj.“22 Správcem zůstává zaměstnavatel i v situaci, kdy samotným zpracováním osobních údajů (tedy konkrétními operacemi prováděnými s osobními údaji) pověří jiný subjekt. Zpracování osobních údajů tedy nemůžeme považovat za obligatorní znak správce. Správcem se může stát fyzická i právnická osoba (nerozhoduje, zda jde o podnikatele nebo subjekt nepodnikající, soukromý subjekt nebo státní, případně jiný orgán), v případě fyzických osob však nelze za správce osobních údajů považovat jedince zpracovávající osobní údaje pouze pro svou osobní potřebu. Takové počínání fyzické osoby jsem probrala v předchozí části jako jednu z výjimek, kdy se na zpracování osobních údajů zákon o ochraně osobních údajů nevztahuje. Za správce musíme vždy považovat celý subjekt, nikoli jeho organizační část (např. celé ministerstvo, nikoli jeho odbor), rozhodně nemůžeme jako o správcích uvažovat o jednotlivých zaměstnancích (např. zaměstnanci personálního oddělení, nebo správci sítě). Správcem se subjekt může stát z vlastní vůle nebo ze zákona. O státních orgánech a jiných orgánech veřejné správy se přitom nesprávně a zjednodušeně uvádí, že pro ně přichází v úvahu pouze druhá z alternativ. Při výkonu veřejné správy nelze než takové tvrzení uznat, ovšem při jiných činnostech (např. právě v roli zaměstnavatele) mohou být i tyto orgány správci zpracování osobních údajů založeného jejich vlastním rozhodnutím. Stejně tak bychom se mohli nesprávně domnívat, že soukromý subjekt svobodně rozhoduje o zpracováních osobních údajů, která bude provádět, a že bude vázán pouze plněním povinností při ochraně osobních údajů. Ve skutečnosti však řadu zpracování osobních údajů provádí podnikatelský subjekt proto, že mu to ukládá zákon (např. evidenci o uskutečněných platbách pojistného podle § 1 a § 25 zákona o pojistném na všeobecné zdravotní pojištění (zákon č. 592/1992 Sb.), evidenci pracovní doby, práce přesčas, pracovní pohotovosti a noční práce u jednotlivých zaměstnanců na základě § 96 nového zákoníku práce 22

§ 4 písm. j) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů

31

(zákon č. 262/2006 Sb.), mzdové listy pro účely daně z příjmů fyzických osob ze závislé činnosti podle ustanovení § 38j zákona o daních z příjmů (zákon č. 586/1992 Sb.) a § 35a zákona o organizaci a provádění sociálního zabezpečení (zákon č. 582/1991 Sb.) a mnoho dalších), nebo je takové zpracování alespoň zčásti nutné pro splnění zákonem mu uložené povinnosti.

7.2

Zpracovatel osobních údajů

Zpracování osobních údajů o zaměstnancích může zaměstnavatel provádět buď sám, nebo k tomu využívá jinou právnickou nebo fyzickou osobu, kterou potom označujeme jako zpracovatele osobních údajů. Např. celá řada menších zaměstnavatelů si najímá jiné firmy nebo externí spolupracovníky na zpracování mezd, vyhodnocování konkurzních řízení apod. Pověření se může týkat buď celého zpracování (typickým příkladem je svěření účetnictví specializované firmě), nebo jeho části (např. pouze úprava nashromážděných osobních údajů za účelem jejich dalšího využití zaměstnavatelem). Zpracovatel, na rozdíl od správce, neurčuje ani účel, ani prostředky, ani způsob zpracování osobních údajů. Při zpracování těchto údajů pro pracovněprávní účely postupuje zpracovatel dle pokynů zaměstnavatele – správce osobních údajů. Přirozeně nejčastěji dochází ke zpracování osobních údajů zpracovatelem na základě svobodného rozhodnutí správce (jde tedy o projev vůle správce přenechat provedení určitých operací s osobními údaji jinému subjektu). Za určitých situací ale správce musí přenechat zpracování osobních údajů zpracovateli, a to v případě, že tak stanoví zákon. Např. podle zákona č. 48/1997 Sb., o veřejném zdravotním pojištění a o změně a doplnění některých souvisejících zákonů, ve znění pozdějších předpisů, je Všeobecná zdravotní pojišťovna Informačním centrem, které zpracovává pro ostatní pojišťovny údaje týkající se čerpání finančních prostředků ze zdravotního pojištění, podle zákona č. 301/2000 Sb., o matrikách, jsou zpracovateli pro účely zápisů v matričních knihách např. zdravotnická zařízení, kde došlo k narození dítěte. Každý zaměstnavatel, který se rozhodne pověřit zpracováním osobních údajů jiný subjekt, musí se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Tato smlouva musí mít písemnou formu a musí v ní být vymezeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá. Další povinnou náležitostí této smlouvy jsou záruky zpracovatele týkající se technického a organizačního zabezpečení ochrany zpracovávaných osobních údajů (§ 6 zákona o ochraně osobních údajů). Uzavřením smlouvy o zpracování osobních údajů se zaměstnavatel nezbavuje odpovědnosti za škodu, která může zaměstnanci při zpracování

32

osobních údajů vzniknout. Proto je zpracovateli v § 8 zákona o ochraně osobních údajů uloženo, aby při zjištění, že zaměstnavatel porušuje povinnosti stanovené mu zákonem o ochraně osobních údajů, neprodleně na tuto skutečnost zaměstnavatele upozornil a ukončil zpracování osobních údajů. Pokud by tak zpracovatel neučinil, odpovídal by se zaměstnavatelem společně a nerozdílně za škodu, která subjektu údajů porušením zákonných povinností vznikla.

33

8

8.1 8.1.1

POVINNOSTI PŘI ZPRACOVÁNÍ OSOBNÍCH ÚDAJŮ Povinnosti zaměstnavatele před zahájením zpracování Povinnost stanovit účel zpracování

Stanovit, za jakým účelem (neboli z jakého důvodu) hodlám jako správce zpracovávat osobní údaje, je pro zaměstnavatele nesmírně důležité, neboť od stanoveného účelu se odvíjí i většina dalších povinností (např. podle účelu zpracování zaměstnavatel zjistí, zda se na jím zamýšlené zpracování osobních údajů vztahuje některá z exemptních podmínek obsažených v § 18 zákona o ochraně osobních údajů, nebo zda musí zpracování oznámit Úřadu pro ochranu osobních údajů). Možná právě vzhledem k významu, jaký se přikládá určení účelu pro zpracování osobních údajů, a také kvůli logické posloupnosti (málokdo začne vykonávat nějakou činnost, aniž by měl ujasněnou odpověď na otázku „proč“), uvedl zákonodárce zmíněnou povinnost správce na první místo příslušného ustanovení zákona (§ 5 odst. 1 písm. a) zákona o ochraně osobních údajů). Účel musí zaměstnavatel vymezit pro každé zpracování, které organizuje jako samostatné. Na rozdíl od poněkud strohého ustanovení zákona o ochraně osobních údajů obsahuje Úmluva 108 podrobnější úpravu, když v rámci požadavků na kvalitu údajů v čl. 5 stanovila, že „osobní údaje, které jsou předmětem automatizovaného zpracování, musejí být shromážděny pro stanovené a oprávněné účely.“ Podobnou formulaci nalezneme v čl. 6 Směrnice 95/46/ES, který vyjadřuje povinnost sbírat osobní údaje pro stanovené účely a to účely výslovně vyjádřené a legitimní. Zvláštní požadavky na formu vyjádření účelu zpracování zákon o ochraně osobních údajů neobsahuje. Přinejmenším bude ale potřeba, aby zaměstnavatel pojmenoval prováděné zpracování způsobem, který nevyvolává u dalších subjektů pochybnosti (např. mzdová účtárna, evidence pracovní doby atd.). Nesmíme ale zapomenout na fakt, že možnost v podstatě libovolně vymezit účel zpracování osobních údajů je zaměstnavateli dána jen v těch případech, kdy účel zpracování není vymezen přímo zákonem. V takové situaci by se totiž zaměstnavatel od takto stanoveného účelu nemohl odchýlit. Jestliže tedy zákon např. stanoví, že účelem zpracování údajů je vedení evidence osob, které obdržely určité povolení, evidence mzdových listů, evidence odpracované práce přesčas atd., nemůže k tomu zaměstnavatel jako správce již nic dodat. Pokud by však podnikatel chtěl zpraco34

vávat osobní údaje pro komerční účely, musí předem vymezit, že tomu tak bude např. pro nabízení služeb svým zákazníkům.

8.1.2

Povinnost stanovit prostředky a způsob zpracování

Zaměstnavatel nemá tuto povinnost, definovanou v § 5 odst. 1 písm. b) zákona o ochraně osobních údajů, vždy absolutní, ale týká se ho pouze v míře, ve které prostředky a způsob zpracování nestanoví zvláštní právní předpisy (pokud taková právní úprava existuje). Dosti vzácným případem, kdy zvláštní zákon správci osobních údajů velmi podrobně stanovuje prostředky a způsob zpracování, se po přijetí novely v roce 2001 stala úprava zdravotnické dokumentace v zákoně č. 20/1966 Sb., o péči o zdraví lidu, ve znění pozdějších předpisů. Mezinárodní předpisy se soustřeďují na zásady při zpracování osobních údajů, takže ekvivalent popisované povinnosti v nich nenajdeme.

8.1.3

Povinnost získat souhlas zaměstnance jako subjektu údajů

Ještě před zahájením zpracování osobních údajů si musí zaměstnavatel ověřit, zda pro zamýšlené zpracování nemusí získat souhlas zaměstnanců, jejichž osobní údaje hodlá zpracovávat. Povinnost zaměstnavatele získat souhlas zaměstnance se zpracováním jeho osobních údajů je jedním ze základních principů ochrany osobních údajů. V souladu se Směrnicí 95/46/ES obsahuje zákon o ochraně osobních údajů v § 5 odst. 2, 4 a 5 pro osobní údaje obecně a v § 9 písm. a) pro citlivé údaje zásadu, podle níž lze osobní údaje zpracovávat jen se souhlasem osoby, které se týkají. Souhlas nemusí subjekt údajů udělit písemně, ale vzhledem k faktu, že dle § 5 odst. 4 musí správce prokázat existenci souhlasu po celou dobu zpracování osobních údajů, jeví se písemná forma jako vhodnější. Ze souhlasu musí být patrné: • kdo jej poskytuje, • v jakém rozsahu (tedy na zpracování jakých osobních údajů) je poskytován • komu a k jakému účelu je poskytován a • na jaké období. Směrnici 95/46/ES odpovídá i okruh případů, kdy zpracování osobních údajů není podmíněno souhlasem subjektu údajů (§ 5 odst. 2 písm. a) až g) zákona). Jedná se o tyto případy: • zpracování buď přímo uložená zvláštním zákonem, nebo nezbytná pro splnění povinností uložených takovým zákonem. Zvláštní zákony tedy příslušným subjektům buď přímo ukládají, aby údaje zpracová-

35

•

•

•

•

•

•

valy, tedy vedly evidence (např. údaje o zaměstnancích, které jsou předmětem evidencí vedených příslušnou správou sociálního zabezpečení, dále např. živnostenské úřady mohou ukládat údaje do živnostenského rejstřku bez souhlasu podnikatelů, neboť jim to ukládá zákon), nebo jim stanoví povinnosti, s nimiž je zpracování osobních údajů spojeno (např. na základě § 35a odst. 4 zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení musí organizace uchovávat mzdové listy po dobu 30 kalendářních roků následujících po roce, kterého se týkají); kdy je zpracování nezbytné pro vstup subjektu do smluvního vztahu nebo pro plnění smlouvy (např. advokát, kterého klient pověřil uzavřením smlouvy, nepotřebuje souhlas klienta, že může použít osobní údaje klientem mu sdělené); kdy je zpracování nezbytné k ochraně důležitých zájmů subjektu údajů (např. zaměstnavatel může použít osobních údajů svého zaměstnance, který je toho času na dovolené a jemuž byly odcizeny věci ze stolu, k podání oznámení policii). Správce ale musí v takových případech následně bez zbytečného odkladu souhlas subjektu údajů získat, nebo zpracování ukončit a údaje zlikvidovat; zpracování osobních údajů předtím oprávněně zveřejněných v souladu se zvláštním předpisem (zákon o ochraně osobních údajů na tomto místě odkazuje na zákon č. 81/1966 Sb., o periodickém tisku a o ostatních hromadných informačních prostředcích, ten byl ovšem zrušen zákonem č. 46/2000 Sb., o právech a povinnostech při vydávání periodického tisku a o změně některých dalších zákonů (tiskový zákon), jedná se však pouze o příklad, protože osobní údaje lze zveřejňovat i jinými způsoby). Významná je podmínka oprávněnosti zveřejnění údajů, která pro správce znamená, že než začne se zpracováváním zveřejněných údajů, musí se přesvědčit, že k jejich zveřejnění došlo oprávněně; kdy je zpracování nezbytné pro ochranu práv a právem chráněných zájmů správce, nesmí však být zasaženo do práva subjektu údajů na ochranu jeho soukromého a osobního života (správce si může vést evidenci osob, vůči nimž má splatné pohledávky pouze pro svou vnitřní potřebu, není možné je s odkazem na toto ustanovení zákona uveřejňovat); jestliže se jedná o osobní údaje o veřejně činné osobě, funkcionáři nebo zaměstnanci veřejné správy (ovšem pouze takové údaje, jež se týkají jeho veřejné nebo úřední činnosti, případně jeho funkčního nebo pracovního zařazení); v případě osobních údajů zpracovávaných výlučně pro účely archivnictví podle zvláštního zákona. 36

Zvláštní režim platí pro zpracování určitých identifikačních a kontaktních údajů (konkrétně jména, příjmení a adresy subjektu údajů) za účelem nabízení obchodu nebo služeb. Pro tyto účely může správce použít osobních údajů osob, jež získal buď z veřejného seznamu (tedy z veřejně přístupných úředních evidencí – např. obchodního rejstříku nebo katastru nemovitostí, nebo třeba z telefonního seznamu), nebo v souvislosti se svou činností správce případně zpracovatele (např. údaje ze smluv, které správce jako prodávající uzavřel se subjektem údajů). Pokud subjekt údajů projeví písemně svůj nesouhlas, správce nebo zpracovatel nesmí pokračovat ve zpracovávání osobních údajů nesouhlasícího subjektu. Zde měl ovšem zákonodárce na mysli aktivní zpracovávání, jinými slovy správce nemůže subjekt údajů, který vyslovil písemně nesouhlas se zpracováním jeho osobních údajů, do budoucna kontaktovat s dalšími nabídkami. Subjekt údajů však nemůže ukončit zpracování těchto svých údajů správcem, jemuž vyjádřil nesouhlas, absolutně. Zákon o ochraně osobních údajů totiž v ustanovení § 5 odst. 9 stanoví, že ačkoliv subjekt údajů vyslovil nesouhlas se zpracováním podle odst. 5, je správce k vyloučení možnosti, kdy jméno, příjmení a adresa subjektu údajů budou opakovaně použity k nabídce obchodu a služeb, oprávněn dále zpracovávat tyto osobní údaje, ovšem pouze pro svou osobní potřebu. V odborném žargonu se takové zpracování označuje jako „seznam robinsonů“. Takže pokud bych pravidelně dostávala nabídky zboží od určité společnosti, mohu písemně sdělit odesílateli, že si další zasílání nabídek nepřeji, což musí být z jeho strany respektováno. Na základě takového písemného oznámení bych byla zařazena do tzv. „seznamu robinsonů“ dané společnosti, nebo-li seznamu osob, jež si nepřejí, aby jejich jmen, příjmení a adres bylo opět používáno k marketinkovým účelům. V souvislosti s pojednáním o společnostech využívajících osobní údaje k marketingovým účelům bych ráda zmínila další, v praxi často se vyskytující problém, a sice propojování jejich databází. Na základě smluv uzavíraných těmito společnostmi dochází někdy k situaci, kdy jedna z těchto společností zaujímá postavení zpracovatele osobních údajů pro další společnosti, které můžeme z hlediska zákona o ochraně osobních údajů označit za správce osobních údajů. Problém nastává v situaci, kdy by u zpracovatele došlo k propojení jednotlivých databází a tím ke sdružování osobních údajů poskytnutých jednotlivými zákazníky (společnostmi v postavení správců). Takové jednání je ovšem v rozporu se zákonem o ochraně osobních údajů. Podle § 5 odst. 1) písm. d) zákona je totiž správce povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu, navíc pouze v nezbytném rozsahu pro naplnění tohoto účelu. Ve smlouvě o zpracování osobních údajů, kterou musí správce se zpracovatelem dle § 6 zákona 37

o ochraně osobních údajů uzavřít v písemné formě, musí být výslovně uvedeno mimo jiné to, v jakém rozsahu (tedy ke zpracování jakých osobních údajů), za jakým účelem a na jakou dobu se smlouva uzavírá. Z uvedeného můžeme vyvodit logický závěr, že touto smlouvou nelze dohodnout slučování databází jednotlivých správců, neboť každý ze správců může pověřit jiný subjekt (zpracovatele) zpracováním osobních údajů pouze v rozsahu, jakým sám disponuje. Zákon o ochraně osobních údajů nicméně umožňuje správci, aby zpracovávané údaje předal jinému správci (čímž by u druhého správce došlo k propojení databází s osobními údaji), ovšem pouze za těchto podmínek: • údaje subjektu údajů byly získány v souvislosti s činností správce nebo se jedná o zveřejněné osobní údaje • údaje budou využívány pouze za účelem nabízení obchodu a služeb • subjekt údajů byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas. Uvedené podmínky musí být splněny kumulativně. Správce, kterému byly osobní údaje za splnění zákonných podmínek předány, je nesmí dále postoupit jiné osobě (§ 5 odst. 7 zákona o ochraně osobních údajů). Rovněž je dobré si uvědomit, že zákon pracuje s termínem „za účelem nabízení obchodu nebo služeb“, zatímco v praxi se setkáváme s označením „využití osobních údajů pro marketingové účely“. Sem nabízení obchodu a služeb bezesporu patří, pojem marketingový účel je ovšem širší. Subsumovat pod něj můžeme i zpracování osobních údajů pro účely výzkumu a ovlivňování trhu, nastolení politiky reagující na aktuální potřeby trhu atd. K takovýmto marketingovým účelům pak zpravidla bývá zapotřebí přiřadit ke jménu, příjmení a adrese fyzické osoby další osobní údaje, to ovšem § 5 odst. 5 a násl. zákona o ochraně osobních údajů neumožňuje. Nebo-li aby mohl správce zpracovávat osobní údaje zákazníků za účelem marketingu, musí k tomu získat souhlas subjektu údajů a před zahájením zpracování splnit oznamovací povinnost dle § 16 zákona.23 V praxi často opomíjenou otázkou je problematika vizitek, které zaměstnanci obdrží od různých návštěv a obchodních partnerů. Pro správné řešení je nezbytné zodpovědět si tyto otázky: 1. Jedná se v tomto případě rovněž o zpracování osobních údajů podle zákona o ochraně osobních údajů? 2. Pokud se jedná o zpracování osobních údajů, vztahuje se na něj oznamovací povinnost? 3. Je třeba souhlasu majitele vizitky se zpracováním jeho osobních údajů na ní uvedených? 23

Úřad pro ochranu osobních údajů k problémům z praxe – č. 6/2001, www.uoou.cz

38

Podle názoru Úřadu pro ochranu osobních údajů spadá předání vizitky pod ustanovení § 5 odst. 5 zákona o ochraně osobních údajů, nebo-li jedná se o údaje získané v souvislosti s činností zaměstnavatele, které pak následně mohou být bez souhlasu subjektu údajů využity k nabízení obchodu nebo služeb (ovšem pouze v zákoně vymezeném rozsahu). Navíc si ale v tmto případě musíme uvědomit, že předáním vizitky daná fyzická osoba současně konkludentně vyjadřuje svůj souhlas se zpracováním jejích osobních údajů na vizitce uvedených. Z toho vyplývá závěr, že zaměstnanci mohou využít i jiných údajů než jména, příjmení a adresy, pokud jsou na vizitce uvedeny. Podle vyjádření Úřadu pro ochranu osobních údajů 24 jde v případě přijetí vizitek o typicky nahodilé shromažďování osobních údajů v souladu s § 3 odst. 4 zákona o ochraně osobních údajů, na které se tento zákon nevztahuje, a zaměstnavatel jako správce tak nemusí plnit oznamovací povinnost. S uvedeným názorem Úřadu ovšem nesouhlasím, neboť v tomto pojetí jej považuji za příliš zobecňující. Pokud by zaměstnanci získané vizitky pouze uložili a údaje dále nevyužívali k zasílání nabídek (jednalo by se tedy o situaci adekvátní zmíněnému příkladu kadeřnického salonu, kdy jednotliví zaměstnanci do plánovacího kalendáře pouze zaznamenali jméno zákazníka a požadovaný úkon a dále již získané údaje nezpracovávali), pak nelze proti názoru Úřadu pro ochranu osobních údajů nic namítat. V takovém případě bychom opravdu hovořili o nahodilém shromažďování osobních údajů a nepřipadala by v úvahu aplikace zákona o ochraně osobních údajů. Jestliže by ovšem zaměstnanci z údajů obsažených na nashromážděných vizitkách vytvářeli adresáře zákazníků a tyto zákazníky by dále kontaktovali, nemůže být taková praxe posuzována dle ustanovení § 3 odst. 4 zákona o ochraně osobních údajů, neboť získané osobní údaje jsou dále zpracovávány. Zaměstnavatel v takovém případě musí splnit oznamovací povinnost (§ 16) vůči Úřadu pro ochranu osobních údajů, neboť se jedná o zpracování osobních údajů podléhající zákonu o ochraně osobních údajů a nevztahuje se na něj žádná z exemptních výjimek upravených v § 18 tohoto zákona. Shrnu-li výše uvedené, můžu konstatovat, že zaměstnanci, kteří přebírají vizitky od jiných osob, nepotřebují dále jejich souhlas s využitím na vizitkách uvedených osobních údajů. Zda se bude jednat o zpracování osobních údajů a zaměstnavatel tedy bude muset plnit oznamovací povinnost, nebo pouze o nahodilé shromažďování osobních údojů z působnosti zákona vyloučené, bude záležet na dalším nakládání s obdrženými vizitkami.

24

Úřad pro ochranu osobních údajů – vyjádření č. CJ13052/06UOOU ze dne 23.10.2006

39

8.1.4

Informační povinnost

Současně s posouzením, zda vůbec a v jakém rozsahu musí zaměstnavatel získat předchozí souhlas zaměstnance jako subjektu údajů se zpracováním jeho osobních údajů, zaměstnavatel posuzuje, zda a v jaké míře má vůči zaměstnanci informační povinnost vymezenou v § 11 zákona o ochraně osobních údajů. Než zaměstnavatel zahájí zpracování osobních údajů, musí zaměstnance jako subjekty údajů informovat: • v jakém rozsahu a pro jaký účel budou jeho osobní údaje zpracovávány; • kdo a jakým způsobem bude jeho osobní údaje zpracovávat (zda přímo zaměstnavatel nebo i zpracovatel, se kterým má zaměstnavatel uzavřenu smlouvu podle § 6 zákona o ochraně osobních údajů); • komu mohou být osobní údaje zaměstnance zpřístupněny; • o právu zaměstnance k přístupu k osobním údajům, právu na opravu zpracovávaných osobních údajů, o právu na jejich ochranu, jakož i o právech stanovených v § 21 zákona o ochraně osobních údajů. Pokud shora uvedené informace nejsou součástí formulace souhlasu zaměstnance se zpracováním jeho osobních údajů, musí je zaměstnanec získat jako „čistou informaci“. Tyto informace mohou být zaměstnanci již známy, např. z poučení obsaženého ve zvláštním právním předpisu, nebo z vnitřního předpisu platného u zaměstnavatele, nicméně z praktických důvodů by zaměstnavatel měl raději zaměstnance informovat vždy. V případě sporu ohledně splnění informační povinnosti ze strany zaměstnavatele totiž leží důkazní břemeno, že se jedná o zpracování osobních údajů subjektu údajů známé, právě na zaměstnavateli jako správci. Tak by například zaměstnavatel měl informovat zaměstnance, že údaje obsažené v pracovní smlouvě, kterou se zaměstnancem uzavřel, hodlá zpracovávat v rámci evidence zaměstnanců. Informační povinnost v případě, kdy jsou zpracovávány osobní údaje získané od zaměstnance, dále zahrnuje poučení: • zda je poskytnutí osobních údajů zaměstnancem povinné nebo dobrovolné; • zda povinnost poskytnout osobní údaje ukládá zaměstnanci zvláštní zákon; • jaké důsledky budou spojeny s jejich neposkytnutím a tedy nesplněním zákonné povinnosti. Pro informační povinnost zaměstnavatele existují v zákoně o ochraně osobních údajů výjimky. Podle § 11 odst. 3 zákona není zaměstnavatel povinen informovat zaměstnance o zpracování jeho osobních údajů, které mu nebyly poskytnuty samotným zaměstnancem, jestliže:

40

• důvodem zpracování jsou výlučně účely statistické, vědecké, nebo archivnictví; • povinnost zpracovávat osobní údaje vyplývá ze zvláštního zákona nebo si je vyžaduje uplatnění práv případně splnění povinností zvláštním zákonem stanovených; • zaměstnavatel zpracovává výlučně oprávněně zveřejněné osobní údaje; • zaměstnavatel zpracovává osobní údaje získané se souhlasem zaměstnance (zde ale zaměstnavatel nemusí zaměstnance informovat o nakládání s osobními údaji pouze v rozsahu, kterého se poskytnutý souhlas týká).

8.1.5

Oznamovací povinnost

Kromě výjimek uvedených v § 18 zákona o ochraně osobních údajů smí zaměstnavatel zpracovávat osobní údaje až po obdržení souhlasného vyjádření Úřadu pro ochranu osobních údajů, uděleného na základě písemného oznámení zpracovatelského úmyslu. Formulář pro splnění oznamovací povinnosti správce obsahuje Příloha A. Zákonodárce se tak snažil zajistit předběžnou kontrolu zpracování a pokud možno předejít protiprávním zásahům do soukromí osob. Náležitosti oznámení vymezuje § 16 odst. 2 zákona o ochraně osobních údajů takto: • identifikační údaje správce; • účel nebo účely zpracování; • kategorie subjektů údajů a osobních údajů, které se těchto subjektů týkají; • zdroje osobních údajů; • popis způsobu zpracování osobních údajů; • příjemce nebo kategorie příjemců; • předpokládaná předání osobních údajů do jiných států; • popis opatření k zajištění ochrany osobních údajů podle § 13.25 Ze strany zaměstnavatelů je na Úřad pro ochranu osobních údajů velmi často podáváno oznámení o zpracování osobních údajů prováděné v rámci personální a mzdové agendy. Mnoho zaměstnavatelů se domnívá, že pro takové zpracování je nutné plnit oznamovací povinnost dle § 16 zákona o ochraně osobních údajů. K této problematice mohu uvést následující stanovisko Úřadu pro ochranu osobních údajů: Uzavřením pracovní smlouvy, dohody o provedení práce, nebo dohody o pracovní činnosti vzniká pracovněprávní vztah mezi zaměstnancem a zaměstnavatelem. V důsledku toho dochází ke zpracování osobních údajů zaměstnanců

25

§ 16 odst. 2) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů

41

zaměstnavatelem (např. v rámci osobního spisu zaměstnance, který obsahuje pracovní smlouvu, platové výměry, doklady o vzdělání apod.). Tyto osobní údaje slouží pro zpracování výstupů v oblasti mzdové, daňové, důchodového, nemocenského a zdravotního pojištění. K zákonům, které zaměstnavateli ukládají povinnost zpracovávat osobní údaje, patří krom zákoníku práce také např. zákon č. 586/1992 Sb., o daních z příjmů, ve znění pozdějších předpisů (§ 38j), zákon č. 48/1997 Sb., o veřejném zdravotním pojištění a o změně a doplnění některých souvisejících zákonů, ve znění pozdějších předpisů (§ 10), zákon č. 143/1992 Sb., o platu a odměně za pracovní pohotovost v rozpočtových a v některých dalších organizacích a orgánech, ve znění pozdějších předpisů, zákon č. 100/1988 Sb., o sociálním zabezpečení, ve znění pozdějších předpisů, zákon č. 155/1995 Sb., o důchodovém pojištění, ve znění pozdějších předpisů. Z výše uvedeného vyplývá jednoznačný závěr, že zaměstnavateli vzniká zákonná povinnost provádět zpracování osobních údajů zaměstnanců nezbytné pro dodržení jeho právních povinností uložených zvláštními zákony. Podle ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů se oznamovací povinnost vymezená v § 16 tohoto zákona nevztahuje na zpracování osobních údajů, která jsou správci uložena zvláštním zákonem nebo je-li takových osobních údajů třeba k uplatnění práv a splnění povinností vyplývajících ze zvláštního zákona. Na zpracovávání osobních údajů zaměstnanců v rámci sjednávání pracovněprávního vztahu a dále při zpracování personální a mzdové agendy se tedy vztahuje výjimka z oznamovací povinnosti podle výše uvedeného ustanovení zákona. Nemůžeme si tuto situaci ale mylně vykládat tak, že absence oznamovací povinnosti zbavuje zaměstnavatele ostatních povinností při zpracování osobních údajů. Problematičtější a doprovázené častými nedorozuměními bývá zpracování citlivých osobních údajů zaměstnanců. Někteří zaměstnavatelé se totiž často mylně domnívají, že zpracovávají citlivé osobní údaje o zdravotním stavu svých zaměstnanců. Zde je na místě zdůraznit, že potvrzení lékaře nebo zdravotnického zařízení (např. ze vstupní nebo preventivní lékařské prohlídky) o tom, zda zaměstnanec je nebo není schopen vykonávat svou práci, ještě není citlivým údajem o jeho zdravotním stavu ve smyslu § 4 písm. b) zákona o ochraně osobních údajů. Citlivé osobní údaje o zdravotním stavu zaměstnanců je oprávněn zpracovávat např. jen smluvní závodní lékař, nikoliv ovšem zaměstnavatel. Výjimkou může být zaměstnávání zaměstnanců se zdravotním postižením. Nový zákoník práce odkazuje ve svém § 237 na ustanovení §§ 67 až 84 zákona č. 435/2004 Sb., o zaměstnanosti, který je v této oblasti spolu s vyhláškou č. 182/1991 Sb., kterou se provádí zákon o sociálním 42

zabezpečení, zvláštním právním předpisem určujícím povinnosti zaměstnavatelů. Oznamovací povinnost není rovněž nutné plnit v případě, kdy zaměstnavatel od svých zaměstnanců vyžaduje předložení výpisu z rejstříku trestů, jestliže je účelem ověření způsobilosti pro výkon určitého zaměstnání v souladu s příslušným ustanovením zákona (např. § 4 odst. 7 zákona č. 21/1992 Sb., o bankách, ve znění pozdějších předpisů). V takové situaci není výpis z rejstříku trestů dokládající bezúhonnost konkrétního zaměstnance citlivým osobním údajem „odsouzení za trestný čin“ ve smyslu § 4 písm. b) zákona o ochraně osobních údajů. V souvislosti s integrací zemí střední Evropy do Evropské unie, která s sebou přinesla i propojení pracovních trhů, se stala aktuální problematika zaměstnávání cizích státních příslušníků. Těmto cizím státním příslušníkům, kteří na našem území zejména z pracovních důvodů dlouhodobě pobývají, je dle § 81 zákona č. 326/1999 Sb., o pobytu cizinců na území České republiky a o změně některých zákonů, vydáván průkaz o povolení k pobytu. Tento doklad, kterým cizinci prokazují svou totožnost, obsahuje také údaj o státní příslušnosti, nikoliv tedy citlivý osobní údaj o národnostním původu, který zaměstnavatelé od cizince často mylně vyžadují, ačkoliv takový údaj nepotřebují zpracovávat k žádnému zákonnému účelu. Zaměstnavatel naopak potřebuje mít k dispozici právě informaci o státní příslušnosti svého zaměstnance, aby mohl plnit povinnosti uložené mu zvláštními zákony (např. odvod pojistného za zaměstnance dle § 5 zákona č. 592/1992 Sb., o pojistném na všeobecné zdravotní pojištění, vedení evidence o zaměstnancích pro účely nemocenského pojištění dle § 22 zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení apod.). I na tyto případy se vztahuje ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů a zaměstnavatel zde nemá oznamovací povinnost. Souhrnně tedy můžeme konstatovat, že zpracovává-li zaměstnavatel osobní údaje svých zaměstnanců pouze za účelem vedení personální a mzdové agendy pro dodržení jeho právních povinností, které mu ukládají zvláštní zákony, nemusí plnit oznamovací povinnost stanovenou v § 16 zákona o ochraně osobních údajů. Tato se na něj vztahuje pouze tehdy, jestliže zpracovává osobní údaje svých zaměstnanců i pro jiné, než výše uvedené účely.26

26

www.uoou.cz

43

8.2

Povinnosti zaměstnavatele v rámci zpracování

Na rozdíl od výše vymezených povinností, které má zaměstnavatel před zahájením zpracování osobních údajů, musí při zpracování osobních údajů plnit všechny povinnosti současně. Výklad jednotlivých povinností tedy není seřazen chronologicky, neboť jejich pořadí je vzhledem k výše uvedenému nepodstatné.

8.2.1

Povinnost zpracovávat přesné údaje

Zaměstnavatel je povinen ověřovat, jsou-li osobní údaje, které získal v souladu se zákonem o ochraně osobních údajů a které zpracovává, přesné (§ 5 odst. 1 písm. c) ). Pokud by zjistil, že jím zpracovávané osobní údaje tento požadavek nesplňují, musí je blokovat a bez zbytečného odkladu opravit nebo doplnit, případně zlikvidovat, pokud by jejich opravu nebo doplnění nemohl provést. V obecné rovině zákon neuvádí, jak často má správce ověřování kvality údajů provádět, to bude záležet na stanoveném účelu zpracování. Z uvedeného vyplývá, že v každém okamžiku zpracování nebudou jeho předmětem pouze pravdivé a přesné údaje, ale takové kvality dosahují postupně. Pokud např. direkt marketinková firma rozesílá jednou za rok nabídky svým zákazníkům, až při této příležitosti zjistí, že na příslušné adrese se konkrétní osoba již nezdržuje. Stejné potom platí pro správce – zaměstnavatele. I on bude místy zpracovávat nepřesné osobní údaje (např. oprava adresy trvalého bydliště bude v osobním spise zaměstnance provedena až po nahlášení změny bydliště zaměstnancem). Zaměstnavatel ovšem nemůže nesplnění své zákonné povinnosti dlouhodobě omlouvat tím, že se předmětnou skutečnost včas nedozvěděl. Jak jsem uvedla v úvodu této pasáže, zaměstnavatel jako správce musí sám zjišťovat, zda kvalita jím zpracovávaných osobních údajů odpovídá zákonným požadavkům.27 Tato skutečnost vedla zaměstnavatele k formulování odpovídajících povinností vůči zaměstnancům. V pracovních řádech se tak zpravidla mezi vymezenými povinnostmi zaměstnanců setkáváme i s povinností hlásit zaměstnavateli bez zbytečného odkladu důležité změny v osobních údajích. Podle zvláštních zákonů reagujících na specifické požadavky některých specializovaných oblastí (např. zákon č. 89/1995 Sb., o státní statistické službě, ve znění pozdějších předpisů, zákon č. 153/1994 Sb., o zpravodajských službách České republiky, ve znění zákona č. 118/1995

27

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

44

Sb. a další) lze zpracovávat i nepravdivé a nepřesné údaje, musí však být jako takové označeny a vedeny odděleně od ostatních údajů. Plnění povinnosti zpracovávat přesné osobní údaje lze poměrně snadno zjistit z dokumentů upravujících příslušné zpracování osobních údajů u daného zaměstnavatele. Pokud jde o identifikační a kontaktní údaje, může plnění posoudit i samotný subjekt údajů. Povinnost ověřovat přesnost a pravdivost osobních údajů totiž v praxi bývá často uvalena jak na vlastní zaměstnance správce, tak na subjekt údajů. Tradičně se tak děje v situaci, kdy vztah mezi správcem (zaměstnavatelem) a subjektem údajů je vztahem podnikatelského subjektu a jeho zákazníka, se kterým je sjednávána nějaká smlouva. Zákazník se před podepsáním smlouvy seznámí s jejím obsahem a svým podpisem následně vyjadřuje nejen souhlas s obsahem smlouvy, ale stvrzuje rovněž správnost svých osobních údajů ve smlouvě uvedených. V podobné situaci se ocitá i nově přijímaný zaměstnanec, se kterým je u zaměstnavatele sepisována pracovní smlouva. V těchto případech může správce plnit (a často plní) svou povinnost tak, že identifikační a kontaktní údaje osob přebírá z jednoho nebo více osobních dokladů. Zde se dostáváme k problematice kopírování osobních dokladů, které v poslední době často nahrazuje zaznamenávání jednotlivých údajů ve spisech (nebo takovému zaznamenání kvůli urychlení celé procedury předchází). V této souvislosti je nejčastěji uváděna praxe půjčoven automobilů, které vyžadují předložit mnohdy i čtyři osobní doklady zákazníka opatřené jeho fotografií. Mnoho osob s touto praxí nesouhlasí a pomoc hledají v zákoně o ochraně osobních údajů. Kopírování osobních dokladů ovšem nemusí být v rozporu s tímto zákonem. Vše záleží na tom, jak správce s pořízenými kopiemi dále nakládá. Pokud je jako černobílé kopie zhotovené na kancelářské kopírce přiloží ke smlouvě a založí je do složky označené např. číslem objednávky a smlouvy, přičemž po vypořádání závazků ze smlouvy kopie zničí, nelze spatřovat v takovém jednání správce porušení zákona o ochraně osobních údajů. Pokud by správce kopie osobních dokladů následně nezlikvidoval, ale začlenil by je např. do vnitropodnikového informačního systému a dále by s nimi prováděl nějaké operace, jednalo by se o zpracování osobních údajů. Zde by potom správce pravděpodobně porušil svou povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění tohoto účelu. (viz. následující kapitola).28 A jak je kopírování osobních dokladů hodnoceno Úřadem pro ochranu osobních údajů? Pořizování a uchovávání kopií různých osobních dokladů

28

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

45

a listin obsahujících osobní údaje fyzických osob je častým zjištěním Úřadu pro ochranu osobních údajů při výkonu dozoru dle zákona o ochraně osobních údajů (§ 29 a násl.). Ačkoliv fotokopie sama o sobě není významově adekvátní originálnímu dokladu nebo dokumentu, její uchovávání je zpracováním osobních údajů a spadá tedy do režimu zákona o ochraně osobních údajů. Osoby pořizující kopie osobních dokladů se často brání, že tak činí kvůli tlaku různých kontrolních orgánů, kterým údajně jako důkaz o tom, že tvrzené skutečnosti byly ověřeny podle platného osobního dokladu nebo listiny, již nepostačuje „pouhý“ záznam do příslušné dokumentace, ale vyžadují předložení alespoň jedné kopie dokladu nebo listiny. Někteří jdou ve své argumentaci ještě dále, když tvrdí, že spíše chrání osoby, kopie jejichž dokladů je zakládána, neboť vzhledem k rozmáhající se trestné činnosti v oblasti falšování dokladů může být předkládaný doklad pokaždé porovnán s pořízenou fotokopií. Ale právě vzhledem k rozmáhající se trestné činnosti je třeba přijmout pravidla, pomocí kterých by se možnosti legitimního pořizování fotokopií osobních listin a dokladů minimalizovaly. Do poněkud nepřehledné situace přinesla jisté světlo novelizace zákona č. 328/1999 Sb., o občanských průkazech, ve znění pozdějších předpisů, a novelizace zákona č. 329/1999 Sb., o cestovních dokladech a o změně zákona č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů (zákon o cestovních dokladech), publikovaná ve Sbírce zákonů pod číslem 559/2004 Sb. jako zákon, kterým se mění zákon č. 328/1999 Sb. o občanských průkazech, ve znění pozdějších předpisů, zákon č. 329/1999 Sb., o cestovních dokladech a o změně zákona č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů (zákon o cestovních dokladech), zákon č. 200/1990 Sb., o přestupcích, ve znění pozdějších předpisů, a zákon č. 326/1999 Sb., o pobytu cizinců na území České republiky a o změně některých zákonů, ve znění pozdějších předpisů. Uvedená novela doplňuje příslušná ustanovení daných zákonů o zákaz pořizovat jakýmikoliv prostředky kopie občanského průkazu nebo cestovního dokladu bez souhlasu občana, kterému byl občanský průkaz nebo cestovní doklad vydán, pokud zvláštní právní předpis nebo mezinárodní smlouva, kterou je Česká republika vázána, nestanoví jinak. Ohledně pojmu „souhlas“ je potom v případě nejasností odkazováno na ustanovení § 5 zákona o ochraně osobních údajů, které po novele provedené zákonem č. 439/2004 Sb. s účinností od 26. července 2004, společně s novou definicí pojmu „souhlas subjektu údajů“ vychází z principů svobodného, vědomého a informovaného projevu vůle fyzické osoby. Nová právní úprava současně odstranila aplikační problém, který musel Úřad pro ochranu osobních údajů při posuzování této otázky řešit, a sice, zda v případě, že docházelo ke kopírování osobního dokladu se souhla46

sem jeho držitele, byla osoba pořizující kopii povinna získat souhlas případných třetích osob, jejichž osobní údaje byly na osobním dokladu rovněž uvedeny. Mluvím o tzv. nepovinných osobních údajích (např. jméno, příjmení a rodné číslo manžela, případně dítěte). V minulosti docházelo ve snaze vyhovět zákonným požadavkům k mazání těchto údajů z uchovávaných kopií osobních dokladů. Tato praxe již nebude nutná, neboť nová právní úprava opravňuje držitele osobního dokladu, aby vyjádřil souhlas s pořízením jeho kopie, a tedy se zpracováním osobních údajů na dokladu uvedených. Shrnu-li výše uvedené, od nabytí účinnosti novelizovaných ustanovení zákona o občanských průkazech a zákona o cestovních dokladech dnem 1. ledna 2005 platí obecně zákaz pořizování kopií občanského průkazu nebo cestovního dokladu. Z tohoto zákazu jsou připuštěny dvě výjimky: • případ, kdy držitel osobního dokladu vyjádří souhlas s pořízením jeho kopie. Zde bude muset subjekt, který hodlá osobní doklad kopírovat, přesvědčit držitele dokladu o svém záměru (zejména zda je pořízení kopie nezbytné). Na tuto situaci se bude přímo aplikovat několik ustanovení zákona o ochraně osobních údajů, zejména § 4 písm. n), který obsahuje definici pojmu souhlas subjektu údajů, dále § 5 odst. 4, obsahující podmínky, které musí být při udělování souhlasu dodrženy. Je na místě podotknout, že i přes udělený souhlas subjektu údajů je nutné, aby správce dodržoval všechny principy ochrany dat, zejména princip legitimity, přiměřenosti a účelovosti zpracovávaných osobních údajů. Rozhodne-li se odpovědný subjekt uchovávat kopie dokladů, z pohledu zákona o ochraně osobních údajů se stává vždy správcem, který musí dodržovat veškeré stanovené povinnosti. • případ, kdy pořízení kopie stanoví zvláštní právní předpis nebo mezinárodní smlouva, jíž je Česká republika vázána. Příkladem mohu uvést zákon č. 61/1996 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a o změně a doplnění souvisejících zákonů, ve znění pozdějších předpisů, který v § 2 odst. 6 až 8 upravuje speciální podmínky pro provádění identifikace fyzických osob a uchovávání stanovených údajů také prostřednictvím kopií dokladů (§ 3 odst. 2). Podle ustanovení § 2 odst. 7 ten, kdo provedl identifikaci podle odst. 6 (identifikace na žádost povinné osoby), připojí k veřejné listině o identifikaci kopie příslušných dokladů nebo jejich částí, z nichž provedl identifikaci. Podle § 2 odst. 8 byla-li provedena identifikace a další úkony podle odstavců 6 a 7, doklady tam uvedené musejí být uloženy u povinné osoby. V této souvislosti je rovněž nutné odkázat na příslušná ustanovení zákona o ochraně osobních údajů, zejména na § 13 a násl., týkající se povinností správce při zabezpečení zpracování osobních údajů. 47

Na rozdíl od obecné právní úpravy podmínek pro pořizování kopií osobních dokladů se zatím neobjevují v českém právním řádu náznaky, že by chtěl zákonodárce řešit podobným způsobem i podmínky pro kopírování jiných druhů listin nebo dokumentů osobního charakteru (např. rodné listy, oddací listy apod.). Zatím bylo pouze v několika právních předpisech zakotveno oprávnění pořizovat kopie dokladů o dosaženém vzdělání (např. zákon č. 18/2004 Sb., o uznávání odborné kvalifikace). V ostatních případech můžeme považovat požadavek na pořízení kopie jako nezákonný, pouze prokáže-li správce držiteli dokladu nebo listiny oprávněnost svého požadavku, může per analogiam uchovávat jeho kopii se souhlasem tohoto držitele.29

8.2.2

Povinnost zpracovávat údaje odpovídající účelu a v nezbytném rozsahu

Důvodová zpráva k zákonu uvádí, že „rozsah, v němž mohou být osobní údaje shromažďovány, je stanoven buď pouze zákonem (zejména pokud se týče státních a jiných orgánů) nebo plyne z účelu, pro který jsou shromažďovány (jsou-li údaje shromažďovány soukromými subjekty, které ovšem nemohou shromažďovat osobní údaje v rozporu se zákony).“ V praxi ovšem rozsah zpracování uložených zákonem „státním a jiným orgánům“ není často vymezen vůbec, nebo pouze nedostatečně. A naopak soukromé subjekty potom zpravidla provádějí zpracování, která jim ukládá zákon a u nichž je zákonem nebo jiným právním předpisem stanoven jejich rozsah (alespoň pokud jde o výčet druhů osobních údajů). Jako příklad právního předpisu upravujícího rozsah zpracovávaných údajů můžu uvést zákon č. 435/2004 Sb., o zaměstnanosti. Ustanovení § 5 tohoto zákona mimo jiné vymezuje, co se rozumí identifikačními údaji fyzických osob, které jsou dále předmětem evidencí zájemců o zaměstnání a uchazečů o zaměstnání, které dle § 8 písm. i) vedou úřady práce. Myslím si, že nezbývá, než použít pro posuzování rozsahu zpracovávaných údajů, ať je zpracování prováděno státními orgány, nebo soukromými subjekty, kritérium účelu jejich zpracování, ačkoli je důvodová zpráva váže pouze k soukromým subjektům. V osobním dotazníku může zaměstnavatel požadovat údaje o dosaženém vzdělání, jazykových znalostech, délce praxe, o tom, zda je uchazeč o zaměstnání držitelem řidičského průkazu a další. Jako rozporné s účelem zpracování poskytovaných údajů bych však v tomto případě rozhodně označila požadavek uvést majetkové poměry žadatele nebo jeho sexuální orientaci.

29

Stanovisko Úřadu pro ochranu osobních údajů č. 6/2004

48

Odpovídající zásadu pro kvalitu osobních údajů obsahuje čl. 6 směrnice 95/46/ES, který uvádí, že „osobní údaje musí být přiměřené, podstatné a nepřesahující míru s ohledem na účely, pro které jsou sbírány a pro které jsou dodatečně zpracovávány.“ Úmluva č. 108 pak ve svém čl. 5 požaduje, aby osobní údaje byly „přiměřené, týkající se účelů, pro něž byly uloženy na nosiče a nepřesahující tyto účely.“

8.2.3

Povinnost uchovávat osobní údaje pouze po nezbytnou dobu

Stanovenému účelu musí odpovídat rovněž doba, po kterou jsou osobní údaje uchovávány (§ 5 odst. 1 písm. e) zákona o ochraně osobních údajů). Tato doba může vyplývat přímo ze zákona, a to zpravidla u zpracování osobních údajů uložených zákonem. Např. na základě § 35a odst. 4 zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení musí organizace uchovávat mzdové listy po dobu 30 kalendářních roků následujících po roce, kterého se týkají. U zpracování osobních údajů prováděných z vlastního rozhodnutí je potom pro stanovení lhůt rozhodující deklarovaný účel zpracování. V případě zpracování osobních údajů obchodních partnerů můžeme podle povahy smluvních vztahů použít jako pomůcku dobu, na kterou jsou jednotlivé smlouvy uzavřeny, s přihlédnutím k záruční době. Po uplynutí stanovené doby lze osobní údaje dále uchovávat jen pro účely vědecké, statistické a archivnictví, přičemž zvláštní zákony upravují, za jakých okolností můžeme tato kritéria považovat za splněná.

8.2.4

Povinnost zpracovávat osobní údaje pouze ke stanovenému účelu

Zákon o ochraně osobních údajů nepřipouští, aby správce (zaměstnavatel) shromáždil osobní údaje k deklarovanému účelu a následně je on sám nebo zpracovatel využívali k účelu jinému, ledaže by je k takovému zpracování opravňoval zvláštní zákon (§ 5 odst. 1 písm. f) zákona o ochraně osobních údajů). V úvahu přicházejí některé zvláštní oblasti, typicky zpravodajské služby, které mohou v rámci své působnosti „žádat od orgánů veřejné správy nezbytnou pomoc a informace uchovávané těmito orgány v souvislosti s plněním úkolů státní správy“.30 Zákonodárce se zároveň snažil eliminovat obcházení zákona o ochraně osobních údajů, když do obsahu uvedeného paragrafu zakomponoval větu: „Zpracovávat k jinému účelu lze osobní údaj, jen pokud k tomu dal subjekt 30

§ 11 zákona č. 153/1994 Sb., o zpravodajských službách České republiky, ve znění zákona č. 118/1995 Sb.

49

údajů souhlas.“ Formu souhlasu zákon opět blíže neupravuje, nicméně si myslím, že můžeme vycházet z toho, co jsem napsala o souhlasu subjektů údajů se zpracováním jejich osobních údajů obecně.31 Bude tedy vhodnější, když si správce opatří písemný souhlas subjektu údajů, který potom uschová po celou dobu zpracování a v případě kontroly nevzniknou pochyby o tom, zda splnil zákonem uložené povinnosti.

8.2.5

Povinnost shromažďovat osobní údaje otevřeně

Pokud to správci neumožňuje jiný zákon, nesmí shromažďovat osobní údaje pod záminkou jiného účelu nebo činnosti (§ 5 odst. 1 písm. g) zákona o ochraně osobních údajů).

8.2.6

Povinnost nesdružovat osobní údaje

Správce nesmí sdružovat osobní údaje, které získal k rozdílným účelům. Uvážíme-li dříve zmíněnou povinnost správce zpracovávat osobní údaje pouze v souladu s účelem, k němuž je shromáždil, působí ustanovení § 5 odst. 1 písm. h) zákona o ochraně osobních údajů nadbytečně. Toto ustanovení přežilo v českém právním řádu z předchozí úpravy ochrany osobních údajů, která se týkala informačních systémů. V současné právní úpravě je vyloučeno porušení této zásady u většiny zpracování dodržením výše popsané povinnosti správce, a sice povinnosti zpracovávat osobní údaje v souladu s účelem, ke kterému byly shromážděny. Stejně tak u zaměstnavatele ve vztahu ke zpracovávaným osobním údajům zaměstnanců bude tato povinnost splněna již zmíněným dodržením souladu zpracovávaných údajů s účelem zpracování. Nehledě na to, že zaměstnavatelé shromažďují osobní údaje zaměstnanců zejména pro účely personální a mzdové agendy, kde jim, jak jsem již rozebrala v rámci pojednání o plnění oznamovací povinnosti, zpracování osobních údajů ukládají zvláštní zákony. Racionální základ ustanovení § 5 odst. 1 písm. h) zákona o ochraně osobních údajů bychom mohli hledat snad jen ve vztahu k veřejnoprávním správcům osobních údajů (zejména státním orgánům), pro něž zákon o ochraně osobních údajů připouští zvláštní režim. Pro sdružování osobních údajů nashromážděných těmito správci může platit výjimka upravená zvláštními právními předpisy (např. § 9 zákona č. 89/1995 Sb., o státní statistické službě, ve znění pozdějších předpisů, opravňuje orgány vykonávající státní statistickou službu sdružovat ke statistickým účelům taxativně určené údaje). Zvláštní předpisy, jak dokazuje i uvedený příklad, 31

viz. 8.1.3 Povinnost získat souhlas zaměstnance jako subjektu údajů

50

také zpravidla taxativně určují údaje, které mohou být pro výkon činností uvedených správců sdružovány.

8.2.7

Povinnost zabezpečit osobní údaje

Všichni správci musí z důvodu zajištění ochrany a bezpečnosti osobních údajů (aby např. nedošlo k nedovolenému, neoprávněnému nebo nahodilému přístupu a následnému pozměnění, zničení nebo nedovolenému přenosu údajů) přijmout příslušná bezpečnostní opatření (§ 13 zákona o ochraně osobních údajů), přičemž tato povinnost platí i po skončení zpracování. Povahu konkrétních opatření určuje především způsob zpracování osobních údajů. Manuální zpracování osobních údajů samozřejmě vyžaduje méně technicky (ale i finančně) náročná opatření. Zpravidla půjde o zabezpečení místnosti, v níž jsou údaje uloženy, před přístupem nepovolaných osob (zámky, mříže, elektronické zabezpečení apod.). Obtížněji lze chránit osobní údaje zpracovávané automatizovaně, např. v rámci informačních systémů. Zde si náležitá ochrana vynutí zejména opatření z oblasti kryptografie (šifrování dokumentů, využívání elektronického podpisu atd.), spolehlivou antivirovou ochranu, zabránění přístupu nepovolaných osob pomocí hesel a další. Přehled nejběžněji používaných opatření obsahuje formulář předtištěný Úřadem pro ochranu osobních údajů pro účely plnění oznamovací povinnosti správcem.32 Nalezneme v něm tento přehled opatření: • zabezpečení objektů a místností: o zámky, mříže apod. o centrální pult ochrany o elektronické zabezpečení o bezpečnostní směrnice • pouze automatizované zpracování: o přístupová práva o bezpečnostní zálohy o antivirová ochrana o bezpečnostní směrnice o kryptování o jiné Z výše uvedeného vyplývá, že k řádnému splnění zákonné povinnosti zabezpečení zpracovávaných osobních údajů je třeba přijmout odpovídající organizační a technická opatření. Rámec těchto opatření popisuje i úvodní ustanovení č. 46 směrnice ES/95/46: „Ochrana práv a svobod dotčených osob v souvislosti se zpracováním osobních údajů vyžaduje, 32

viz. Příloha A

51

aby byla přijata příslušná technická a organizační opatření jak při přípravě zpracování, tak při jeho provádění, s cílem zajistit především bezpečnost a zabránit jakémukoliv nepovolenému zpracování; ... tato opatření musí zajistit odpovídající úroveň bezpečnosti s ohledem na odbornou úroveň a náklady na jejich provedení v souvislosti s riziky vyplývajícími ze zpracování údajů a z povahy údajů, které mají být chráněny;“ Při zpracování osobních údajů v rámci podniku si zaměstnavatel v prvé řadě musí uvědomit, jaká bezpečnostní opatření již byla v podniku implementována a zda by jich nemohl využít i pro zabezpečení osobních údajů. Další krok spočívá v určení, kdo na jakém postu za co odpovídá, nebo-li kteří zaměstnanci přicházejí v rámci své pracovní náplně do styku s osobními údaji. Dále je třeba stanovit, kteří pracovníci ponesou odpovědnost za zpracování osobních údajů a kdo bude provádět interní kontrolu zpracování. V podniku lze za jedno z nejdůležitějších organizačních bezpečnostních opatření považovat bezpečnostní směrnici. V praxi se naneštěstí poměrně často setkáme s tím, že tento interní předpis slouží pouze k přenesení odpovědnosti za určitou činnost na konkrétní osobu. Bezpečnostní směrnice, se kterou je třeba seznámit každého zaměstnance, by ale měla fungovat jako živý nástroj ochrany osobních údajů a deklarovat tak, že danému podniku není tato problematika lhostejná. Za porušení zákona odpovídá a s tím spojené následky nese správce osobních údajů, tedy zaměstnavatel. V bezpečnostní směrnici může zaměstnavatel stanovit zvláštní povinnost některých zaměstnanců (logicky těch, kteří přichází s osobními údaji do styku) pro případ, že by nedodrželi své povinnosti a způsobili, že prováděným zpracováním by byl porušen zákon. Směrnice by rovněž měla prezentovat celou organizační strukturu ochrany osobních údajů (který zaměstnanec za co odpovídá, definovat práva a povinnosti zaměstnanců, určit, za jakých konkrétních podmínek a v jakém rozsahu mohou zaměstnanci osobní údaje zpracovávat atd.), včetně určení správce pro celý podnik (správce databáze zákazníků, bezpečnostní manažer, personalista apod., zde záleží na typu zpracovávaných údajů). 33 Důležitým prostředkem k ochraně osobních údajů je povinnost mlčenlivosti, která podle § 15 zákona o ochraně osobních údajů dopadá nejen na všechny zaměstnance správce a zpracovatele, ale rovněž na každou osobu, která přišla s osobními údaji do styku, např. v rámci plnění zákonem uložených povinností (zaměstnanci kontrolních orgánů, policisté atd.). Povinnost se týká osobních údajů i jejich zabezpečení a trvá i po skončení

33

Šlaisová J., Rataj L.: Postup k praktickému řešení ochrany osobních údajů v podniku a jeho IS, Asociace firem pro ochranu informací (AFOI): Bezpečnost informačních systémů a uživatelé (sborník příspěvků 10. semináře), Praha: AFOI, 2001, 64 str.

52

pracovního poměru. Pro výkon určitých činností ukládají navíc povinnost mlčenlivosti přímo zvláštní zákony (např. pro zaměstnance banky nebo pojišťovny, advokáty, lékaře a další). Nesprávně však postupují zaměstnavatelé, kteří nutí své zaměstnance k podpisu závazku o absolutní mlčenlivosti o osobních údajích, neboť takový závazek nelze dost dobře splnit. Na zpracování osobních údajů se totiž u zaměstnavatele většinou podílí více osob (např. celé personální nebo obchodní oddělení) a pro výkon práce příslušných zaměstnanců je nezbytné, aby si nashromážděné osobní údaje sdělovali a předávali (např. zaměstnanci, kteří uzavírají smlouvy na závěr pracovního dne předají uzavřené smlouvy nebo pouze přehled uzavřených smluv a informace o nově získaných klientech svému nadřízenému). Zaměstnavatel měl pravděpodobně při zavazování zaměstnanců mlčenlivostí v úmyslu vyloučit předávání zpracovávaných osobních údajů jiným osobám, než dalším pověřeným zaměstnancům (kolegům) a snížit tak riziko zneužití zpracovávaných osobních údajů, ale v uvedeném případě zvolil nesprávnou formulaci. Každý zaměstnavatel by si měl uvědomit, že zpracovávaným osobním údajům nehrozí jen nebezpečí zvenčí, ze strany tzv. „hackerů“ nebo osob, které by se vloupali do objektu firmy a data odcizili, ale stejně tak jsou údaje ohroženy „zevnitř“, tedy ze strany vlastních zaměstnanců. Případy, kdy se zaměstnanec záměrně pokusí poškodit zaměstnavatele zničením nebo odcizením důležitých údajů, nejsou nijak ojedinělé. Vzhledem k tomu, že objektivní odpovědnost zaměstnavatele jako správce je spojena s presumpcí viny, nemuselo by se mu podcenění zabezpečení zpracovávaných údajů vyplatit. V dané souvislosti mohu uvést případ, kterým se zabýval Úřad pro ochranu osobních údajů a posléze soud. č.j.: 12/SPR.-2003 Úřadem pro ochranu osobních údajů bylo zjištěno, že u nádob na komunální odpad v jedné pražské čtvrti bylo nalezeno patnáct složek obsahujících osobní a další údaje uchazečů o zaměstnání zaregistrovaných u společnosti zprostředkovávající zaměstnání (dále jen „Společnost“). Jednalo se tedy o osobní údaje podle ust. § 4 písm. a) zákona o ochraně osobních údajů (dále jen „Zákona“) a ze strany Společnosti jako správce osobních údajů tak došlo k porušení jejích zákonných povinností (§ 13 Zákona) a sice tím, že Společnost nepřijala taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, jejich ztrátě nebo jinému zneužití. 53

V průběhu správního řízení bylo dále zjištěno porušení ust. § 9 Zákona neoprávněným zpracováváním citlivých údajů uvedených v § 4 písm. b) Zákona, a sice údajů o zdravotním stavu, trestné činnosti (bezúhonnosti) a národnostním původu. Ustanovení § 9 písm. a) Zákona jednoznačně definuje povinnost správce opatřit si výslovný písemný souhlas subjektu údajů se zpracováním citlivých údajů o jeho osobě, z něhož musí být zřejmé, k jakým údajům je dáván, jakému správci, k jakému účelu, na jaké období a kdo jej poskytuje. V nalezených osobních složkách uchazečů o zaměstnání bylo navíc zjištěno používání citově zabarvených, vulgárních a hanlivých slov při hodnocení jednotlivých uchazečů konzultanty Společnosti, čímž došlo k porušení § 10 Zákona, podle kterého má správce při zpracování osobních údajů dbát, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti. Na základě zjištěných skutečností vyměřil Úřad Společnosti pokutu ve výši 500.000,- Kč. Šetřením se zjistilo, že všechny nalezené složky obsahovaly osobní údaje uchazečů v rozsahu jméno, příjmení, datum narození, rodné číslo, č. OP, bydliště, čísla telefonů, pohlaví, počet dětí, státní příslušnost, údaje o předchozích zaměstnavatelích, test znalosti jazyků a fotografie, dále profesní životopisy jednotlivých uchazečů, průvodní dopisy, přihlášky k evidenci ve Společnosti, písemné jazykové testy, zprávy z absolvovaných ústních pohovorů a písemné hodnocení uchazeče konzultantem Společnosti, který s uchazečem pohovor prováděl. (tedy osobní údaje ve smyslu ust. § 4 písm. a) Zákona), ale i citlivé údaje (ust. § 4 písm. b) Zákona) v rozsahu národnostní původ, trestná činnost a zdravotní stav. V průběhu dokazování bylo ve správním řízení zjištěno, že složky uchazečů o zaměstnání byly ve Společnosti vedeny jak v počítačové databázi, tak v manuální podobě. Přitom nebyla vedena žádná evidence manuálních složek obsahujících osobní údaje v období od jejich vyplnění uchazečem až do vlastní skartace složky po uplynutí dvouleté archivační doby. V období jednoho roku Společnost se složkami pracuje (předkládá nabídky jednotlivým klientům a reaguje na jejich požadavky) a po uplynutí dané doby by měly být jednotlivé složky (po zaznamenání tohoto stavu 54

v informačním systému) uloženy v archivu a nakonec bez další evidence skartovány. V první etapě jsou složky uloženy v kancelářských skříňkách, od nichž má klíče asistentka Společnosti, případně jsou klíče uloženy na recepci. Během pracovní doby však bývají skříňky běžně otevřeny a přístupny všem pracovníkům. Režim v archivu rovněž spadá do kompetence asistentky, která zajišťuje i vlastní skartaci písemností a má k dispozici jeden z klíčů od archivu (druhý náleží supervizorovi Společnosti). Běžně však vstupovaly do archivu bez doprovodu držitelů klíčů i jiné osoby, které si potřebovaly například vyhledat složky, se kterými chtěly pracovat, nebo je naopak uložit, přičemž mohly bez problémů a nepozorovaně odnést z archivu i další složky. Jednotlivé složky byly totiž v archivu uloženy v papírových krabicích, na kterých byl označen pouze měsíc a rok jejich pořízení, dále nebyla vedena žádná evidence o uložených nebo zapůjčených složkách, ani o vstupu do archivu. Samotná skartace se prováděla nepravidelně dvakrát do roka a to tak, že byly z archivu vyzvednuty označené krabice za určité období, písemnosti v nich obsažené fyzicky skartovány a následně vymazány z počítačové databáze. Nalezené složky již nebyly vedeny v počítačové evidenci, to znamená, že měly být de facto i fyzicky skartovány, což se ovšem nestalo. Z provedeného dokazování tedy vyplynulo, že Společnost jako správce osobních údajů nesplnila povinnost uloženou jí Zákonem, neboť nepřijala taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich ztrátě, jakož i k jejich jinému zneužití, čímž závažně porušila § 13 Zákona. Jak jsem již uvedla v úvodu, z nalezených osobních složek uchazečů a provedeného šetření vyplynulo, že od uchazečů byly vyžadovány a zpracovávány i citlivé údaje o zdravotním stavu, trestné činnosti a národnostním původu (§ 4 písm. b) Zákona). U prvních dvou jmenovaných sice Společnost vyžadovala citlivé údaje pouze jako negativní informace, tedy v podobě: trestán – „ne“, zdráv – „ano“, naprosto evidentní je však zpracování citlivého údaje o národnostním původu (národnost „Polská“, „Slovenská“, a další). Tyto údaje byly přitom zpracovány bez výslovného souhlasu subjektu údajů, ze strany Společnosti tak došlo k porušení § 9 písm. a) Zákona. Složky navíc 55

obsahovaly i závěrečná hodnocení jednotlivých uchazečů ze strany konzultantů Společnosti za použití citově zabarvených, vulgárních a hanlivých výrazů. Uvedený postup je v rozporu s ust. § 10 Zákona, které ukládá správci dbát při zpracování osobních údajů na to, aby subjekt údajů neutrpěl újmu na svých právech, zejména na zachování lidské důstojnosti. Při rozhodování o udělení sankce při dolní hranici zákonné sazby (horní hranice činí 10 milionů Kč) bylo Úřadem přihlédnuto mimo jiné ke skutečnostem, že citlivé údaje o zdravotním stavu a trestné činnosti nezpracovávala Společnost v konkrétní pozitivní podobě, ale pouze v podobě negativní („ano-ne“). Úřad vzal také v úvahu, že údaj o zdravotním stavu uchazeče někteří zaměstnavatelé standardně vyžadují (např. v oblasti potravinářství) a Společnost tuto skutečnost ve snaze doporučit vhodného uchazeče akceptovala. Stejně tomu bylo v případě trestné činnosti uchazeče, údaj o národnostním původu pak byl vyžadován spíše z předpokladu uchazečovi znalosti cizího jazyka. Společnost ovšem nezabezpečila přijetí opatření nezbytných k dosažení souladu jejího zpracování osobních údajů se Zákonem. Společností podaný rozklad byl rozhodnutím předsedy Úřadu zamítnut a napadené rozhodnutí potvrzeno. Společnost v rozkladu uvedla, že v průběhu řízení nebylo zjištěno, kdy a jakým způsobem se příslušné složky dostaly z dispozice Společnosti (tedy zda k tomu došlo opravdu porušením zákonných povinností ze strany Společnosti, nebo např. v důsledku trestného činu třetí osoby). Podle názoru Společnosti nelze ze samotného nálezu předmětných složek bez dalšího dovozovat porušení povinností na ochranu osobních údajů. Společnost se dále domnívá, že v souladu s vnitřním předpisem jsou všichni její zaměstnanci v zákonu odpovídajícím rozsahu vázáni povinnostmi pro ochranu osobních údajů a že opatření přijatá ve Společnosti jsou pro ochranu zpracovávaných osobních údajů přiměřená. Podle názoru předsedy Úřadu je však z protokolu o ústním jednání v sídle Společnosti zřejmé, že Společnost neplnila řádně povinnosti uložené správci osobních údajů podle § 13 Zákona. Opatření přijatá vnitřním předpisem č. 1/2003 ze dne 20. srpna 2001, který byl aktualizován 1. 56

ledna 2003, s názvem „Organizační řád zpracování osobních údajů uchazečů o zaměstnání“ dílčím způsobem formálně upravil organizační, personální a technické podmínky zabezpečení osobních údajů, včetně stanovení podmínek pro zpracování osobních údajů zaměstnanců, nicméně fakticky neexistovala evidence osobních složek vedených manuálně při zpracování osobních údajů jednotlivými konzultanty – zaměstnanci Společnosti. Svědeckými výpověďmi bylo dokázáno, že odpovědní zaměstnanci neměli přehled o pohybu jednotlivých spisů (pokud je nevydali osobně), dále pak nebyla vedena žádná evidence o složkách uložených v archivu a jejich zapůjčování. Další vnitřní předpis Společnosti ze dne 2. ledna 2002 vydaný pod číslem 15/2002 s názvem „Předpisy pro zacházení s dokumentací uchazečů o zaměstnání“ sice upravoval pravidla ochrany nashromážděných informací o uchazečích o zaměstnání, která byla závazná pro všechny zaměstnance Společnosti, ovšem jak bylo v průběhu dokazování zjištěno, skartace byla prováděna nesystémově a nepravidelně. Nalezené spisy s osobními údaji, které fyzicky existují, měly být podle evidence již dávno skartované. Předseda Úřadu jako odvolací orgán se neztotožnil ani s argumentací Společnosti uvedenou v rozkladu, která se týkala zpracovávání citlivých údajů a která odkazovala na shora uvedený vnitřní předpis č. 1/2003, v němž se v části druhé nazvané „Povinnosti při zpracování údajů“ v bodě 5. výslovně uvádí, že „Společnost nezpracovává osobní údaje ve smyslu zákona.“ V rámci provádění důkazů byly zjištěny na základě spisů vedených Společností o jejích klientech i další skutečnosti, odůvodňující rozhodnutí Úřadu, a sice že věc bude nadále vedena rovněž jako porušení § 9 písm. a) a § 10 zákona o ochraně osobních údajů. Podle názoru předsedy Úřadu je třeba přihlédnout i ke skutečnosti, že citlivé osobní údaje, jejichž výčet je uveden v ustanovení § 4 písm. b) zákona o ochraně osobních údajů, jsou zvláštním druhem údajů, jejichž případné zneužití mívá obzvláště závažné důsledky pro soukromý a osobní život subjektů údajů. Tím, že Společnost nesplnila povinnosti stanovené v § 13 zákona o ochraně osobních údajů, došlo ke ztrátě spisů s osobními údaji, včetně údajů citlivých, uchazečů o zaměstnání, přičemž 57

tyto spisy obsahovaly i hanlivé či citově zabarvené výroky o jednotlivých klientech, čímž Společnost porušila i § 10 zákona o ochraně osobních údajů, neboť zjevně nedbala na ochranu lidské důstojnosti a ochranu před zásahem do soukromého a osobního života jednotlivých klientů. Společnost nenapadla nezákonnost rozhodnutí Úřadu v meritu věci, ani vadný průběh řízení nebo nesprávné zjištění skutkového vztahu věci, zaměřila se na výši uložené pokuty, která by podle názoru Společnosti paralyzovala její činnost. Z dokumentů týkajících se ekonomického hospodaření Společnosti (výsledných zpráv o ekonomickém hospodaření za rok 2001, rok 2002 a první pololetí roku 2003 a ekonomické rozvahy na rok 2002 a první pololetí roku 2003) dospěl Úřad k závěru, že uložená pokuta ve výši 500.000,- Kč není pokutou likvidační.

8.3

Povinnost zaměstnavatele při ukončení zpracování

Jestliže zaměstnavatel hodlá ukončit svou činnost a na jím prováděné zpracování osobních údajů se vztahovala oznamovací povinnost, musí Úřadu pro ochranu osobních údajů oznámit, jak se zpracovávanými osobními údaji naložil. Tuto povinnost stanoví všem správcům osobních údajů § 19 zákona o ochraně osobních údajů. Jakmile pomine účel zpracování osobních údajů, musí zaměstnavatel jako správce, nebo na jeho příkaz zpracovatel, zlikvidovat nashromážděné osobní údaje. Uvedené můžeme dovodit z výše uvedené zásady, že osobní údaje mohou být zpracovávány pouze po dobu, která odpovídá účelu jejich zpracování (§ 5 odst. 1 písm. e) zákona o ochraně osobních údajů). Cílem likvidace osobních údajů je jejich neexistence pro další zpracování. Osobní údaje mohou být zlikvidovány fyzickým zničením jejich nosiče (skartací nebo spálením listin, zlomením diskety atd.), vymazáním (vymazáním znaků ze souboru nebo vymazáním celého souboru při automatizovaném zpracování, dále vygumováním nebo začerněním, pokud jsou údaje vedeny na papíře, atd.). Podle důvodové zprávy k zákonu „za likvidaci není možné považovat takový způsob, po jehož aplikaci by přesto bylo možno, např. jinými technickými prostředky, tyto údaje jakkoli obnovit, aby měly charakter osobních údajů.“ V této souvislosti mě napadá vymazání osobních údajů subjektu ze souboru uloženého v počítači, nikoliv však vymazání úplné – tedy z paměti počítače, ale pouze přenesením vymazávaných dat do tzv. „koše“. Z příslušného souboru tedy data zmizí,

58

nicméně půjdou obnovit (informace uložené v “koši“ lze až do jejich smazání i z tohoto umístění opětovně otevřít a použít).

8.4

Povinnosti zpracovatele

Protože zpracovatel přichází s osobními údaji do styku v podstatě ve stejném rozsahu jako správce, platí zásada, že při zpracování osobních údajů se na něj přiměřeně vztahují povinnosti správce. Povinností zpracovatele při zpracování osobních údajů se týká především § 7 a § 8 zákona o ochraně osobních údajů. Důvodovou zprávou k zákonu jsou povinnosti zpracovatele zkráceně formulovány jako zajištění zpracování osobních údajů podle zákona (zpracovatel totiž, jak jsem již uvedla výše, nerozhoduje o účelu zpracování, ani o prostředcích, nemá oznamovací povinnost atd., tyto specifické povinnosti přísluší výhradně správci). Kromě obecných povinností souvisejících se zpracováním osobních údajů ukládá zákon o ochraně osobních údajů v § 8 zpracovateli další povinnost, a sice aby při zjištění, že správce porušuje zákonem stanovené povinnosti v souvislosti s ochranou osobních údajů, neodkladně správce o tomto zjištění informoval a ukončil zpracování osobních údajů pro tohoto správce (např. aby okamžitě přestal zakládat nové údaje do evidence vedené pro správce). Pokud by totiž ve své činnosti nepřestal (např. nadále by od správce přebíral a dále zpracovával osobní údaje, o nichž by věděl, že k jejich zpracování správce nezískal od subjektu údajů souhlas, a nešlo by o výjimku z této povinnosti), odpovídal by za škodu vzniklou tímto jednáním subjektu údajů společně a nerozdílně se správcem. Nezávisle na tom by mohl být navíc postižen pokutou za správní delikt podle zákona o ochraně osobních údajů, neboť odpovědností za škodu vzniklou subjektu údajů není dotčena odpovědnost zpracovatele podle zákona o ochraně osobních údajů. V jednotlivých ustanoveních zákona jsou pak výslovně stanoveny povinnosti platící pro zpracovatele osobních údajů. Jak jsem uvedla shora, jedná se o obecné povinnosti při zpracování osobních údajů, a sice: • povinnost dbát, aby subjekt osobních údajů neutrpěl újmu na svých právech. Ustanovení § 10 zákona o ochraně osobních údajů v této souvislosti klade důraz na právo subjektu na zachování lidské důstojnosti a na ochranu před neoprávněným zasahováním do jeho soukromého a osobního života. Citovaný § 10 můžeme v souvislosti se zpracováním osobních údajů označit za generální interpretační klauzuli. • povinnost přijmout bezpečnostní opatření, „aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich 59

neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů“. O této povinnosti uložené ustanovením § 13 zákona o ochraně osobních údajů jsem podrobně pojednala v souvislosti s povinnostmi správce při zpracování osobních údajů. Na tomto místě bych ráda podotkla, že stejně jako pro správce platí uvedená povinnost pro zpracovatele i po ukončení zpracování osobních údajů. • povinnost stanovit rozsah zpracování a podmínky, za nichž zaměstnanci zpracovatele a jiné osoby zpracovávající osobní údaje na základě smlouvy uzavřené se zpracovatelem, mohou osobní údaje zpracovávat (§ 14 zákona). Tuto povinnost nemá zpracovatel jen vůči svým zaměstnancům a výše uvedeným osobám, ale i vůči samotnému správci. • povinnost zlikvidovat na základě pokynu správce zpracovávané osobní údaje, jakmile pomine účel jejich zpracování nebo požádá-li o to subjekt údajů podle § 21 zákona o ochraně osobních údajů. Zpracovatel má ještě další povinnosti vyplývající z práv subjektů údajů, která jim zákon o ochraně osobních údajů přiznává. O těchto podrobně pojednám v následující části.

60

9 9.1

PRÁVA SUBJEKTU ÚDAJŮ Vymezení pojmu

Zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech používal obrat „dotčená osoba“, ten však nová právní úprava v podobě zákona č. 101/2000 Sb., o ochraně osobních údajů, nahradila výstižnějším výrazem „subjekt údajů“. Tento pojem jednak již svým názvem vyjadřuje vztah určité fyzické osoby k o ní vypovídajícím údajům, dále jasně vymezuje, čím se od jiných fyzických osob odlišuje (např. od těch, které osobní údaj zpracovávají) a navíc je srozumitelnější a současně srovnatelný se zahraniční právní úpravou, a tedy praktičtější pro mezinárodní spolupráci. Zákon o ochraně osobních údajů rozumí subjektem údajů „fyzickou osobu, k níž se osobní údaje vztahují“ (§ 4 písm. d) zákona). Přitom není rozhodující, zda se jedná o občana České republiky nebo o cizince, nerozhoduje věk, ani skutečnost, zda má dotyčná osoba zachovánu způsobilost k právním úkonům. Z našeho pohledu bude subjektem údajů zaměstnanec nebo uchazeč o zaměstnání u zaměstnavatele. Subjektu údajů obecně přiznává český zákon o ochraně osobních údajů, stejně jako mezinárodní a jiné zahraniční předpisy týkající se ochrany osobních údajů, práva. Obecně bychom tedy mohli konstatovat, že zaměstnanec jako subjekt údajů má jen práva, nikoliv povinnosti, svých práv se ovšem může domáhat pouze za podmínek stanovených zákonem. Ale zdání klame. I přes to, že právní normy subjektu údajů povinnosti neukládají, jsou v nich skrytě obsaženy, dokonce v samotném zákoně o ochraně osobních údajů. Na tomto místě mohu uvést např. § 5 odst. 1 písm. c), který stanovuje povinnost správce zpracovávat pouze přesné osobní údaje. S tím je neodmyslitelně spojena oznamovací povinnost subjektu údajů, zejména pokud jde o identifikační a kontaktní údaje (zaměstnanec má povinnost nahlásit zaměstnavateli např. změnu svého bydliště a dalších údajů, které potom zaměstnavatel nahlásí dalším institucím, např. Správě sociálního zabezpečení). Současná situace, kdy v zákoně o ochraně osobních údajů nejsou výslovně formulovány povinnosti zaměstnanců jako subjektů údajů, ale z jednotlivých ustanovení je můžeme pouze logicky vyvodit, by se měla podle mého názoru do budoucna změnit. Zaměstnavatelé řeší tento problém tak, že zpravidla stanovují povinnost zaměstnanců informovat o změnách osobních údajů do pracovních řádů. Úmluva 108 v definičním čl. 2 pouze uvádí, že „osobní údaje znamenají každou informaci týkající se identifikované nebo identifikovatelné fyzické osoby,“ čímž sice vyjádřila zvláštní postavení fyzické osoby, ale nedefinuje 61

přímo subjekt osobních údajů, tak jak to činí česká právní úprava. Úprava Směrnice 95/46/ES se Úmluvě 108 velmi podobá.

9.2 9.2.1

Jednotlivá oprávnění Právo na informace o zpracování

V právním vztahu mezi dvěma subjekty odpovídá povinnosti jednoho subjektu oprávnění druhého. Stejná relace logicky existuje i mezi zaměstnancem jako subjektem údajů a zaměstnavatelem jako správcem. Informační povinnost správce vůči subjektu údajů upravuje § 11 zákona o ochraně osobních údajů. V kapitole o povinnostech správce jsem rozebrala povinnost získat souhlas subjektu údajů se zpracováním osobních údajů, včetně výjimek z této povinnosti upravených v § 5 odst. 2 zákona o ochraně osobních údajů. Současně s posouzením, zda a v jakém rozsahu musí správce získat předem souhlas subjektu údajů správce posuzuje, v jaké míře se na něj vztahuje informační povinnost. Situaci můžeme jednoduše popsat tak, že subjekt údajů má vždy právo na informace o shromažďovaných osobních údajích („co“), správci a případně zpracovatelích („kdo“), k jakému účelu a jak dlouho budou jeho osobní údaje zpracovávány a komu budou předávány („jak“). Pokud tyto informace nejsou součástí formulace souhlasu subjektu údajů se zpracováním (nebo se na ně nevztahuje zákonem stanovená výjimka), musí je získat jako „čistou informaci“.34 Zde se dostáváme právě k § 11 zákona o ochraně osobních údajů, který v odst. 1 stanoví: „Správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy.“ Tedy jak jsem napsala výše, pokud se subjekt údajů danou informaci nedozvěděl již v rámci poskytování souhlasu se zpracováním. Krom toho musí správce subjekt údajů poučit o tom, zda je povinen osobní údaje poskytnout, nebo zda je to ponecháno na vůli subjektu údajů a jaké následky pro něj bude mít odepření poskytnutí osobních údajů, jestliže je tato povinnost subjektu stanovena zvláštním zákonem. Podmínky, za nichž není správce povinen poskytovat informace a poučení, jestliže získal zpracovávané údaje z jiných zdrojů, než od sa-

34

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

62

motného subjektu údajů, upravuje odstavec 3 zmíněného ustanovení zákona. Jde o tyto případy: • Správce zpracovává osobní údaje výlučně pro účely statistické, vědecké nebo archivní a poskytnutí takových informací by bylo spojeno s nepřiměřenými náklady. Dále potom v situaci, kdy ukládání na nosiče informací nebo zpřístupnění ukládá zvláštní zákon. Zde je ovšem správce povinen přijmout vhodná bezpečnostní opatření proti neoprávněným zásahům do soukromí subjektů údajů. • Zpracování osobních údajů ukládá správci zvláštní zákon, nebo je toho třeba ke splnění povinnosti případně uplatnění práva stanoveného zvláštním zákonem. • Správce zpracovává jen oprávněně zveřejněné osobní údaje. • Správce zpracovává osobní údaje získané se souhlasem subjektu. Myslím si, že by taková úprava neměla činit interpretační potíže. Bez toho, aby správce o zpracování osobních údajů subjekt údajů informoval, by totiž nemohl získat jeho souhlas s konkrétním nakládáním s osobními údaji. Souhlas subjektu údajů proto bývá označován jako tzv. „informovaný souhlas“.

9.2.2

Právo nesouhlasit se zpracováním

Jestliže se na konkrétní případ nevztahuje některá z výjimek uvedených v § 5 odst. 2 zákona o ochraně osobních údajů, nemůže správce zpracovávat osobní údaje bez souhlasu subjektu údajů. Z odst. 4 si pak můžeme dovodit, že ze souhlasu musí vyplývat, v jakém rozsahu jej subjekt údajů poskytuje (pro jaký účel a k jakým osobním údajům). Správce by se tedy měl vyvarovat formulace „osobní údaje“ a měl by naopak přesně vymezit, pro nakládání s jakými údaji žádá od subjektu údajů souhlas. Informovaný souhlas je vědomý projev vůle subjektu údajů, jímž subjekt údajů svoluje ke zpracování svých vlastních osobních údajů a zároveň je informován o tom, komu a k jakému účelu bude zpracovaný údaj sloužit a po jakou dobu. Souhlas se zpracováním osobních údajů nemá subjekt údajů poskytnout, pokud formulace souhlasu předložená mu správcem nesplňuje výše uvedené parametry. Pokud však subjekt údajů přesto souhlas se zpracováním svých osobních údajů udělí, neboť jeho neudělení shledal pro svou osobu za daných podmínek nevýhodným nebo nemožným, může se dodatečně domáhat nápravy u správce, nebo se může obrátit na dozorový orgán. Tento postup je označován jako uplatnění principu „opt-in“. Princip předchozího souhlasu však zákonodárce pro některé případy částečně oslabil nebo opustil a nahradil jej principem předpokládaného souhlasu – tzv. „opt-out“, za který se považuje výslovné nevyjádření ne63

souhlasu.35 Tím samozřejmě došlo k oslabení postavení subjektu údajů v rozhodování o zpracování jeho vlastních osobních údajů. Zde opět můžeme uvést jako modelový příklad situaci, kdy by správce hodlal zpracovávat osobní údaje subjektů pouze za účelem nabízení obchodu nebo služeb. Jak jsem již uvedla výše, může k takovému záměru využít jmen, příjmení a kontaktních údajů jednotlivých osob získaných v souvislosti se svou činností nebo z veřejných seznamů a tyto používat k deklarovaným účelům do doby, než s tím konkrétní osoba vysloví písemně nesouhlas. I poté však může tyto osobní údaje dále zpracovávat, tentokrát však pouze pro svou osobní potřebu, aby se do budoucna nestalo, že bude údajů nesouhlasícího subjektu k učinění nabídek opětovně použito.

9.2.3

Právo na přístup k osobním údajům

Pro splnění informační povinnosti podle § 11 odst. 1 zákona o ochraně osobních údajů musí správce poučit subjekt údajů o právu přístupu k osobním údajům o něm zpracovávaným. Vlastní obsah práva přístupu upravuje § 12 zákona. Informace o osobních údajích správce subjektu údajů poskytuje jen na základě žádosti subjektu, přičemž může za jejich poskytnutí požadovat přiměřenou úplatu. Její výši přitom stanoví sám správce, nesmí však překročit účelně vynaložené náklady na provedené úkony, tedy na vyhledání, sestavení či jiné zpracování informace, poštovné atd. Podle druhého odstavce zmíněného ustanovení musí informace obsahovat sdělení o: • účelu prováděného zpracování; • druzích zpracovávaných osobních údajů včetně všech dostupných informací o jejich zdroji; • povaze automatizovaného zpracování; • příjemcích zpracovávaných údajů. Zákon o ochraně osobních údajů stejně jako Úmluva č. 108 a Směrnice 95/46/ES připouští omezení práva na přístup k osobním údajům. Důvody pro omezení jsou ty, které obecně zakládají další omezení v souvislosti s působností právních předpisů pro ochranu osobních údajů. Když uvážíme, že právo na ochranu osobních údajů zakotvuje na ústavní úrovni Listina základních práv a svobod jako základní lidské právo, může jít pouze o omezení, které stanoví zákon, jestliže se jedná o opatření v demokratické společnosti nezbytné pro ochranu veřejné bezpečnosti

35

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

64

a pořádku, zdraví a mravnosti nebo práv a svobod druhých. Obdobnou úpravu najdeme v čl. 9 Úmluvy 108., podle kterého: „Odchylka od ustanovení článků 5, 6 a 8 této Úmluvy je přípustná, jestliže taková odchylka je stanovena zákonem smluvní strany a představuje nezbytné opatření v demokratické společnosti v zájmu: a) ochrany bezpečnosti státu, veřejné bezpečnosti, měnových zájmů státu nebo potírání trestné činnosti b) ochrany subjektu údajů nebo práv a svobod jiných osob.“ Jako příklad zákonného omezení mohu uvést § 19 zákona č. 153/1994 Sb., o zpravodajských službách České republiky, podle kterého Úřad pro zahraniční styky a informace a Vojenská zpravodajská služba skutečnost o vedení evidence o fyzických a právnických osobách ani její obsah těmto osobám nesdělují. Stejně tak Bezpečnostní informační služba podle § 16 zákona č. 154/1994 Sb., o Bezpečnostní informační službě, nesděluje informace o vedení evidence osob ani její obsah. Po novele obsahuje podrobnou úpravu přístupu k osobním údajům i zákon č. 283/1991 Sb., o Policii České republiky. Právo přístupu je zde upraveno v mezích stanovených Úmluvou č. 108, a sice: „Policie je povinna, jakmile tím již není ohroženo plnění úkolů policie v souvislosti s trestním řízením, osobě sdělit, že zpracovává její osobní údaje, nebo provést likvidaci jejích osobních údajů.“ 36

9.2.4

Práva subjektu údajů domáhat se ochrany svých práv

Pokud dojde k porušení práv nebo právem chráněných zájmů fyzických osob, mohou se dovolávat ochrany na základě předpisů soukromého práva (typicky občanského zákoníku). Zákon o ochraně osobních údajů ve svém § 21 odst. 5) stanoví, že pokud subjektu údajů vznikla v souvislosti se zpracováním osobních údajů jiná než majetková újma, bude se na uplatnění jeho nároku aplikovat zvláštní zákon, přičemž je zde odkazováno na občanský zákoník. Úprava ochrany osobnosti v rámci § 11 až 16 občanského zákoníku má ale, jak již ze samotného názvu vyplývá, širší věcnou působnost. Každé nakládání s osobními údaji také nemůžeme subsumovat pod úpravu zákona o ochraně osobních údajů. Občanskoprávní ochrana osobnosti tak bude použitelná i v případech, kdy se subjekt údajů nemůže domáhat svých práv podle § 21 zákona o ochraně osobních údajů (viz. níže), např. v situaci, kdy osoba nakládající s osobními údaji nebude správcem. Ve věcech vzniklé škody (tedy majet-

36

§ 42g odst. 4 zákona č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů

65

kové újmy vyjádřitelné v penězích) odkazuje § 25 zákona o ochraně osobních údajů na obecnou úpravu náhrady škody obsaženou v občanském a obchodním zákoníku. Nároky, které subjekt údajů vznáší vůči správci nebo zpracovateli a uplatňuje v případě, že porušili některou z povinností, které jim ukládá zákon o ochraně osobních údajů, můžeme vzhledem k výše uvedenému zařadit do kategorie soukromoprávní ochrany. Zákon o ochraně osobních údajů však přináší novum v podobě zavedení veřejnoprávní ochrany osob. Poškozený subjekt údajů se totiž může obrátit i na Úřad pro ochranu osobních údajů se žádostí o zajištění opatření k nápravě, což logicky může vést a zpravidla vede k zahájení kontroly prováděné pracovníky Úřadu pro ochranu osobních údajů u jednotlivých správců a zpracovatelů. Zákon o ochraně osobních údajů vymezuje pro subjekt údajů prostředky ochrany před protiprávním jednáním správce nebo zpracovatele v § 21. Uvedené právo subjektu údajů se aktivuje, zjistí-li subjekt, nebo domnívá-li se, že došlo ke zpracování osobních údajů v rozporu s ochranou jeho soukromého a osobního života, nebo že je zpracování v rozporu se zákonem, nebo jím došlo k porušení zákonných povinností při zpracování osobních údajů. Subjekt údajů má v takové situaci dvě možnosti: • může se obrátit přímo na Úřad pro ochranu osobních údajů, nebo • zkusit řešit situaci přímo se správcem případně zpracovatelem. Pokud zvolí druhou variantu, avšak správce nebo zpracovatel nevyhoví jeho žádosti, může se subjekt údajů následně obrátit přímo na Úřad. Bude tedy věcí každého jednotlivce, aby uvážil, kterou cestu ochrany svých práv zvolí. Myslím si, že rozhodující bude nejen vážnost způsobené újmy, ale také vzájemné vztahy mezi správcem (zaměstnavatelem) a subjektem údajů (zaměstnancem). Po správci nebo zpracovateli může subjekt údajů vyžadovat: • aby mu poskytli náležité vysvětlení • aby odstranili vzniklý stav. Zde zákon uvádí „zejména“ blokování údajů, opravu zpracovávaných údajů (to je současně v zájmu jak správce, tak zpracovatele, neboť tito musí ke splnění zákonných povinností zpracovávat pouze přesné osobní údaje, ale o tom jsem pojednala již výše), doplnění nebo likvidaci osobních údajů. Jak jsem shora zdůraznila, zákonodárce použil v ustanovení § 21 odst. 1 písm. b) slovo „zejména“. Z deklaratorní povahy tohoto ustanovení můžeme vyvodit, že subjekt údajů může po správci nebo zpracovateli požadovat i jiné, než v zákoně vymezené operace. Domnívám se, že tato nová zákonná úprava, která nahradila dřívější taxativní výčet možností postiženého subjektu údajů, a kterou přinesla tzv. euronovela, je naprosto vyhovující. V praxi totiž existují nejrůznější situace, kdy se správce nebo 66

zpracovatel dostane při své činnosti do rozporu se zákonem a bude bezesporu hodně záležet na míře jejich negativního zásahu do práv jednotlivých osob a také na způsobu, jakým se správce nebo zpracovatel tohoto zásahu dopustili. Subjektu údajů je tak dán prostor, aby na základě posouzení konkrétní situace požadoval odpovídající jednání správce nebo zpracovatele vedoucí k nápravě vzniklého stavu. Pro úplnost výkladu a současně pro srovnání se mi jeví vhodné uvést na tomto místě dřívější, a jak jsem uvedla, již překonanou úpravu § 21 – dříve obsaženou v odstavci 2). Subjekt údajů měl tehdy právo, došlo-li k porušení povinnosti správcem nebo zpracovatelem, po správci nebo zpracovateli požadovat: • aby se zdrželi závadného jednání, odstranili vzniklý stav, nebo poskytli na vlastní náklady omluvu případně jiné zadostiučinění (např. aby ukončili zpracování jeho údajů, zpracovávali údaje pouze v nezbytném rozsahu, zajistili jejich náležitou ochranu, přestali osobní údaje používat k jinému než deklarovanému účelu atd.), • opravili nebo doplnili zpracovávané osobní údaje (tato možnost byla zachována i v deklaratorním výčtu současné úpravy), • aby osobní údaje zablokovali nebo zlikvidovali (tato možná opatření byla rovněž zachována do dnešních dnů). Zejména šlo o případy, kdy osobní údaje byly získány protiprávně, uplynula doba potřebná k účelům jejich zpracování, údaje byly nashromážděny v rozsahu neodpovídajícím stanovenému účelu zpracování atd. • zaplatili subjektu údajů peněžitou náhradu, jestliže v souvislosti se zpracováním osobních údajů došlo k porušení práva subjektu na lidskou důstojnost, osobní čest, dobrou pověst nebo na ochranu jména. Ustanovení původního písm. d) odráželo úpravu § 13 občanského zákoníku, podle jehož odst. 3) navíc výši náhrady určí soud s přihlédnutím k závažnosti vzniklé újmy a okolnostem, za nichž k porušení práva došlo. Rozhodujícím faktorem bylo a je, že subjekt údajů utrpěl v souvislosti s jednáním správce nebo zpracovatele újmu na některém z uvedených práv, nemusela mu tedy vzniknout škoda (majetková újma). Pokud by ale subjekt údajů současně s újmou na svých právech utrpěl i újmu na majetku (např. pokud by byl někdo jmenovitě uveden v seznamu dlužníků nájemného – správce si může vést evidenci osob, vůči nimž má splatné pohledávky pouze pro svou osobní potřebu, nikoliv je zveřejňovat, čímž by porušil právo subjektu údajů na ochranu jeho soukromého a osobního života – může se domáhat peněžité náhrady za porušení pověsti. Kdyby navíc kvůli uveřejnění v takovém seznamu přišla daná osoba o zaměstnání, nebo by bylo zmařeno uzavření smlouvy, má právo na náhradu takto vzniklé škody), může se navíc dožadovat také její náhrady 67

podle příslušných předpisů. Jak jsem uvedla v úvodu této části, podle § 25 zákona o ochraně osobních údajů se totiž v otázkách souvisejících s náhradou škody, které nejsou upraveny zákonem o ochraně osobních údajů, použije obecná úprava odpovědnosti za škodu (na tomto místě je pak odkazováno na úpravu občanského a obchodního zákoníku). Právo subjektu údajů upravené v § 21 zákona o ochraně osobních údajů nekonkuruje žádnému jinému právu a je uplatnitelné nezávisle na jiných právech (zejména právu domáhat se ochrany podle občanského zákoníku).37 Pokud teď tedy ponechám stranou zvláštní úpravu obsaženou v § 21, můžu pro shrnutí pojednání o odpovědnosti správce nebo zpracovatele uvést následující: • vznikla-li subjektu údajů v důsledku zpracování osobních údajů jiná než majetková újma, postupuje se při uplatňování jeho nároku podle občanského zákoníku (§ 21 odst. 5 zákona o ochraně osobních údajů); • vznikla-li subjektu údajů škoda, bude se aplikovat úprava občanského nebo obchodního zákoníku. V současné úpravě vypuštěná úprava dřívějšího odstavce 3) pak přímo koncipovala odpovědnost správce a zpracovatele, došlo-li k porušení povinností z jejich strany, na objektivním principu s možností liberace. Nezáleželo tedy na zavinění, podstatné bylo, že v důsledku činnosti správce nebo zpracovatele došlo k porušení zákona. Pokud by však porušení uložené povinnosti nemohli zabránit ani při vynaložení veškerého úsilí, které se od nich v dané souvislosti mohlo vyžadovat, zprostili se své odpovědnosti. Dnes tato úprava přímo v zákoně o ochraně osobních údajů chybí, což považuji za dosti nešťastný výsledek novelizace. Pouhé odkazy na obecnou občanskoprávní a obchodněprávní úpravu totiž mohou vyvolat, zejména u laické veřejnosti, interpretační problémy. Myslím si, že pro naše účely, kdy v roli správce osobních údajů vystupuje zaměstnavatel, použijeme v souvislosti s náhradou škody příslušná ustanovení zákoníku práce o odpovědnosti zaměstnavatele za škodu, která je koncipována na principu objektivní odpovědnosti. Za porušení zákonných povinností odpovídají správce a zpracovatel společně a nerozdílně. Postižený subjekt údajů se může svého nároku domáhat u kteréhokoli z nich, přičemž ten, kdo nárok uspokojí, se následně vyrovná s druhým odpovědným.

37

Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str.

68

10 OSOBNÍ ÚDAJE ZÍSKÁVANÉ PRO PRACOVNĚPRÁVNÍ ÚČELY Nikdo nepochybuje o tom, že osobní údaje a samozřejmě jejich ochrana hrají důležitou roli v oblasti pracovního práva, neboť každý zaměstnavatel zpracovává osobní údaje svých zaměstnanců. Z tohoto důvodu se také zákon o ochraně osobních údajů stal předmětem zájmu zaměstnavatelů a personalistů, kteří ve své každodenní praxi usilují o to, aby se jimi prováděné zpracování nedostalo do rozporu se zákonem a vyhnuli se tak případnému postihu ze strany Úřadu pro ochranu osobních údajů. Myslím si ale, že stejně jako zaměstnavatelé a jiné osoby zpracovávající osobní údaje mají znát své zákonné povinnosti, stejně tak zaměstnanci by se měli aktivně zajímat o oblast ochrany osobních údajů a měli by si být vědomi oprávnění, která pro ně ze zákonů a jiných právních předpisů vyplývají. Jinak totiž nemohou efektivně chránit své osobní údaje. Svých práv neznalým zaměstnancům nezbude, než aby se spoléhali na to, že jejich zaměstnavatel, případně jiná osoba zpracovávající pro zaměstnavatele osobní údaje, dodrží své zákonné povinnosti. Jestliže si jako zaměstnanec budu vědoma skutečnosti, že zaměstnavatel např. smí zpracovávat pouze osobní údaje odpovídající účelu zpracování, neposkytnu mu dobrovolně údaje, u kterých tomu tak není. Smutným faktem zůstává, že hodně zaměstnanců nemá ani základní právní povědomí o ochraně svých osobních údajů a vůbec netuší, jaké možnosti mají v případě, kdy zjistí, že zaměstnavatel např. nějakým způsobem zneužívá osobní údaje o nich nashromážděné, že zkrátka porušuje své zákonné povinnosti. Z pohledu zaměstnavatele můžeme rozdělit shromažďování osobních údajů o fyzických osobách do tří časových rovin: • při výběru budoucího zaměstnance • před uzavřením pracovního poměru • za trvání pracovního poměru38

10.1

Osobní údaje shromažďované při výběru zaměstnance

Asi každý z nás se ve svém životě zúčastnil výběrového řízení v roli uchazeče o zaměstnání. Menší procento již v roli zaměstnavatele případně jím pověřené osoby (personalisty), který se snaží vybrat nejvhodnějšího kandidáta na obsazení dané pozice. Za tímto účelem potřebuje zaměstnavatel o jednotlivých fyzických osobách shromáždit pouze takové 38

JUDr. Hana d´Ambrosová: Ochrana osobních údajů v personalistice od roku 2005, 1. vydání, Praha: Pragoeduca, 2005, 87 str.

69

informace, které mu umožní objektivně vybrat nejvhodnějšího uchazeče. V této fázi mívá zaměstnavatel standardně k dispozici osobní údaje obsažené ve strukturovaném životopise (adresné údaje, informace o dosaženém vzdělání, o praxi uchazeče atd.), který mu daný uchazeč zaslal, a které bývají následně doplňovány při ústním pohovoru (tedy za situace, že k němu byl uchazeč v rámci výběrového řízení pozván). Zaměstnavatel však nesmí zapomenout, že kromě ochrany osobních údajů se nesmí dopustit diskriminace jednotlivých uchazečů, nebo-li že nesmí shromažďovat žádné údaje, které by při následném výběru zaměstnance mohly mít diskriminační charakter. Zatímco zákoník práce upravuje zákaz diskriminace v pracovněprávních vztazích (tedy mezi zaměstnavateli a zaměstnanci, případně vedoucími a jim podřízenými zaměstnanci), úpravu nediskriminačního chování ve vztahu mezi zaměstnavatelem a uchazečem o zaměstnání nalezneme v zákoně č. 435/2004 Sb., o zaměstnanosti. Jeho § 4 odst. 2 stanoví: „Při uplatňování práva na zaměstnání je zakázána přímá i nepřímá diskriminace z důvodu pohlaví, sexuální orientace, rasového nebo etnického původu, národnosti, státního občanství, sociálního původu, rodu, jazyka, zdravotního stavu, věku, náboženství či víry, majetku, manželského a rodinného stavu nebo povinností k rodině, politického nebo jiného smýšlení, členství a činnosti v politických stranách nebo politických hnutích, v odborových organizacích nebo organizacích zaměstnavatelů; diskriminace z důvodu těhotenství nebo mateřství se považuje za diskriminaci z důvodu pohlaví. Za diskriminaci se považuje i jednání zahrnující podněcování, navádění nebo vyvolávání nátlaku směřujícího k diskriminaci.“ Shrneme-li výše uvedené, dospějeme k závěru, že zaměstnavateli pro výběr vhodného zaměstnance postačuje strukturovaný životopis jednotlivých uchazečů o zaměstnání. V době, kdy se zaměstnavatel teprve rozhoduje, kterého z uchazečů přijme na volné pracovní místo, by od něj neměl vyžadovat takový rozsah informací jako v situaci, kdy je daná osoba již přijímána a kdy tedy dochází k uzavření pracovního poměru. Takže při výběru zaměstnance by se zaměstnavatelé, ačkoliv to v praxi často dělají, neměli zajímat o rodinný stav uchazeče ani o to, zda má děti, nebo dokonce v jakém časovém horizontu si je plánuje pořídit. Zaměstnavatelé, kteří si vedou databáze uchazečů o zaměstnání, by si měli uvědomit, že se za dané situace nejedná o zpracování osobních údajů upravené zvláštními zákony a nespadá tedy do výjimek upravených v ustanovení § 18 zákona o ochraně osobních údajů. Naopak, v tomto případě musí zaměstnavatel splnit oznamovací povinnost vůči Úřadu pro ochranu osobních údajů v souladu s § 16 zákona.

70

10.2

Osobní údaje shromažďované a zpracovávané před uzavřením pracovního poměru

Dostáváme se do situace, kdy konkrétní uchazeč o zaměstnání byl vybrán na volné pracovní místo a schyluje se tedy k podpisu pracovní smlouvy. K tomuto účelu, ale také ke splnění řady zákonných povinností, musí mít zaměstnavatel k dispozici celou řadu osobních údajů, které bude dále zpracovávat i za trvání pracovního poměru. Opakuji, že zaměstnavatel může osobní údaje zaměstnance používat pouze k deklarovaným účelům, půjde tedy o osobní údaje, které mají vztah k pracovnímu poměru. Žádný zaměstnavatel nesmí shromažďovat a zpracovávat o svých zaměstnancích osobní údaje, které nejsou nezbytně nutné k realizaci pracovněprávního vztahu se zaměstnancem a ani žádné osobní údaje, které nejsou nezbytné k plnění povinnosti zaměstnavatele stanovené mu zvláštním zákonem.39 Těchto zvláštních zákonů je celá řada, na tomto místě mohu připomenout např.: • zákon č. 262/2006 Sb., zákoník práce, ve znění pozdějších předpisů; • zákon č. 435/2004 Sb., o zaměstnanosti, ve znění pozdějších předpisů; • zákon č. 143/1992 Sb., o platu a odměně za pracovní pohotovost v rozpočtových a v některých dalších organizacích a orgánech, ve znění pozdějších předpisů; • zákon č. 218/2002 Sb., o službě státních zaměstnanců ve správních úřadech a o odměňování těchto zaměstnanců a ostatních zaměstnanců ve správních úřadech (služební zákon), ve znění pozdějších předpisů; • zákon č. 100/1988 Sb., o sociálním zabezpečení, ve znění pozdějších předpisů; • zákon č. 155/1995 Sb., o důchodovém pojištění, ve znění pozdějších předpisů. Zaměstnavatelé před uzavřením pracovního poměru (a dále pak za jeho trvání) logicky potřebují více osobních údajů o svém zaměstnanci, než které jim poskytl jako uchazeč o zaměstnání ve svém životopise. Ke zjištění těchto údajů zaměstnavatelé v praxi používají tzv. osobní dotazník. Na tomto místě zdůrazňuji, že osobní dotazník by měl obsahovat i souhlas zaměstnance se zpracováním jeho osobních údajů a jeho prohlášení, že byl v souladu s § 11 zákona o ochraně osobních údajů a § 37 zákoníku práce zaměstnavatelem informován o účelu zpracování poskytnutých údajů, stejně tak o svých a zaměstnavatelových právech při jejich zpracování. Prohlášení, které zaměstnanec podepíše, může vypadat například následujícím způsobem: 39

JUDr. Hana d´Ambrosová: Ochrana osobních údajů v personalistice od roku 2005, 1. vydání, Praha: Pragoeduca, 2005, 87 str.

71

Prohlašuji tímto, že jsem byla v souladu s § 11 zákona č. 101/2000 Sb., o ochraně osobních údajů a v souladu s § 37 zákona č. 262/2006 Sb., zákoníku práce, dne ............... (na tomto místě může být např. uvedeno datum uzavření pracovního poměru s daným zaměstnancem) řádně informována o zpracování mých osobních údajů pro pracovněprávní účely, jakož i o mých právech a právech zaměstnavatele s tím spojených. Zejména jsem byla informována o tom, že mnou poskytnuté osobní údaje budou zpracovány pro pracovněprávní účely, a to v rozsahu požadovaném obecně závaznými právními předpisy (zákoník práce, zákon o zaměstnanosti, zákon o mzdě atd.). Poskytnuté osobní údaje budou zpracovávány (můžeme doplnit „v souladu s ...............“ a uvést zde vnitřní předpis platný u zaměstnavatele, který obsahuje příslušnou úpravu) jak v listinné, tak v elektronické podobě (na tomto místě se doporučuje uvést název používaného softwaru) a tyto údaje mohou být (opět možno uvést „v souladu s ...............“ a doplnit ustanovení příslušného vnitřního předpisu) zpřístupněny dalším osobám. (Takové úpravě musí odpovídat obsah vnitřního předpisu platného u zaměstnavatele. Pokud by v něm příslušná ustanovení o poskytování osobních údajů zaměstnanců třetím osobám chyběla, musí být tato praxe podrobně upravena v rámci prohlášení zaměstnance. Zvlášť u větších organizací ale považuji vzhledem k množství zaměstnanců za praktičtější, když příslušnou úpravu obsahuje vnitřní předpis a v prohlášení zaměstnance na něj bude jen odkázáno. V případě, že by u vstupu do objektu zaměstnavatele působila např. najatá bezpečnostní agentura, která by disponovala seznamem zaměstnanců spolu s dalšími identifikačními údaji obsaženými např. na jejich firemních průkazkách za účelem kontroly vstupu jednotlivých osob do budovy, je třeba uvést ve vnitřním předpise nebo v prohlášení zaměstnance i jméno této agentury, neboť se bezesporu jedná o třetí osobu, jíž jsou poskytovány osobní údaje zaměstnanců). Ze strany zaměstnavatele jsem byla dále informována o mém právu přístupu k osobním údajům, o právu na opravu mých osobních údajů, jakož i o právu požádat zaměstnavatele o vysvětlení v případě, že bych se domnívala, že ochrana zpracovávaných osobních údajů není dostatečně zabezpečena, stejně tak 72

o právu na odstranění vzniklého stavu (likvidování, blokování údajů atd.). Byla jsem informována, že pokud by mé žádosti nebylo vyhověno, mám právo obrátit se na Úřad pro ochranu osobních údajů. Souhlasím také s použitím své fotografie jako součásti osobního spisu a na služebním průkazu, jakož i s uveřejněním fotografie v digitální formě ve firemní databázi, a to po celou dobu trvání pracovního poměru, jakož i po jeho skončení, nevyžádám-li si po skončení pracovního poměru navrácení fotografie zpět. Výslovně prohlašuji, že souhlasím s uváděním mého rodného čísla na základních pracovněprávních dokumentech. Dostáváme se k otázce, jaké osobní údaje by tedy měly být v rámci osobního dotazníku poskytovány, resp. jaké po nás zaměstnavatel může vyžadovat. Je logické, že některé budou stejné jako ve strukturovaném životopise, ale pro úplnost si je na tomto místě shrneme:

10.2.1

Jméno, příjmení a akademický titul

Nikoho asi nepřekvapí, že v prvé řadě půjde o jméno a příjmení (včetně rodného příjmení) zaměstnance. Bez těchto údajů by ani nemohlo dojít ke vzniku pracovněprávního vztahu (ani pracovního poměru, ani dohody o provedení práce nebo pracovní činnosti), neboť vždy je třeba vymezit strany právního vztahu. U akademického titulu je situace poněkud odlišná, neboť zaměstnanec nemusí uvádět svůj akademický titul. Zaměstnavateli tak může předložit doklad o ukončení vysokoškoleského vzdělání pro ověření své kvalifikace, ale na pracovněprávních dokumentech akademický titul zaměstnance uváděn být nemusí. Zaměstnavatel potřebuje tyto identifikační údaje svých zaměstnanců také k plnění svých zákonných povinností. Jedná se např. o § 37 odst. 1 písm. a) zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, podle kterého evidence, kterou organizace (zaměstnavatel) vede pro účely důchodového pojištění, musí obsahovat příjmení (včetně všech dřívějších příjmení) a jméno občana (zaměstnance), dále pak o § 22 písm. a) téhož zákona, který stejnou povinnost ukládá zaměstnavateli pokud jde o evidenci o zaměstnancích pro účely nemocenského pojištění. Tedy i v případě vedení evidencí zákon uvádí jako povinný údaj pouze jméno a příjmení, v případě důchodového pojištění i všechna dřívější příjmení fyzické osoby, nikoliv její akademický titul.

10.2.2

Rodné číslo

Rodné číslo, které přiděluje ministerstvo vnitra a které je pro každou fyzickou osobu vedenou v evidenci obyvatel jedinečné, je nejčastěji použí73

vaným identifikátorem fyzické osoby a jeho pomocí také libovolnou osobu nejsnáze identifikujeme. V poslední době jsme proto mohli být svědky snah minimalizovat množství případů, kdy fyzická osoba musí uvádět své rodné číslo (rodná čísla například zmizela z jízdních dokladů, kde byla nahrazena datem narození fyzické osoby). Souhlasím s tím, že v pracovněprávních dokumentech je potřeba uvádět rodná čísla, nikoliv však v libovolné míře. Přikláním se k názoru, že rodné číslo by mělo být uváděno pouze tam, kde zaměstnavateli takovou povinnost, jak si ukážeme dále, stanoví zvláštní zákon. V ostatních případech se pak rodné číslo zaměstnance může stát obsahovou součástí příslušného dokumentu pouze se zaměstnancovým souhlasem. Postup zaměstnavatelů, kteří automaticky uvádějí rodná čísla svých zaměstnanců do pracovních smluv s nimi uzavíraných a argumentují tím, že podpisem pracovní smlouvy zaměstnanec s touto praxí vyslovil souhlas, musím odsoudit jako zcela nesprávný. Jak jsem již pojednala v oddíle týkajícím se souhlasu subjektu údajů se zpracováním jeho osobních údajů, v souladu s § 5 odst. 4 zákona o ochraně osobních údajů musí být subjekt údajů (zaměstnanec) informován, pro jaký účel a k jakým osobním údajům svůj souhlas se zpracováním poskytuje. Z toho můžeme vyvodit, že tyto informace musí být z formulace souhlasu zřejmé (přihlédneme-li k tomu, že správce musí prokázat souhlas subjektu údajů po celou dobu zpracování, je pro souhlas nejvhodnější písemná forma). Vzhledem k výše uvedenému je nepochybné, že pouhý podpis pracovní smlouvy nesplňuje náležitosti souhlasu zaměstnance se zpracováním jeho osobních údajů. Pokud by tedy zaměstnavatel chtěl uvést v pracovní smlouvě rodné číslo svého zaměstnance, musel by k tomu mít zaměstnancův výslovný souhlas (buď na zvláštním formuláři nebo zakomponovaný do textu pracovní smlouvy). Jak jsem výše uvedla, bez výslovného souhlasu zaměstnance smí zaměstnavatel uvádět jeho rodné číslo pouze tam, kde mu tuto povinnost ukládá zvláštní zákon. Na tomto místě mohu opět příkladem uvést § 22 písm. a) a § 37 odst. 1 písm. b) zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, nebo § 10 odst. 1 písm. c) zákona č. 48/1997 Sb. o veřejném zdravotním pojištění v rámci plnění oznamovací povinnosti zaměstnavatele jako plátce pojistného. Nakládání s rodnými čísly obecně upravuje zákon č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel), který musí zaměstnavatel při používání rodných čísel svých zaměstnanců respektovat. Novelou tohoto zákona účinnou ode dne 1. dubna 2004 byla Úřadu pro ochranu osobních údajů svěřena působnost v podobě sankcionování neoprávněného nakládání s rodným číslem.

74

Za základní ustanovení můžeme pro náš účel označit § 13 odst. 7 tohoto zákona, podle kterého: „Rodné číslo je oprávněna užívat nebo rozhodovat o jeho využívání v mezích stanovených zákonem (dále jen „nakládat s rodným číslem“) výlučně fyzická osoba, které bylo rodné číslo přiděleno (dále jen „nositel rodného čísla“), nebo její zákonný zástupce; jinak lze rodné číslo využívat jen v případech stanovených v § 13c tohoto zákona.“ Zmíněný § 13c zákona potom vymezuje způsoby, jak lze rodné číslo využívat.40 • Podle jeho písm. a) mohou rodná čísla fyzických osob využívat ministerstva, jiné správní úřady, orgány pověřené výkonem veřejné správy, soudy (vykonávaje činnost vyplývající z jejich zákonem stanovené působnosti a v mezích této působnosti) a notáři (při vedení Centrální evidence závětí). Do oprávněných subjektů můžeme zařadit i exekutory, a to podle ustanovení § 28 zákona č. 120/2001 Sb., o soudních exekutorech a exekuční činnosti (exekuční řád) a o změně dalších zákonů. Podle tohoto ustanovení provede exekuci ten exekutor, kterého v návrhu na provedení exekuce navrhne oprávněný a kterého soud svým rozhodnutím pověří provedením exekuce. Úkony tohoto exekutora se potom považují za úkony soudu. Stejně tak můžeme pod § 13c odst. 1 písm. a) zákona o evidenci obyvatel subsumovat orgány obce při výkonu přenesené působnosti. V samostatné působnosti se budou obce řídit ustanovením písm. b) nebo c) daného paragrafu. Subjekty uvedené pod písm. a) předmětného ustanovení se musejí při výkonu své působnosti řídit zákony a jinými právními předpisy a mohou činit pouze to, co jim zákon ukládá. Vzhledem k tomu musejí všude tam, kde jim zákon umožňuje volbu mezi použitím rodného čísla nebo jiného osobního údaje jako identifikátoru fyzické osoby, tuto volbu nositeli rodného čísla umožnit. V právních předpisech se můžeme setkat buď s požadavkem uvedení obou údajů, nebo s dikcí alternativního typu (tzn. „datum narození nebo rodné číslo“). V souladu s ústavní zásadou, podle které nikdo nesmí býti nucen činit to, co mu zákon neukládá a podle které může být státní moc uplatňována jen v případech, v mezích a způsoby, které zákon stanoví, dospějeme k závěru, že tam, kde fyzické osobě není zákonem uložena povinnost identifikovat se rodným číslem, nelze po ní takovou identifikaci vyžadovat. • Podle písm. b) mohou rodné číslo používat i jiné subjekty, jestliže tak stanoví zvláštní zákon. Typicky půjde o Policii České republiky, Státní zastupitelství, ale i o soukromé právnické osoby vykonávající svou 40

Stanovisko Úřadu pro ochranu osobních údajů č. 4/2004

75

činnost na základě zvláštního zákona (banky, pojišťovny, zdravotnická zařízení, zdravotní pojišťovny atd.). Pokud zákon stanoví možnost volby mezi poskytovanými údaji (např. § 41 odst. 3 písm. a) zákona č. 21/1992 Sb., o bankách), záleží opět na vůli nositele rodného čísla, který osobní údaj zvolí. • Písm. c) daného ustanovení pak umožňuje použít rodné číslo fyzické osoby s jejím souhlasem (případně se souhlasem jejího zákonného zástupce). Takže shrnu-li výše uvedené, v souladu s § 13c zákona o evidenci obyvatel jsou zaměstnavatelé oprávněni vyžadovat od svých zaměstnanců rodné číslo pro evidence, kde jim tuto povinnost ukládá zvláštní zákon, neopravňuje je to ale k tomu, aby rodné číslo automaticky uváděli na všech pracovněprávních dokumentech. V zásadě tedy platí, že rodné číslo by se mělo uvádět pouze tam, kde tak výslovně stanoví zákon, nebo jestliže k jeho uvedení dá zaměstnanec výslovný, písemný souhlas. Zaměstnavatelé tradičně žádají předložení osobního dokladu fyzické osoby, nejčastěji tedy občanského průkazu. Takové praxi nemůžeme nic vytknout, pokud dochází pouze k nahlédnutí do daného dokladu za účelem ověření správnosti poskytnutých údajů. Zaměstnavatel ovšem nemá právo z předloženého dokladu opisovat další údaje, než jaké mu byli budoucím zaměstnancem poskytnuty, stejně tak by si neměl opisovat číslo předloženého dokladu. Získání čísla občanského průkazu nebo jiného dokladu totiž nemá přímou příčinnou souvislost s pracovním poměrem dané fyzické osoby a jeho zpracování tedy neodpovídá účelu, pro který jsou osobní údaje zaměstnavatelem shromažďovány. Zpracováváním čísla občanského průkazu nebo jiného dokladu zaměstnance by zaměstnavatel porušil § 5 odst. 1 písm. d) zákona o ochraně osobních údajů. Vzhledem k tomu, že, jak jsem již uvedla, v tomto případě není dána příčinná souvislost mezi pracovním poměrem a konkrétním osobním údajem zaměstnance, zaměstnavatel nemá číslo osobního dokladu zpracovávat ani se zaměstnancovým souhlasem a současně zaměstnanec nemá oznamovací povinnost při změně osobního dokladu (tedy pokud jde o jeho číslo). V případě změny jiných osobních údajů, které zaměstnavatel o zaměstnanci zpracovává a které jsou nezbytné pro realizaci pracovněprávního vztahu a k plnění zákonných povinností zaměstnavatele však platí, že zaměstnanec musí tyto změny zaměstnavateli hlásit.

10.2.3

Datum a místo narození

Datum narození fyzické osoby lze jednoduše odvodit z jejího rodného čísla. Jak jsem zmínila v předchozí části, někdy je dáno nositeli rodného

76

čísla na výběr, zda uvede své rodné číslo, nebo jen datum narození, někdy však bývají tyto údaje vyžadovány oba, nebo může být vyžadováno pouze datum narození. Tento údaj bývá tradičně spojován s uváděním místa narození. Povinnost uvádět místo narození zaměstnance ukládá zaměstnavateli např. § 22 písm. a) a § 37 odst. 1 písm. a) zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, a to v rámci evidence, které zaměstnavatel vede pro účely nemocenského a důchodového pojištění.

10.2.4

Bydliště zaměstnance

Zaměstnavatel musí o zaměstnanci vědět, kde je hlášen k trvalému pobytu. Povinnost znát tento údaj zaměstnavateli vyplývá z řady zákonů (např. údaj o trvalém pobytu zaměstnance je součástí evidencí vedených zaměstnavatelem v souladu se zákonem č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, pro účely nemocenského a důchodového pojištění). Nicméně zaměstnanec by měl zaměstnavateli uvést i adresu, na které se skutečně zdržuje, pokud je odlišná od místa nahlášeného trvalého pobytu. Jak si dále ukážeme, je to i ve vlastním zájmu zaměstnance, např. z důvodu zasílání různých písemností (§ 336 zákoníku práce). Znalost bydliště zaměstnance má velký význam pro samotný pracovněprávní vztah. Půjde například o vysílání na pracovní cesty, kdy zaměstnavatel musí respektovat zvláštní pracovní podmínky stanovené pro těhotné zaměstnankyně a zaměstnankyně a zaměstnance pečující o děti do osmi let věku, kteří smějí být vysíláni na pracovní cesty mimo obvod obce svého pracoviště nebo bydliště pouze se svým souhlasem (§ 240 zákoníku práce). Zaměstnanec má naproti tomu povinnost sdělovat zaměstnavateli po dobu trvání pracovního poměru veškeré změny svého bydliště. Jak jsem již uvedla výše, souvisí to s povinností zaměstnavatele zpracovávat pouze přesné osobní údaje (§ 5 odst. 1 písm. c) zákona o ochraně osobních údajů). Přímo v zákoně o ochraně osobních údajů se však s formulováním této povinnosti zaměstnanců jako subjektů údajů nesetkáme, můžeme ji pouze vyvodit z uvedeného ustanovení. Proto zaměstnavatelé zpravidla upravují povinnost zaměstnanců hlásit změny v osobních údajích do pracovních řádů. Tato povinnost má význam pro samotného zaměstnance při doručování písemností od zaměstnavatele, jestliže nebylo možno danou pracovněprávní písemnost zaměstnanci předat do vlastních rukou přímo na pracovišti, v jeho bytě, nebo kdekoliv by byl zastižen. Tyto písemnosti potom zasílá zaměstnavatel prostřednictvím držitele poštovní licence, a to na poslední adresu zaměstnance, která je mu známa. Pokud by zaměst-

77

nanec nebyl doručovatelem osobně zastižen a písemnost uloženou v provozovně držitele poštovní licence by si do 10 dnů nevyzvedl, platí fikce doručení.41 Proto je potřeba, aby zaměstnanec ve vlastním zájmu zaměstnavateli sdělil i skutečnost, že se zdržuje na jiné adrese, než kterou má hlášenu jako místo trvalého bydliště.

10.2.5

Státní příslušnost

Povinnost znát státní příslušnost svých zaměstnanců vyplývá pro zaměstnavatele zejména ze zákona o zaměstnanosti. Musíme si však uvědomit, že zaměstnavatel má zjišťovat zaměstnancovu státní příslušnost, nikoliv jeho národnostní původ. Národnost fyzické osoby je podle § 4 písm. b) zákona o ochraně osobních údajů citlivým údajem, vztahuje se na ni tedy zvláštní režim upravený § 9 tohoto zákona. Zjišťováním národnosti svého budoucího zaměstnance by zaměstnavatel nepochybně porušil zákon o ochraně osobních údajů (jeho § 5 odst. 1 písm. d) ), neboť údaj o národnosti fyzické osoby nemá přímou souvislost se sjednáním ani existencí pracovního poměru, není tedy v souladu s účelem, k jakému zaměstnavatel osobní údaje zaměstnance získává. Dále by se zaměstnavatel mohl dostal do rozporu s ustanoveními právních předpisů zakazujícími diskriminaci, kdy jedním z diskriminačních důvodů bývá uváděna právě národnost fyzické osoby. Ale vraťme se ke státní příslušnosti zaměstnance. Podle zákona o zaměstnanosti se na „cizince“, tedy osobu, která není občanem České republiky, občanem Evropské unie ani jeho rodinným příslušníkem, vztahuje zvláštní úprava. S těmito osobami totiž dle § 85 zákona o zaměstnanosti může zaměstnavatel uzavřít pracovní poměr jen na základě povolení příslušného úřadu práce k získávání cizinců, které se vydává na dobu určitou. O povolení rozhoduje úřad práce na základě žádosti zaměstnavatele obsahující identifikační údaje zaměstnavatele a dále informace o obsazovaném pracovním místě a jeho charakteristice. Výjimka je stanovena pro zaměstnavatele, kteří hodlají zaměstnávat cizince, jemuž bylo vydáno povolení k zaměstnání dle § 97 zákona o zaměstnanosti bez ohledu na situaci na trhu práce (např. půjde o osobu vykonávající v České republice soustavnou vzdělávací nebo vědeckou činnost), dále potom v případě zaměstnání cizinců, u nichž se povolení k zaměstnání dle § 98 zákona o zaměstnanosti nevyžaduje (zde půjde např. o osobu, jíž byl povolen trvalý pobyt na území České republiky, které byl udělen azyl, která je rodinným příslušníkem člena diplomatické mise atd.).

41

§ 336 zákona č. 262/2006 Sb., zákoník práce

78

Státní příslušnost fyzické osoby je důležitá také při skončení jejího pracovního poměru. Zákoník práce ve svém § 48 odst. 3 stanoví, že pracovní poměr cizince končí (pokud k jeho skončení nedošlo jiným způsobem): a) „dnem, kterým má skončit jejich pobyt na území České republiky podle vykonatelného rozhodnutí o zrušení povolení k pobytu, b) dnem, kterým nabyl právní moci rozsudek ukládající těmto osobám trest vyhoštění z území České republiky, c) uplynutím doby, na kterou bylo vydáno povolení k zaměstnání.“

10.2.6

Dosažené vzdělání

Povinnost zjišťovat dosažené vzdělání zaměstnance ukládá zaměstnavateli např. zákon č. 143/1992 Sb., o platu. Vyjádřením principu spravedlivé odměny za vykonanou práci je § 110 zákoníku práce, podle kterého: „Za stejnou práci nebo práci stejné hodnoty přísluší všem zaměstnancům u zaměstnavatele stejná mzda, plat nebo odměna z dohody.“ Kritérium dosaženého vzdělání zaměstnance se logicky uplatňuje nejen při stanovení odměny za jeho vykonávanou práci, ale již při samotném výběru zaměstnanců s přihlédnutím k specifickým požadavkům na výkon některých zaměstnání. Zákon o platu se zmiňuje o vzdělání ve svém § 4 odst. 1 v souvislosti s platovými třídami. Podle tohoto ustanovení stanoví prováděcí předpis vydaný podle § 23 v souladu s charakteristikami platových tříd (uvedenými v příloze k zákonu o platu) katalog prací a kvalifikační předpoklady vzdělání pro výkon prací zařazených do jednotlivých platových tříd. Podobnou úpravu nalezneme v zákoníku práce, kde podle ustanovení § 123 odst. 6 stanoví vláda nařízením „...zařazení prací do platových tříd v souladu s charakteristikami platových tříd odstupňovanými podle složitosti, odpovědnosti a namáhavosti práce, které jsou uvedeny v příloze k zákoníku práce (písm. b) ) a dále kvalifikační předpoklady vzdělání pro výkon prací zařazených do jednotlivých platových tříd (písm. c) ).“ V zákonech používaný termín „vzdělání“ však není zcela přesný, neboť vzdělání vypovídá pouze o formálním absolvování určité školy. Pokud jde o zařazení zaměstnance do platové třídy, pak se ještě s tímto termínem můžeme spokojit. Nicméně zaměstnavatele při výběru zaměstnance zpravidla nezajímá pouze škola, kterou uchazeč o zaměstnání vystudoval, ale jeho další předpoklady pro výkon práce, ať už dosažená praxe, o které pojednám níže, nebo znalost cizích jazyků, ovládání práce na počítači, zda je uchazeč o zaměstnání majitelem řidičského oprávnění atd. Na tomto místě se mi jeví jako vhodnější termín „kvalifikace“, který je pojmem

79

širším, zahrnujícím dosažené vzdělání dané fyzické osoby, a současně lépe vyhovuje požadavkům praxe.

10.2.7

Předchozí praxe zaměstnance

U jiných zaměstnavatelů než vymezených v § 109 odst. 3 zákoníku práce, tzn. U zaměstnavatelů vyplácejících svým zaměstnancům mzdu, má pro tyto zaměstnavatele zjištění předchozí odborné praxe zaměstnance spíše informativní význam z hlediska zaměstnancových schopností, zkušeností a s tím souvisejícího časového horizontu, v jakém bude schopen plně vykonávat novou práci. Pro zaměstnavatele odměňující své zaměstnance podle zákona o platu má kriterium předchozí praxe daného zaměstnance podstatný význam, neboť podle předchozí odborné praxe jsou jednotliví zaměstnanci zařazováni do platových stupňů v rámci jednotlivých platových tříd.

10.2.8

Údaj o tom, zda je zaměstnanec poživatelem důchodu

Zda je zaměstnanec poživatelem starobního, případně plného nebo částečného invalidního důchodu musí zaměstnavatel zjistit, aby splnil svou zákonnou povinnost při vedení evidence o svých zaměstnancích, a to jak pro účely důchodového pojištění (§ 37 zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení), tak pro účely nemocenského pojištění (§ 22 písm. g) téhož zákona). Stejně tak musí být zaměstnavateli tato informace známa, aby ve stanovené osmidenní lhůtě splnil svou oznamovací povinnost, kterou mu ukládá § 41 zákona č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení. Podle tohoto ustanovení je zaměstnavatel povinen hlásit, přijal-li do pracovního poměru poživatele starobního nebo invalidního důchodu (jak částečného, tak plného). U poživatelů starobního důchodu se tato skutečnost hlásí pouze v případě, že dotyčná osoba nesplňuje podmínky pro výplatu starobního důchodu při výkonu výdělečné činnosti. Souběh starobního důchodu s příjmem z jiné výdělečné činnosti upravuje § 37 zákona č. 155/1995 Sb., o důchodovém pojištění. Podle odst. 1 tohoto ustanovení náleží osobám vykonávajícím výdělečnou činnost na základě pracovněprávního vztahu výplata starobního důchodu podle § 29 pouze tehdy, jestliže byl pracovněprávní vztah sjednán na dobu určitou, nejdéle pak na dobu jednoho roku. Druhý odstavec § 37 se potom týká poživatelů starobního důchodu, kteří ještě nedosáhli důchodového věku. Pokud by tyto osoby vykonávaly před dosažením důchodového věku výdělečnou činnost, byla jim poskytována podpora v nezaměstnanosti nebo podpora při rekvalifikaci, výplata

80

starobního důchodu jim nenáleží. Ode dne, kdy dosáhnou důchodového věku, se jejich situace bude posuzovat podle odst. 1). Zaměstnavatel musí v hlášení o zaměstnání důchodce uvést příjmení, jméno, a rodné číslo zaměstnance, místo jeho trvalého pobytu, den vzniku pracovního poměru a druh důchodu, jehož je zaměstnanec poživatelem.

10.2.9

Informace, zda se jedná o osobu se zdravotním postižením

Osoby se zdravotním postižením definuje zákon o zaměstnanosti jako osoby, které jsou: • orgánem sociálního zabezpečení uznány plně invalidními (dále jen „osoba s těžším zdravotním postižením“); • orgánem sociálního zabezpečení uznány částečně invalidními; • rozhodnutím orgánu sociálního zabezpečení uznány zdravotně znevýhodněnými (dále jen „osoba zdravotně znevýhodněná“). 42 Skutečnost, že je osobou se zdravotním postižením dle písmene a) nebo b) dokládá zaměstnanec potvrzením orgánu sociálního zabezpečení, že je osobou zdravotně znevýhodněnou pak deklaruje rozhodnutím úřadu práce. Za zdravotně znevýhodněnou osobu se považuje fyzická osoba, která je schopna vykonávat soustavné zaměstnání nebo jinou výdělečnou činnost, ale díky dlouhodobě nepříznivému zdravotnímu stavu jsou její možnosti být nebo zůstat pracovně začleněna, vykonávat dosavadní povolání nebo využívat dosavadní kvalifikaci podstatně omezeny. Jaký význam má informace o zdravotním postižení zaměstnance pro zaměstnavatele si můžeme demonstrovat na následujících příkladech: • Pokud by se zaměstnavatel rozhodl zaměstnat osobu se zdravotním postižením, může získat od úřadu práce dle § 75 zákona o zaměstnanosti příspěvek. Zaměstnavatel uzavře s úřadem práce písemnou dohodu, ve které se zaváže vytvořit tzv. chráněné pracovní místo a provozovat jej po dobu nejméně dvou let ode dne sjednaného v dohodě. Na vytvoření chráněného pracovního místa pak může úřad práce zaměstnavateli poskytnout příspěvek, jehož maximální výše je stanovena na osminásobek, u osob s těžším zdravotním postižením potom na dvanáctinásobek, průměrné mzdy za první tři čtvrtletí předchozího kalendářního roku. • Zaměstnavatel, jehož zaměstnanci jsou představováni více než 50% z celkového počtu osobami se zdravotním postižením má dle § 78 zákona o zaměstnanosti nárok na poskytnutí příspěvku na podporu zaměstnávání těchto osob. Příslušný pro výplatu příspěvku je úřad práce, v jehož obvodu sídlí zaměstnavatel, jde-li o právnickou osobu, 42

§ 67 odst. 2) zákona č. 435/2004 Sb., o zaměstnanosti

81

v případě zaměstnavatele – fyzické osoby potom úřad práce, v jehož obvodu tento zaměstnavatel bydlí. U zaměstnanců s těžším zdravotním postižením, nebo-li u osob uznaných plně invalidními, představuje výše příspěvku 0,66 násobek průměrné měsíční mzdy za první až třetí čtvrtletí předchozího kalendářního roku na každého takového zaměstnance. Na každého zaměstnance uznaného částečně invalidním, nebo jde-li o osobu zdravotně znevýhodněnou, má zaměstnavatel nárok na příspěvek v poloviční výši. • Zaměstnavatelé, kteří evidují v pracovním poměru alespoň 25 zaměstnanců, jsou dle § 81 zákona o zaměstnanosti povinni zaměstnávat osoby se zdravotním postižením ve výši povinného 4% podílu těchto osob na celkovém počtu zaměstnanců. Pro doplnění dodávám, že zaměstnavatelé jsou obecně povinni informovat úřad práce o volných pracovních místech vhodných pro osoby se zdravotním postižením, podle svých možností individuálně přizpůsobovat pracovní místa a pracovní podmínky pro osoby se zdravotním postižením a další.43

10.2.10

Informace o další činnosti zaměstnance shodné s činností zaměstnavatele

Vžijeme-li se do situace zaměstnavatele, bezesporu budeme považovat informaci o tom, zda budoucí zaměstnanec nevykonává další činnost shodnou s činností zaměstnavatele, za velmi důležitou. Už kvůli možnému konkurování zaměstnavateli, nebo dokonce využívání know-how získaného u zaměstnavatele. Žádná právní norma však zaměstnanci neukládá povinnost uvedenou informaci zaměstnavateli sdělovat. Zákoník práce však řeší tuto situaci v ustanovení § 304, podle kterého může zaměstnanec vedle svého zaměstnání v pracovněprávním vztahu vykonávat výdělečnou činnost, která je shodná s předmětem činnosti zaměstnavatele, pouze s předchozím písemným souhlasem zaměstnavatele. Pokud by zaměstnanec nesplnil svou povinnost, nebo by vykonával tuto výdělečnou činnost i přes to, že neobdržel od svého zaměstnavatele souhlas, mohla by být tato situace vykládána jako zvláště hrubé porušení pracovní kázně ze strany zaměstnance a zaměstnavatel by sním mohl okamžitě zrušit pracovní poměr. Podmínka souhlasu zaměstnavatele se ovšem nevztahuje na výkon věděcké, pedagogické, publicistické, literární a umělecké činnosti.

43

§ 80 zákona č. 435/2004 Sb., o zaměstnanosti

82

10.2.11

Posudek o zdravotní způsobilosti zaměstnance

Než se zaměstnavatel rozhodne přijmout zaměstnance na určitou pracovní pozici, ale i za trvání pracovního poměru, je pro zaměstnavatele důležité zjištění, zda může zaměstnavatel vzhledem k jeho zdravotnímu stavu danou práci vykonávat. Ke zjišťování této skutečnosti zaměstnavatele opravňuje § 103 zákoníku práce, podle kterého je zaměstnavatel např. povinen: • nepřipustit, aby zaměstnanec vykonával práce neodpovídající jeho schopnostem a zdravotní způsobilosti; • zajistit, aby práce v případech stanovených zvláštním právním předpisem (zákon č. 20/1966 Sb., o péči o zdraví lidu ve znění pozdějších předpisů) vykonávali pouze zaměstnanci mající platný zdravotní průkaz, nebo kteří se podrobili zvláštnímu očkování, nebo mají doklad o odolnosti vůči nákaze; • sdělit zaměstnancům, jakým druhům očkování a jakým pracovnělékařským prohlídkám a vyšetřením souvisejícím s výkonem práce jsou povinni se podrobit a sdělit zaměstnancům, které zdravotnické zařízení jim poskytuje pracovnělékařskou péči atd. Zaměstnanci jsou naproti tomu dle § 106 odst. 4 písm. b) povinni podrobit se stanoveným lékařským prohlídkám, očkováním a dalším vyšetřením, stanoveným zvláštními právními předpisy (např. § 37 zákona č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů). Z uvedeného vyplývá, že zaměstnavatel by si měl před uzavřením pracovní smlouvy vyžádat lékařský posudek (§ 35a zákona č. 20/1966 Sb., o péči o zdraví lidu), ze kterého se dozví, zda je zaměstnanec z hlediska jeho zdravotního stavu schopen sjednaný druh práce vykonávat. Zaměstnavatel si ale nemůže nastíněnou situaci vykládat tak, že ho příslušné ustanovení zákoníku práce opravňuje zjišťovat zdravotní stav zaměstnance, tento je totiž dle § 4 písm. b) zákona o ochraně osobních údajů zařazen mezi citlivé údaje. Celkový zdravotní stav zaměstnance je předmětem lékařského tajemství, navíc nemá ani souvislost s pracovněprávním vztahem, tudíž se jeho zjišťování ani neshoduje s účelem, pro který zaměstnavatel zpracovává osobní údaje svých zaměstnanců.

10.3

Osobní údaje shromažďované a zpracovávané za trvání pracovního poměru

Jakmile dojde k uzavření pracovního poměru s novým zaměstnancem, potřebuje zaměstnavatel nashromáždit ještě další osobní údaje, než které

83

mu byly k dispozici před uzavřením pracovního poměru, a jejichž zpracování mu ukládá zvláštní zákon. Znalost těchto údajů před uzavřením pracovní smlouvy by mohla vést k diskriminaci uchazeče o zaměstnání podle § 4 zákona č. 435/2004 Sb., o zaměstnanosti. Jak jsem již výše uvedla, zákon o zaměstnanosti upravuje zákaz diskriminace při uplatňování práva fyzické osoby na zaměstnání. Zákoník práce pak ve svém § 13 odst. 2 písm. b) a § 16 zakazuje diskriminaci v pracovněprávních vztazích, tedy mezi zaměstnavatelem a jeho zaměstnanci (zaměstnavatelé jsou povinni se všemi svými zaměstnance zacházet rovně), případně mezi zaměstnanci navzájem. Mezi osobní údaje shromažďované za trvání pracovního poměru patří:

10.3.1

Rodinný stav zaměstnance

„Manželský a rodinný stav“ zaměstnance bývá zařazován mezi možné diskriminačními důvody (např. § 4 odst. 2 zákona o zaměstnanosti), nicméně znalost této skutečnosti zaměstnavateli ukládá řada zvláštních zákonů (např. zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení v § 22, který vymezuje údaje zaměstnance, které musí být obsaženy v evidenci, kterou zaměstnavatel vede pro účely nemocenského pojištění, stejně tak § 37 tohoto zákona, který se týká evidencí vedených pro účely důchodového pojištění).

10.3.2

Údaje o dětech zaměstnance

Znalost této skutečnosti je pro zaměstnavatele velmi důležitá, neboť osobám pečujícím o děti je věnována právními předpisy zvýšená ochrana. Pro úplnost uvedu několik příkladů: • Dle § 53 odst. 1 písm. d) zákoníku práce se na těhotnou zaměstnankyni, zaměstnankyni na mateřské dovolené a zaměstnance nebo zaměstnankyni čerpající rodičovskou dovolenou vztahuje zákaz výpovědi. Dokonce i v § 54, který upravuje výjimky ze zákazu výpovědi, zákonodárce myslel na shora uvedené zaměstnance a výpověď jim může být dána pouze z organizačních důvodů, a sice pokud se zaměstnavatel nebo jeho část ruší, nebo jestliže se přemísťuje. • S těhotnou zaměstnankyní, zaměstnankyní na mateřské dovolené a zaměstnancem nebo zaměstnankyní, kteří čerpají rodičovskou nesmí zaměstnavatel okamžitě zrušit pracovní poměr. Jsou-li dány důvody pro okamžité zrušení pracovního poměru, může být s těmito osobami s výjimkou zaměstnankyně čerpající mateřskou dovolenou nebo zaměstnance na rodičovské dovolené do doby, kdy je žena oprávněna čerpat mateřskou dovolenou, rozvázán pracovní poměr výpovědí.

84

• Podle § 195 zákoníku práce přísluší zaměstnankyni v souvislosti s porodem a péčí o narozené dítě mateřská dovolená v délce 28 týdnů, pokud se zaměstnankyně stane naráz několikanásobnou matkou, přísluší ji mateřská dovolená v délce 37 týdnů. • Dle § 196 zákoníku práce poskytne zaměstnavatel zaměstnankyni nebo zaměstnanci na jejich žádost rodičovskou dovolenou, nejdéle však do doby, kdy dítě dosáhne věku tří let. • Zaměstnankyním kojícím dítě musí zaměstnavatel dle § 242 zákoníku práce poskytnout kromě přestávek v práci také zvláštní přestávky ke kojení. • Těhotné zaměstnankyně a zaměstnankyně a zaměstnance pečující o dítě do 8 let věku (u osamělých zaměstnankyň a zaměstnanců potom do 15 let věku dítěte) smí zaměstnavatel vyslat na pracovní cestu mimo obvod obce jejich pracoviště nebo bydliště jen s jejich souhlasem. • Zjištění údajů o dětech je předpokladem pro poskytnutí podpory při ošetřování člena rodiny dle § 25 zákona č. 54/1956 Sb., o nemocenském pojištění zaměstnanců atd.

10.3.3

Údaje o manželovi/manželce zaměstnance

Podobně jako v případě údajů o dětech zaměstnance, můžeme u údajů o manželovi/manželce konstatovat, že jejich zpracování ukládají zaměstnavateli zvláštní zákony. Např. zákoník práce ve svém § 328 odst. 1 počítá v případě úmrtí zaměstnance s přechodem jeho mzdových nároků do výše trojnásobku jeho průměrného měsíčního výdělku na jeho manžela, děti a rodiče, pokud s ním žili v době smrti ve společné domácnosti, jinak se stávají předmětem dědictví.

10.3.4

Údaje o rodičích zaměstnance

Někteří zaměstnavatelé chápou své právo zjišťovat údaje o rodičích zaměstnanců (v rozsahu jméno, příjmení, adresa, případně datum narození) absolutně a automaticky je tedy zjišťují u všech svých zaměstnanců. Právní titul ke zjišťování údajů o rodičích zaměstnance dává zaměstnavateli např. již zmíněný § 328 odst. 1 zákoníku práce, a sice kvůli přechodu mzdových a platových práv zaměstnance v případě jeho smrti. Domnívám se, že zaměstnavatel by obecně neměl zjišťovat údaje o rodičích zaměstnance za trvání pracovněprávního vztahu, ale až v případě, že by došlo za trvání pracovněprávního vztahu k úmrtí zaměstnance. Jedinou výjimkou by potom byla situace, kdy by zaměstnavateli tuto povinnost ukládal zvláštní právní předpis.

85

V předchozích odstavcích jsem se věnovala zpracování údajů o dětech, manželovi/manželce a rodičích zaměstnance v obecné rovině z pohledu základních pracovněprávních předpisů, zejména zákoníku práce. Ráda bych na tomto místě zdůraznila, že povinnost zpracovávat tyto údaje může být zaměstnavateli uložena také zvláštními právními předpisy, nebo tak musí činit ke splnění povinnosti dle těchto předpisů. Příkladem mohu uvést zákon č. 21/1992 Sb., o bankách, ve znění pozdějších předpisů. Podle § 18 tohoto zákona nesmí banka provádět s osobami, které k ní mají zvláštní vztah, obchody, které by vzhledem k jejich povaze, účelu nebo riziku nebyly provedeny s ostatními klienty. Těmto osobám navíc banka poskytne úvěr až po odsouhlasení statutárním orgánem. V ustanovení § 19 zákona jsou osoby mající zvláštní vztah k bance taxativně vymezuje jako: • členy statutárního orgánu a vedoucí zaměstnanci banky, • členy dozorčí rady banky, • osoby mající kontrolu nad bankou, osoby s kvalifikovanou účastí na těchto osobách a členy vedení těchto osob, • osoby blízké členům statutárního orgánu, dozorčí rady, vedoucím zaměstnancům banky a osobám majícím kontrolu nad bankou atd. V rámci vymezení pojmu „blízká osoba“ je odkazováno na § 116 občanského zákoníku, jedná se tedy o příbuzné v řadě přímé, sourozence a manžela. Z uvedeného vyplývá, že se jedná právě o zpracování údajů o dětech, manželovi/manželce a rodičích zaměstnance, tak jak jsem uvedla v úvodu této pasáže.

86

11 PŘÍKLADY PRAKTICKÝCH PROBLÉMŮ V SOUVISLOSTI SE ZPRACOVÁVÁNÍM OSOBNÍCH ÚDAJŮ Na tomto místě bych se ráda věnovala některým problémům vyskytujícím se v praktickém životě, kterými se v minulosti zabýval Úřad pro ochranu osobních údajů.

11.1

Evidence při vstupech do budovy

Vzhledem k tomu, co jsem již výše uvedla v souvislosti se zpracováním osobních údajů je zřejmé, že při vstupu fyzické osoby do budovy (ať už se jedná o zaměstnance vstupujícího do budovy zaměstnavatele, nebo evidování cizích osob vstupujících do nějakého objektu) může docházet z pohledu zákona o ochraně osobních údajů ke zpracování osobních údajů, a sice tehdy, jestliže jsou shromažďovány osobní údaje vstupujících osob ve smyslu § 4 zákona. Úřad pro ochranu osobních údajů ve svém stanovisku č. 1/2004 vyjadřuje názor, že jestliže příslušný objekt není určen běžným návštěvám veřejnosti, je právem jeho vlastníka případně provozovatele (správce objektu) s ohledem na majetek, provoz a zajištění bezpečnosti objektu požadovat po návštěvníkovi poskytnutí osobních údajů v rozsahu jméno, příjmení a případně předložení služebního průkazu, jestliže se fyzická osoba dožaduje vstupu za účelem služebního jednání (případně předložení občanského průkazu, jde-li o jednání z podnětu fyzické osoby). Všimněme si, že Úřad ve svém stanovisku hovoří pouze o předložení příslušného dokladu ověřujícího totožnost fyzické osoby, nikoliv o zaznamenávání dalších údajů na něm uvedených, např. bydliště nebo rodného čísla dané fyzické osoby. V takovém případě by totiž mohlo dojít k porušení povinnosti shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění tohoto účelu (§ 5 odst. 1 písm. d) ) zákona o ochraně osobních údajů). Za účel evidování osob vstupujících do objektu můžeme považovat jejich následnou identifikaci, pokud by v průběhu jejich pobytu v objektu došlo k mimořádné události. V souladu s § 5 odst. 1 písm. f) zákona o ochraně osobních údajů není přípustné shromažďovat takto získané údaje k jinému účelu, pokud by k tomu subjekt údajů nedal souhlas. Vlastník případně provozovatel objektu dále může dle § 5 odst. 1 písm. e) uchovávat osobní údaje pouze po dobu nezbytnou k naplnění účelu jejich zpracování. Podle názoru Úřadu pro ochranu osobních údajů je v případě evidence vstupu fyzických osob 87

do budovy dostačující uchovat získané údaje po dobu několika týdnů, nejdéle však několika měsíců. Samozřejmě bude záležet na konkrétní situaci, aby správce obhájil oprávněnost uchování nashromážděných osobních údajů po určitou dobu. Jak vidno, zpracování osobních údajů návštěvníků objektu by s sebou jeho vlastníku nebo provozovateli, který je v dané situaci správcem osobních údajů, mohlo přinést problémy v souvislosti s porušením zákona o ochraně osobních údajů. Správce osobních údajů by tedy měl zvážit, zda je nezbytné zjišťovat osobní údaje osob vstupujících do objektu, nebo najít vhodné alternativní řešení (např. zřídit místnost pro návštěvy, kde bude návštěvník doprovázen zaměstnancem správce). Jako správce osobních údajů totiž musí vlastník nebo provozovatel objektu plnit veškeré související povinnosti stanovené zákonem o ochraně osobních údajů. Bez obdržení souhlasu fyzické osoby smí zpracovávat její osobní údaje pouze za splnění podmínek pro výjimku podle § 5 odst. 2 písm. a) zákona o ochraně osobních údajů (jestliže tedy provádí zpracování stanovené zvláštním zákonem nebo nutné pro plnění povinností zvláštním zákonem stanovených), nebo podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů (jestliže je daná praxe nezbytná k ochraně jeho práv). Pokud by zpracování nespadalo pod výjimku uvedenou v § 18 písm. b) zákona o ochraně osobních údajů (nešlo by tedy o zpracování uložené zvláštním zákonem nebo nezbytné pro uplatnění práv a povinností vyplývajících ze zvláštního zákona), musí správce splnit oznamovací povinnost podle § 16 zákona.44

11.2

Monitorování elektronické pošty zaměstnanců

V souladu s čl. 13 Listiny základních práv a svobod, čl. 8 odst. 1 Evropské úmluvy o ochraně lidských práv a základních svobod (podle kterého má každý právo na respektování svého soukromého a rodinného života, obydlí a korespondence) a v neposlední řadě podle zákona o ochraně osobních údajů zaměstnanec očekává, že jeho právo na ochranu soukromí, do nějž spadá i ochrana osobních údajů, bude zachováno i v pracovněprávních vztazích a respektováno ze strany zaměstnavatele. Na druhé straně pomyslných vah ovšem stojí zaměstnavatel, který vyžaduje od svých zaměstnanců efektivní práci a který je oprávněn chránit svou společnost před odpovědnostními riziky, trestnou činností a škodou způsobenou zaměstnancem při výkonu práce. Východiskem z této situace je uplatňování práv zaměstnavatele a zaměstnance na principu maximál-

44

Stanovisko Úřadu pro ochranu osobních údajů č. 1/2004, www.uoou.cz

88

ního souladu práv a povinností obou stran, přitom však nesmíme zapomenout na zásadu přiměřenosti. Při řešení otázky monitorování elektronické pošty musíme reflektovat zejména čl. 13 Listiny základních práv a svobod, podle kterého: „Nikdo nesmí porušit listovní tajemství ani tajemství jiných písemností a záznamů, ať již uchovávaných v soukromí, nebo zasílaných poštou anebo jiným způsobem, s výjimkou případů a způsobem, které stanoví zákon. Stejně se zaručuje tajemství zpráv podávaných telefonem, telegrafem nebo jiným podobným zařízením.“ Občanský zákoník pak ve svém § 12 odst. 1 uvádí, že písemnosti osobní povahy smějí být pořízeny nebo použity jen se svolením fyzické osoby, které se týkají. Výjimku představují případy, kdy by měly být dané písemnosti použity k úředním účelům na základě zákona. Z výše uvedeného vyplývá, že se jedná o osobnostní právo a o základní lidské právo každého, tedy i zaměstnance, a že zaměstnavatel musí toto právo respektovat. Musíme si ale uvědomit, že zaměstnavatel má právo sledovat, zda zaměstnanci dodržují pracovní dobu a jakými aktivitami ji vyplňují. Argumenty obhajující kontrolování elektronické pošty (včetně její archivace) ze strany zaměstnavatele se často opírají o ustanovení § 11 odst. 4 zákoníku práce, podle něhož: „Vedoucími zaměstnanci zaměstnavatele se rozumějí zaměstnanci, kteří jsou na jednotlivývh stupních řízení zaměstnavatele oprávněni stanovit a ukládat podřízeným zaměstnancům pracovní úkoly, organizovat, řídit a kontrolovat jejich práci a dávat jim k tomu účelu závazné pokyny.“ Tato kontrola ze strany zaměstnavatele (včetně čtení elektronické pošty) by mohla směřovat k zjištění, zda zaměstnanec nejedná v rozporu s oprávněnými zájmy zaměstnavatele (§ 73 zákoníku práce). Dále se setkáváme s názorem, že náklady na provoz e-mailové schránky spolu s náklady na připojení k internetu hradí zaměstnavatel. Vzhledem k tomu, že emailová adresa zaměstnance mívá nejčastěji tvar jmé[email protected], usuzuje se, že pošta je určena zaměstnavateli, který si ji vybírá prostřednictvím svého zaměstnance. Často bývá také poukazováno na skutečnost, že v případě, kdy je zaměstnanec např. na služební cestě, na dovolené, nebo je nepřítomen z důvodu nemoci, musí mít zaměstnavatel právo přístupu k jeho poště za účelem vyřízení urgentních záležitostí.45 Podle názoru Úřadu pro ochranu osobních údajů, ke kterému se přikláním, není zaměstnavatel na základě výše uvedeného oprávněn monitorovat a zpracovávat obsah korespondence svých zaměstnanců. Zaměstnavatel by se měl omezit na sledování počtu došlých a odeslaných e-mailů svými zaměstnanci a požadovat, aby zaměstnanci řešení svých 45

Mgr. Bohumír Štědroň: Čtení e-mailové pošty zaměstnavatelem a ochrana soukromí, Bulletin advokacie č. 10/2004, str. 48-51

89

soukromých záležitostí v pracovní době omezili na co nejmenší nezbytnou míru. Tím, že zaměstnanec přijde na své pracoviště, nedochází k jeho vytržení ze soukromého života a po dobu výkonu práce jej zaměstnavatel nemůže úplně izolovat od jeho soukromých záležitostí, nepřestává zde platit zaměstnancovo právo na ochranu soukromí. Jak jsem výše uvedla, zaměstnanec by ale měl své soukromé aktivity v pracovní době omezit na nejnižší možnou míru, aby nedocházelo k zanedbávání pracovních povinností. Z hlediska ochrany osobních údajů se musíme zabývat ještě další otázkou, a sice zda při monitorování elektronické pošty dochází ke zpracování osobních údajů. O zpracování bychom mohli hovořit v případě, že by zaměstnavatel systematicky (viz. § 4 písm. e) zákona o ochraně osobních údajů, podle kterého je zpracováním osobních údajů operace nebo soustava operací systematicky prováděných s osobními údaji) monitoroval své zaměstnance a získané údaje by dále zpracovával (např. pokud by uchovával kopie jednotlivých e-mailů). Pokud by zaměstnavatel elektronickou poštu sledoval pouze nahodile (např. v případě nepřítomnosti zaměstnance z důvodu nemoci) s cílem vyřídit pracovní korespondenci, nejednalo by se o zpracování osobních údajů spadající do úpravy zákona o ochraně osobních údajů. To ovšem neznamená, že by na danou situaci nedopadala příslušná ustanovení občanského zákoníku a Listiny základních práv a svobod, a že by se zaměstnavatel svým jednáním nemohl dopustit porušení listovního tajemství, osobnostního práva a neoprávněného zásahu do soukromí svého zaměstnance, což zakazuje článek 10 odst. 2 Listiny základních práv a svobod. V daném případě by ovšem nebyla dána působnost Úřadu pro ochranu osobních údajů. Shrnu-li výše uvedené, můžu konstatovat, že zaměstnavatel nesmí sledovat obsah soukromé korespondence svých zaměstnanců (tedy ani elektronické korespondence). Jestliže bude zaměstnavatel chtít sledovat počet odesílaných a přijímaných e-mailů, měl by zaměstnance na tuto praxi předem upozornit a začlenit tento postup i do pracovních podmínek svých zaměstnanců. Zjistí-li zaměstnanec, že zaměstnavatel monitoruje jeho elektronickou poštu, měl by zaměstnavatele nejdříve vyzvat, aby tak nečinil a získané údaje zlikvidoval. Pokud by zaměstnavatel odmítl vyhovět zaměstnancově žádosti, může se zaměstnanec obrátit na Úřad pro ochranu osobních údajů (viz. § 21 zákona o ochraně osobních údajů). Pokud by zaměstnavatel při monitorování elektronické pošty nezpracovával osobní údaje z hlediska zákona o ochraně osobních údajů a nebyla by tedy dána kompetence Úřadu pro ochranu osobních údajů k řešení vzniklého stavu, přichází v úvahu soudní žaloba.

90

Podle Úřadu pro ochranu osobních údajů lze při používání elektronické komunikace a stejně tak v případě telefonních hovorů doporučit následující zásady: • Zaměstnanec má právo na soukromí na pracovišti. Na tomto právu nic nemění skutečnost, že zaměstnanec používá komunikační či jiná zařízení zaměstnavatele. Umístění a vlastnictví elektronického zařízení nemůže vyloučit právo zaměstnance na důvěrnost komunikace a korespondence. • Všeobecná zásada důvěrnosti korespondence zahrnuje komunikaci na pracovišti, tedy i elektronickou poštu (e-maily) a připojené soubory. • Respektování soukromí zahrnuje určitou míru práva vytvářet a rozvíjet vztahy mezi jedinci. Toto právo musíme vzít v úvahu při posouzení oprávnění zaměstnavatele použít metody sledování zaměstnanců.46

11.3

Provozování kamerového systému

V současné době se stále častěji setkáváme s provozováním kamerového systému na nejrůznějších místech (na pracovišti – zvlášť oblíbené jsou v tzv. open-space prostorách, ve veřejných budovách, obchodech, ve fitcentrech a jiných sportovištích atd.). Člověk už se většinou nad jejich přítomností nepozastavuje, bere kamery umístěné na stěnách jako samozřejmost, natož aby řešil otázku oprávněnosti jejich použití. Instalace kamerového systému zpravidla doplněného záznamovým zařízením představuje pro majitele nebo provozovatele daného objektu prevenci před vznikem nejrůznějších škod. Kamerový systém budeme pro naše účely chápat jako „automaticky provozovaný stálý technický systém umožňující pořizovat a uchovávat zvukové, obrazové nebo jiné záznamy ze sledovaných míst“, a to buď pasivním monitorováním prostoru, nebo pořizováním cílených záběrů (např. aktivace kamery při pohybu) anebo reportážním způsobem.47 Při hodnocení provozování kamerového systému si musíme zodpovědět dvě otázky: • kdy je kamerový systém považován za systém zpracovávající osobní údaje, a kdy tomu tak není; • kdy je zpracovávaná informace osobním údajem ve smyslu § 4 písm. a) zákona č. 101/2000 Sb., případně citlivým údajem ve smyslu § 4 písm. b) tohoto zákona, a kdy tomu tak není.

46 47

Stanovisko Úřadu pro ochranu osobních údajů č. 6/2004, www.uoou.cz Komentář k zásadám provozování kamerového systému z hlediska zákona o ochraně osobních údajů, www.uoou.cz, rubrika „Na aktuální téma“

91

Pokud jde o zodpovězení první otázky, musíme si uvědomit, že ne každé provozování kamerového systému můžeme označit za zpracování osobních údajů. Abychom mohli hovořit o zpracování osobních údajů a hodnotit danou činnost z hlediska zákona o ochraně osobních údajů, musí docházet k zaznamenávání pořizovaných záběrů, případně k uchovávání informací v záznamovém zařízení. Jinými slovy, zákon o ochraně osobních údajů se bude vztahovat na provozovatele kamerového systému tehdy, jestliže dochází k systematickému zpracování získaných informací ve smyslu ustanovení § 4 písm. e) zákona o ochraně osobních údajů. Podle názoru Úřadu pro ochranu osobních údajů tomu bude vždy, pokud bude kamerový systém vybaven záznamovým zařízením zaměřeným na monitorování fyzických osob. V tomto případě dochází k systematickému shromažďování snímků osob v prostoru a čase korespondujícím s nastavením zařízení. V těchto souvislostech se dá předpokládat i další využití pořízených záběrů. Z logiky věci vyplývá, že kdyby tyto záběry neměly být již dále nijak využity, instalace záznamového zařízení do kamerového systému by postrádala smysl.48 Účelem takto pořízených záznamů nebo uchovaných informací je pak jejich využití k identifikaci fyzických osob v souvislosti s určitým jednáním. Samotné kamerové sledování fyzických osob (tedy bez zaznamenávání pořízených záběrů) nepovažujeme za zpracování osobních údajů, neboť nesplňuje podmínky § 4 písm. e) zákona o ochraně osobních údajů (systematičnost zpracování). V takovém případě na danou činnost dopadají příslušná ustanovení jiných právních předpisů než zákona o ochraně osobních údajů, zejména paragrafy občanského zákoníku upravující podmínky ochrany osobnosti. Ve snaze odpovědět na druhou otázku můžeme konstatovat, že údaje pořízené kamerovým systémem jsou osobními údaji za předpokladu, že na základě těchto záznamů můžeme přímo nebo nepřímo identifikovat konkrétní fyzickou osobu. Přitom subjekt údajů je v této souvislosti identifikovatelný, jestliže ze snímku, na němž je zachycen, jsou patrné jeho charakteristické rozpoznávací znaky (zejména obličej). Osobní údaj jako takový potom tvoří identifikátory, které umožňují spojení příslušné osoby s jednáním zachyceným na snímku (např. osoba identifikovaná jako zaměstnanec K.M. odcizila ze stolu složku s dokumenty...). V této souvislosti můžeme tedy dále uvést, že jestliže nebude z pořízeného záznamu možné identifikovat jednotlivé osoby, potom informace obsažené v záznamech kamerových systémů nesplňují kvalitativní požadavky na osobní údaj.

48

Komentář k zásadám provozování kamerového systému z hlediska zákona o ochraně osobních údajů, www.uoou.cz, rubrika „Na aktuální téma“

92

Z uvedeného vyplývá, že prvotní záznam osoby v rámci provozovaného kamerového systému sám o sobě bez dalších údajů zpravidla neumožní jednoznačnou identifikaci subjektu údajů a mohla by tedy vyvstat otázka vhodnosti aplikace zákona o ochraně osobních údajů. Podíváme-li se ale na tento problém z druhé strany, je nepochybné, že každý záběr obsahující znaky, které umožní odlišení jedné fyzické osoby od druhé (jak jsem již výše uvedla, půjde zejména o zachycení obličeje fyzické osoby), vytváří z pořízeného záběru minimálně potenciální osobní údaj. A s přihlédnutím k tomuto faktu by s ním tedy mělo být nakládáno. Pořídíme-li kamerou snímek uvedených kvalit, musíme počítat s tím, že kdykoliv v budoucnosti může dojít za využití dalších údajů k jednoznačné identifikaci dané fyzické osoby. Nakonec právě budoucí možná identifikace zachycených osob vedla k nainstalování kamer. Podle názoru Úřadu pro ochranu osobních údajů, se kterým se ztotožňuji, nezbývá než doporučit, aby se na kamerové systémy umožňující sledovat fyzické osoby, a které jsou vybavené záznamovým zařízením, pohlíželo jako na zařízení provádějící zpracování osobních údajů. Nezbytné však bude zachování individuálního přístupu při hodnocení každého kamerového systému. Kdokoliv, kdo hodlá instalovat kamerový systém s úmyslem pořizovat a uchovávat záznamy snímaných míst, musí určit účel a prostředky zpracování takto pořízených údajů. Vzhledem k tomu, co jsem výše uvedla – tedy že kamerový systém považujeme za zařízení zpracovávající osobní údaje – osoba provozující kamerový systém spadá dle zákona o ochraně osobních údajů do kategorie správců osobních údajů. Povinnost stanovení účelu a prostředků zpracování tak tomuto provozovateli ukládá § 5 odst. 1 písm. a) a b) tohoto zákona. Účel pořizování těchto záznamů se samozřejmě odvíjí od toho, co by na nich mohlo být zachyceno a k čemu by dané záběry mohly být následně využity. Každého asi v této souvislosti napadne jejich předložení jako důkazů o spáchané trestné činnosti, o způsobení škody atd. Zaměstnavatelé kromě toho často instalují kamerové systémy na pracoviště za účelem kontroly práce svých zaměstnanců, sledování činností provozovaných zaměstnanci v rámci pracovní doby a z bezpečnostních důvodů také kvůli monitorování pohybu cizích osob, tedy soukromých návštěv, pokud jsou dovoleny v objektu zaměstnavatele, případně osob, které přišly za účelem obchodních jednání. S účelem pořízení záznamů potom souvisí i doba, po kterou by měly být získané záznamy uchovávány. Pokud půjde o kamerové záznamy pořízené např. Policií ČR nebo obecními policiemi, musíme počítat s během objektivních lhůt pro zánik trestnosti. U záznamů pořízených v objektu zaměstnavatele pro výše uvedené účely pak předpokládáme uchování těchto záznamů po kratší dobu. 93

Setkáváme se však i s protichůdnými názory, souvisejícími s neaplikováním zákona o ochraně osobních údajů na provozování kamerových systémů (podle zastánců tohoto názorového proudu nejde při provozování kamerového systému o zpracování osobních údajů a zákon o ochraně osobních údajů lze v této souvislosti použít pouze okrajově). Nakládání s pořízenými záznamy by tak podle této názorové skupiny nemělo být omezeno lhůtou, po jejímž uplynutí je nutné záznamy zničit, ale zázeamy by mohly být uchovány libovolně dlouho, třeba po celou dobu existence kamerového systému. Až na výjimky, kdy jsou dané záznamy pořízeny z důvodů veřejného zájmu, musíme takové názory jednoznačně odmítnout. Zejména tam, kde jsou kamerové systémy instalovány soukromými subjekty (např. v objektech zaměstnavatelů, bankami, obchodními domy atd.), by se při jejich dlouhodobém uchování zvyšovalo riziko jejich možného zneužití (např. za účelem sledování klientů bank nebo zvyklostí nakupujících osob). K dokreslení celé problematiky uvedu modelový příklad: Představme si areál veřejně přístupného koupaliště, v rámci jehož návštěvy odkládají jednotliví návštěvníci své oděvy a jiné osobní věci do skříněk k tomu určených. Věci zanechané ve skříňkách jsou následně několik hodin ponechány bez dozoru jejich majitele a jako takové se často stávají i objektem krádeží. Toto riziko nemůže zcela odstranit ani fyzická ostraha prováděná personálem plovárny, navíc odcizení věcí bývá zjištěno až s určitou časovou prodlevou. Tyto okolnosti tak zcela evidentně svědčí záměru instalovat kamerový systém, a to včetně záznamového zařízení, za účelem identifikace pachatelů těchto krádeží. V této souvislosti můžeme připomenout, že provozovatel běžné plovárny žádným zákonným zmocněním k užití kamerového systému nedisponuje. Teoretickou možnost vyžadovat od každého návštěvníka plovárny souhlas s monitorováním musíme na tomto místě odmítnout, neboť aplikována do praxe by znamenala značné časové průtahy, navíc by byla dosti obtížně realizovatelná. Provozovatel koupaliště však může zprovoznit monitorovací zařízení i bez souhlasu subjektů údajů (návštěvníků), a to na základě výše zmíněného ustanovení § 5 odst. 2 písm. e) zákona č. 101/2000 Sb. Je totiž zjevné, že takovéto monitorování by napomáhalo chránit práva a právem chráněné zájmy jak provozovatele, tak návštěvníků plovárny.

94

Z pohledu ustanovení § 5 odst. 2 písm. e) zákona č. 101/2000 Sb. však vzniká určitý problém. Toto ustanovení totiž zakazuje porušovat práva subjektu údajů na ochranu jeho soukromého a osobního života. Pokud si uvědomíme, že v prostorách šaten dochází k odkládání veškerých svršků, je kolize se zákonným ustanovením evidentní. Problém však můžeme vyřešit poměrně jednoduše, a to vytvořením speciálního prostoru určeného k převlékání, v němž by nebyly nainstalovány kamery. V souladu s § 11 odst. 5 zákona o ochraně osobních údajů však musíme návštěvníky uvědomit o tom, že objekt je monitorován kamerami, stejně tak o skutečnosti, že v místnosti vyhrazené pro převlékání monitorování neprobíhá. Pokud by se pak i přes uvedená upozornění návštěvník převlékal v dosahu kamer, rozhodně toto nelze přičítat k tíži provozovatele plovárny. V tomto rámci by pak byly využívány pouze záznamy vztahující se k předmětné škodné události. Ostatní záběry pak bude třeba v přiměřené lhůtě smazat. Vzhledem k podmínkám ilustračního příkladu můžeme předpokládat, že způsobená škoda by měla vyjít najevo v poměrně krátkém čase, nejpozději do druhého dne. Podobně můžeme popsat situaci v objektu zaměstnavatele. Jestliže zaměstnavatel nainstaluje na pracoviště kamerový systém, musí o tom v souladu s § 11 odst. 5 zákona o ochraně osobních údajů informovat nejen všechny své zaměstnance, ale vhodným způsobem uvědomit i jiné osoby vstupující do objektu (např. formou nápisů na vstupních dveřích a zdech místností). Dále musí splnit oznamovací povinnost vůči Úřadu pro ochranu osobních údajů. Jak jsem již popsala na příkladu veřejného koupaliště, souhlas jednotlivých zaměstnanců v souladu s § 5 odst. 2 písm. e) zákona o ochraně osobních údajů zaměstnavatel vyžadovat nemusí (nainstalování kamerového systému slouží k ochraně práv a právem chráněných zájmů zaměstnavatele, čemuž odpovídá i zmíněný účel instalace kamerových systémů na pracovištích). Nicméně nesmějí být porušena práva na ochranu soukromého a osobního života zaměstnanců a jiných fyzických osob. Tak jako na koupališti nemůžeme umístit kamery v prostorách vymezených pro převlékání návštěvníků, stejně tak v objektu zaměstnavatele nesmějí být monitorovány prostory sloužící k výkonu čistě osobních úkonů (např. toalety, sprchy, šatny – obdobně jako u koupaliště alespoň místnost sloužící k převlékání, pokud by prostory se skříňkami, do nichž si zaměstnanci mohou ukládat své osobní věci, byly z bezpečnostních důvodů monitorovány, atd.). 95

Ať bude o provozování kamerových systémů vedena jakákoliv diskuze, nesmíme zapomenout, že se na tuto činnost vztahuje zákon o ochraně osobních údajů, čemuž by také mělo odpovídat chování provozovatele kamerového systému. Pro shrnutí celé problematiky uvedu závěrem povinnosti vyplývající pro správce (tedy provozovatele kamerového systému), které jsou rovněž vymezeny ve stanovisku Úřadu pro ochranu osobních údajů: • Sledování fyzických osob kamerami nesmí nadměrně zasahovat do jejich soukromí. Obecně by kamerový systém měl být využíván pouze tehdy, jestliže daného účelu nelze dosáhnout jiným způsobem (např. uzamčením určité místnosti, pokud by měly kamery chránit majetek nacházející se pouze v této konkrétní místnosti). Jak jsem uvedla shora, s kamerami se setkáváme nejen na pracovištích, ale velmi často jsou instalovány ve veřejně přístupných budovách, kde bychom si stěží představili jiné efektivní řešení. I kdyby zde byla prováděna kontrola všech osob vstupujících do objektu, následná identifikace konkrétní osoby v souvislosti s určitým jednáním by byla stížená a navíc časově mnohem náročnější. Využití kamerového systému v prostorách určených pro ryze soukromé úkony (např. toalety, sprchy) je vyloučeno, neboť takovým jednáním by samozřejmě došlo k nepřiměřenému zásahu do soukromí jednotlivců. Nicméně řešení, jak monitorovat např. prostor šaten existuje, a sice za situace, kdy je v šatnách vyhrazena zvláštní místnost pro převlékání, kterou kamery nesnímají. • Správce musí předem stanovit účel pořizování záznamů, který musí korespondovat s důležitými, právem chráněnými zájmy správce (např. ochrana majetku). Tím správce zároveň splní podmínky § 5 odst. 2 písm. e) zákona o ochraně osobních údajů na zpracování osobních údajů bez souhlasu subjektu údajů. Podle zákona pak mohou být zpracovávané údaje použity pouze v souladu s deklarovaným účelem, tedy v souvislosti se zjištěním události, kterou došlo k poškození důležitých, právem chráněných zájmů správce. Využití pro jiný účel musí být omezena na veřejný zájem (§ 3 odst. 6 zákona o ochraně osobních údajů), u kamer snímajících exteriér budov např. jde-li o boj proti pouliční kriminalitě. • Správce by měl stanovit lhůtu, po kterou budou záznamy uchovávány. Tato doba by neměla přesáhnout maximálně přípustný časový limit pro naplnění účelu provozování kamerového systému. Domnívám se, že není možné a ani praktické stanovit obecnou délku této lhůty, ale přípustnost doby uchování záznamů bude nutné posuzovat podle okolností konkrétního případu.

96

• V souladu s § 13 zákona o ochraně osobních údajů musí správce zajistit ochranu snímacích zařízení, aby předešel neoprávněnému nebo nahodilému přístupu k těmto zařízením, jejich změně, zničení nebo ztrátě, a tím také neoprávněnému zpracování pořízených záznamů. • Jednotlivé fyzické osoby musí být vhodným způsobem informovány o užití kamerového systému (např. nápis na vstupních dveřích do budovy a na zdech jednotlivých místností ve znění: „Objekt je střežen kamerovým systémem“). Uvedená povinnost správce vyplývá z ustanovení § 11 odst. 5 zákona o ochraně osobních údajů. • Správce musí ohledně pořizování záznamů kamerovým systémem splnit oznamovací povinnost dle § 16 zákona o ochraně osobních údajů, ledaže by na zpracování dopadala některá z výjimek uvedených v § 18 odst. 1 zákona. Zpravidla zde půjde o písm. b) daného ustanovení, týkající se zpracování osobních údajů uložené zvláštním zákonem nebo nezbytné k uplatnění práv a povinností vyplývajících ze zvláštního zákona. Půjde např. o § 42f zákona č. 283/1991 Sb., o Policii ČR, § 24b zákona č. 553/1991 Sb., o obecní policii, zákon č. 202/1990 Sb., České národní rady o loteriích a jiných podobných hrách, ve znění zákona č. 70/1994., a o změně a doplnění dalších zákonů (§ 37, § 50) atd.

97

12 EVROPSKÁ OCHRANA OSOBNÍCH ÚDAJŮ 12.1

Současná ochrana osobních údajů

V současné době je úprava ochrany osobních údajů obsažena v Chartě základních práv EU, která bývá považována za předstupeň chystané Evropské ústavy (o té pojednám níže). V červnu roku 1999 rozhodl summit EU v Kolíně nad Rýnem o vypracování Charty základních práv EU. V říjnu téhož roku na zasedání v Tampere vytvořila Evropská rada „Konvenci“ složenou z členů národních parlamentů a Evropského parlamentu a ze zástupců vlád, jejímž úkolem bylo vypracovat Chartu práv na základě shrnutí práv již existujících v mezinárodních, evropských (např. Evropské úmluvě o ochraně lidských práv nebo Evropské sociální chartě) i národních instrumentech. Zasedání Konvence se konala v průběhu roku 2000 a na základě konzultací se širokým spektrem různých organizací zabývajících se lidskými právy byl dohodnut a vypracován návrh Charty. Definitivního schválení Konvencí se text tohoto návrhu dočkal dne 2. října 2000, zveřejněn byl jako „Konvent 50“. Konvencí schválený návrh byl 3. října 2000 diskutován v Evropském parlamentu, jehož komise pro ústavní záležitosti požádala, aby text Charty posoudila rovněž Mezivládní konference. Ke konečnému přijetí návrhu došlo na zasedání Evropské rady v Nice v prosinci 2000.49 Ustanovení o ochraně osobních údajů nalezneme v textu Charty hned za ustanovením o právu na respektování soukromého a rodinného života, domova a komunikace. Pozornost je zde samozřejmě věnována i právu na svobodu, bezpečnost, vyjadřování názorů a na informace, které, jak jsem již dříve uvedla, je stavěno do opozice vůči právu na ochranu osobních údajů. Ačkoliv nikdo nezpochybňuje společenský význam ochrany osobních údajů a obecně práva na soukromí, navíc o nejrůznějších kauzách slýcháme často v médiích, v současné době tyto otázky celosvětově ustoupily na preferenčním žebříčku poněkud do pozadí. Společnost se jen velmi pomalu vzpamatovává z otřesu způsobeného teroristickými útoky na New York a Washington dne 11.9.2001, v Madridu dne 11.3.2004 a v Londýnském metru dne 7.7.2005, zvláště když jsme byli v posledních měsících svědky dalších pokusů teroristů. V takto vyhrocené situaci se společenskou prioritou číslo jedna stává bezpečnost a boj s terorismem a jen obtížně se prosazuje snaha o vyvážený přístup při zavádění nejrůznějších bezpečnostních opatření tak, aby nedošlo k oslabení práva na 49

Interní zpravodaj Evropského www.cmkos.cz/eit/0022char.htm

integračního

98

týmu

ČMKOS

č.

22/2000,

soukromí včetně ochrany osobních údajů. Obtížnost nalezení vyváženého přístupu se samozřejmě odráží i v rámci Evropské unie, a to v podobě rozporných stanovisek jejích základních institucí. Dokladem toho je i spor Evropského parlamentu a Komise ohledně předávání osobních údajů cestujících do USA z databází leteckých společností pro potřeby amerických bezpečnostních úřadů. Americké orgány pod pohrůžkou uzavření letišť, pokut a zpřísněnou kontrolou cestujících donutily v roce 2003 evropské letecké dopravní společnosti, aby jim poskytovaly seznamy cestujících na linkách do USA, a to včetně osobních údajů pasažérů. Občané České republiky letící do USA se tak u leteckých společností setkali s tímto upozorněním50: Vážení cestující, s ohledem na nařízení bezpečnostních úřadů USA je s platností od 14. dubna 2005 na linkách z/do USA a US teritorií z bezpečnostních důvodů zakázáno mít u sebe nebo přepravovat jakékoliv zapalovače ve Vašich odbavených i neodbavených (kabinových) zavazadlech. Na základě požadavků státních úřadů USA vycházejících ze zákonů „Federal Register 19 CFR část 122 a 178 a 8 CFR část 217 a 420“ a dále na základě požadavků státních úřadů Kanady vycházejících ze zákonů „Customs Act část 107.1.“ a “Immigration and Refugee Protection Act“ jsou při Vaší cestě do USA nebo Kanady z bezpečnostních důvodů zpracovávány a předávány Vaše osobní údaje příslušným státním úřadům uvedených zemí v rámci systému APIS v rozsahu: jméno a příjmení; datum a místo narození; státní příslušnost dle cestovního dokladu; země trvalého pobytu; pohlaví; číslo, typ a platnost cestovního nebo jiného dokladu; datum a místo vystavení tohoto dokladu; název úřadu, který doklad vystavil; adresa pobytu v USA (ve formátu: číslo a název ulice, město, stát a zip kód neboli směrovací číslo) nebo kontaktní adresa v Kanadě; rezervační kód; místo odletu, kód dopravce, číslo letu, datum a místo příletu do USA či Kanady, datum a místo odletu z USA či Kanady; a dále v rámci rezervačních a odbavovacích systémů v rozsahu: jméno a příjmení; datum narození; číslo cestovního dokla50

http://www.csa.cz

99

du; jména a příjmení spolucestujících; označení linek, na kterých má cestující provedenou rezervaci; telefonní kontakt; adresa bydliště; číslo členské karty věrnostního programu OK PLUS či jiné letecké společnosti; požadavek na rezervaci konkrétního místa v letadle; objednávka speciálního druhu jídla či nadstandardního servisu; jméno a kontakt na prodávající cestovní agenturu. Předávání uvedených osobních údajů je zcela v souladu s právními předpisy ČR a EU. Děkujeme Vám za pochopení. Evropská komise spolu s členskými státy zastoupenými v Radě EU dospěli na jaře roku 2004 k rozhodnutí, že 1) požadovaná data lze americké straně předávat, neboť 2) jejich ochrana ze strany USA je přiměřená. S tímto stanoviskem ovšem nesouhlasil Evropský parlament, který uzavřenou dohodu napadl u Evropského soudního dvora kvůli narušení soukromí cestujících osob. Evropský soudní dvůr potom dne 30.5.2006 zrušil zmíněné rozhodnutí orgánů Evropské unie: Rozsudek Soudního dvora (velkého senátu) ze dne 30. května 2006 Evropský parlament v. Rada Evropské unie (Spojené věci C-317/04 a C-318/04) (Ochrana fyzických osob v souvislosti se zpracováním osobních údajů — Letecká doprava — Rozhodnutí 2004/496/ES — Dohoda mezi Evropským společenstvím a Spojenými státy americkými — Záznamy o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic — Směrnice 95/46/ES — Článek 25 — Třetí státy — Rozhodnutí 2004/535/ES — Odpovídající úroveň ochrany) Účastníci řízení: ŽALOBCE: Evropský parlament (zástupci: R. Passos, N. Lorenz, H. Duintjer Tebbens a A. Caiola, zmocněnci) Vedlejší účastník podporující žalobce: Evropský inspektor ochrany údajů (EIOÚ) (zástupci: H. Hijmans a V. Perez Asinari, zmocněnci) ŽALOVANÁ (ve věci C-317/04): Rada Evropské unie (zástupci: M. C. Giorgi Fort a M. Bishop, zmocněnci) 100

ŽALOVANÁ (ve věci C-318/04): Komise Evropských společenství (zástupci: P. J. Kuijper, A. van Solinge, C. Docksey a F. Benyon, zmocněnci) Vedlejší účastníci podporující žalovanou (ve věci C317/04): Komise Evropských společenství (zástupci: P. J. Kuijper, A. van Solinge a C. Docksey, zmocněnci); Spojené království Velké Británie a Severního Irska (zástupci: M. Bethell a C. White a T. Harris, zmocněnci, ve spolupráci s T. Wardem, barrister) Vedlejší účastníci podporující žalovanou (ve věci C318/04): Spojené království Velké Británie a Severního Irska (zástupci: M. Bethell, C. White a T. Harris, zmocněnci, ve spolupráci s T. Wardem, barrister) Předmět věci Žaloba na neplatnost: zrušení rozhodnutí Rady 2004/496/ES ze dne 17. května 2004 o uzavření dohody mezi Evropským společenstvím a Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících (PNR) Úřadu pro cla a ochranu hranic ministerstva vnitřní bezpečnosti Spojených států (Úř. věst. L 183, s. 83). [C-317/04] Žaloba na neplatnost: zrušení rozhodnutí Komise 2004/535/ES ze dne 14. května 2004 o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic (Úř. věst. L 235, s. 11) [C-318-04] Výrok 1) Rozhodnutí Rady 2004/496/ES ze dne 17. května 2004 o uzavření dohody mezi Evropským společenstvím a Spojenými státy americkými o zpracování a předávání údajů jmenné evidence cestujících (PNR) Úřadu pro cla a ochranu hranic ministerstva vnitřní bezpečnosti Spojených států a rozhodnutí Komise 2004/535/ES ze dne 14. května 2004 o odpovídající úrovni ochrany osobních údajů obsažených v záznamech o knihování cestujících v letecké dopravě, které se předávají Úřadu USA pro cla a ochranu hranic, se zrušují. 101

2) Účinky rozhodnutí 2004/535 se zachovávají až do 30. září 2006, aniž by však tyto účinky byly zachovány po dni zániku uvedené dohody. 3) Radě Evropské unie se ukládá náhrada nákladů řízení ve věci C-317/04. 4) Komisi Evropských společenství se ukládá náhrada nákladů řízení ve věci C-318/04. 5) Komise Evropských společenství nese vlastní náklady ve věci C-317/04. 6) Spojené království Velké Británie a Severního Irska, jakož i evropský inspektor ochrany údajů nesou vlastní náklady.51 Pracovní skupina pro ochranu fyzických osob při zpracování osobních údajů (nezávislý poradní orgán Evropské komise) ve svém stanovisku č. 5/2006 ze dne 14.6.2006 uvádí, že uvedené rozhodnutí Evropského soudního dvora anuluje rozhodnutí Komise jak o přiměřenosti ochrany údajů ze strany USA, tak o uzavření smlouvy o zpracování a předávání záznamů. Rozhodnutí Evropského soudního dvora zavazuje instituce Společenství ukončit smlouvu se Spojenými státy nejpozději do 30.9.2006. Z tohoto důvodu by jakékoliv předání dat cestujících do USA po ukončení platnosti smlouvy nemělo právní základ v evropském právu. V rámci řešení vzniklé situace doporučuje Pracovní skupina evropským institucím tyto kroky: • Za účelem předejití právnímu vakuu po 1.10.2006 ve věci předávání osobních údajů cestujících a pro zajištění ochrany práv a svobod cestujících přijmout co nejdříve novou dohodu mezi EU a USA. • V nové smlouvě by měla být integrována ochrana osobních údajů tak jak je stanovena v závazcích USA minimálně na stávající úrovni, mělo by být přihlédnuto ke kritickým názorům Pracovní skupiny vyjádřeným v jejích předchozích stanoviscích k této problematice (např. pokud jde o snížení počtu předávaných údajů jednotlivých osob). • Měl by být striktně omezen účel předávání osobních údajů (včetně dalšího přenosu získaných dat).52 Při tvorbě legislativy týkající se ochrany osobních údajů sehrála nemalou roli Rada Evropy. Bezprostředně poté, co Organizace pro hospodářskou spolupráci a rozvoj (OECD) vydala Pravidla ochrany soukromí a přeshraničních toků osobních údajů (Guidelines on the Protection of Privacy and Transborder Flows of Personal Data) a dlouho před vydáním 51 52

www.curia.europa.eu Tisková zpráva Úřadu pro ochranu osobních údajů ze dne 21.6.2006, www.uoou.cz

102

příslušné směrnice Evropské unie (Directive 95/46/EC of the European Parliament ond of the Council of 24 October 1995 on the Protection of Individuals with Regard to the Processing of personal Data and on the Free Movement of such Data), přijala Rada Evropy ve Štrasburku dne 28.1.1981 první mezinárodní dokument tohoto zaměření – Úmluvu č. 108 na ochranu osob se zřetelem na automatizované zpracování osobních dat. Pravidla OECD představují pouze teze, které přinášejí do praxe vyspělých zemí obecně, avšak nezávazně uplatňovaná kritéria ochrany osobních údajů. Naproti tomu Úmluvu 108 můžeme označit v oblasti ochrany osobních údajů za první ucelený evropský dokument, který se pro přistoupivší státy stal závazný. Česká republika Úmluvu 108 podepsala dne 8.9.2000, ratifikační listiny byly předány ve Štrasburku dne 9.7.2001. Dodatkový protokol k Úmluvě Česká republika ratifikovala ke dni 24.9.2003 a stala se tak v té době čtvrtým státem, který k protokolu přistoupil. Úmluva vymezila základní pojmy z oblasti ochrany osobních údajů a stanovila zásady pro nakládání s osobními údaji. Úmluva je určující pro úroveň ochrany osobních údajů v tak významných oblastech, jako je např. evropská spolupráce vymezená dohodami a úmluvami o Europolu a Schengenu. Můžeme říci, že to, co znamená obecná Směrnice 95/46/ES pro první pilíř EU, znamená od Rady Evropy převzatá Úmluva č. 108 pro pilíř třetí (spravedlnost a vnitro). V právu Evropských společenství představuje základ ochrany osobních údajů Směrnice Evropského parlamentu a Rady 95/46/ES o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a s volným pohybem těchto údajů (Directive 95/46 on the protection of individuals with regard to the processing of personal data and on the free movement of such data) ze dne 24.10.1995. Směrnice stanovuje základní povinnosti osobám zpracovávajícím osobní údaje a dále upravuje práva jednotlivců za účelem nezneužívání jejich osobních údajů. Zavedení společných standardů ochrany soukromí umožňuje volný pohyb osobních údajů v rámci Evropské unie. Směrnice ovšem také počítá s přijetím stejných standardů ochrany soukromí ve třetích zemích, což by mělo usnadnit volný pohyb osobních údajů mezi Evropskou unií a nečlenskými státy.53 Směrnice nemají obecnou závaznost, nezavazují vnitrostátní fyzické a právnické osoby, ale výhradně členské státy. Těm je směrnicí předepsán určitý stav, kterého má být dosaženo a lhůta, ve které se tak má stát, přičemž metody a formy jsou ponechány na vůli jednotlivých států. U Směrnice 95/46/ES měly členské státy čas na harmonizaci vnitrostátního 53

Fiona M. Carlin: The data protection directive: the introduction of common privacy standards, EUROPEAN LAW REVIEW. London. Vol. 21. No. 1. February 1996. p. 65-70

103

práva v souladu se směrnicí do 24.10.1998, avšak i po tomto datu přetrvávaly v řadě zemí nedostatky ve shodě národního práva s právem komunitárním. V souvislosti se Směrnicí 95/46/ES bych ráda zmínila ještě Rozhodnutí Komise 2001/497/ES o standardních smluvních podmínkách pro přenos osobních údajů zpracovatelům umístěným ve třetích zemích. Pokud dochází k přenosu osobních údajů do zemí mimo EU a subjekt přenášející údaje postupuje v souladu se Směrnicí 95/46/ES a použije tyto smluvní podmínky, je jeho počínání chápáno jako poskytnutí odpovídající úrovně ochrany osobním údajům. Krátce po vydání Směrnice 95/46/ES následovala sektorově vymezená a na obecnou směrnici navazující Směrnice Evropského parlamentu a Rady 97/66/ES, týkající se zpracování osobních údajů a ochrany soukromí v oblasti telekomunikací. Další významnou normu představuje Směrnice Evropského parlamentu a Rady 2002/58/ES o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích) ze dne 12.7.2002. Tato norma, kterou se částečně ruší dřívější sektorová směrnice 97/66/ES, měla být transportována do národních legislativ členských států do 31.10.2003, nicméně dlouhou dobu přetrvávaly problémy s její implementací. Z toho důvodu vydala Evropská komise v dubnu 2004 v pořadí již druhé varování osmi členským státům, přičemž jim pohrozila žalobou u Evropského soudního dvora. V České republice byla uvedená směrnice implementována v rámci zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (dále „zákon o elektronických komunikacích“), který byl vyhlášen v částce č. 43 Sbírky zákonů ČR dne 31.3.2005 a nabyl účinnosti dnem 1.5.2005. Tato norma nahradila dosavadní zákon č. 151/2000Sb., o telekomunikacích a o změně dalších zákonů, ve znění pozdějších předpisů. Zákon o elektronických komunikacích zavedl do českého právního řádu nový regulační rámec Evropské unie 2003. Mění pravidla regulací trhu klasických telekomunikačních služeb, ale vztahuje se i na nové služby elektronických komunikací, jako například služby kabelových televizí nebo digitálního vysílání. Nový zákon přináší tyto základní změny: • Výrazným způsobem zjednodušuje systém získání oprávnění pro podnikání v oblasti elektronických komunikací. Pro podnikání v této oblasti postačí splnit obecné podmínky vymezené v textu zákona a oznámit podnikání Českému telekomunikačnímu úřadu. Odpadne tak povinná registrace u živnostenského úřadu a placení stotisícového poplatku za vydání licence.

104

• Zákon dále mění způsob zajišťování a financování takzvané univerzální služby, tedy vesměs ztrátových služeb, na které má ale každý občan ze zákona nárok. Těmito službami jsou například služby veřejných telefonních automatů, zřízení připojení v pevném místě k veřejné telefonní síti, zřízení přístupu v pevném místě k veřejně dostupné telefonní službě, informační služba o telefonních číslech. Do rámce univerzální služby patří i zvýhodněné tarify a speciální telefonní přístroje pro zdravotně postižené osoby. • Nový zákon nemění nic na výhodách pro zdravotně postižené. Významným posunem je však to, že zvýhodněné tarify pro tyto osoby nyní bude hradit stát. • Další zásadní změnou je nový způsob regulace trhu elektronických komunikací. Regulátor bude povinen provádět pravidelné analýzy trhů. Regulace je prováděna za účelem nahrazení chybějících účinků hospodářské soutěže, pro vytváření předpokladů pro řádné fungování hospodářské soutěže a za účelem ochrany uživatelů. Pověřeným orgánem je v oblasti regulace Český telekomunikační úřad, který je tímto zákonem zřízen jako ústřední správní úřad pro výkon státní správy ve věcech stanovených tímto zákonem, tedy včetně již zmíněné regulace trhu. Rozhodování vlastním regulačním opatřením bude regulátor oprávněn uplatňovat pouze tam, kde služby nebudou dostatečně zajišťovat trh. Jeho zásahy by však měly směřovat k tomu, aby regulace jako taková mohla co nejdříve skončit a na trhu existovala volná konkurence. Zatímco dnes může regulátor rozhodovat v zásadě dle vlastního uvážení, nový zákon vymezuje základní mantinely, ve kterých se bude muset pohybovat. To zpřesní a zpřehlední jeho rozhodování a učiní jej pro operátory zčásti předvídatelné. Všechna rozhodnutí regulátora budou, na rozdíl od současné situace, soudně přezkoumatelná. • Změny se dotknou i samotného regulátora. Podle nového zákona bude zásadní strategická regulační rozhodnutí přijímat pětičlenná rada Českého telekomunikačního úřadu. Výkon regulace a každodenní rozhodování však zůstávají svěřena předsedovi Rady Českého telekomunikačního úřadu.54 Nařízení Evropského Parlamentu a Rady č. 45/2001 o ochraně jednotlivců s ohledem na zpracování osobních údajů institucemi a orgány Společenství a o volném pohybu takových údajů se činnosti našeho Úřadu pro ochranu osobních údajů netýká, ovšem má význam v rámci institucionální struktury EU. Jeho ustanovení se týkají např. práva 54

www.micr.cz

105

občana být informován o skutečnosti a důvodu zpracování jeho osobních údajů, práva na opravu nepřesných nebo neúplných údajů, práva na blokaci nebo výmaz těchto údajů atd. Na počátku roku 2004 zahájil svou činnost Evropský inspektor ochrany údajů (nazývaný také Evropský ochránce dat). Jedná se o nezávislý kontrolní orgán, jehož úkolem je dohlížet na dodržování komunitárních právních předpisů týkajících se ochrany osobních údajů v orgánech a institucích EU. Tento orgán byl zřízen Rozhodnutím Evropského parlamentu, Rady a Komise č. 1247/2002/ES o úpravě a obecných podmínkách výkonu funkce Evropského inspektora ochrany údajů. Podle tohoto rozhodnutí jsou také instituce a orgány EU povinny určit alespoň jednu osobu pověřenou ochranou dat (Data Protection Officer).55

12.2

Ochrana osobních údajů v rámci Evropské ústavy

Během uplynulých dvou dekád se postupně vyvíjely smlouvy, které určovaly vývoj Evropské unie. Každá chystaná změna byla připravována mezivládní konferencí, na níž se několik měsíců scházeli zástupci vlád členských států. Evropská integrace se prohloubila podpisem Jednotného evropského aktu v únoru 1986, Maastrichtskou smlouvou podepsanou v únoru 1992, Amsterdamskou smlouvou z roku 1997 a smlouvou z Nice z roku 2001. Evropská rada, složená z hlav států a předsedů vlád 15 států, přijala v Laakenu v prosinci 2001 prohlášení o budoucnosti EU, na jehož základě byl svolán Konvent, v němž byli zástupci nejen 15 členských států ale i 13 kandidátských zemí. Od 28.2.2002 do 20.6.2003 pracoval k tomuto účelu vytvořený Konvent pod vedením Valéryho Giscarda d´Estainga na textu ústavní smlouvy. Text předložený Konventem byl podkladem pro jednání konference zástupců vlád členských států a byl uzavřen slavnostním podpisem dne 29.října 2004 v Bruselu.56 Ratifikace ústavy se zadrhla díky negativním výsledkům referend ve Francii a Nizozemí. Proces řešení situace ohledně přijetí ústavní smlouvy má mít dvě etapy, na kterých se dne 16.6.2006 dohodli nejvyšší politici Evropské unie: • návrh na řešení situace předloží Německo jako předsedající země v červnu roku 2007; • konečného výsledku má být dosaženo do druhého pololetí roku 2008 (za předsednictví Francie).

55 56

Ochrana osobních údajů jako stálé téma Evropské unie, www.uoou.cz Průvodce Evropskou ústavou, www.evropskaustava.cz

106

Jestliže probíhající jednání v rámci Evropské unie podle schváleného harmonogramu v budoucnu skutečně vyústí v přijetí tzv. Evropské ústavy, nebo-li společné ústavy Evropské unie, která by v zájmu srozumitelnosti a jasnosti měla nahradit všechny stávající smlouvy, bude tento dokument obsahovat ustanovení týkající se ochrany osobních údajů, a to hned na dvou místech: „ČÁST I. (základní ustanovení), HLAVA VI – DEMOKRATICKÝ ŽIVOT UNIE, ČLÁNEK I-51: Ochrana osobních údajů 1. Každý má právo na ochranu osobních údajů, které se jej týkají. 2. Evropský zákon nebo rámcový zákon stanoví pravidla o ochraně fyzických osob při zpracovávání osobních údajů orgány, institucemi a jinými subjekty Unie a členskými státy, pokud vykonávají činnosti spadající do oblasti působnosti práva Unie, a pravidla o volném pohybu těchto údajů. Dodržování těchto pravidel podléhá kontrole nezávislými orgány. ČÁST II – LISTINA ZÁKLADNÍCH PRÁV UNIE, HLAVA II – SVOBODY, ČLÁNEK II-68: Ochrana osobních údajů 1. Každý má právo na ochranu osobních údajů, které se jej týkají. 2. Tyto údaje musí být zpracovány poctivě, k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem. Každý má právo na přístup k údajům, které o něm byly shromážděny, a má právo na jejich opravu. 3. Na dodržování těchto pravidel dohlíží nezávislý orgán.“ Na první pohled se jedná o obecná ustanovení, pro budoucí ochranu osobních údajů v rámci Evropské unie však mají klíčovou povahu. Článek I-51 totiž do budoucna počítá s vydáním zvláštního předpisu, upravujícího pravidla ochrany fyzických osob při zpracování jejich osobních údajů. Článek II-68 jde ještě dále, když specifikuje základní podmínky zpracování osobních údajů (a tím vlastně určuje základní povinnosti osob zpracovávajících osobní údaje). V obou ustanoveních se počítá s dozorem nezávislého orgánu, tento však není blíže specifikován. Není tedy jasné, zda půjde o Evropského inspektora ochrany údajů, který v roli nezávislého kontrolního orgánu pro oblast ochrany osobních údajů funguje od roku 2004. Do107

mnívám se, že zřízení tohoto orgánu na evropské úrovni, jeho organizace, pravomoci a další aspekty související s jeho činností, se stanou předmětem zvláštní právní úpravy, zmíněné v článku I-51.

108

13 ZÁVĚR Cílem této práce bylo nastínit problematiku ochrany osobních údajů v České republice se zaměřením na oblast pracovněprávní a dále provést exkurz do sféry ochrany dat na poli Evropské unie. Domnívám se, že problematiku ochrany osobních údajů by lidé neměli podceňovat, bohužel jsme ale každodenními svědky opačné praxe. Nejen zaměstnavatelé zpracovávající osobní údaje svých zaměstnanců, ale správci osobních údajů obecně, často zneužívají neznalosti práv občany a dopouštějí se jednání v rozporu s právními předpisy. Problémem ovšem není jen využití poskytnutých osobních údajů k jiným účelům, ačkoliv se setkáváme s tím, že problematika ochrany osobních údajů je takto nesprávně zužována. Velmi důležité je zabezpečení zpracovávaných osobních údajů za účelem předejití jejich zneužití třetími osobami. V dnešní společnosti ovlivněné rozvojem informačních technologií nabývá problematika ochrany osobních údajů stále většího významu. Právě rozvoj internetu a jeho masové využívání – dnes si troufám tvrdit všemi společnostmi, s sebou přináší nemalé riziko. Musíme si totiž uvědomit, že připojením do sítě (ať už lokální v rámci podniku, nebo připojením na Internet) vystavujeme obsah svého počítačového disku nebezpečí. A pokud jde o zneužití uložených informací, nemusí jít pouze o tzv. „hackery“, nebo-li průnikáře. Počítačoví odborníci se totiž shodují, že pravého hackera zpravidla nezajímá obsah napadeného počítače, mnohdy ani netuší, k jakým datům se dostal. Jeho hlavní motivací je přelstít bezpečnostní opatření a dokázat se „nabourat“ do systému. Ani v nejmenším se nesnažím tyto osoby obhajovat, ale musím připustit, že svým způsobem prokazují správcům sítí službu, neboť průnikem do systému přes různá bezpečnostní opatření poukazují na jejich nedostatky. Na druhou stranu člověk samozřejmě předem nikdy neví, zda osoba, která se dostala k datům uloženým na počítači, je jen pravověrným neškodným hackerem, který se spokojil s průnikem do systému a jeho obsahu nevěnoval pozornost. A co vlastní zaměstnanci? Tímto apeluji na všechny zaměstnavatele, neboť tito si mnohdy neuvědomují, jakému riziku jsou vystaveni ze strany „svých lidí“. Opravdu můžete všem svým zaměstnancům stoprocentně věřit, že nezneužijí informace, k nimž mají přístup? Potom nezbývá, než vám pogratulovat ke šťastnému výběru pracovníků. Ale realita, jak jsme se mnohokráte přesvědčili v médiích a jak jsem demonstrovala na kauze jedné personální společnosti, je diametrálně odlišná. Proto si myslím, že žádný zaměstnavatel by neměl podceňovat zabezpečení osobních údajů, a to jak po stránce technické, tak organizační (tedy zajistit, aby informace 109

o zpracovávaných údajích, jejich uložení a možnosti přístupu nebyly známy všem zaměstnancům). Do příslušných databází by měli mít přístup pouze zaměstnanci k tomu oprávnění, tedy osoby, které v rámci své činnosti pro zaměstnavatele zpracovávají osobní údaje. Jejich odpovědnost v souvislosti s porušením zákonných povinností by pak měl upravovat interní předpis společnosti. Osobně si myslím, že kvalita ochrany osobních údajů v České republice se v posledních letech zlepšila, a to jak po legislativní stránce v souvislosti se zmíněnou euronovelou, tak po stránce praktické. Možná je to dáno větší medializací celé problematiky a s tím souvisejícím větším povědomím občanů o jejich právech v souvislosti se zpracováním osobních údajů. Tento trend ovšem převládá u mladší generace. Pracovníci Úřadu pro ochranu osobních údajů se totiž shodují v tom, že zejména starší občané si nedokáží chránit své soukromí. Tuto skutečnost vysvětlují tím, že v minulosti, kdy se otázce ochrany soukromí nevěnovala taková pozornost, si lidé zvykli kdykoli a kdekoli podávat o své osobě velmi podrobné informace. Do dnešních dnů přetrvávajícím a dosti zásadním nedostatkem české právní úpravy je neexistence zvláštního zákona, který by upravoval nakládání s osobními údaji v oblasti pracovněprávních vztahů. Jak jsem již dříve zmínila, nezbývá, než použít obecnou normu – zákon o ochraně osobních údajů, a dále v konkrétní situaci aplikovat jednotlivá ustanovení zvláštních zákonů, která se týkají osobních údajů fyzických osob (např. již zmiňované předpisy z oblasti sociálního zabezpečení). Doufám, že tato situace se do budoucna změní a dočkáme se oné zvláštní právní úpravy, neboť současný stav přináší v každodenní praxi řadu sporných situací a aplikačních problémů, k čemuž by v tak frekventované oblasti, jakou pracovněprávní vztahy jsou, nemělo docházet.

110

RESUMÉ The protection of personal data is one of really serious problems of our society influenced by development of information technologies, which increases the danger of abousing personal data. Our privacy, that includes our personal data, needs a special protection, because interference with somebody’ s privacy (e.g. by abusing somebody’s personal data) is one of the most serious problems and one of the worst thing you can do. Not only celebrities, but everybody tries to protect his privacy, his own space, that couldn’t be disturbed by anybody else without an “owner’s permission. I’ve said that our personal data are part of our privacy, so it wouldn’t be a surprice, that the right for protection of personal data was originated within the framework of the right for privacy. In the Czech legislation you can find the rigt for protection of personal data in the chapter 10 of the Document of human rights and freedom of the Czech Republic. In the past the situation in our legislation wasn’t sufficient, because there was no general act concerning the problems of personal data protection. The only one – ACT No. 256 of 30 April 1992 on the Protection of Personal Data in Information Systems, was concerning processing personal data just in information systems, not their manual processing. That was one of the reasons for criticizing our legislation by the European Union. The other reason was that in our country any independent controlling authority with vindicatory powers wasn’t established. In order to become a member of the European Union our republic had to change its legislation. In 2000 came into force new legislation - the ACT No. 101 of 4 April 2000 on the Protection of Personal Data and on Amendments to Some Related Acts, that introduces European standards of processing personal data. And what’s more, there was established new independent controlling authority – The Office for Personal Data Protection. We are still talking about personal data... But what can we imagine under this term? In general – all information with a close relation to a person, who is called “data subject” in these circumstances (e.g. name, surname, date of birth, different kinds of personal numbers – e.g. numbers of personal certificates, an address, a phone number etc.). In words of ACT No 101 of 4 April 2000: “"personal data" shall mean any information relating to an identified or identifiable data subject. A data subject shall be considered identified or identifiable if it is possible to identify the data subject directly or indirectly in particular on the basis of a number, code or one or more factors specific to his/her physical, physiological, psychical, economic, cultural or social identity.“ Specific personal data that require a 111

special protection are so called “sensitive data”. Sensitive data contains nationality, racial or ethnic origin, political attitudes, trade-union membership, religious and philosophical beliefs, conviction of a criminal act, health status and sexual life of the data subject, as well as any biometric or genetic data of the data subject. The reason for special protection of sensitive data is that they can be abused for discrimination of a data subject. A person who is processing personal data, better say who determines the purpose and means of personal data processing, carries out such processing and is responsible for such processing, is called “controller”. Any entity processing personal data pursuant to the Act on the basis of a special contract with controller (or we can say on the basis of controller’s authorisation) is so called “processor”. The main difference between a controller and a processor is, that a processor doesn’t determine the purpose and means of processing and he isn’t responsible for it either (in the case he didn’t break the Act). In labour law, in the relation between an employer and an employee, we can call the employer as a controller and an employee as a data subject. That means that employers have the same duties as processors in general, and the same we can say about the rights of employees (they are the same as rights of every data subject at all). At first sight we can say, that the relation between a processor (employer) and a data subject (employee) isn’t equal. The main purpose of legislation of personal data protection is to protect data subjects as a weaker part. It’s logical, because personal data (data related to a data subject) are being abused; it means a permanent attack on the data subject’s privacy. In general we can say that personal data legislation determines duties of controllers and processors on one side (and also sanctions for breaking the rules) and rights of data subjects on the other side. I can mention basic employer’s duties: Each employer has to specify the purpose personal data are to be processed for and also means and manners of personal data processing. Employers also have to process only accurate personal data. Here we can also find an ulterior duty of data subject, because any employer would be able to fulfil his duty without obtaining information about changes in processing personal data from an employee. But you can find this employee’s duty in any legal act and that’s why employers usually determine this duty for their employees in internal acts. Other employer’s duty is to collect personal data corresponding exclusively to the specified purpose and in an extent that is necessary for fulfilment of the specified purpose, preserve personal data only for a period of time that is necessary for the purpose of their processing, process personal data only in 112

accordance with the purpose for which the data were collected, collect personal data only in an open manner and ensure that personal data that were obtained for different purposes are not grouped. Very important and also often discussed is the restriction for processing personal data only with consent of data subject. But we can find some exceptions from this duty, e.g. if the employer is carrying out processing which is essential to comply with his legal obligation, if it is essential for the protection of rights and legitimate interests of the employer as a controller, etc. For complementarity I have also mentioned that in collecting personal data the employer shall be obliged to inform the data subject of the scope in which and the purpose for which the personal data shall be processed, who and in what manner will process the personal data and to whom the personal data may be disclosed, unless the data subject is already aware of this information. And finally we can’t forget notification obligation of the employer as a collector, unless the conditions for exception for this duty are fulfilled. In order to fulfil his legal duties, each employer has to answer the question what kind of personal data of his employees are necessary to be collected. In labour law we can find some special acts that determines what kind of data should be collected by emploers and after it the employer has to make it available to different authorities. Nevertheless each employer has to differentiate which personal data he needs before concluding an employment contract with a concrete person (it means before a person become an employee) and what personal data of his employees are necessary to be collected during the labour relation (these are usually determined by legal acts). With respect to the duties of employers as collectors we can say, that the clue for employer is the purpose for which personal data are to be processed. I can say that the legislation of peronal data protection has been improved in recent years (mainly because of our effort to become a member of European Union). Nevertheless nowadays situation isn’t optimal, mainly in the area of labour law. The reason is that the ACT No. 101 of 4 April 2000 on the Protection of Personal Data and on Amendments to Some Related Acts is a general act concerning processing personal data in all social spheres. But I must remark a lack of a special act concerning processing personal data in labour relations which causes everyday’s problems to employers and personnel managers. I hope that the situation will be solved soon.

113

POUŽITÁ LITERATURA • Carey, Peter: Data Protection: A Practical Guide to UK and EU Law, 2nd Edition, Oxford University Press, 2004, 576 pages. ISBN 0199265682 • d’Ambrosová, Hana: Ochrana osobních údajů v personalistice od roku 2005, 1. vydání, Praha: Pragoeduca, 2005, 87 str. ISBN 80-7310-0258 • Géblová, Alena: Češi, nenechte si šacovat soukromí!, Podnikání v praxi, 2003, č. 28, str. 4-5 • Heisenberg, Dorothee: Negotiating Privacy: The European Union, The United States, And Personal Data Protection, Lynne Rienner Publishers, 2005, 211 pages. ISBN 1588263800 • Informace na webových stránkách Evropského soudního dvora (http://www.curia.europa.eu) • Informace na webových stránkách Evropských demokratů týkající se Evropské ústavy (http://www.evropskaustava.cz) • Informace na webových stránkách Ministerstva informatiky ČR, http://www.micr.cz • Informace na webových stránkách společnosti České aerolinie, a.s. (http://www.csa.cz) • Informace na webových stránkách Úřadu pro ochranu osobních údajů (http://www.uoou.cz) • Interní zpravodaj Evropského integračního týmu ČMKOS č. 22/2000, (http://www.cmkos.cz ) • Komentář k zásadám provozování kamerového systému z hlediska zákona o ochraně osobních údajů, (http://www.uoou.cz rubrika „Na aktuální téma“) • Maštalka, Jiří: Nová právní úprava na ochranu osobních údajů. In Bezpečnost informačních systémů a uživatelé. 1. vyd. Praha: AFOI, 2001, s. 21-28 • Mates, Pavel a Neuwirt, Karel: Právní úprava ochrany osobních údajů v ČR, 2. vydání, Praha: IFEC, 2001, 128 str. ISBN 80-86412-02-4 • Mates, Pavel: Ochrana osobních údajů, 1. vydání, Praha: Karolinum, 2002, 75 str. ISBN 80-246-0469-8 • Matoušková M., Hejlík L.: Osobní údaje a jejich ochrana, 1. vydání, Praha: ASPI Publishing, 2003, 416 str. ISBN 80-86395-50-2 • Spiros, Simitis: Reconsidering the Premises of Labour Law: Prolegomena to an EU Regulation on the Protection of Employees' Personal Data. European Law Journal 5 (1), 45–62, 1999. • Stanovisko Úřadu pro ochranu osobních údajů č. 1/2004, (http://www.uoou.cz)

114

• • • •

• • • •

• • •

Stanovisko Úřadu pro ochranu osobních údajů č. 1/2006, (http://www.uoou.cz) Stanovisko Úřadu pro ochranu osobních údajů č. 4/2004, (http://www.uoou.cz) Stanovisko Úřadu pro ochranu osobních údajů č. 6/2004, (http://www.uoou.cz) Šlaisová, Jarmila a Rataj, Luděk: Postup k praktickému řešení ochrany osobních údajů v podniku a jeho IS. In Bezpečnost informačních systémů a uživatelé. 1. vyd. Praha: AFOI, 2001, s. 29-34 Štědroň, Bohumír: Čtení e-mailové pošty zaměstnavatelem a ochrana soukromí, Bulletin advokacie č. 10/2004, str. 48-51 Tisková zpráva Úřadu pro ochranu osobních údajů ze dne 21.6.2006 Týč, Vladimír: Základy práva Evropské unie pro ekonomy, 3. vydání, Praha: Linde, 2002, 336 str. ISBN 80-7201-296-7 Úřad pro ochranu osobních údajů k problémům z praxe č. 1/2003: Monitorování elektronické pošty a ochrana soukromí a osobních údajů (http://www.uoou.cz) Úřad pro ochranu osobních údajů k problémům z praxe č. 6/2001: Nepřípustné propojování databází pro marketingové účely (http://www.uoou.cz) Věstník Úřadu pro ochranu osobních údajů Výroční zpráva Úřadu pro ochranu osobních údajů za rok 2004

115

PŘÍLOHA A

116

117