Vzor citace: JANEČKOVÁ, E., BARTÍK, V. Ochrana osobních údajů v pracovním právu (Otázky a odpovědi). Praha: Wolters Kluwer, 2016. 192 s.

Vydává Wolters Kluwer ČR, a. s.,

U Nákladového nádraží 6, 130 00 Praha 3

V roce 2016 jako svou 2318. publikaci.

Odpovědná redaktorka Šárka Korečková

Vydání první

Sazba Cadis

Tisk Sowa Sp. Z z o.o., ul. Raszynska 13, 05-500 Piaseczno, Poland

E-kniha je dostupná na www.wolterskluwer.cz/obchod

www.wolterskluwer.cz

e-mail: obchod@wolterskluwer.com

tel.: 246 040 405

fax: 246 040 401

Právní stav publikace je k 1. 4. 2016.

© JUDr. Eva Janečková, JUDr. Václav Bartík, 2016

ISBN 978-80-7552-145-3 (brož.)

ISBN 978-80-7552-146-0 (e-pub)

Obsah

Úvod 5

Seznam zkratek 8

1 Základní právní úprava ochrany osobních údajů 9

2 Některá ustanovení zákona o ochraně osobních údajů 13

2.1 Základní pojmy používané v oblasti ochrany osobních údajů 13

2.2 Některé z povinností při zpracování osobních údajů 28

2.2.1 Povinnosti podle ustanovení § 5 28

2.2.2 Povinnost podle ustanovení § 11 38

2.2.3 Povinnost podle ustanovení § 12 41

2.2.4 Povinnost podle ustanovení § 13 42

3 Zpracování osobních údajů před vznikem pracovního poměru 49

4 Zpracování osobních údajů v průběhu pracovního poměru 60

4.1 Povinnosti zaměstnavatele 61

4.2 Zveřejňování a poskytování údajů o zaměstnancích 65

4.3 Některé situace zpracovávání osobních údajů v průběhu pracovního poměru 83

4.4 Zpracování citlivých osobních údajů 95

4.5 Bezpečnost osobních údajů 107

5 Zpracování osobních údajů po skončení pracovního poměru 117

6 Kamerové systémy na pracovišti 127

7 Dotazy zaměstnanců 139

Závěr 144

Přílohy 145

Seznam použité a doporučené literatury a materiálů Úřadu pro ochranu osobních údajů: 186

Úvod

Soukromí je pojem, který je znám snad každému a který je i hojně používán ve všech možných souvislostech. Všichni si uvědomují, že soukromí je chráněno, že mají právo se ochrany domáhat a že se ochrany také mohou dobrat, resp. jsou cesty a prostředky jak toho, kdo nám do soukromí zasahuje, nějak postihnout nebo donutit, aby se zásahy přestal. Soukromí jako takové snad ani v právním řádu definováno jako pojem není. Pěknou, jednoduchou definici najdeme v internetové Wikipedii. Přečteme si tam, že „soukromí je osobní oblast jednotlivce nebo skupiny (například rodiny). V češtině zahrnuje schopnost či právo zadržovat informace o sobě, ale také hmotný a myšlenkový prostor subjektu“[1].

Soukromí, jakožto osobnostní kategorie již dávno přesáhla kdysi zaužívanou teorii „čtyř stěn“, která jakoby soukromí vztahovala jen do omezeného a jiným nepřístupného prostoru, a dokonce ve fyzickém smyslu. Ač tedy dnes zákony expreisis verbis neobsahují definici typu „soukromí je..“, právní věda a judikatura zahrnuje a zachycuje řadu aspektů, jakožto předmětu své ochrany.

Ústavní soud např. uvedl[2], že „právo na ochranu soukromého života je nezadatelným právem fyzické osoby. V právní teorii se lze setkat s přístupem (viz Knap, K., Švestka, J., Jehlička, O., Pavlík, P., Plecitý, V.: Ochrana osobnosti, 3. vydání, Linde, Praha 1996, str. 288), dle něhož lze právo na ochranu osobního soukromí vymezit jako právo fyzické osoby rozhodnout podle vlastního uvážení zda, popř. v jakém rozsahu a jakým způsobem mají být skutečnosti jejího osobního soukromí zpřístupněny jiným (pozitivní složka práva) a zároveň se bránit (vzepřít) proti neoprávněným zásahům do této sféry ze strany jiných osob s rovným právním postavením (negativní složka práva). Přílišná akcentace pozitivní složky práva na ochranu soukromého života vede k neadekvátnímu zúžení ochrany pouze na to, aby skutečnosti soukromého života fyzické osoby nebyly zpřístupňovány veřejnosti bez jejího souhlasu či bez důvodu uznávaného zákonem a tak nebyla narušována integrita vnitřní sféry, která je pro příznivý rozvoj osobnosti nezbytná. O typický případ porušení práva na osobní soukromí jde především tehdy, jestliže někdo neoprávněně získává vědomosti o skutečnostech soukromého života jiné osoby, ale také tehdy, jestliže tyto skutečnosti rozšiřuje. Ústavní soud nesdílí toto zúžené pojetí, které je odrazem konstrukce zakotvené v obč. zákoníku č. 40/1964 Sb., ve znění pozdějších předpisů, a poukazuje na dosavadní rozhodnutí Evropské komise a Evropského soudu pro lidská práva týkající se interpretace a aplikace čl. 8 odst. 1 Úmluvy, z níž (v souvislosti s projednávanou věcí) zdůrazňuje především myšlenku, že respektování soukromého života musí zahrnovat do určité míry právo na vytváření a rozvíjení vztahů s dalšími lidskými bytostmi (této judikatury se také dovolává stěžovatelka). Součástí soukromého života je též rodinný život zahrnující i vztahy mezi blízkými příbuznými, když součástí rodinného života jsou, zahrnuje nejen sociální a morální vztahy, ale také zájmy materiální povahy (např. vyživovací povinnost). Respektování takto pojatého rodinného života zahrnuje závazek státu jednat způsobem umožňujícím normální rozvoj těchto vztahů“. Je tedy zjevné, že soukromí, a i na ústavní rovině, je chápáno velmi široce s přesahem do reálných životních situací a mezilidských vztahů.

Právo na ochranu soukromí patří mezi základní lidská práva, garantovaná Listinou základních práv a svobod[3] v Čl. 10[4].

Reálným projevem takto garantované ochrany je její průmět do práva občasného, práva trestního a i práva správního. Z jiného pohledu ochrana soukromí tak nachází výraz jak v oborech práva soukromého tak i práva veřejného. Soukromoprávní ochranu garantuje Občanský zákoník v ustanovení § 84 až § 90. Ustanovení § 86 např. postuluje, že „nikdo nesmí zasáhnout do soukromí jiného, nemá-li k tomu zákonný důvod. Zejména nelze bez svolení člověka narušit jeho soukromé prostory, sledovat jeho soukromý život nebo pořizovat o tom zvukový nebo obrazový záznam, využívat takové či jiné záznamy pořízené o soukromém životě člověka třetí osobou, nebo takové záznamy o jeho soukromém životě šířit. Ve stejném rozsahu jsou chráněny i soukromé písemnosti osobní povahy“.

Zásahem do soukromí může být i spáchán trestný čin. Trestní zákoník obsahuje i několik skutkových podstat, které sankcionují zasahování do soukromí, souhrnně označované jako „trestné činy proti právům na ochranu osobnosti, soukromí a listovního tajemství“. Jde o trestný čin neoprávněného nakládání s osobními údaji (§ 180), poškození cizích práv (§ 181), porušení tajemství dopravovaných zpráv (§ 182), porušení tajemství listin a jiných dokumentů uchovávaných v soukromí (§ 183) a konečně pomluvy (§ 184), přičemž tresty mohou být i velmi vysoké, u kvalifikovaných skutkových podstat až i 10 let odnětí svobody. Za třetí pilíř oné ústavní garance práva na soukromí, může být považována veřejnoprávní ochrana, specifikovaná v zákoně o ochraně osobních údajů. Ten hned v § 1 stanoví, že „tento zákon v souladu s právem Evropské unie, mezinárodními smlouvami, kterými je Česká republika vázána, a k naplnění práva každého na ochranu před neoprávněným zasahováním do soukromí upravuje práva a povinnosti při zpracování osobních údajů a stanoví podmínky, za nichž se uskutečňuje předání osobních údajů do jiných států“.

Posledně uvedený zákon je zákonem obecným, který svými principy musí postihnout vlastně všechny oblasti, kdy jsou osobní údaje zpracovávány. Těch oblastí je celá řada, obecně a s jistou nadsázkou se dá i říci, že kde se v právních předpisech, právních vztazích, a nejen v nich, hovoří o lidech, jsou nějakým způsobem zpracovány informace o nich a i nějak se informacemi  nakládá. Zaměstnávání lidí, pracovně právní vztahy, jsou samozřejmě také o lidech, a informacích o nich. Základní předpis pracovního práva, zákoník práce, je předpisem práva svým charakterem soukromého. Jeho aplikace na pozadí zákona o ochraně osobních údajů pak staví před běžného uživatele, tedy zaměstnance i zaměstnavatele, řadu aplikačních problémů. Na některé otázky se snaží tato publikace poskytnout návod, resp. odpověď na otázky, které musí být položeny, aby mohl být respektován právní řád a ve svém důsledku dodržována ústavní zásada práva na soukromí, neboť stále, a to již od dob starých Římanů platí, že „Ignorantia iuris non excusat“.

[1] http://cs.wikipedia.org/wiki/Soukrom%C3%AD

[2] Nález Ústavního soudu II. ÚS 517/99 zdroj: Systém ASPI – stav k 28. 5. 2015 do částky 53/2015 Sb. a 21/2015 Sb.m.s. – RA717 JUD32025CZ – JUD32025CZ – II. ÚS 517/99-Nedotknutelnost osoby a soukromí – poslední stav textu

[3] USNESENÍ předsednictva České národní rady č. 2/1993 Sb., o vyhlášení LISTINY ZÁKLADNÍCH PRÁV A SVOBOD jako součásti ústavního pořádku České republiky

[4] (1) Každý má právo, aby byla zachována jeho lidská důstojnost, osobní čest, dobrá pověst a chráněno jeho jméno.

(2) Každý má právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života.

(3) Každý má právo na ochranu před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě.

Seznam zkratek

Všechny citované právní předpisy jsou uváděny ve znění pozdějších předpisů, pokud není výslovně v textu uvedeno jinak.

Exekuční řád

zákon č. 120/2001 Sb., exekuční řád

Listina

zákon č. 2/1993 Sb., Listina základních práv a svobod

Občanský zákoník

zákon č. 89/2012 Sb., občanský zákoník

Správní řád

zákon č. 500/2004 Sb., správní řád

Zákon o archivnictví

zákon č. 499/2004 Sb., o archivnictví a o spisové službě a o změně některých zákonů

Zákon o ochraně osobních údajů

zákon č. 101/2000 Sb., o ochraně osobních údajů

Zákon o Policii ČR

zákon č. 273/2008 Sb., o Policii České republiky

Zákon o státní službě

zákon č. 234/2014 Sb., o státní službě

Zákon o svobodném přístupu k informacím

zákon č. 106/1999 Sb., o svobodném přístupu k informacím

Zákon o zaměstnanosti

zákon č. 435/2004 Sb., o zaměstnanosti

Zákoník práce (ZP)

zákon č. 262/2006 Sb., zákoník práce

Směrnice 95/46/ES

Směrnice Evropského parlamentu a Rady 95/46/ /ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů

Úmluva č. 108

Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat (ETS č. 108, Štrasburk, 28. ledna 1981) Sdělení Ministerstva zahraničních věcí č. 115/2001 Sb.m.s.

WP 29

Pracovní skupina pro ochranu fyzických osob v souvislosti se zpracováním osobních údajů zřízená směrnicí Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995

ÚOOÚ

Úřad pro ochranu osobních údajů

1 Základní právní úprava ochrany osobních údajů

Mezinárodní zkušenosti postupně ukazovaly, že ochranu osobních údajů není možné řešit výlučně na národní úrovni. Rostoucí objem přenášených osobních údajů mezi státy, vytváření mezinárodních databank, zvyšující se pohyb lidí bez ohledu na hranice států, rostoucí mezinárodní spolupráce v oblastech vědy a výzkumu kladly nové požadavky na mezinárodní koordinaci při ochraně osobních informací. Bylo nutno sjednotit principy ochrany osobních dat a jednotně pojmenovat rizika plynoucí z jejich volného přenosu. Z těchto potřeb vycházela také Organizace pro ekonomickou spolupráci a rozvoj (OECD, která již v roce 1969 vypracovala studii o přenosu dat přes hranice států pro potřebu veřejného sektoru), která 23. září 1980 vydala Průvodce o ochraně soukromí a o přenosu osobních dat přes hranice států (Guidelines Governing the Protection of Privacy and Transborder Flows of Personal Data). Při přípravě tohoto dokumentu spolupracovala OECD s Radou Evropy, která v té době již měla zpracovaný návrh úmluvy o soukromí (Convention on Privacy). V tomto dokumentu byly poprvé definovány pojmy, které byly následně používány ve všech dalších právních předpisech. Byl definován pojem „správce“ (data controller) jako subjekt, který musí ze zákona nést základní odpovědnost za aktivity týkající se zpracování osobních údajů. Rovněž byly definovány pojmy jako „subjekt údajů“, „osobní údaje“, přenos přes hranice a další. Od roku 1980 se tak tyto pojmy začaly všeobecně používat nejen v právních předpisech jednotlivých členských států OECD, ale také v mezinárodním právu.[1]

Tento vývoj na mezinárodní scéně nezadržitelně směřoval k roku 1981, kdy došlo k částečnému ujednocení roztříštěné právní úpravy na evropském poli ochrany osobních údajů, a to vznikem Úmluvy o ochraně osob se zřetelem na automatizované zpracování osobních dat. Tato úmluva zaručuje na území každé smluvní strany každé fyzické osobě, ať je jakékoli národnosti nebo pobývá kdekoli, úctu k jejím právům, základním svobodám a zejména k jejímu právu na soukromý život se zřetelem k automatizovanému zpracování osobních údajů, které se k ní vztahují. Tato úmluva zavedla do mezinárodního práva zejména zásady ochrany osobních údajů, které pak převzaly jednotlivé státy. Jedná se o zásady legitimity zpracování, nezbytnosti časového omezení, potřebnosti a přiměřenosti, průhlednosti, bezpečnosti, práva přístupu k informacím, nezávislého dozoru a mnoho dalších. Ani tato úmluva však nezůstala do dnešních dnů ve svém původním rozsahu, dvacet let po svém schválení byla roku 2001 rozšířena Dodatkovým protokolem o orgánech dozoru a toku údajů přes hranice. V této rozšířené podobě se úmluva dodnes hojně využívá.[2]

Tato Úmluva je velmi důležitá i ve vztahu k povinnosti žádat Úřad pro ochranu osobních údajů o povolení k předání osobních údajů do zahraničí. Úmluva č. 108 ve svém článku 3 odst. 2 písm. c) stanoví, že kterýkoliv stát může při podpisu nebo uložení ratifikační listiny, při přijetí, při schválení, přistoupení nebo kdykoliv později sdělit prohlášením zaslaným generálnímu tajemníkovi Rady Evropy, že uplatní tuto úmluvu rovněž na soubory osobních údajů, které se nezpracovávají automatizovaně. Česká republika toto prohlášení učinila současně s ratifikací Dodatkového protokolu k uvedené Úmluvě č. 108 dne 24. září 2003.

Pro předání osobních údajů do států, které ratifikovaly Úmluvu č. 108, to znamená, že ze strany České republiky se tato Úmluva vztahuje jak na automatizované tak i neautomatizované zpracování osobních údajů a pokud je naplněn její článek 12 odst. 2[3], platí pro oba typy těchto datových souborů, že smluvní strana nemůže pouze z důvodu ochrany soukromého života zapovědět nebo podrobit zvláštnímu povolení tok osobních údajů směřující na území druhé smluvní strany. Rovněž § 27 odst. 2 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů (dále jen „zákon o ochraně osobních údajů“) připouští výjimky z povinnosti žádat Úřad pro ochranu osobních údajů o povolení k předání osobních údajů do zahraničí, pokud zákaz omezování volného pohybu osobních údajů vyplývá z mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána. Není pochyb o tom, že zmiňované ustanovení zákona se týká i Úmluvy č. 108.

Z výše uvedeného tedy vyplývá, že pro předání osobních údajů do států, které ratifikovaly Úmluvy č. 108[4], není nutné žádat o povolení ve smyslu § 27 odst. 4 zákona o ochraně osobních údajů a ani Úřad pro ochranu osobních údajů není oprávněn zahajovat řízení o povolení k předání, neboť by se v tomto případě jednalo o úkon, který by byl v rozporu s cíli zmiňované mezinárodní smlouvy i se zákonem o ochraně osobních údajů.[5]

Po ratifikaci této Úmluvy následovalo přijetí zákona č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech, který byl prvním uceleným právním předpisem v oblasti ochrany osobních údajů. Poskytoval definice některých termínů, jako například osobní údaj, informační systém, provozovatel informačního systému, dotčený subjekt, zveřejněná informace a další, zákon také určoval, jakým způsobem je dovoleno získávat a pak dále zpracovávat jednotlivé osobní údaje a jak je zabezpečit. Problém tohoto zákona však byla jeho bezzubost, postrádal naprosto sankční ustanovení ani nestanovil žádný dozorový orgán, a tak se stal spíše proklamací bez valného praktického účinku. Tento nedostatek napravil až současný o ochraně osobních údajů.[6] S jistou mírou nadsázky lze tedy konstatovat, že šlo o předpis obsoletní, protože v podstatě nikdy nebyl v praxi realizován.

Vzhledem k tomuto stavu nebyl český právní řád, kam byl zmíněný zákon převzat, kompatibilní s právem Evropské unie, na jejíž půdě byla přijata zvláštní Směrnice Evropského parlamentu a rady č. 95/46/ES, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a volným pohybem těchto údajů, která ukládala členským státům, aby ji promítly do tří let do svých právních řádů. Svoje zákony s ní musely samozřejmě harmonizovat i státy, které se chtěly stát členy Evropské unie. Jedním z nejvýznamnějších přínosů této směrnice, kromě výrazného příspěvku k harmonizaci národních předpisů, je deklarace faktu, že státy nesmějí omezit ani zakázat volný pohyb osobních údajů mezi členskými státy z důvodů ochrany podle ustanovení této směrnice.

Směrnice vychází v podstatě z Úmluvy, ale výrazně ji rozšiřuje a prohlubuje. Stanovuje požadavky na technickou bezpečnost zpracování dat, ukládá povinnost oznamovat zpracování osobních údajů a mít souhlas dotčené osoby se zpracováním, požaduje vytvoření nezávislého orgánu dozoru, rozšiřuje ochranu osobních údajů také na neautomatizovaně zpracovávané údaje a údaje přenášené mimo Evropskou unii, definuje zvláštní kategorii údajů, tzv. citlivé údaje. Řeší problematiku ochrany fyzických osob (nevztahuje se tedy na ochranu právnických osob v této oblasti) v souvislosti se zpracováním osobních údajů a problematiku volného pohybu těchto údajů. Hned v úvodu této směrnice je uvedeno, že při zpracování osobních údajů musí být dodrženy základní svobody a práva osob, zejména pak právo na ochranu soukromí.

Cílem této směrnice je zajistit vysokou úroveň ochrany osobních údajů ve všech členských státech Unie, zajistit volný pohyb informací a informačních služeb mezi členskými státy (zejména z důvodu stále se rozvíjejícího vnitřního trhu), stanovit společný rámec pro práci s osobními údaji a jejich ochranu na území Evropské unie a sladit národní legislativu v této oblasti platnou na území jednotlivých států (členské státy si mohou v národních předpisech upřesnit obecné podmínky a zákonitosti zpracování osobních údajů. Zásady ochrany se musí vztahovat na veškeré zpracování osobních údajů kteroukoliv osobou, jejíž činnosti spadají do oblasti působnosti práva EU (nevztahuje se však na fyzické osoby, které provádějí zpracování osobních údajů, které má výlučně osobní povahu – např. vedení adresáře, korespondence...), musí se vztahovat na veškeré informace týkající se identifikované nebo identifikovatelné osoby (nevztahují se tedy na anonymní nebo anonymizované údaje) a vztahují se i na zvukové a obrazové údaje týkající se fyzických osob.

Velký důraz je při ochraně subjektů kladen zejména na nutnost získání souhlasu subjektu se zpracováním osobních údajů, zákonnost zpracování, nutnost oznámení zpracovávání, právo subjektu osobních údajů na získání informací a opravu osobních údajů, bezpečnost zpracování a omezený sběr.

A konečně od 1. ledna 1999 se veškeré akty Evropských společenství o ochraně fyzických osob při zpracování osobních údajů a při volném pohybu takových údajů uplatňují vůči institucím založeným Amsterodamskou smlouvou. Tak se ochrana osobních dat stala součástí smluv o založení Evropského společenství a tak i součástí primárního práva, což našlo výraz v článku 286/ /ex 213b.[7]

Všechny tyto mezinárodní dokumenty vedly k přijetí zákona o ochraně osobních údajů tak, jak jej známe dnes. Zákon byl přijat v roce 2000 a od té doby byl již 23krát novelizován. Je nutné ještě dodat, že některé z novel nejsou dosud účinné.

[1] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. Praha 2003, s. 26.

[2] Bartík, M.: Ochrana osobních údajů v souvislosti s jednáním orgánů obce. Diplomová práce – Právnická fakulta Masarykovy univerzity v Brně. 2006, s. 8.

[3] Smluvní strana nemůže pouze z důvodu ochrany soukromého života zapovědět nebo podrobit zvláštnímu povolení tok osobních údajů směřující na území druhé smluvní strany.

[4] Vedle členských států Evropské unie podepsaly a ratifikovaly Úmluvu č. 108 např. tyto státy: Albánie, Bosna a Hercegovina, Černá Hora, Gruzie, Chorvatsko, Island, Lichtenštejnsko, Makedonie, Norsko, Srbsko, Švýcarsko.

Dodatkový protokol k Úmluvě č. 108 podepsaly a ratifikovaly např. tyto státy: Albánie, Bosna a Hercegovina, Česká republika, Chorvatsko, Francie, Kypr, Litva, Lucembursko, Maďarsko, Německo, Nizozemí, Polsko, Portugalsko, Rumunsko, Slovensko a Švédsko.

[5] www.uoou.cz, Předávání osobních údajů do zahraničí / K problémům z praxe / Aplikace Úmluvy Rady Evropy č. 108 ve vztahu k povinnosti žádat Úřad o povolení k předání osobních údajů do zahraničí.

[6] Bartík, M.: Ochrana osobních údajů v souvislosti s jednáním orgánů obce. Diplomová práce – Právnická fakulta Masarykovy univerzity v Brně. 2006, s. 5.

[7] Bartík, M.: Ochrana osobních údajů v souvislosti s jednáním orgánů obce. Diplomová práce – Právnická fakulta Masarykovy univerzity v Brně. 2006, s. 9.

2 Některá ustanovení zákona o ochraně osobních údajů

2.1 Základní pojmy používané v oblasti ochrany osobních údajů

Jedním z klíčových ustanovení zákona o ochraně osobních údajů je § 4, v němž jsou vymezeny základní pojmy. Ustanovení § 4 zákona o ochraně osobních údajů patří mezi jedno z nejdůležitějších, neboť z pojmů a z jejich aplikace vycházejí v zákoně upravená práva a povinnosti těch, na které se zákon vztahuje. Nejprve je nutné ujistit se, že údaj, s nímž správce pracuje, je osobním údajem ve smyslu zákona o ochraně osobních údajů, zda s údajem prováděný proces je zpracováním tak, jak jej chápe zákona o ochraně osobních údajů atd., a teprve v případě kladné odpovědi na tyto otázky se správce zabývá dalšími ustanoveními zákona o ochraně osobních údajů, jež mu ukládají povinnosti a dávají práva.

Ustanovení § 4 zákona o ochraně osobních údajů definuje pro účely zákona řadu základních pojmů, které pak zákon používá v uvedeném obsahu. Vymezeny jsou všechny základní pojmy ve smyslu jejich hmotného obsahu (např. osobní údaj a další) a také pojmy, které lze označit za „popis procesu“ (např. zpracování). Pojmy obecně vycházejí z  mezinárodních dokumentů, které byly jednak ideovým vzorem a jednak pramenem práva, na jejichž základě byl zákon koncipován a později také v různém rozsahu novelizován.

Osobní údaj

Tím nejzákladnějším a nejpoužívanějším pojmem je pojem osobní údaj, jímž je každý údaj týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Pojem je definičně determinován několika faktory, resp. prvky. Prvním prvkem je vymezen rozsah. To znamená, že osobním údajem je informace, a to jakákoliv. Zákon o ochraně osobních údajů tedy informace jako takové nikterak nevymezuje, ale ani nijak neomezuje. Znamená to, že není kladen důraz na pravdivost informace, ba naopak, široká definice jako by předpokládala, že ne každá informace bude pravdivá a zákon o ochraně osobních údajů dává nástroje, jak se s takovou situací vyrovnat. Může se také jednat nejen o informace tzv. objektivní, ale také o různé soudy, hodnocení, závěry a podobně.

Osobním údajem je tedy jakýkoli údaj, jenž se vztahuje k nějaké fyzické osobě. Současně je ovšem třeba, aby tato osoba byla těmito údaji či na jejich základě identifikovatelná. Pro to, zda jde o osobní údaj, je rozhodná skutečnost, zda je možno ze strany správce vytvořit přímý vztah mezi takovým údajem a danou fyzickou osobou. Takový vztah se vytváří prostřednictvím určitých identifikátorů, na jejichž základě lze jednoznačně určit, že se jedná o určitou osobu. Obecně lze za minimální množství takových údajů považovat jméno, příjmení a rodné číslo, případně datum narození a adresu bydliště, v konkrétních případech jich však může být i méně (např. v malé lokalitě postačí jméno, příjmení a povolání).

O osobní údaj se však jedná i v případě, že správce sice nedisponuje údaji, jimiž by mohl provést (přímou) identifikaci, ale má možnost si takový údaj opatřit a spojit s údajem, kterým disponuje (např. jméno a příjmení s rodným číslem). V takovém případě lze zjistit identitu subjektu údajů nepřímo. Určenost je tedy stav, kdy správce disponuje údaji, jimiž lze fyzickou osobu přímo jednoznačně identifikovat, o určitelnost jde tam, kdy správce může na základě údajů, která má buď k dispozici, nebo k nimž má přístup, tuto osobu jednoznačně odlišit od jiných subjektů.[8] V těchto případech bude nezbytné zpracování takových údajů posuzovat zcela individuálně, případ od případu. Bude záležet na rozsahu údajů, či zpracovávaných informací, dostupnosti a legálním zdroji případných dalších údajů, přístupu k těmto zdrojům apod.

Zákon uvádí příkladmý výčet kritérií, na jejich základě může být fyzická osoba přímo identifikována (a bude tedy určena) anebo nepřímo identifikovatelná (bude tedy určitelná). Těmito kritérii tak mohou být čísla nebo kódy s nějakým vztahem ke konkrétní fyzické osobě anebo větší či menší soubor informací, charakteristických pro omezenou skupinu fyzických entit stejných druhových charakteristik. Jedná se tedy buď o jednoznačné odlišení, resp. rozlišení fyzické osoby ve skupině dalších osob anebo o možnost, že postupným skládáním informací lze dojít také určení fyzické osoby. Bude tedy vždy záležet na konkrétní situaci, nicméně při posuzování rozsahu údajů pro identifikovatelnost (ať absolutní, nebo relativní) bude vždy třeba, věnovat patřičnou pozornost tomu, zda se tedy už jedná o osobní údaje nebo nejedená.[9]

Zákon definuje také některé speciální typy osobních údajů. Prvním je citlivý osobní údaj, kterým je podle zákona o ochraně osobních údajů údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů. Jedná se o údaje, které se týkají fyzické osoby velmi blízce a jejichž zpracování je s to do značné míry zasáhnout soukromou sféru člověka. Není bez zajímavosti připomenout, že zvláštní význam citlivých osobních údajů (informací) není výsadní doménou zákona o ochraně osobních údajů. Jejich význam je jistě zdůrazněn skutečností, že okruhy informací, resp. skutečností se dotýkají těch právních vztahů, jež jsou relevantní např. pro zákaz diskriminace podle zákona č. 198/2009 Sb., o rovném zacházení a o právních prostředcích ochrany před diskriminací a o změně některých zákonů (antidiskriminační zákon), když diskriminace je zakázána také z důvodů rasy, etnického původu, národnosti, pohlaví, sexuální orientace, věku, zdravotního postižení, náboženského vyznání, víry či světového názoru[10]. Český právní řád tyto zvláštní skupiny údajů aproboval do zákona o ochraně osobních údajů a dále je i rozšířil. V některých případech i kategoriemi, které jsou významově blízké a řadě lidí splývají.[11]

Je nutné připomenout, že mezi citlivé osobní údaje patří jen ty údaje, které lze zařadit do kategorií, které zmiňuje zákon o ochraně osobních údajů. Jiné údaje, byť mohou být lidmi subjektivně pociťovány jako velmi citlivé, ve smyslu zákona o ochraně osobních údajů citlivými nejsou.

Dalším je anonymní údaj, jímž je takový údaj, který buď v původním tvaru, nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů. Definici pojmu anonymní údaj je třeba chápat kontextuálně ve vztahu k jiným definicím, zejména však k pojmu osobní údaj. Již z definice a výše uvedeného vztahu k pojmu osobní údaj je zřejmé, že bude-li někdo (úmyslně není použit termín správce osobních údajů) zpracovávat informace, které jsou anonymní již na samém počátku sběru takových informaci, které nelze vztáhnout ke konkrétní fyzické osobě, a tato osoba není ani ze shromážděných informací určitelná, nebude se vůbec jednat o aktivity, na které by bylo možno vztáhnout zákon o ochraně osobních údajů, a to proto, že se nebude jednat o osobní údaje, ve smyslu definice tohoto zákona.

I když definice pojmu zpracování [§ 4 písm. e)] neuvádí ve fakultativním výčtu způsobů a forem zpracování anonymizaci jako takovou, nelze pochybovat o tom, že anonymizace je způsob zpracování, který správce provádí s osobními údaji a jehož výsledkem je právě anonymizace, tedy dosažení stavu, že sice řada informací (původně osobních údajů) zůstane zachována, ale nebudou již osobními údaji ve smyslu zákona o ochraně osobních údajů. Dá se tak ostatně dovodit i ze znění § 5 odst. 1 písm. e) zákona o ochraně osobních údajů, kde je ve větě poslední uvedeno, že „při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné“. Je tedy zřejmé, že z pohledu zpracování je anonymizace operací poslední (v případě, že nedochází k likvidaci), a po její realizaci se již o osobní údaje jednat nebude.

Je však podstatné, aby anonymizace byla skutečně provedena tak, aby naplnila svůj věcný obsah. Zdaleka nejběžnější formou anonymizace bývá „odpojení“ základních identifikátorů (viz výše vysvětlení pojmu „osobní údaj“), tedy jména, příjmení a adresy bydliště fyzické osoby, subjektu údajů. Obvyklé také bývá jejich nahrazení nějakým číselným kódem. Pokud si správce osobních údajů „ponechá“ obě poloviny rozdělené informace, nebude se jednat o anonymizaci v pravém slova smyslu, ale o tzv. pseudoanonymizaci. Pokud si správce ponechá „převodní můstek“, tedy pravidla, na jejichž základě provedl nahrazení identifikátorů např. číselným kódem, bude původní úplná informace vždy rekonstruovatelná a o anonymizaci tak nepůjde.[12]

Posledním je zveřejněný osobní údaj, který zákon definuje jako osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu. Je důležité vnímat, že sama definice, nepříliš šťastně využívá i další formu zpracování, kterou je zpřístupňování. Vzhledem k tomu, že zákonodárce oba pojmy, jako formy zpracování osobních údajů rozlišil, naznačuje, že mezi zpřístupněním a zveřejňováním bude rozdíl. Z logiky věci se dá usoudit, že zveřejňování je zvláštní forma zpřístupnění spočívající v tom, že o zveřejnění se bude jednat v případě, kdy osobní údaje budou zpřístupněny neurčitého okruhu příjemců zveřejňovaného osobního údaje, jak naznačuje definice, když fakultativně uvádí na prvním místě hromadné sdělovací prostředky, mezi něž se běžně řadí periodický tisk v nejširším slova smyslu[13], rozhlas, televize[14] a také bezpochyby internet jako prostředek moderní elektronické komunikace a šíření informací[15].

Naproti tomu zpřístupnění lze chápat spíše tak, že osobní údaj je zpřístupněn omezenému okruhu adresátů, byť by tento omezený okruh mohl být i relativně velký. Nebude se však jednat o „širokou veřejnost“, tak jak je tento pojem dnes běžně chápán, tedy, že zveřejněná informace je určena jakoby všem, na něž dopadá i teoretický nebo potencionální vliv daného sdělovacího prostředku. Zveřejnění ve smyslu zákona o ochraně osobních údajů je však vždy třeba chápat jako zpracování, tedy jako systematickou činnost správce osobních údajů ve smyslu ustanovení § 4 písm. e) zákona o ochraně osobních údajů. Přitom je zveřejňování nutno považovat za jeden z nejcitlivějších způsobů zpracování. Znamená to ale také, že ne každé zveřejnění informací, jež samy o sobě mohou být i osobním údajem je nutno považovat za zpracování a tedy činnost podřaditelnou pod zákon o ochraně osobních údajů. Sem je možno zařadit třeba informace zprostředkované právě medii při zpravodajstvích. Často se totiž v těchto případech jedná o nahodilé nebo lépe ojedinělé zveřejnění nezpracovávaných osobních údajů a v tomto případě se nejedná o činnost, která by byla pod dohledem Úřadu[16] .

Zpřístupnění osobních údajů jinou formou, než přímo hromadnými sdělovacími prostředky je možno chápat jako jakýkoliv jiný způsob, jehož prostřednictvím jsou informace, jsou-li osobními údaji, poskytnuty veřejnosti, tedy zveřejněny. Děje se tak dnes a denně například při čtení rozsudků soudů jak civilních tak trestních, při zpřístupňování informací z jednání rad a zastupitelstev obcí a krajů a v mnoha dalších případech.[17]

Správce a zpracovatel

Mezi klíčová ustanovení zákona náleží vymezení pojmů správce a zpracovatel. Správcem je podle § 4 písm. j) zákona o ochraně osobních údajů každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Toto určení koresponduje a doplňuje ustanovení § 3 odst. 1 zákona o ochraně osobních údajů, podle něhož se tento zákon vztahuje na osobní údaje, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby. Jinak řečeno, toto ustanovení jednoznačně charakterizuje okruh adresátů právní normy (zákon o ochraně osobních údajů) z hlediska tzv. osobní působnosti a okruhu věcné působnosti. Z výčtu adresátů normy je zřejmé, že zákon dopadá na každý subjekt, který osobní údaje zpracovává, neboť vzhledem k rozsahu vymezení těžko nalezneme subjekt, který by byl ze základního vymezení působnosti zákona vyňat, a to bez ohledu na jejich právní subjektivitu. Jinak řečeno, zákon o ochraně osobních údajů se bude tedy vztahovat na každého, kdo zpracovává osobní údaje, bez ohledu na to, zda se jedná například o právnickou osobu, fyzickou osobu nebo státní orgán.[18] Nelze se domnívat, že se jedná pouze o již zmiňované tzv. velké správce – orgány státní správy a samosprávy, soudy, obchodní společnosti apod. Mezi správce pojmově patří kdokoliv, kdo v rámci výkonu své podnikatelské činnosti, profese, živnosti apod. zpracovává osobní údaje ve smyslu § 4 písm. e), tzn. systematicky spravuje databázi svých obchodních partnerů, klientů, pacientů, zákazníků apod. Logicky sem tedy patří každý lékař, který vykonává zdravotní péči a v této souvislosti vede zdravotní dokumentaci pacientů, každý, kdo v rámci výkonu své podnikatelské činnosti zpracovává mimo jiné osobní údaje obchodních partnerů, svých zákazníků, každé občanské sdružení, politická strana, odborová organizace a další subjekty.[19]

Správcem je tedy každý, kdo určuje prostředky a účel[20] zpracování osobních údajů, při čemž není rozhodné, zda se jedná o fyzickou či právnickou osobu, rozhodná není ani její povaha (může jít o podnikatelský subjekt, orgán veřejné moci či jednotlivce). Významné je, že se dotyčný rozhodl osobní údaje systematicky zpracovávat nebo je mu zpracování uloženo zákonem jako povinnost (např. orgány veřejné správy). Zpracováním osobních údajů může správce provádět sám, nebo může k této činnosti někoho zmocnit nebo pověřit.[21] Touto osobou je zpracovatel, jenž je zákon o ochraně osobních údajů charakterizován jako subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona.[22]

Na rozdíl od správce, zpracovatel „pouze“ provádí zpracovávání osobních údajů. Zpracovatel, na rozdíl od správce, neurčuje účel a prostředky zpracování osobních údajů. Zpracovatel nemusí provádět zpracování od začátku do konce, tedy veškeré operace, ale může provádět jen některou (či některé) činnost související se zpracováním. Nemusí tedy jít vždy o subjekt, který osobní údaje shromáždil.[23]

Z pohledu odpovědnosti za zpracování osobních údajů nelze být zároveň v postavení správce a zpracovatele. Jestliže určitý, např. podnikatelský subjekt je správcem osobních údajů, nemůže žádná z jeho organizačních složek byt současně vůči témuž zpracování týchž osobních údajů zpracovatelem. Případné nesprávné nebo jinak nepřesné používání termínů správce a zpracovatel na postavení a povinnostech podnikatelského subjektu nic nemění. Plní-li subjekt povinnosti správce, nevhodné použití termínu „zpracovatel“ není porušením zákona o ochraně osobních údajů a ani pro porušení tohoto zákona nevytváří podmínky.[24]

Zpracovatel může zpracovávat údaje buď na základě výslovného zákonného zmocnění, nebo je-li k tomu zmocněn správcem nebo na základě smluvního ujednání. Z dosavadních zkušeností však vyplývá, že vztah mezi správcem a zpracovatelem se v naprosté většině případů odehrává na základě smluvního vztahu.[25]

V některých případech je však stanoveno, že zpracování provádí jiný subjekt, jímž je zpracovatel, přímo zákonem. Takové zákonné zmocnění se obvykle týká jen určitých způsobů zpracování (nejčastěji shromažďování údajů) a správce pak provádí další způsoby (např. uchovávání údajů a jejich předávání). Správce odpovídá za zpracování osobních údajů a této odpovědnosti se plně nezbaví ani v případě, kdy zmocní či pověří zpracováním osobních údajů zpracovatele. Ustanovení § 14 zákona o ochraně osobních údajů předpokládá, že se na zpracování údajů budou podílet také zaměstnanci správce a zpracovatele a jiné osoby, které jsou k nim ve smluvním vztahu, z čehož bývá dovozováno, že správce může pověřit zpracováním ještě další osoby, resp. zpracovatel může uzavřít smlouvu o zpracování s jiným subjektem. Skutečným smyslem tohoto ustanovení však je zajistit bezpečnost osobních údajů tím, že zpracovávat osobní údaje mohou pouze osoby, které správce či zpracovatel pověří. Jedná se přitom buď o jeho zaměstnance, nebo subjekty, které jsou k němu v jiném než pracovněprávním vztahu (např. členském vztahu k družstvu). Jako zásada totiž platí, že správce smí zpracováním osobních údajů pověřit i více zpracovatelů, ale zpracovatel již nemůže uzavřít s dalším subjektem smlouvu o zpracování. [26]

Subjekt údajů

Dalším důležitým pojmem je pojem subjekt údajů. Zákon o ochraně osobních údajů uvádí, že subjektem údajů je fyzická osoba, k níž se osobní údaje vztahují.[27] Zákon o ochraně osobních údajů se tedy vztahuje pouze na údaje osob fyzických, nikoli osob právnických. Problém však může nastat u fyzických osob podnikajících. I fyzická osoba podnikající může zcela jistě být subjektem údajů tak, jak jej definuje zákon o ochraně osobních údajů, a jako taková může být zasažena ve svém soukromí, avšak pouze v závislosti na skupině zpracovávaných osobních údajů. Budou-li zpracovávány pouze osobní údaje týkající se osoby coby podnikatelského subjektu a údaje, které se týkají pouze její podnikatelské aktivity, nemůže – vzhledem k tomu, že podnikání není činností, jež by byla s to zasáhnout do soukromí – dojít k neoprávněnému zásahu do soukromí, jak o něm mluví § 1 zákona o ochraně osobních údajů. Takovým údajům proto nelze přiznat ochranu podle tohoto zákona.

Zákon o ochraně osobních údajů dále charakterizuje pojem zpracování, kterým se rozumí jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.[28]

Tuto definici lze logicky rozdělit na několik částí. Především říká, že „zpracováním osobních údajů je jakákoliv operace nebo soustava operací“. Definice tak zahrnuje každý zásah do informace. Podstatnou částí této definice je tedy skutečnost, že se nemusí vždy jednat o celý soubor činností, ale může jít v některých případech jen o některé z nich, dokonce se může jednat o operaci jedinou. Druhou částí definice je to, že se musí jednat o operaci nebo soustavu operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji. Musí se tedy vždy jednat o systematickou činnost správce nebo zpracovatele, popřípadě jiných osob, tedy činnost vykonávanou s určitým záměrem zpracovávat osobní údaje fyzických osob – subjektů údajů. Zákon o ochraně osobních údajů sám pojem „systematický“ nijak nedefinuje, ač se jedná o pojem pro aplikaci zákona o ochraně osobních údajů klíčový. Nejde-li totiž o systematické zpracování osobních údajů, zákon nebude aplikován. Určité vodítko lze hledat v ustanovení § 3 odst. 4, podle něhož se zákon o ochraně osobních údajů nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány. Systematičnost je tedy v daném případě opakem nahodilosti, jakási její protiváha. Třetí částí definice je to, že zpracování osobních údajů je prováděno automatizovaně nebo jinými prostředky. Zpracování se tedy může uskutečňovat nejen technickými prostředky (zejména výpočetní techniky), ale také manuálně.[29]

K tomu, aby bylo možno hovořit o zpracování, postačí, je-li uskutečňována jen některá z uvedených činností. Výčet je demonstrativní vzhledem k tomu, že s ohledem na vývoj technologií nemohl zákonodárce předvídat, která další zpracování se mohou i v blízké budoucnosti ještě objevit. Znakem zpracování je systematičnost. Zákon v této souvislosti opakuje a tím zdůrazňuje, že není rozhodné, dochází-li ke zpracování automatizovaně nebo např. manuálně. Vždy je však třeba, aby se tak dělo systematicky, tedy nikoli nahodile, ojediněle.[30]

Způsoby zpracování

Některé typické, často se vyskytující druhy zpracování jsou pak i legislativně definovány.

Prvním z „druhů“ zpracování je definováno shromažďování. Tím se rozumí systematický postup nebo soubor postupů, s cílem získat osobní údaje za účelem jejich dalšího uložení na nosič informací pro jejich okamžité či pozdější zpracování. Tato činnost se musí dít systematicky, tedy se záměrem dosáhnout určitého uspořádaného souboru, nebo pomocí technických prostředků uspořádání docílit. Není rozhodné, zda se tak děje ojediněle nebo soustavně, významné nejsou ani prostředky, kterými se tak děje. Ze sémantického významu slova shromažďování plyne, že se týká více než jednoho údaje, o shromažďování ovšem jde již v okamžiku, kdy je získán první z řady více údajů.[31] K tomu je nutno uvést, že slovo „systematický“ neznamená, že ve zpracování osobních údajů je jasně stanovený a pevně daný systém, jak se někteří správci domnívají. V některých případech se i v situacích, kdy se postup na první pohled zdá zcela nesystematický a zdánlivě chaotický, může jednat o shromažďování, resp. zpracování ve smyslu zákona o ochraně osobních údajů.

Ve své druhé částí definice uvádí, že cílem shromažďování je získání osobních údajů za účelem jejich dalšího uložení na nosič informací. Shromažďování je záměrná činnost, jejímž cílem je získat údaje a informace a udržet si je na jakémkoliv nosiči informací. Především se tedy musí jít o cílevědomé jednání. Nemusí jít vždy nezbytně o činnost nepřetržitou nebo nepřerušenou. Zákon o ochraně osobních údajů nedefinuje nosič, na nějž mají nebo mohou být osobní údaje ukládány. Může se tedy jednat o jakýkoli materiál, který je schopen určitou informaci uchovat.

Poslední část definice říká, že uložení na nosič informací probíhá za účelem jejich okamžitého nebo pozdějšího zpracování. Údaje tedy musí být uloženy na nějaký nosič k tomu, aby byly buď ihned, nebo kdykoli v budoucnu zpracovány.[32] Není přitom rozhodující, zda shromažďované údaje budou zpracovávány následně ihned po jejich sběru anebo zda k jejich např. třídění, kombinování předávání apod. bude docházet v časově neomezeném sledu. Podstatným znakem postupu, označovaném v této definici jako shromažďování, je skutečnost, že možnost jejich dalšího zpracovávání zůstává pro správce nebo zpracovatele otevřena, aniž je nějakým způsobem dále limitována.[33]

Dále je to uchovávání, což je udržování osobních údajů v takové podobě, která je umožňuje dále zpracovávat. Možnost zpracovávat osobní údaje musí trvat po celou dobu, kdy jsou údaje uchovávány, což ovšem neznamená, že by údaje musely být uchovávány pouze v té formě, v jaké byly původně uloženy (mohou být např. převedeny z listinné do elektronické podoby).[34]

Podstatou uchovávání je tedy udržování osobních údajů v takovém stavu, který umožňuje kdykoli je dále zpracovávat.[35] Je zde zdůrazněn formální požadavek na to, aby osobní údaj, který byl správcem nebo zpracovatelem získán za určitým účelem, byl nadále uchováván v takové podobě, aby k němu měli správce, případně i zpracovatel přístup a mohli s ním provádět operace, které zákon o ochraně osobních údajů ve svém ustanovení § 4 písm. e) označuje jako zpracování.

Základním předpokladem pro uchovávání informací je však kvalita nosiče informací. I to je velmi významný prvek, který může ve svém důsledku velmi negativně ovlivnit možnost budoucího zpracovávání informací. Není proto nezbytné, aby osobní údaj byl vždy uchováván pouze v původním tvaru (podobě, formě), ale stále více se rozšiřují nové metody a postupy pro uchovávání cenných informací, které zabezpečují jejich bezproblémové budoucí zpracování.[36]

Pokud jde o uchování osobních údajů, dochází u správců a zpracovatelů ke zcela zásadnímu nedorozumění. Domnívají se, že pokud údaje „pouze“ uchovávají, nejedná se o zpracování ve smyslu zákona o ochraně osobních údajů, neboť podle jejich názoru, pokud s údaji aktivně nepracují, nelze mluvit o zpracování. Nicméně z ustanovení § 4 písm. e) zákona o ochraně osobních údajů („Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace“) jasně vyplývá, že i uchování je zpracování.[37]

Dalším typem zpracování je tzv. blokování. Blokováním je operace nebo soustava operací, kterými se na stanovenou dobu omezí způsob nebo prostředky zpracování osobních údajů, s výjimkou nezbytných zásahů. Tato definice se objevila v zákoně o ochraně osobních údajů díky zákonu č. 468/2011 Sb., kterým se mění zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů, a některé další zákony, jehož část čtvrtá změnila právě definici blokování.[38] Podle důvodové zprávy „stávající definici blokování je třeba přesněji vyjádřit jako postup, který zejména povede k zamezení nesprávného zpracování osobních údajů a ve svém důsledku umožní realizovat nápravná opatření i v případě nově zaváděné povinnosti oznámit porušení ochrany osobních údajů“[39].

Na svých webových stránkách k tomu poznamenává Úřad pro ochranu osobních údajů, že se „nově definuje blokování osobních údajů, které lze využít jako nápravné a bezpečnostní opatření v případech porušení ochrany osobních údajů“.

Tyto údaje tedy nadále existují, ale musí být přijata opatření, aby nemohly být po tuto dobu zpracovávány.[40] Blokování osobních údajů je tedy jednou z metod jejich dočasného znepřístupnění. Blokování však nemůže být samostatně organizovaným nebo prováděným způsobem zpracování osobních údajů, je to opatření spočívající v zásahu do zpracování.[41] Důvody pro takovéto jednání správce vycházejí jak z vlastního záměru správce nebo zpracovatele dočasně vyloučit údaje z jejich zpracovávání anebo mohou být tyto postupy i součástí opatření konaných vůči správci jiným k tomu oprávněným subjektem.[42]

Zákon o ochraně osobních údajů mluví o blokování osobních údajů ve třech ustanoveních. Prvním je ustanovení § 5 odst. 1 písm. c), podle něhož „je správce povinen zpracovat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje …“

Zjištění, že údaje nejsou aktuální, může učinit správce sám tím, že provádí vlastními prostředky a metodami porovnávání zpracovávaných osobních údajů s jinými registry. Méně častým případem bude zjištění správce učiněné na základě podnětu (námitky) subjektu údajů.[43] Tato námitka nebo žádost bývá vznášena na základě § 21 zákona o ochraně osobních údajů jako žádost o opravu, doplnění či likvidaci zpracovávaných dat. Informaci o tom, že jím zpracovávané údaje nejsou aktuální, může správce také zjistit důsledkem splnění své povinnosti podle § 12 zákona o ochraně osobních údajů.

Zákon o ochraně osobních údajů v případě zjištění správcem, že jsou na jeho straně zpracovávány nepřesné a nepravdivé osobní údaje, ukládá správci povinnost ihned tyto údaje blokovat. Jde o ochranné opatření, které má zabránit dalšímu možnému zpracovávání nepravdivých nebo nepřesných osobních údajů.

Na toto ustanovení navazuje na text § 21 odst. 1 zákona o ochraně osobních údajů, který říká, že „každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může ... požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů ...“

Zákon o ochraně osobních údajů pracuje také s pojmem likvidace. Likvidace je jednou ze součástí zpracování a dá se říci, že tímto krokem je zpracování osobních údajů ukončeno. Jak uvedla důvodová zpráva k zákonu o ochraně osobních údajů, cílem likvidace osobních údajů je jejich neexistence pro jakékoliv další zpracování.[44]

Likvidace osobních údajů je takový krok nebo operace, jejímž důsledkem je nenávratné zničení těchto informací. K likvidaci osobních údajů může dojít jak přímým jednáním správce nebo zpracovatele, nebo jednáním jiného k tomu oprávněného subjektu.[45]

Ustanovení § 4 písm. i) zákona o ochraně osobních údajů nabízí několik možností, jak údaje zlikvidovat. Způsob likvidace závisí na tom, na jakém nosiči jsou informace uchovávány. V zásadě se vždy jedná o fyzickou likvidaci, tedy o skutečnost, že osobní údaje přestanou u správce existovat. U papírových nosičů se nabízí skartace, u elektronických nosičů jejich vymazání způsobem, který vyloučí zpětnou obnovu dat. Definice pojmu „likvidace“ v ustanovení § 4 písm. i) zákona o ochraně osobních údajů připouští i možnost trvalého vyloučení z dalšího zpracování. Tato možnost je nepochybně dána pro případy, kdy dvě první možnosti nebude možno aplikovat ať už vzhledem k charakteru dat nebo jejich nosiče či média.

Za likvidaci není možné považovat takový způsob, po jehož aplikaci by přesto bylo možno, např. jinými technickými prostředky, tyto údaje jakkoli obnovit, aby měly charakter osobních údajů.

Od likvidace osobních údajů prováděné jako součást zpracování prováděné správcem nebo zpracovatelem je nutné odlišit ty případy, kdy k likvidaci osobních údajů často provázenou i zničením jejich nosiče nebo jeho vážným poškozením však může dojít i v důsledku události, kterou lze jen s obtížemi předvídat. Proto je jednou z povinností správce nebo zpracovatele, obsaženou v § 13, přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.[46]

Zákon o ochraně osobních údajů mluví také o evidenci nebo datovém souboru osobních údajů. Jedná se o jakýkoliv soubor osobních údajů uspořádaný nebo zpřístupnitelný podle společných nebo zvláštních kritérií. Tato definice byla do zákona o ochraně osobních údajů doplněna zákonem č. 439/2004 Sb., a to v souladu s článkem 2 písm. c) Směrnice 95/46/ES, který říká, že „rejstříkem osobních údajů“ („rejstřík“) jakýkoli uspořádaný soubor osobních údajů přístupných podle určených kritérií, ať již je tento soubor centralizován, decentralizován nebo rozdělen podle funkčního či zeměpisného hlediska.

Souhlas

Jedním z nejdůležitějších pojmů pro celou oblast zpracování osobních údajů, je pojem souhlas. Podle § 4 písm. n) zákona o ochraně osobních údajů je souhlasem subjektu údajů svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Zpracování osobních údajů se souhlasem subjektu údajů je jednou ze základních zásad zpracování osobních údajů, a to proto, že zpracováním osobních údajů dochází k zásahu do soukromí jejich nositele.

Obecně je poskytnutí souhlasu právním jednáním, a to právním jednáním, které je svým charakterem jednoznačně jednostranným. Nejedná se tedy o dohodu mezi správcem nebo zpracovatelem na straně jedné a subjektem údajů – fyzickou osobou na straně druhé. Podle definice zákona o ochraně osobních údajů je souhlas svobodný projev vůle. A právě svoboda souhlasu je většinou tou nejproblematičtější vlastností, kterou lze u již udělených souhlasů často zpochybnit. Jak už bylo řečeno výše, souhlas se zpracováním osobních údajů je svým charakterem jednostranné právní jednání a ani jeho zapracováním do dokumentu, který je součástí dvoustranného právního vztahu, se ze souhlasu nestává úkon dvoustranný. Tento krok může subjekt údajů zmást, případně uvést v omyl.

Souhlasem subjektu údajů je dále vědomý projev vůle, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. U souhlasu se zpracováním osobních údajů, jež citlivé nejsou, podmínka výslovnosti v zákoně o ochraně osobních údajů není stanovena. Takovýto souhlas může tedy být poskytnut i konkludentně, resp. jinak než výslovně. Subjekt údajů například může po obdržení patřičné informace své osobní údaje správci poskytnout, čímž mlčky, ne výslovně, souhlasí s jejich zpracováním. K určení obsahu vůle může totiž sloužit i širší kontext jednání, případně i jednání následného, jestliže je z něho možné na obsah vůle zpětně usuzovat. Zákon o ochraně osobních údajů pro souhlas se zpracováním osobních údajů nestanoví povinnou formu, například písemnou. V této souvislosti je rovněž třeba poukázat na § 5 odst. 4 větu druhou zákona o ochraně osobních údajů, která stanoví, že správce musí být po celou dobu zpracování schopen prokázat, že mu subjekt údajů ke zpracování poskytl svůj souhlas. V případě konfliktní situace, kdy subjekt údajů bude tvrdit, že správce zpracovává jeho osobní údaje bez souhlasu, je tedy důkazní břemeno na straně správce. V tomto případě bude správce povinen prokázat, že subjekt údajů se zpracováním souhlasil a že souhlas splňoval všechny výše uvedené náležitosti.[47]

Aby bylo možné udělený souhlas skutečně považovat za vědomý, je nutné, aby byl také tzv. informovaný. Tuto informovanost vyžaduje již zmiňované ustanovení § 5 odst. 4, podle něhož musí být subjekt údajů při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období, a dále § 11odst. 1 a 2 zákona o ochraně osobních údajů, které vyžadují, aby správce při shromažďování osobních údajů subjekt údajů informoval o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21. V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.

Tyto podmínky je ale nutno vykládat pouze v celém kontextu souboru práv a povinností správce podle zákona o ochraně osobních údajů a dbát na to, že i přes udělený souhlas je nutno, aby správce dodržoval i další principy ochrany dat, a to především legitimitu, přiměřenost a účelnost zpracovávaných osobních údajů.[48]

Posledním pojmem je pojem příjemce. Příjemcem je každý subjekt, kterému jsou osobní údaje zpřístupněny; za příjemce se nepovažuje subjekt, který zpracovává osobní údaje podle § 3 odst. 6 písm. g). I tato definice byla do zákona o ochraně osobních údajů doplněna zákonem č. 439/2004 Sb. Subjekty zpracovávající osobní údaje používají v rámci zpracování často takových postupů a úkonů, jejichž součástí je předávání osobních údajů jinému subjektu; ten vždy nemusí být v postavení správce nebo zpracovatele. Účelem zařazení definice příjemce jako jiné osoby, které jsou nebo mohou být osobní údaje zpřístupněny, předány apod., je zajištění účinnosti ochrany práv subjektu údajů u všech, kdo osobními údaji dotčenými vymáháním práva subjektu údajů disponují v důsledku počínání správce nebo zpracovatele.[49]

Ač tato definice není v zákoně o ochraně osobních údajů využívána, odraz jejího obsahu je možné nalézt v některých zvláštních předpisech. Příkladem může být zákon č. 61/2006 Sb., kterým se mění zákon č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů, zákon č. 121/2000 Sb., o právu autorském, o právech souvisejících s právem autorským a o změně některých zákonů (autorský zákon), ve znění zákona č. 81/2005 Sb., a zákon č. 128/2000 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů. Ustanovení § 11 odst. 3 tohoto zákona říká, že informace, které získal povinný subjekt od třetí osoby při plnění úkolů v rámci kontrolní, dozorové, dohledové nebo obdobné činnosti prováděné na základě zvláštního právního předpisu, podle kterého se na ně vztahuje povinnost mlčenlivosti anebo jiný postup chránící je před zveřejněním nebo zneužitím, se neposkytují. Povinný subjekt poskytne pouze ty informace, které při plnění těchto úkolů vznikly. Ani obavy z porušení mlčenlivosti nebo jiné povinnosti chránící získané údaje nezbavují kontrolovaný subjekt povinnosti poskytnout požadované informace a dokumenty v souladu s oprávněními, která kontrolním pracovníkům dává zákon. Tato úprava je pak konformní s ustanovením § 3 odst. 6 zákona o ochraně osobních údajů, resp. ustanovením § 4 písm. o), věta poslední, podle které se za příjemce (osobních údajů) nepovažuje subjekt, který zpracovává osobní údaje podle § 3 odst. 6 písm. g), tedy pro účely výkonu kontroly, dozoru, dohledu a regulace spojených s výkonem veřejné moci ve vymezených oblastech.[50]

2.2 Některé z povinností při zpracování osobních údajů

2.2.1 Povinnosti podle ustanovení § 5

Zákon o ochraně osobních údajů stanoví pro osoby, které se rozhodnout zpracovávat osobní údaje a stanou se tak správci nebo zpracovateli, celou řadu povinností. Tyto povinnosti jsou soustředěny především (ale nejen) v § 5 zákona o ochraně osobních údajů. Toto ustanovení tak představuje jednu z klíčových částí zákona o ochraně osobních údajů, neboť jeho nerespektování při zpracování znamená kolizi se zákonem a hrozbu sankce za správní delikt.

První povinností je povinnost stanovit účel, k němuž mají být osobní údaje zpracovány, tj. proč a k jakému cíli se shromažďují a následně zpracovávají údaje. Tato povinnost je jednou z nejzákladnějších a nejdůležitějších povinností správce. Jak již bylo řečeno výše, splnění této povinnosti je znakem odlišujícím správce od zpracovatele a je přímo definičním znakem správce, když podle § 4 písm. j) zákona o ochraně osobních údajů je správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Z dikce tohoto ustanovení vyplývá, že správce by měl vždy předem vědět, proč má ke zpracovávání osobních údajů dojít. Ke stanovení účelu zpracovávání osobních údajů musí dojít vždy, neboť na splnění této povinnosti je navázána celá řada povinností dalších (viz např. § 5 odst. 1 písm. d) zákona o ochraně osobních údajů, tedy povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu). Stanovení účelu zpracování není a nemůže být vůbec formální náležitostí. Je totiž mj. povinností správců o tomto účelu informovat subjekt údajů v případě, že bude ke zpracování třeba jeho souhlasu (viz § 5 odst. 4 nebo § 11 odst. 1 zákona o ochraně osobních údajů), což znamená, že stanovení účelu má výrazně deklaratorní charakter, který musí být i vzhledem k nutnosti plnit výše uvedené ustanovení § 5 odst. 1 písm. d) jednoznačně seznatelné a ověřitelné.

Účel nebo cíl zpracovávání osobních údajů může být zcela soukromý, který vychází ze zcela specifických záměrů a cílů konkrétního správce, pro které je třeba zpracovat určité kategorie osobních údajů. Na druhou stranu může být tento účel určen i přímo právními předpisy.[51]

Další povinností je povinnost stanovit prostředky zpracování a stanovit způsob zpracování osobních údajů, kterých může být při zpracovávání použito. Obojí by měl správce stanovit ještě před zahájením zpracování údajů. Tento požadavek je zcela logický, neboť by mělo být správci zřejmé již před zahájením zpracovávání, které prostředky a jaký způsob zpracovávání zvolí pro dosažení cíle – účelu, pro který má ke zpracovávání osobních údajů dojít.[52]

Způsob a prostředky zpracování zvolené před zahájením zpracování nemusí ovšem zůstat neměnné po celou dobu zpracování. Naopak je velmi pravděpodobné, že se obojí měnit bude, zvláště při dlouhodobějším zpracovávání, kdy technický vývoj bude nabízet jednodušší způsoby. Může se také stát, že se původně zvolený způsob nebo prostředek zpracování v průběhu tohoto zpracování ukáže jako nevhodný a bude třeba jej buď přizpůsobit, nebo zcela změnit.

V některých případech může obojí za správce stanovit nějaký speciální zákon, častější však bude absence právní úpravy v této oblasti a volba bude ponechána zcela na vůli správce. Jediným omezením je pouze to, že jak způsob, tak prostředky zpracování by měly být adekvátní stanovenému účelu zpracování osobních údajů.

Základní rozlišením prostředků a způsobů zpracování osobních údajů je skutečnost, zda k zpracovávání dochází manuálně nebo automatizovaně. Možná je i kombinace obou těchto metod zpracovávání osobních údajů. V současné době pravděpodobně bude nejčastějším způsobem manuální shromažďování osobních údajů, ale v následujících postupech jsou již využívány technické prostředky pro automatizované zpracovávání osobních údajů.[53]

Správce osobních údajů je dále povinen zpracovávat pouze přesné osobní údaje, které získal v souladu se zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Pokud správce zjistí, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje.[54] Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6[55] zákona o ochraně osobních údajů. Z uvedeného je zřejmé, že každý, kdo zpracovává osobní údaje, musí v závislosti na rozsahu a okolnostech předmětného zpracování přijmout systém opatření, jejichž prostřednictvím zajistí, že nebudou zpracovávány nepřesné či chybné osobní údaje (tj. případné nedostatky v kvalitě údajů budou zjištěny). S tím souvisí skutečnost, že tyto údaje byly správcem získány v souladu se zákonem o ochraně osobních údajů. Zákonný způsob získávání osobních údajů je základním předpokladem pro činnost správce. Nikdy by nemělo dojít k tomu, že správce získá data pro účely svého zpracovávání nějakým nekalým nebo podvodným způsobem.[56]

Zpracováním nepřesných osobních údajů podle § 5 odst. 1 písm. c) zákona o ochraně osobních údajů není pouze zpracování nesprávných údajů vzniklých např. gramatickou chybou, ale i zpracování formálně správných údajů v souvislosti s nesprávnou informací. Např. zpracování přesných identifikačních údajů spolu s informací o tom, že daná osoba je dlužníkem, ačkoli tomu tak ve skutečnosti není. Ve smyslu § 4 písm. a) zákona o ochraně osobních údajů je totiž nutno pod pojmem osobní údaj rozumět jakoukoli informaci, kterou je možno vztáhnout ke konkrétní osobě.

Povinnost zpracovávat pouze přesné osobní údaje však neznamená, že je vždy nezbytné zpracovávat jen absolutně správné údaje, neboť nepřesnosti mohou vzniknout již při shromažďování dat od samotných subjektů údajů, z čehož nelze vyvozovat odpovědnost daného správce. Na rozdíl od situace, kdy je zdrojem sám subjekt údajů a lze se tedy na pravdivost a přesnost poskytovaných informací mnohem více spolehnout, nedá se vždy očekávat, že zejména veřejně dostupné osobní údaje v sobě tento prvek vždy jednoznačně nesou.

Nicméně zákon o ochraně osobních údajů požaduje, aby správce osobních údajů (případně zpracovatel na základě jeho pověření) prováděl, je-li to vzhledem k účelu zpracování nezbytné, také aktualizaci zpracovávaných osobních údajů, tedy nápravu zjištěných nepřesností. Zákon o ochraně osobních údajů správci neukládá, aby prováděl tuto kontrolu správnosti zpracovávaných údajů nepřetržitě, ale ponechává vyhodnocení způsobu vyrovnání se s touto povinností na dotyčném správci (vyhodnocení splnění této povinnosti je pak úkolem Úřadu v kontrolním nebo v sankčním řízení). Opatření směřující ke zjištění zpracování nesprávných osobních údajů jsou tak nezbytná zejména v systémech, jejichž provoz je zcela či do značné míry automatizovaný, a které jsou intenzivně využívány.[57]

Zjištění, že údaje nejsou aktuální, může učinit správce sám tím, že provádí vlastními prostředky a metodami porovnávání zpracovávaných osobních údajů s jinými registry. Méně častým případem bude zjištění správce učiněné na základě podnětu (námitky) subjektu údajů.[58] Tato námitka nebo žádost bývá vznášena na základě § 21 zákona o ochraně osobních údajů jako žádost o opravu, doplnění či likvidaci zpracovávaných dat. Informaci o tom, že jím zpracovávané údaje nejsou aktuální, může správce také zjistit důsledkem splnění své povinnosti podle § 12 zákona o ochraně osobních údajů.

Zákon o ochraně osobních údajů v případě, že správce zjistí, že jsou na jeho straně zpracovávány nepřesné a nepravdivé osobní údaje, ukládá správci povinnost ihned tyto údaje blokovat. Jde o ochranné opatření, které má zabránit dalšímu možnému zpracovávání nepravdivých nebo nepřesných osobních údajů. Současně správce musí neprodleně zahájit práce na odstranění tohoto závadného stavu, který zákon o ochraně osobních údajů nazývá doplnění nebo oprava.

Nepodaří-li se správci za situace, kdy je mu známa skutečnost, že zpracovává nepravdivé a nepřesné osobní údaje, tyto údaje opravit nebo doplnit v čase bezprostředně následujícím po tomto zjištění, musí tyto osobní údaje bez zbytečného odkladu zlikvidovat, tedy zničit jednou provždy. Zákon o ochraně osobních údajů zde správci neumožňuje, aby po určitou dobu byly tyto údaje blokovány a správce mohl využít všech dostupných prostředků, aby mohl tento stav napravit. Současně však zákon o ochraně osobních údajů správci nestanoví lhůtu, po kterou může provádět veškeré úkony spojené s odstraňováním stavu věci, tedy úkony spojené s opravami nebo doplňováním nepravdivých nebo nepřesných osobních údajů. Jako by zákonodárce chtěl správci na jedné straně poskytnout neomezeně dlouhou dobu pro jeden druh činností a straně druhé mu uložil, aby dospěje-li k závěru, že tyto údaje opravit nebo doplnit nelze, musí je ihned zlikvidovat.[59] Tento časový nepoměr by mohl být motivem pro nejednoho správce, aby v těchto případech pouze „pracoval“ na odstraňování tohoto stavu. Nicméně tento postup by jim ani tak nezajistil, že povinnost zde stanovenou, budou moci obejít. Takový správce by mohl svým jednání porušit jinou zákonnou povinnost, např. podle § 5 odst. 1 písm. f), neboť zpracovávání nepřesných údajů by s největší pravděpodobností nebylo v souladu s prvotním účelem zpracování.[60]

Dále je správce povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu. Existuje zde vazba na předchozí písmena tohoto ustanovení, neboť zákon o ochraně osobních údajů říká, že správce smí shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu. Ustanovení § 5 odst. 1 písm. d) zákona o ochraně osobních údajů tedy tiše předpokládá, že správce již splnil předchozí povinnost – určil účel. Bez toho by totiž splnění povinnosti uvedené v tomto ustanovení nebylo možné. V zásadě se jedná o vztah mezi účelem a informací, která má být dílčím prostředkem pro jeho dosažení. Zákon o ochraně osobních údajů tak stanovil základní princip toho, které osobní údaje je možno shromažďovat – odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Povinnost tedy směřuje do šíře, resp. počtu shromažďovaných informací a již neřeší otázku jejich aktuálnosti.

Splnění této povinnosti bude tedy vyžadovat přesné vymezení minimálního rozsahu konkrétních osobních údajů, které budou v daném případě k naplnění stanoveného účelu skutečně potřebné. Je tak třeba o každém osobním údaji rozhodnout, zda je či není pro daný účel nezbytný, popř. při které kombinaci ostatních údajů je nezbytný. Zvolí-li si správce nějaký rozsah osobních údajů, které hodlá zpracovávat, měl by být schopen u každého jednotlivého údaje odpovědět na otázku, proč je daného údaje třeba pro dosažení stanoveného účelu. Cílem je dosažení situace, kdy účelu zpracovávání bude dosaženo s použitím co nejužší skupiny osobních údajů. Ty zbylé by měl správce bez zbytečného odkladu zlikvidovat (nebo je vůbec nezačít shromažďovat), neboť jejich další uchovávání by odporovalo tomuto ustanovení. Pro správce bude v mnoha případech skupina zpracovávaných osobních údajů vymezena pomocí právní úpravy, v jejímž rámci bude k zpracovávání osobních údajů docházet.

Zkušenosti z aplikace tohoto ustanovení dokazují, že správci často při stanovení rozsahu zpracovávaných údajů nevycházejí z účelu současného zpracovávání, ale jejich snahou je rozsah zpracovávaných osobních údajů rozšiřovat nad míru jejich nezbytnosti s tím, že se možná v budoucnu ukáže potřeba zpracovávání těchto informací. Právě možná budoucí ochrana práv správce je častou argumentací v případech, kdy jsou pro identifikaci smluvní strany vyžadovány vedle sebe osobní údaje kategorie datum narození a rodné číslo nebo případy kdy jsou pořizovány kopie osobních dokladů fyzických osob apod. Taková činnost správce je nepřípustná a děje-li se tak s nátlakem vůči subjektu údajů, i nezákonná.[61]

Správce také musí uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné. Uchovávání osobních údajů je jedním ze základních oprávnění správce nebo zpracovatele, které úzce souvisí se zpracováváním osobních údajů. Tyto subjekty, pokud vynaložily prostředky na shromáždění a následné zpracovávání osobních údajů, mají vždy zájem uchovávat tyto informace i nadále. Spornou otázkou je v této souvislosti stanovení délky časového úseku, po který má k uchovávání osobních údajů docházet. Zákon o ochraně osobních údajů jako základní předpoklad pro existenci práva uchovávat osobní údaje vyžaduje, aby existovala úzká souvislost mezi účelem a dobou uchovávání osobních údajů.[62] Doba uchování vždy musí být posuzována s ohledem na konkrétní okolnosti, za nichž a pro něž zpracování probíhá. Doba uchovávání dat by neměla přesáhnout časový limit maximálně přípustný pro naplnění účelu.

Správce je ve většině případů na základě zákona o ochraně osobních údajů povinen uchovací dobu sám určit a za toto své rozhodnutí nese odpovědnost. Zpracovává-li správce osobní údaje na základě zvláštního zákona a není-li doba uchování osobních údajů tímto zvláštním zákonem stanovena, je správce osobních údajů oprávněn uchovávat údaje pouze po dobu, po kterou trvá daná povinnost nebo právní vztah, popř. po jejich skočení po dobu nezbytnou pro vypořádání vzájemných práv a povinností. Pro oba typy správců však platí, že dobu uchování osobních údajů však nelze stanovit pouze s odkazem na obecné promlčecí či prekluzívní lhůty. Překročení doby uchování není z hlediska zákona o ochraně osobních údajů možné bez souhlasu subjektů údajů.

Vedle případů, kdy se doba pro uchovávání osobních údajů stanoví přímo určitým časovým úsekem, lze v právních předpisech nalézt ustanovení, ze kterých lze vyložit právo správce na trvalé uchovávání osobních údajů o subjektu údajů, pokud nastaly podmínky pro zpracovávání těchto dat.[63]

Správce je dále povinen zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas. Povinnost uložená správci osobních údajů tímto ustanovením navazuje na plnění povinností stanovených předchozími písmeny § 5, především na povinnosti podle § 5 odst. 1 písm. a) a d) zákona o ochraně osobních údajů, tedy na povinnosti stanovit účel, k němuž mají být osobní údaje zpracovány, a povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu. Tato ustanovení se navzájem nejen doplňují, ale i zpřesňují.

Je tedy nepřípustné, aby správce shromáždil osobní údaje k určitému účelu a následně je on sám nebo zpracovatel zpracoval k účelu jinému, což by pravděpodobně znamenalo, že subjekt údajů zůstane bez informace o tomto novém účelu. Tímto ustanovením se současně vylučuje možnost obcházení zákona o ochraně osobních údajů [64] a zároveň je kladen limit libovůli správců, kteří si často myslí, že mají-li nějaké osobní údaje, mohou s nimi nakládat dle svého uvážení a zpracovávat je v podstatě i za jakýmkoli jiným účelem. Snaha zákonodárce zde směřuje k tomu, aby správce nebo zpracovatel nemohl osobní údaje získané například pro poskytování zdravotní péče zpracovávat třeba pro komerční potřeby správce nebo zpracovatele nebo je pro tyto potřeby předávat dalším subjektům pro další jiné zpracování s rozdílným účelem zpracování.[65]

Je tak zde zohledněna i jedna ze základních myšlenek zákona o ochraně osobních údajů, a to, že právě subjekt údajů je tím, kdo by měl ve většině případů rozhodovat o zpracování svých osobních údajů a kdo by měl vždy minimálně mít přehled o tom, jak je s jeho údaji nakládáno, a to i v případech, kdy o samotném zpracování rozhodovat nemůže.

Podle ustanovení zákona o ochraně osobních údajů jsou odchylky přípustné v případě, kdy tak správce činí se souhlasem subjektu údajů. Zákon o ochraně osobních údajů stanoví i další výjimky, při čemž rámec výjimek pro tyto případy je uveden v ustanovení § 3 odst. 6 zákona o ochraně osobních údajů.

Jedním z nejčastějších způsobů porušení tohoto ustanovení je zveřejnění osobních údajů, které byly získány ke zcela jinému účelu, většinou v souvislosti se vznikem nějaké pohledávky. Byť je často takovéto jednání chápáno jako oprávněná sankce za nesplnění povinnosti dlužníka, je nutno upozornit na to, že zveřejňování údajů o dlužnících a dlužných částkách v souvislosti se vznikem pohledávek je nepřípustným zasahováním do soukromí osob, neboť zpřístupněním takového údaje může dojít k poškození dobrého jména postižených osob v mnoha dalších soukromoprávních i veřejnoprávních vztazích.[66]

Předposlední povinností je povinnost shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti. Při posuzování zásady, ukládající správci tuto povinnost, je východiskem legalita shromažďování osobních údajů. Zákon o ochraně osobních údajů připouští pouze otevřenou formu této činnosti. Výslovně se v tomto ustanovení zakazuje shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti. Správce proto musí vždy, pokud hodlá využívat shromážděné osobní údaje nikoliv pro jediný účel, ale pro několik účelů, postupovat vždy v souladu se všemi svými povinnosti, které mu z příslušných ustanovení zákona o ochraně osobních údajů vyplývají a požádat například subjekt údajů o poskytnutí souhlasu ke zpracovávání osobních údajů pro všechny tyto účely. Subjekt údajů samozřejmě nemusí vyslovit souhlas s takto podle jeho názoru rozsáhlým způsobem zpracovávání jeho osobních údajů. Správce však musí požadavek subjektu údajů respektovat, pokud se pro zpracovávání osobních údajů souhlas subjektu údajů vyžaduje.[67]

Stejně jako většina předchozích i tato povinnost souvisí s několika dalšími povinnostmi uvedenými v jiných ustanoveních zákona o ochraně osobních údajů, především s ustanovením § 5 odst. 4 a § 11 zákona o ochraně osobních údajů. Obě ustanovení ukládají správci osobních údajů informační povinnost. Podle ustanovení § 5 odst. 4 musí být subjekt údajů při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Teprve po splnění této povinnosti lze hovořit o tom, že případný souhlas byl udělen svobodně a vědomě, jak vyžaduje ustanovení § 4 písm. n) zákona o ochraně osobních údajů. Podle ustanovení § 11 je správce, případně zpracovatel, povinen subjektu údajů poskytnout celou řadu dalších informací[68].

Poslední povinností uvedenou v § 5 odst. 1 je povinnost nesdružovat osobní údaje, které byly získány k rozdílným účelům. Tím vytvořil zákonodárce zákonnou překážku pro to, aby správce mohl libovolně sdružovat osobní údaje, které jsou předmětem jeho zpracovávání pro jím stanovený účel s osobními údaji, které jsou předmětem jiného jeho zpracovávání pro naplnění odlišného účelu.

Takovým sdružením by totiž mohlo dojít k citelnému zásahu do soukromého a osobního života subjektu údajů. Spojením informací totiž vzniká nová kvalita osobního údaje, jež obvykle není v této podobně nikde k dispozici a která může výrazně více vypovídat o soukromí fyzické osoby a přesahuje tak zákonný vymezený rámec.

Tato zákonná zábrana se týká zejména správců, kteří vykonávají například řadu činností v oblasti výkonu státní správy nebo samosprávy a pro každou takovouto činnost musí nezbytně i zpracovávat osobní údaje.[69]

Základní zásadou při zpracování je možnost zpracovávat osobním údaje pouze se souhlasem subjektu údajů. Zpracováním osobních údajů dochází k zásahu do soukromí jejich nositele. Proto směrnice 95/46/ES i zákon o ochraně osobních údajů stanoví obecné pravidlo, že zpracování osobních údajů se může zásadně dít pouze se souhlasem jejich nositele, právní terminologií subjektu údajů. Z tohoto důvodu je institut souhlasu se zpracováním osobních údajů jedním z nejvýznamnějších v celé oblasti ochrany osobních údajů. Zákon o ochraně osobních údajů v § 4 písm. n) stanoví, že pro účely tohoto zákona se rozumí souhlasem subjektu údajů svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Při souhlasu se zpracováním citlivých údajů je úprava odlišná, resp. přísnější. Podle § 9 písm. a) zákona o ochraně osobních údajů je citlivé údaje možné zpracovávat pouze v případě, že subjekt údajů dal ke zpracování výslovný souhlas. Kromě výše uvedených podmínek souhlasu tedy přibývá ještě to, že souhlas musí být výslovný. Obecně řečeno, poskytnutí souhlasu je právním jednáním, a proto je pro posouzení jeho platnosti nutné vzít v potaz i úpravu právních jednání v obecném právním předpisu, jímž je v tomto případě občanský zákoník[70].

U souhlasu se zpracováním osobních údajů, jež citlivé nejsou, podmínka výslovnosti v zákoně o ochraně osobních údajů není stanovena. Takovýto souhlas může být poskytnut i konkludentně, tedy jinak než výslovně. Subjekt údajů například může po obdržení patřičné informace své osobní údaje správci poskytnout, čímž mlčky, ne výslovně, souhlasí s jejich zpracováním. K určení obsahu vůle může totiž sloužit i širší kontext jednání, případně i jednání následné, jestliže je z něho možné na obsah vůle zpětně usuzovat. Zákon o ochraně osobních údajů pro souhlas se zpracováním osobních údajů nestanoví povinnou formu, například písemnou. V této souvislosti je rovněž třeba poukázat na § 5 odst. 4 větu druhou zákona o ochraně osobních údajů, která stanoví, že správce musí být po celou dobu zpracování schopen prokázat, že mu subjekt údajů ke zpracování poskytl svůj souhlas. V případě konfliktní situace, kdy subjekt údajů bude tvrdit, že správce zpracovává jeho osobní údaje bez souhlasu, je tedy důkazní břemeno na straně správce. V tomto případě bude správce povinen prokázat, že subjekt údajů se zpracováním souhlasil a že souhlas splňoval všechny výše uvedené náležitosti.[71]

Z povinnosti zpracovávat osobní údaje pouze se souhlasem subjektu údajů stanoví zákon o ochraně osobních údajů několik výjimek, které jsou uvedeny v § 5 odst. 2 písm. a) až g).[72]

2.2.2 Povinnost podle ustanovení § 11

Tento paragraf stanoví správcům (v zásadě i zpracovatelům) tzv. informační povinnost. Informační povinnost v rozsahu podle zákona o ochraně osobních údajů je jednou ze základních povinností správce osobních údajů a je podstatnou podmínkou efektivní ochrany osobních údajů, zejména proto, že na základě uvedených informací se subjekt údajů může sám na ochraně svých osobních údajů aktivně podílet, tj. svobodně se rozhodnout, zda za daných podmínek své osobní údaje poskytne, nebo se domáhat nápravy, nejsou-li jeho osobní údaje zpracovávány v souladu s právní úpravou. Nesplnění informační povinnosti také v podstatě zpochybňuje platnost souhlasu se zpracováním osobních údajů, neboť právní úkon může být považován za souhlas se zpracováním osobních údajů podle zákona o ochraně osobních údajů jen tehdy, pokud jsou subjektu údajů dány veškeré relevantní informace týkající se zamýšleného zpracování osobních údajů a je mu tak umožněno se svobodně a vědomě rozhodnout, zda souhlas se zpracováním osobních údajů za těchto podmínek udělí.

Správci osobních údajů plní svoji informační povinnost obvykle prostřednictvím textu souhlasu se zpracováním osobních údajů uvedeném ve smlouvě či na příslušném formuláři anebo ustanovením v rámci všeobecných obchodních podmínek. Zde je nutno zdůraznit, že uvedené informace je nutno subjektu údajů sdělit (poskytnout) ve srozumitelné a přehledné formě. Postup, kdy jsou požadované informace subjektu údajů poskytnuty formou mnoha komplikovaně provázaných ustanovení v rámci rozsáhlého dokumentu, případně několika dokumentů, anebo pokud není jejich znění jednoznačně srozumitelné, lze o splnění povinnosti přinejmenším pochybovat.[73]

Zákon tak nestanoví žádný způsob, jak má poskytnutí informací vypadat, nicméně ze zákona o ochraně osobních údajů vyplývá, že „správce je při shromažďování osobních údajů povinen subjekt údajů informovat“, tedy zákon o ochraně osobních údajů zcela jednoznačně požaduje, aby informace byla subjektu údajů poskytnuta při shromažďování údajů.

V informaci poskytované subjektu údajů musí být uveden „rozsah“ zpracovávaných osobních údajů, nejlépe taxativním výčtem zpracovávaných osobních údajů. Přestože slovo „účel“ je v předmětném ustanovení uvedeno v jednotném čísle, zřejmě lze přisvědčit názoru, že v informaci poskytované subjektu údajů může být v odůvodněných případech uvedeno i více účelů, pro které budou osobní údaje zpracovávány.

Správce musí dále subjekt údajů informovat také o tom, jakým způsobem bude správce, popřípadě zpracovatel zpracovávat osobní údaje. Subjekt údajů musí být správcem informován rovněž o tom „kdo“ bude osobní údaje zpracovávat. Osobu nebo osoby, které budou zpracovávat osobní údaje, je nezbytné identifikovat; u právnických osob uvedením názvu a sídla právnické osoby, popřípadě jejího identifikačního čísla, u fyzických osob uvedením jejich jména, příjmení, adresy a data jejich narození. Obdobně je nezbytné identifikovat osoby, kterým mohou být osobní údaje zpřístupněny či kterým jsou osobní údaje určeny. Nepostačující by bylo například vymezení, že osobami, které budou zpracovávat osobní údaje nebo kterým mohou být osobní údaje zpřístupněny či kterým jsou osobní údaje určeny, jsou „obchodní společnosti, které podnikají na území České republiky“.[74]

Informační povinnosti je správce zproštěn v případě, že jsou informace o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, již známy. Nicméně je třeba upozornit na to, že ač zákon o ochraně osobních údajů požaduje po správci, aby subjekt údajů informoval o náležitostech zpracování, a dokonce jsou s neinformováním spojeny i správní sankce [§ 44 odst. 2 písm. f a § 45 odst. 1 písm. f)], sám zákon ponechává zcela na správci, jak se případně vyrovná s tím, když bude např. postaven před nutnost splnění informační povinnosti prokázat. Zákon o ochraně osobních údajů totiž prokazatelnost poskytnuté informace přímo nepožaduje, i když tak třeba činí v případě souhlasu (§ 5 odst. 4). Lze tedy jen doporučit, aby správce, pokud plní svoji informační povinnost, postupoval obdobně jako u souhlasu, tedy aby si nechal poskytnutí informací subjektem údajů nějakým prokazatelným způsobem potvrdit.

Správci osobních údajů je dále stanovena povinnost poučit subjekt údajů o tom, zda poskytnutí osobních údajů správci je dobrovolné nebo zda je subjekt údajů povinen osobní údaje poskytnout správci, popřípadě zpracovateli ke zpracování na základě zvláštního zákona. Z textu zákonného ustanovení je zřejmé, že povinnost podle § 11 odst. 2 zákona o ochraně osobních údajů má správce jen tehdy, když získává a shromažďuje osobní údaje přímo od subjektu údajů.

Jestliže je subjekt údajů podle zvláštního zákona povinen poskytnout správci, popřípadě zpracovateli osobní údaje pro zpracování, musí být správcem také poučen o důsledcích, které budou vyvozeny, pokud subjekt údajů osobní údaje ke zpracování neposkytne. Subjekt údajů musí být správcem také poučen o tom, zda je oprávněn odmítnout poskytnutí osobních údajů správci[75], popřípadě zpracovateli. Z textu zákonného ustanovení je zřejmé, že rovněž tato poučení musí správce poskytnout subjektu údajů pouze tehdy, když získává a shromažďuje osobní údaje přímo od subjektu údajů.

Správce musí být schopen prokázat, že splnil svoji povinnost poučit subjekt údajů tak, jak mu to ukládá § 11 odst. 2. Tuto povinnost by měl správce splnit nejlépe ještě před zahájením zpracování osobních údajů. Na rozdíl od informační povinnosti stanovené podle § 11 odst. 1 však z textu ustanovení § 11 odst. 2 nevyplývá, že by povinnost poučit subjekt údajů o výše uvedených skutečnostech musel správce splnit ještě před zahájením zpracování osobních údajů.[76] Nicméně logika věci je taková, že i tyto informace by měl subjekt údajů dostat tak, aby mohl uvážit důsledky případného neposkytnutí informací, tedy předem, obdobně jak stanoví odstavec první.

I z informační povinnosti je stanovena výluka. K tomu, aby se výjimka na správce osobních údajů (případně na zpracovatele) vztahovala, je nutné splnit základní předpoklad, který je často správci, jež se soustředí pouze na jednotlivá písmena odstavce, opomíjen. Tímto předpokladem, nutným a platným pro všechna písmena odstavce, je fakt, že osobní údaje nebyly získány od subjektu údajů. Tento požadavek je ostatně i logický. Všechny relevantní informace totiž již subjekt údajů získal, resp. získat měl, od správce, který jeho údaje poskytnul k případnému dalšímu, jinému zpracování novému správci. Výjimky jsou uvedeny v § 11 odst. 3 písm. a) až d).

2.2.3 Povinnost podle ustanovení § 12

Ustanovení § 12 zákona o ochraně osobních údajů [77] obsahově navazuje na ustanovení předchozí. Zatímco však § 11 upravuje informační povinnost správce (případně zpracovatele) v jedné jediné určité fázi zpracování osobních údajů, tedy v okamžiku shromažďování osobních údajů, ustanovení § 12 umožňuje subjektu údajů získat informace o prováděném zpracování osobních údajů o jeho osobě v průběhu celého zpracování. Informace jsou zásadně poskytovány na základě žádosti subjektu údajů. V tomto případě je tak očekávána aktivita subjektu údajů, nikoli správce. Zákon o ochraně osobních údajů nestanoví konkrétní lhůtu, v níž je nutné požadované informace předat. Zákon o ochraně osobních údajů pouze uvádí, že povinnost je třeba splnit bez zbytečného odkladu, při čemž chybí v jiných zákonech obvyklé určení nejzazší lhůty (… nejpozději však do …). Správce je proto povinen informaci předat ihned, jakmile je to možné, což je nutné vždy posuzovat v každém případě zvlášť.

Ustanovení také určuje, jaké konkrétní informace je správce subjektu údajů povinen poskytnout. V první řadě jde o informace o účelu zpracování osobních údajů, dále pak o osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování. Je-li to možné, je vhodnější poskytovat informaci o údajích, nikoli pouze o kategoriích osobních údajů. Často se totiž jedná o jedinou možnost, jak správce může zjistit, že jím zpracovávané údaje již nejsou aktuální. Teprve když subjektu údajů sdělí, například jakou jeho adresu bydliště zpracovává, může jej subjekt údajů upozornit na to, že se přestěhoval. Je tedy v zájmu správce sdělovat konkrétní údaje, neboť plnění povinnosti podle § 12 může napomoci i k plnění dalších povinností [např. povinnosti podle § 5 odst. 1 písm. c) zákona o ochraně osobních údajů]. Dále je správce povinen subjektu údajů sdělit veškeré dostupné informace o zdroji údajů. Tato informace bývá  někdy problematická, správci osobních údajů ji neradi sdělují zvláště v případech, kdy osobní údaje subjektu údajů nebyly získány zcela v souladu se zákonem. A konečně by měl subjekt údajů obdržet informaci o povaze automatizovaného zpracování v souvislosti s jeho využitím pro rozhodování, jestliže jsou na základě tohoto zpracování činěny úkony nebo rozhodnutí, jejichž obsahem je zásah do práva a oprávněných zájmů subjektu údajů a příjemci, případně kategoriích příjemců.

Správce osobních údajů může požadovat za poskytnutí informace přiměřenou úhradu nepřevyšující náklady nezbytné na poskytnutí informace. Výše této úplaty, kterou stanoví správce, nesmí překročit skutečné náklady nezbytné na vyhledání, sestavení či jiné zpracování informace a na úkony potřebné k poskytnutí informace (poštovné apod.)[78].[79]

2.2.4 Povinnost podle ustanovení § 13

Tímto ustanovením je stanovena obecná povinnost správců a zpracovatelů osobních údajů chránit osobní údaje. Jedná se o další ze základních povinností, jejímž obsahem je povinnost zajistit tzv. „bezpečnost zpracovávaných osobních údajů“, a to jak před jednáním úmyslným, tak i nedbalostním, stejně tak jako proti působení přírodních a jiných událostí (povodně, požáry, zemětřesení apod.), které by mohlo způsobit zneužití osobních údajů. Protože povinnost je stanovena absolutně, je možno přijmout závěr, že ochrana osobních údajů je podmínkou pro jejich zpracování. Jelikož uvedená povinnost platí nejen po dobu zpracování osobních údajů, ale i po jejím ukončení, a není v zákoně o ochraně osobních údajů omezena žádnou časovou hranicí, lze dovodit, že zákonodárce tímto ustanovením hodlal zabezpečit ochranu osobních údajů u správců a zpracovatelů po celou dobu, po kterou je mají ve své dispozici (shromažďují tyto údaje, zpracovávají, uchovávají či blokují) a nedošlo k jejich likvidaci ve smyslu ustanovení § 4 písm. i) zákona o ochraně osobních údajů.[80]

Povinnost přijmout bezpečnostní opatření má zvláštní význam. V řadě situací totiž bezpečnostní opatření buď znemožňují, nebo naopak umožňují porušování zákona. Přijetím dostatečných bezpečnostních opatření se tak minimalizuje hrozba zásahu do soukromí. Z toho vyplývá, že případné zásahy do soukromí tak, jak o nich mluví § 1 zákona o ochraně osobních údajů, je třeba hodnotit i prostřednictvím provedených bezpečnostních opatření. Konstrukci zabezpečení osobních údajů při jejich zpracování stanoví § 13 odst. 1 zákona o ochraně osobních údajů v zásadě v obecné rovině. To znamená, že normuje základní rámce a právní povinnosti při zpracování osobních údajů tak, aby se každý správce „vešel“ do zákonných ustanovení, současně má vzhledem ke své dikci výrazně preventivní charakter. Lze tak usuzovat z použité terminologie, kde slovní spojení „aby nemohlo dojít“ znamená právě výraz prevence.

Rámec pro řádné plnění povinnosti přijmout bezpečnostní opatření je určován především prostředky a způsobem zpracování osobních údajů. Ty zpravidla určuje z vlastního rozhodnutí sám správce. Jeho rozhodnutí, které vychází z jeho vlastních lidských, finanční, prostorových atd. možností, tak vytváří základní prostor pro bezpečnostní opatření. Bezpečnostní opatření při zpracování osobních údajů musí zajistit, s ohledem na odbornou úroveň a náklady na jejich provedení, odpovídající úroveň bezpečnosti v souvislosti s riziky vyplývajícími ze zpracování údajů a z povahy údajů, které mají být chráněny. Bezpečnostní opatření mají být přiměřená charakteru zpracovávaných osobních údajů. Přijímaná bezpečnostní opatření musí být účinná vůči úmyslnému nebo nedbalostnímu jednání, tak i vůči působení dalších činitelů.[81]

Protože zákon o ochraně osobních údajů předpokládá při ochraně osobních údajů jistou komplexnost a prevenci, musí každý, kdo pracuje s osobními údaji, vyhodnotit rizika i v širších rámcích. Takovými rámci mohou být například „objektová“ bezpečnost (což znamená vyhodnocení rizik z hlediska místa zpracování), nebo personální bezpečnost (tedy nutnost zvážit, zda osoby, jež s osobními údaji konkrétně pracují, jsou z hlediska správce důvěryhodné, resp. zodpovědné). Nezbytná je samozřejmě také obecná technologická bezpečnost, pokud jsou osobní údaje zpracovávány pomocí výpočetní techniky.[82]

Citované ustanovení je nutno vykládat tak, že vyhodnotit rizika a přijmout jim odpovídající opatření je povinen jak správce, tak i zpracovatel osobních údajů, a to v návaznosti na konkrétní organizaci předmětného zpracování osobních údajů. V tomto ohledu nepřipouští zákon žádné výjimky. Pokud tedy potřebná opatření nemůže, ať zcela či částečně, přijmout správce osobních údajů, protože provádí jen některé kroky zpracování, případně nenakládá s osobními údaji vůbec, je v tomto rozsahu povinen přijmout bezpečností opatření zpracovatel osobních údajů. Povinnost mají správce i zpracovatel bez ohledu na to, zda působí v soukromé či veřejné sféře. V případě státních orgánů, které vedou rozsáhlé evidence obsahující velké množství osobních údajů včetně citlivých dat (typicky informační systém evidence obyvatel nebo informační systémy spravované Policií České republiky), je důsledná ochrana zpracovávaných osobních údajů, vzhledem k možným následkům v případě jejich zneužití, snad ještě významnější než u subjektů soukromoprávní sféry.[83]

Správce a zpracovatel osobních údajů tedy odpovídají podle zákona o ochraně osobních údajů za provedení náležitých opatření vylučujících rizika spojená s předmětným zpracováním osobních údajů, přičemž tato jejich odpovědnost je odpovědností objektivní, tedy odpovědností za následek jednání či opominutí (za protiprávní stav). Součástí této prevence je také to, že je třeba chránit nejen osobní údaje jako takové, ale i jejich nosiče a technologie, na nichž jsou zpracovávány. Je nutné dodat, že vhodná opatření pro zabezpečení ochrany osobních údajů je nezbytné přijmout nejen ve vztahu k běžným činnostem správce či zpracovatele osobních údajů, ale také zvláště pro každou ojedinělou operaci s osobními údaji, resp. s jejich nosiči, která vybočuje z běžného rámce zpracovávání těchto údajů, jako je např. skartace písemností uchovávaných v archivu.[84] Za tímto účelem je správce osobních údajů povinen, a to v podstatě ještě před započetím zpracování osobních údajů, vyhodnotit všechna rizika zamýšleného zpracování a přijmout a následně i v praxi provést jim odpovídající opatření. Zákon o ochraně osobních údajů tak nutí správce posoudit všechna možná rizika zpracování osobních údajů a přijímat k jejich eliminaci všechna odpovídající opatření, při čemž konkrétní podobu ochrany osobních údajů ponechal zákonodárce na správci či zpracovateli. Stanovil pouze, před čím vším je třeba osobní údaje při zpracování ochraňovat, když výčet situací, na které musí reagovat zabezpečení osobních údajů, je třeba považovat za příkladmý.

Při výběru typu bezpečnostní opatření je nutné zohlednit způsob zpracování osobních údajů[85] a prostředků zpracování, které je povinen správce stanovit podle § 5 odst. 1 písm. b) zákona o ochraně osobních údajů, i objemu a charakteru zpracovávaných údajů. Správce a zpracovatel tak mají v zásadě volnost v tom, jaký způsob, podoba, forma atd. ochrany jsou podle nich adekvátní (navzdory tomu tvrzení je třeba uvést, že za jedno ze základních bezpečnostních opatření je nutno považovat určení podmínek, které jsou jednotliví zaměstnanci nebo jiné osoby přicházející do styku s osobními údaji povinni dodržovat. Zaměstnance je možno poučit o jejich povinnostech při zpracování osobních údajů, tj. včetně jejich náležité ochrany, zejména prostřednictvím interního předpisu zaměstnavatele nebo pravidelných školení.[86] Toto opatření by mělo být součástí zabezpečení osobních údajů vždy, má-li správce nebo zpracovatel zaměstnance. Volnost správce a zpracovatele tak není zcela stoprocentní).

Bezpečnostní dokumentace

Zákon o ochraně osobních údajů také v současné době stanoví obecnou povinnost zpracování a dokumentování bezpečnostních opatření a provedených technicko–organizačních opatření k zajištění ochrany osobních údajů. Vzhledem k dikci tohoto ustanovení „správce nebo zpracovatel“, která je odlišná od dikce odst. 1[87], stíhá tato povinnost buď správce, nebo zpracovatele, tedy nikoli nutně oba najednou. Správce proto může zpracováním dokumentace pověřit pouze zpracovatele.

Opatření musí být v souladu se zákonem o ochraně osobních údajů, ale také s jinými právními předpisy. Vzhledem k tomu, že zákonodárce použil velmi obecnou formulaci, lze jistě přijmout myšlenku, že nezamýšlel přesně stanovit formu a obsah požadovaného dokumentu nebo dokumentů. I když by asi vhodnější bylo, aby pravidla ochrany osobních údajů byla shromážděna do dokumentu jednoho, lze si jistě představit i situaci jinou, tedy že příslušný komplex pravidel bude obsahem několika rozdílných interních předpisů správce (zpracovatele), které ve svém komplexu právě taková pravidla tvoří. Zdá se, že v praxi bude četnější právě druhá z naznačených možností, kdy například jeden dokument obsahuje pravidla obecné (počítačové) bezpečnosti a v dalších dokumentech jsou uvedena další pravidla pro nakládání s osobními údaji. Pokud nebude zvláštní právní předpis příslušnému správci ukládat nějaký konkrétní postup nebo typ dokumentu, může si správce zvolit libovolný způsob splnění povinnosti uložené § 13 odst. 2 zákona o ochraně osobních údajů. Nejběžnější pravděpodobně bude použití vnitřní řídící nebo organizační normy, popř. speciální bezpečnostní normy vztahující se obecně k ochraně informací nebo osobních údajů. Tyto normy však mohou být větším či menším způsobem specializovány. Dohromady však vždy musí činit uzavřený komplex a samozřejmě musí platit, že jsou závazné, a také by mělo být prokazatelné, že s nimi příslušné osoby byly seznámeny.

Samozřejmostí musí být předpisy upravující nakládání s osobními údaji, odstupňované přístupy, existence hesel a závazné pokyny pro jejich užívání, mechanismus, který by zabraňoval zkopírování celé databáze atd. Je tedy nutné přijmout opatření, která jsou obecně uznávána jako bezpečnostní opatření pro daný způsob zpracování a která působí jako bezpečnostní opatření pro jím skutečně prováděné zpracování. K nutnosti při zabezpečení ochrany osobních údajů také patří určení podmínek, které jsou jednotliví zaměstnanci nebo jiné osoby přicházející do styku s osobními údaji povinni dodržovat. Zaměstnance je možno poučit o jejich povinnostech při zpracování osobních údajů, tj. včetně jejich náležité ochrany, zejména prostřednictvím interního předpisu zaměstnavatele nebo pravidelných školení. Bez ohledu na to, jakou formu instruktáže zaměstnanců správce osobních údajů zvolí, měl by být schopen přijetí a provedení těchto opatření prokázat, a to po celou dobu zpracování osobních údajů, jak ostatně výslovně vyplývá i z ustanovení § 13 odst. 2 zákona o ochraně osobních údajů. V opačném případě, kdy správce osobních údajů neprokáže, zda a jakým způsobem své zaměstnance řádně instruoval či proškolil, je nutno veškeré postupy běžně užívané zaměstnanci při zpracování osobních údajů považovat za postupy správcem údajů schválené, tedy jím považované za postupy souladné s § 13 odst. 1 zákona o ochraně osobních údajů.[88] Za opatření ve smyslu § 13 odst. 1 zákona o ochraně osobních údajů lze tedy považovat i pokyny určené zaměstnancům v interních předpisech, nicméně samotná existence těchto předpisů není dostačující v případě, kdy tyto pokyny nejsou v praxi dodržovány a jejich dodržování důsledně kontrolováno.[89] Za veškerá případná ohrožení, či dokonce neoprávněné nakládání s osobními údaji vyplývající z těchto postupů, pak nese odpovědnost správce osobních údajů. Je nutné si také uvědomit, že bezpečnostní opatření se provádějí vždy souhrnně.

Základní otázky zabezpečení

S ohledem na velmi obecnou formulaci povinnosti zajistit bezpečnost osobních údajů, byl Úřad od samého počátku své existence žádán o vymezení základních bezpečnostních podmínek nějakým zvláštním opatřením Úřadu nebo právním předpisem. Úřad však nemůže vydat standardy specifikující minimální požadavky, které považuje za nutné k naplnění povinnosti podle § 13 odst. 1 zákona o ochraně osobních údajů, neboť nedisponuje potřebnou kompetencí k přijetí takových standardů. Ostatně podmínky zpracování osobních údajů (a z nich vyplývající potřebná bezpečností opatření ve smyslu uvedeného ustanovení) jsou u každého správce a zpracovatele osobních údajů natolik odlišné, že jakákoli paušalizace by v tomto případě nebyla efektivní. Každý správce či zpracovatel je tedy povinen sám zhodnotit rizika, která v jeho případě při zpracování osobních údajů vznikají, a přijmout jim odpovídající technická a organizační opatření. Úřad je kompetentní správci nebo zpracovateli osobních údajů poskytnout v této věci pouze odbornou konzultaci.[90]

Nicméně ve snaze pomoci správcům či zpracovatelům zhodnotit rizika bylo ustanovení § 13 zákona o ochraně osobních údajů doplněno zákonem č. 170/2007 Sb., jímž byly do tohoto paragrafu vloženy dva nové odstavce (odst. 3. a 4). Doplněná ustavení mají charakter doplňovací a návodový ve vztahu k ustanovení odstavce 1.

Cílem ustanovení bylo vyjádření konkrétních povinností správců a zpracovatelů k zajištění plnění dříve příliš obecně vyjádřené povinnosti, a to zejména s ohledem na rozsáhlé databáze osobních údajů. Odstavci 3 a 4 byl tak stanoven přesný obsah opatření v rámci plnění povinnosti správců (a zpracovatelů) pro zabezpečení osobních údajů. Posuzování rizik nepřináší nové povinnosti, ani další byrokratickou zátěž, neboť nemusí mít písemnou podobu. Nová ustanovení konkretizují opatření požadovaná podle odstavce 1, kterých si každý správce a zpracovatel osobních údajů musí být vědom a které musí vyhodnotit před i v průběhu plnění jednotlivých povinností při zpracování osobních údajů (srov. § 5 odst. 1 zákona).[91]

Jak již bylo řečeno výše, konstrukce § 13 ve znění před novelou měla výrazně preventivní charakter a prakticky přesně odpovídala textu Směrnice, která navíc poskytuje, jako relevantní pramen práva, další výkladová hlediska ve vztahu k účelu, smyslu a prostředcích ochrany údajů při uplatnění rozumné rovnováhy opatření, která jsou přijímána k ochraně osobních údajů při jejich zpracování. V tomto smyslu je tedy také třeba chápat doplněná ustanovení odst. 3 a 4. Již z návětí odstavce 3 je zřejmé, že se jedná o ustanovení, které je ve vztahu k povinnostem podle odstavce 1 upřesňující a které stanoví okruhy aspektů, jež je třeba vždy uvážit při posuzování rizik zpracování vzhledem k povinnostem přijmout příslušná opatření ve smyslu odstavce 1 a vztahuje se na všechny druhy, resp. formy zpracování osobních údajů.[92]

Ustanovení odstavce 4 se pak týká automatizovaných zpracování a stanoví povinnosti, které je třeba vzhledem k použitým prostředkům aplikovat jako specifické prostředky ochrany. Přitom celý odstavec 4 je nutné chápat kontextuálně a nikoliv vytrženě ze smyslu a účelu povinností stanovených v odstavci 1. Povinnosti uvedené pod písm. a) a b) pouze upřesňují obecnou povinnost správce přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům případě, že se jedná o automatizovaný způsob zpracování. Je tedy nezbytné volit nikoliv jen obecná organizační opatření, ale také i metody, které taková opatření promítnou do automatizovaných zpracování prostředky, které mu odpovídají. Znamená to, že ne každý ze zaměstnanců správce bude mít přístup k automatizovaně zpracovávaným údajům, a ti, jimž správce takovou možnost, vycházející z pracovní pozice a stanovených úkolů přizná, budou mít přístup omezen jen do oblastí zpracování, které pracovní pozici a stanoveným úkolům, tedy náplni práce, odpovídá, když toto omezení bude zajištěno specifickými prostředky výpočetní techniky, tedy přístupovými právy a to individuálními s případným rozlišením specifických oprávnění jako je např. oprávnění pouze nahlížet, měnit konkrétní záznam apod.

Účelem a smyslem ustanovení písm. c) je zajistit, aby správce mohl zjistit, jakým způsobem bylo s údaji při automatizovaném zpracování nakládáno, a to tak, že o přístupech budou existovat elektronické záznamy, tzv. loggy. Současně to však neznamená, že by nezbytně musely existovat záznamy o přístupech v rámci jednoho informačního např. databázového systému ke konkrétní datové větě, i když ani taková možnost není vyloučena a bude vždy záviset na konkrétním vyhodnocení rizik ve vztahu k závažnosti chráněných dat, které je správce povinen posoudit podle odstavce 3, když povinnost podle písm. c) je možné plnit i v kombinaci s vhodnými organizačními opatřeními.

Povinnost, stanovená v odstavci 4, je upřesňující v tom smyslu, že chránit je třeba nejen samotná „aktivní“ automatizovaná zpracování probíhající na prostředcích výpočetní techniky, ale také individuální datové nosiče, na nichž jsou např. uchovávány zálohové soubory a že tato ochrana musí být systémová a odpovídající vyhodnoceným rizikům.[93]

[8] Mates, P.: Ochrana soukromí ve správním právu. Praha 2004, s. 188.

[9] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 35.

[10] Ustanovení § 2 odst. 3 antidiskriminačního zákona.

[11] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 37 a násl.

[12] Tamtéž.

[13] Zákon č. 46/2000 Sb., o právech a povinnostech při vydávání periodického tisku a o změně některých dalších zákonů (tiskový zákon).

[14] Zákon č. 231/2001 Sb., o provozování rozhlasového a televizního vysílání a o změně dalších zákonů.

[15] Např. zákon č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích).

[16] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 62.

[17] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s 59.

[18] Tamtéž.

[19] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 58 a násl.

[20] Účel zpracování může správce stanovit pouze v případě, že není určen přímo zákonem.

[21] Pokud zvláštní zákon nestanoví jinak.

[22] Ustanovení § 4 písm. k) zákona o ochraně osobních údajů.

[23] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[24] Poradce č. 3/2005, Zákon o ochraně osobních údajů s komentářem, s. 17.

[25] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s 58.

[26] Mates, P.: Ochrana soukromí ve správním právu. Praha 2004, s. 192 a násl., jinak také Matoušová, M. – Hejlík, L.: Osobní údaje a jejich ochrana. Praha 2003, s. 216.

[27] Ustanovení § 4 písm. d) zákona o ochraně osobních údajů.

[28] Ustanovení § 4 písm. e) zákona o ochraně osobních údajů.

[29] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 45.

[30] Mates, P.: Ochrana soukromí ve správním právu. Praha 2004, s. 191 a násl.

[31] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[32] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[33] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 49.

[34] Ustanovení § 4 písm. g) zákona o ochraně osobních údajů.

[35] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[36] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 56.

[37] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 50.

[38] Původní definice zněla: blokováním osobních údajů se rozumí vytvoření takového stavu, při kterém je osobní údaj určitou dobu nepřístupný a nelze jej jinak zpracovávat.

[39] Jedná se nový správní delikt podle § 45 odst. 1 písm. j) zákona o ochraně osobních údajů.

[40] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[41] Poradce č. 3/2005, Zákon o ochraně osobních údajů s komentářem, s. 16.

[42] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 56.

[43] Tamtéž, s. 70.

[44] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[45] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 57.

[46] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 54 a násl.

[47] www.uoou.cz, Názory Úřadu – Stanoviska – Stanovisko č. 2/2008 – Souhlas se zpracováním osobních údajů.

[48] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 66.

[49] Poradce č. 3/2005, Zákon o ochraně osobních údajů s komentářem, s. 17.

[50] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, s. 193, jinak také Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 67.

[51] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 71.

[52] Tamtéž.

[53] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 68.

[54] Nepřesné osobní údaje se musí označit. Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům.

[55] Toto ustanovení stanoví výluku z působnosti mimo jiné § 5 (tedy i povinnosti zpracovávat pouze přesné podle § 5 odst. 1 písm. c) zákon a o ochraně osobních údajů).

[56] Tamtéž.

[57] www.uoou.cz, Dozorová činnost – Správní delikty – Z rozhodovací činnosti Úřadu – K problematice aktualizace zpracovávaných osobních údajů.

[58] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 70.

[59] Tamtéž.

[60] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 72 a násl.

[61] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 75 a násl., jinak také Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 72.

[62] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 72

[63] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 78 a násl.

[64] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[65] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 74.

[66] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 80 a násl.

[67] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 75 a násl.

[68] Správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21.

V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.

[69] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 82 a násl.

[70] Ustanovení § 545 a násl. občanského zákoníku

[71] www.uoou.cz, Názory Úřadu – Stanoviska – Stanovisko č. 2/2008 – Souhlas se zpracováním osobních údajů.

[72] (2) Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat, jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce,

b) jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů,

c) pokud je to nezbytně třeba k ochraně životně důležitých zájmů subjektu údajů. V tomto případě je třeba bez zbytečného odkladu získat jeho souhlas. Pokud souhlas není dán, musí správce ukončit zpracování a údaje zlikvidovat,

d) jedná-li se o oprávněně zveřejněné osobní údaje v souladu se zvláštním právním předpisem. Tím však není dotčeno právo na ochranu soukromého a osobního života subjektu údajů,

e) pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života,

f) pokud poskytuje osobní údaje o veřejně činné osobě, funkcionáři či zaměstnanci veřejné správy, které vypovídají o jeho veřejné anebo úřední činnosti, o jeho funkčním nebo pracovním zařazení, nebo,

g) jedná-li se o zpracování výlučně pro účely archivnictví podle zvláštního zákona.

[73] www.uoou.cz, Dozorová činnost – Správní delikty – Z rozhodovací činnosti.

[74] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 123.

[75] Např. pokud by tím způsobil nebezpečí trestního stíhání sobě nebo osobám sobě blízkým.

[76] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 125.

[77] Přístup subjektu údajů k informacím

(1) Požádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat.

(2) Obsahem informace je vždy sdělení o

a) účelu zpracování osobních údajů,

b) osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování, včetně veškerých dostupných informací o jejich zdroji,

c) povaze automatizovaného zpracování v souvislosti s jeho využitím pro rozhodování, jestliže jsou na základě tohoto zpracování činěny úkony nebo rozhodnutí, jejichž obsahem je zásah do práva a oprávněných zájmů subjektu údajů,

d) příjemci, případně kategoriích příjemců.

(3) Správce má právo za poskytnutí informace požadovat přiměřenou úhradu nepřevyšující náklady nezbytné na poskytnutí informace.

(4) Povinnost správce poskytnout informace subjektu údajů upravenou v § 12 může za správce plnit zpracovatel.

[78] Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

[79] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 156 a násl.

[80] Kučerová, A. – Bartík, V. – Peca, J. – Neuwirt, K. – Nejedlý, J.: Zákon o ochraně osobních údajů. Komentář. 1. vydání. Praha: C. H. Beck, 2003, s. 136.

[81] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, s. 98.

[82] Bartík, V. – Janečková, E.: Ochrana osobních údajů ve zdravotnictví. Zdravotnictví a právo 9/2007.

[83] www.uoou.cz, Dozorová činnost – Správní delikty – Z rozhodovací činnosti.

[84] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, s. 98.

[85] Je například nepochybné, že jiných opatření bude třeba k zabezpečení před neoprávněným nebo nahodilým přístupem k osobním údajům a jiných například k zabezpečení před ztrátou nebo zničením.

[86] www.uoou.cz, Dozorová činnost – Správní delikty – Z rozhodovací činnosti.

[87] Správce a zpracovatel.

[88] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, s. 100.

[89] www.uoou.cz, Dozorová činnost – Správní delikty – Z rozhodovací činnosti.

[90] Tamtéž.

[91] Důvodová zpráva k zákonu č. 170/2007 Sb., Sněmovní tisk 187/0.

[92] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, s. 101.

[93] Bartík, V. – Janečková, E.: Zákon o ochraně osobních údajů s komentářem. Nakladatelství ANAG, Olomouc 2010, s. 158 a násl.

3 Zpracování osobních údajů před vznikem pracovního poměru

Přehled dotazů:

■ Souhlas od uchazečů o zaměstnání

■ Archivování životopisů uchazečů

■ Požadavek na doložení výpisu z rejstříku trestů

■ Kopírování dokladů

■ Údaj o těhotenství uchazečky

■ Údaj o věku dětí

Jak již bylo uvedeno výše, správce (tedy zaměstnavatel) je povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu. Splnění této povinnosti bude tedy vyžadovat přesné vymezení minimálního rozsahu konkrétních osobních údajů, které budou v daném případě k naplnění stanoveného účelu skutečně potřebné. Je tak třeba o každém osobním údaji rozhodnout, zda je či není pro daný účel nezbytný, popř. při které kombinaci ostatních údajů je nezbytný. Zvolí-li si správce nějaký rozsah osobních údajů, které hodlá zpracovávat, měl by být schopen u každého jednotlivého údaje odpovědět na otázku, proč je daného údaje třeba pro dosažení stanoveného účelu. Cílem je dosažení situace, kdy účelu zpracovávání bude dosaženo s použitím co nejužší skupiny osobních údajů. Ty zbylé by měl správce bez zbytečného odkladu zlikvidovat (nebo je vůbec nezačít shromažďovat), neboť jejich další uchovávání by odporovalo tomuto ustanovení. Pro správce bude v mnoha případech skupina zpracovávaných osobních údajů vymezena pomocí právní úpravy, v jejímž rámci bude k zpracovávání osobních údajů docházet.

Zkušenosti z aplikace tohoto ustanovení dokazují, že správci často při stanovení rozsahu zpracovávaných údajů nevycházejí z účelu současného zpracovávání, ale jejich snahou je rozsah zpracovávaných osobních údajů rozšiřovat nad míru jejich nezbytnosti s tím, že se možná v budoucnu ukáže potřeba zpracovávání těchto informací. Proto již v době jednání se zájem o pracovní místo shromažďují často osobní údaje, které by buď neměly být zpracovávány vůbec, nebo by měly shromážděny až po uzavření pracovní smlouvy.

Základní hmotně právní úpravu vztahů mezi fyzickou osobou, subjektem údajů, a potenciálním zaměstnavatelem z hlediska práva pracovního představuje zákon č. 435/2004 Sb., o zaměstnanosti, ve znění pozdějších předpisů (dále jen „zákon o zaměstnanosti“), zákoník práce a dnes již také do jisté míry i zákon o státní službě. Z hlediska ochrany osobních údajů je důležité, že zákonem o zaměstnanosti jsou od počátku jeho účinnosti stanoveny rozsahy údajů (informací) které není přípustné ve fázi výběru zaměstnanců zjišťovat. V § 12 odst. 2 zákona o zaměstnanosti je výslovně stanoveno, že zaměstnavatel nesmí při výběru zaměstnanců vyžadovat informace týkající se národnosti, rasového nebo etnického původu, politických postojů, členství v odborových organizacích, náboženství, filozofického přesvědčení, sexuální orientace, není-li jejich vyžadování v souladu se zákonnými výjimkami[94], dále informace, které odporují dobrým mravům, a osobní údaje, které neslouží k plnění povinností zaměstnavatele stanovených zvláštním právním předpisem. Na žádost uchazeče o zaměstnání je zaměstnavatel povinen prokázat potřebnost požadovaného osobního údaje. Je tedy zřejmé, že zákonodárce vyloučil tzv. citlivé osobní údaje podle tehdy platného znění § 4 písm. b) zákona o ochraně osobních údajů[95] s výjimkou údaje o trestné činnosti. Tato informace totiž může být v některých případech pro budoucího zaměstnavatele relevantní. Pro tento údaj ovšem také bude platit povinnost zaměstnavatele prokázat jeho potřebnost. Bude se jednat zejména o případy, kdy je na některou z pracovních pozic stanoven zvláštním právním předpisem požadavek bezúhonnosti, který bývá sice definován hmotně právně různě z hlediska „tolerance“ některých druhů trestné činnosti, nicméně stanoven je. V případě, že by informaci požadoval zaměstnavatel bez přímé opory ve zvláštním právním předpise, nebude sice snaha o získání této informace v rozporu se zákonem o zaměstnanosti, může však být v rozporu s ustanovením § 5 odst. 1 písm. d) zákona o ochraně osobních údajů[96]. Z toho vyplývá, že rozsah informací (osobních údajů), které může zaměstnavatel požadovat po uchazečích o zaměstnání, může být bez prokázání potřebnosti údaje značně omezen a může se týkat toliko údajů, které bezprostředně souvisí s obsazovaným pracovním místem. Bude se jednat o základní identifikační údaje jako jméno nebo jména, příjmení, adresa bydliště, datum narození[97] (nikoliv však rodné číslo), informace o vzdělání a praxi, případně i informace o zvláštních předpokladech[98] nebo schopnostech, které mají vztah k obsazované pracovní pozici a běžné kontaktní údaje, jako číslo telefonu nebo e-mailová adresa.

Zákoník práce sice, na rozdíl od staré právní úpravy, věnuje pozornost postupu zaměstnavatelů před vznikem pracovního poměru, když v § 30 stanoví, že výběr fyzických osob ucházejících se o zaměstnání z hlediska kvalifikace, nezbytných požadavků nebo zvláštních schopností je v působnosti zaměstnavatele, nevyplývá-li ze zvláštního právního předpisu^5 jiný postup; předpoklady kladené zvláštními právními předpisy na fyzickou osobu jako zaměstnance tím nejsou dotčeny, a také že zaměstnavatel smí vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. Jak vidno, ani současná právní úprava v zákoníku práce není příliš konkrétní, což na druhou stranu nemusí být na závadu věci z hlediska ochrany osobních údajů. Stále platí limity stanovené zákonem o ochraně osobních údajů a je tedy jen otázkou správné aplikace jak zákona o ochraně osobních údajů, tak zákoníku práce a v neposlední řadě také zákona o zaměstnanosti. Správnou aplikací všech tří zákonů ve vzájemných souvislostech pak lze dosáhnout natolik vyváženého shromažďování a následného dalšího zpracování osobních údajů, že bude nejen chráněno soukromí uchazečů o zaměstnání, ale také zaměstnavatelé budou mít dost informací pro to, aby mohli pracovní místo obsadit vhodným kandidátem.[99]

Dotazy:

Je nutné, aby zaměstnavatel získával od uchazečů o zaměstnání písemný souhlas se zpracováním jejich osobních údajů v rámci výběrového řízení?

Odpověď na tuto otázku dává ustanovení § 5 odst. 2 zákona o ochraně osobních údajů v návětí a písm. b), kde je uvedeno, že správce (tedy zaměstnavatel) může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat, jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů. V případě náboru zaměstnanců se jedná právě o takový případ. Obecně bývá pravidlem, že zaměstnavatel, hledající nové pracovní síly dá tuto skutečnost najevo veřejným sdělením, nejčastěji v podobě nabídkového inzerátu, který bývá zveřejněn v denním tisku a také na různých specializovaných informačních stránkách na internetu. Zveřejňovány bývají většinou pouze základní požadavky na pracovní místo, požadován bývá strukturovaný životopis a sdělení kvalifikačních předpokladů a je ponecháno na uchazeči, jaké údaje o sobě v požadovaných dokumentech skutečně uvede.

Výsledkem je více či méně rozsáhlá „databáze“, kterou tvoří zaslané dokumenty jednotlivých uchazečů o zaměstnání a která obsahuje osobní údaje jednoho každého z nich, ač vnitřní struktura jednotlivých dokumentů bude zpravidla různá, i když víceméně obdobná. Tento soubor osobních údajů uchazečů o zaměstnání splňuje kritéria definice podle § 4 písm. m) zákona o ochraně osobních údajů a je evidencí, která je dále zpracovávána za účelem výběru vhodného uchazeče, a konečným cílem a účelem zpracování je uzavření pracovní smlouvy s vybraným kandidátem. Je tedy zřejmé, že je naplněna litera ustanovení § 5 odst. 2 písm. b) zákona o ochraně osobních údajů, neboť prakticky jde o jednání o uzavření smlouvy, byť je toto jednání v pouhém zahajovacím stadiu. Není tedy třeba, aby zaměstnavatel takové údaje zpracovával s „formalizovaným“ souhlasem subjektů údajů, uchazečů o zaměstnání. Je při tom zřejmé, že uchazeči jsou seznámeni s účelem (prostřednictvím zveřejněných informací) o účelu, k němuž poskytují své osobní údaje, a komu. Je jim znám i rozsah údajů, neboť na základě rámcové informace je poskytují sami o své vůli a v rozsahu často i větším, než je požadováno. Mohou do značné míry také dovodit, na jak dlouhou dobu je poskytují (do doby, než bude vybrán vhodný uchazeč), a jsou s těmito skutečnostmi srozuměni.

Současně to však neznamená, že zaměstnavatel nemusí plnit další dotčená ustanovení zákona o ochraně osobních údajů. Tedy musí zpracovávané osobní údaje uchazečů zejména chránit před zneužitím (§ 13 zákona o ochraně osobních údajů) a použít je jen k účelu, k němuž byly shromážděny, a to jen po dobu nezbytně nutnou k dosažení stanoveného účelu.

Jaká jsou pravidla pro zpracovávání, popř. archivování životopisů došlých do výběrového řízení? Je nějaký rozdíl mezi životopisy došlými takto a těmi, které jsou zaslány naslepo bez výběrového řízení?

V případě zasílání nevyžádaných životopisů žadatelů o zaměstnání se jedná o typický příklad nahodilého shromažďování osobních údajů podle § 3 odst. 4 zákona o ochraně osobních údajů, který říká, že tento zákon se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.

V případě, že došlé životopisy ihned vrátíte nebo zlikvidujete, budete se pohybovat mimo režim zákona o ochraně osobních údajů. Případ, kdy budete chtít životopisy uchovat, je složitější. Podle § 5 odst. 2 zákona o ochraně osobních údajů je možné osobní údaje zpracovávat pouze se souhlasem subjektu údajů. Zaslání životopisu se dá považovat za konkludentní formu souhlasu se zpracováním údajů za účelem provedení výběrového řízení. Z dané situace však nevyplývá, jak dlouho budou údaje uchovávány, když aktuálně firma žádné výběrové řízení neprovádí. Lze tedy doporučit, aby u životopisů, které mohly i třeba jen potencionálně zaujmout a neobsahují souhlas s uchováním údajů např. na půl roku, kontaktovat žadatele o zaměstnání a takový souhlas si vyžádat. Ostatní životopisy je třeba neprodleně vrátit nebo zlikvidovat

Pokud jde o životopis, který je součástí přihlášky do výběrového řízení na konkrétní pracovní místo, jedná se zpracování podle § 5 odst. 2 písm. b) zákona o ochraně osobních údajů. Ten uvádí, že bez souhlasu je možné údaje zpracovávat, jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů. V případě náboru zaměstnanců se jedná právě o takový případ. Obecně bývá pravidlem, že zaměstnavatel, hledající nové pracovní síly dá tuto skutečnost najevo veřejným sdělením, nejčastěji v podobě nabídkového inzerátu, který bývá zveřejněn v denním tisku a také na různých specializovaných informačních stránkách na internetu. Zveřejňovány bývají většinou pouze základní požadavky na pracovní místo, požadován bývá strukturovaný životopis a sdělení kvalifikačních předpokladů a je ponecháno na uchazeči, jaké údaje o sobě v požadovaných dokumentech skutečně uvede.

Výsledkem je více či méně rozsáhlá „databáze“, kterou tvoří zaslané dokumenty jednotlivých uchazečů o zaměstnání a která obsahuje osobní údaje jednoho každého z nich, ač vnitřní struktura jednotlivých dokumentů bude zpravidla různá, i když víceméně obdobná. Tento soubor osobních údajů uchazečů o zaměstnání splňuje kritéria definice podle § 4 písm. m) zákona o ochraně osobních údajů a je evidencí, která je dále zpracovávána za účelem výběru vhodného uchazeče, a konečným cílem a účelem zpracování je uzavření pracovní smlouvy s vybraným kandidátem. Je tedy zřejmé, že je naplněna litera ustanovení § 5 odst. 2 písm. b) zákona o ochraně osobních údajů, neboť se prakticky jedná o jednání o uzavření smlouvy, byť je toto jednání v pouhém zahajovacím stadiu. Není tedy třeba, aby zaměstnavatel takové údaje zpracovával s „formalizovaným“ souhlasem subjektů údajů, uchazečů o zaměstnání. Je při tom zřejmé, že uchazeči jsou seznámeni s účelem (prostřednictvím zveřejněných informací) o účelu, k němuž poskytují své osobní údaje, a komu. Je jim znám i rozsah údajů, neboť na základě rámcové informace je poskytují sami o své vůli a v rozsahu často i větším, než je požadováno. Mohou do značné míry také dovodit, na jak dlouhou dobu je poskytují (do doby, než bude vybrán vhodný uchazeč), a jsou s těmito skutečnostmi srozuměni.

Současně to však neznamená, že zaměstnavatel nemusí plnit další dotčená ustanovení zákona o ochraně osobních údajů. Tedy musí zpracovávané osobní údaje uchazečů zejména chránit před zneužitím (§ 13 zákona o ochraně osobních údajů) a použít je jen k účelu, k němuž byly shromážděny, a to jen po dobu nezbytně nutnou k dosažení stanoveného účelu. To tedy také znamená, že v okamžiku, kdy je vybrán vhodný uchazeč a je s ním uzavřena pracovní smlouva, pominul důvod, pro který byly shromážděny osobní údaje všech ostatních uchazečů. V tomto okamžiku končí oprávnění zaměstnavatele dále zpracovávat tyto osobní údaje bez souhlasu subjektu údajů, tedy si je ponechat pro nějaké potenciální budoucí využití, neboť žádná z ostatních výjimek v ustanovení § 5 odst. 2 zákona o ochraně osobních údajů není aplikovatelná. Je tedy povinen buď zaslané nabídky (životopisy a případné další písemnosti) neúspěšným uchazečům vrátit, anebo je zlikvidovat. Pokud si však zaměstnavatel bude chtít pro potřeby dalšího využití zaslané osobní údaje ponechat, může tak učinit jen se souhlasem dotčených osob. Takový souhlas pak musí beze zbytku splňovat podmínky, které pro tento úkon stanoví § 4 písm. n) ve spojení s § 5 odst. 4 zákona o ochraně osobních údajů.

Účel tohoto využití pak musí být nově stanoven, např. jako databáze potenciálních zaměstnanců, kteří sice obecně splňují představy vhodnosti pracovního uplatnění, avšak není pro ně v daném okamžiku volné místo, jež se však v budoucnu uvolnit může. Na takové zpracování pak beze zbytku dopadají všechna další ustanovení zákona o ochraně osobních údajů, tedy zejména základní povinnosti uvedené v § 5 odst. 1. Pozornost bude třeba věnovat době, po kterou mají být takové údaje uchovávány [písm. e) citovaného ustanovení]. Přiměřenou dobu uchování osobních údajů v databázi potenciálních zaměstnanců pak lze odhadnout na cca 6 měsíců. Lze předpokládat, že za 6 měsíců se již na straně uchazeče mohou okolnosti změnit natolik, že evidování jeho údajů ztratí pro zaměstnavatele smysl. A bude opět platit, že po uvedené době již nebude mít právo takovými údaji disponovat, tedy je zpracovávat, a bude povinen je zlikvidovat, pokud se se subjektem údajů nedohodne jinak. Tedy zejména, že údaje a podklady mu budou vráceny.

Protože žádný právní předpis neukládá zaměstnavatelům, aby zřizovali a vedli evidence potenciálních pracovníků, bude se na zpracování osobních údajů potenciálních zaměstnanců vztahovat oznamovací povinnost podle § 16 zákona o ochraně osobních údajů.

Zaměstnavatelé často ještě před nástupem do zaměstnání, např. před osobním pohovorem, požadují výpis z rejstříku trestů. Je taková praxe v souladu se zákonem?

Zákonem o zaměstnanosti jsou od počátku jeho účinnosti stanoveny rozsahy údajů (informací) které vůbec není přípustné v prepracovním procesu, tedy ve fázi výběru zaměstnanců, zjišťovat. Zákonodárce vyloučil tzv. citlivé osobní údaje podle tehdy platného znění § 4 písm. b) zákona o ochraně osobních údajů [100] s výjimkou údaje o trestné činnosti. Tato informace totiž může být v některých případech pro budoucího zaměstnavatele relevantní. Pro tento údaj ovšem bude platit povinnost zaměstnavatele prokázat jeho potřebnost. Bude se jednat zejména o případy, kdy je na některou z pracovních pozic stanoven zvláštním právním předpisem požadavek bezúhonnosti, který bývá sice definován hmotně právně různě z hlediska „tolerance“ některých druhů trestné činnosti, nicméně stanoven je. V případě, že by informaci požadoval zaměstnavatel bez přímé opory ve zvláštním právním předpise, nebude sice snaha o získání této informace v rozporu se zákonem o zaměstnanosti, může však být v rozporu s ustanovením § 5 odst. 1 písm. d) zákona o ochraně osobních údajů [101].

Zaměstnavatelé při přijímání zaměstnance zakládají osobní spis a vkládají do něj všechny potřebné dokumenty, přičemž často kopírují celou řadu dokladů, především občanské průkazy. Je to možné?

Častým argumentem osob, které si kopie osobních dokladů nebo veřejných listin pořizují a uchovávají, je skutečnost, že se tímto jednáním brání tlaku kontrolních orgánů nejrůznějších typů, kterým jako důkaz, že tvrzené skutečnosti byly ověřeny podle platného osobního dokladu nebo veřejné listin, již nepostačuje „pouhý“ záznam do příslušné dokumentace, ale vyžadují předložení kopie dokumentu nebo dokladu. Současně se lze často setkat s tvrzením, že se jedná spíše o ochranu osoby, jejíž kopie dokladu je zakládána, neboť se pak vykonávající úředník může více spolehnout na již existující fotokopie dokladů a porovnat tyto kopie vždy v případě předložení dokladů, což může pomoci odhalit možné falzifikáty těchto dokladů předkládané jinými osobami. Nicméně, mj. také s ohledem na dnešní technické možnosti pořízení dokonalých kopií osobních listin a dokladů, s ohledem na nárůst trestné činnosti páchané pomocí padělků osobních dokladů, je nutné přijmout pravidla, kterými by se možnosti legitimního pořizování kopií osobních listin a dokladů minimalizovaly.

Kopírování občanských průkazů upravuje zákon č. 328/1999 Sb., o občanských průkazech, ve znění pozdějších předpisů, podle něhož je zakázáno pořizovat kopie občanských průkazů nebo cestovních pasů bez souhlasu občana, kterému byl občanský průkaz nebo cestovní doklad vydán, pokud zvláštní právní předpis nebo mezinárodní smlouva, jíž je Česká republika vázána, nestanoví jinak. Ze zásady zákazu kopírování občanských průkazů a cestovních pasů platí tedy dvě výjimky, a to

■ souhlas držitele dokladu s pořízením kopie

■ pořizování kopie je stanoveno zvláštním právním předpisem nebo mezinárodní smlouvou, jíž je Česká republika vázána

Pokud jde o podmínky souhlasu držitele osobního dokladu, bude muset ten subjekt, který hodlá kopírovat předložený osobní doklad, přesvědčit držitele dokladu o svém záměru zejména v tom směru, zda je pořízení kopie pro něj natolik potřebné a nezbytné, aby prováděný způsob zpracování osobních údajů uchováním kopie nesnižoval dosavadní úroveň ochrany soukromí subjektů – držitele dokladu, případně dalších osob, jejichž údaje jsou tímto způsobem současně zpracovány. Ustanovení zákona o občanských průkazech [§15a odst. 2] odkazuje v případě pochybnosti k obsahu pojmu souhlas na příslušné ustanovení § 5 zákona o ochraně osobních údajů, a tím v návaznosti i na § 4 písm. n) zákona o ochraně osobních údajů, podle kterého je souhlas svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů. Zároveň musí být dodrženy podmínky § 5 odst. 4 zákona o ochraně osobních údajů, který stanoví, že subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování. Tyto podmínky je ale nutno vykládat pouze v celém kontextu souboru práv a povinností správce podle zákona o ochraně osobních údajů a dbát na to, že i přes udělený souhlas je nutno, aby správce dodržoval i další principy ochrany dat, a to především legitimitu, přiměřenost a účelnost zpracovávaných osobních údajů.

Je možné klást během přijímacího pohovoru otázku týkající se těhotenství případné budoucí zaměstnankyně?

Je nepochybné, že informace o těhotenství zaměstnankyně je osobním údajem ve smyslu § 4 písm. a)[102] zákona o ochraně osobních údajů. Je také nepochybné, že je to údaj, resp. informace pro zaměstnavatele poměrně podstatný. Na jednu stranu zákon zakazuje, aby zaměstnavatel zjišťoval informace týkající se případného těhotenství zaměstnankyně, na druhou stranu mu zákony ve vztahu k takové zaměstnankyni ukládají řadu povinností. Hledání rovnováhy mezi těmito povinnostmi nemusí být vždy jednoduché.

I když se nedá říci, že by se jednalo o osobní údaj o zdravotním stavu, neboť těhotenství není choroba, přesto se jedná o údaj, který je svým způsobem citlivým údajem ve smyslu § 4 písm. b) zákona o ochraně osobních údajů [103]. Citlivé osobní údaje jsou zvláštní kategorií osobních údajů a jejich zpracovávání je s to do značné míry zasáhnout do osobní integrity zaměstnance. Proto je zpracování citlivých osobních údajů regulováno v ustanovení § 9 zákona o ochraně osobních údajů, které má z hlediska jiných právních úprav obecnou povahu. Z hlediska tématu je klíčové ustanovení § 9 písm. d) zákona o ochraně osobních údajů, kde je stanoveno, že zpracování citlivých osobních údajů je možné, jen jestliže je zpracování nezbytné pro dodržení povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti, stanovené zvláštním zákonem. Takovým zvláštním zákonem je bezpochyby zejména zákoník práce. Ten věnuje, na rozdíl od předchozí právní úpravy, pozornost i zpracování citlivých osobních údajů, a to v ustanovení § 316 odst. 4, i když výčet údajů tam uvedených se zcela nekryje s výčtem citlivých osobních údajů, (resp. výčet není úplný), jak je stanoví zákona o ochraně osobních údajů, a naopak uvádí takové údaje, které dle definice § 4 písm. b) zákona o ochraně osobních údajů citlivými osobními údaji nejsou.

Citované ustanovení zakazuje („zaměstnavatel nesmí“) vyžadovat od zaměstnance informace, které bezprostředně nesouvisí s výkonem práce a pracovněprávním vztahem. Nesmí tak vyžadovat informace zejména o těhotenství, rodinných a majetkových poměrech, sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti a trestněprávní bezúhonnosti. Je přitom zřejmé, že se jedná o výčet fakultativní a zákaz není absolutní pro všechny výše uvedené údaje a naopak, vzhledem k dovětku, bude nezbytné respektovat i obecnou právní úpravu podle zákona o ochraně osobních údajů. Absolutní zákaz, (který je vzhledem k výše uvedenému vlastně jen relativní) se týká jen údajů (zákoník práce používá slovo „informace“) o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách a hnutích a konečně o příslušnosti k církvi nebo náboženské společnosti. ZP tak připouští, že informace o těhotenství, majetkových poměrech a trestní bezúhonnosti může zaměstnavatel vyžadovat, avšak jen v případě, jestliže je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví tento zákon nebo zvláštní právní předpis. Tyto informace nesmí zaměstnavatel získávat ani prostřednictvím třetích osob.

Z uvedeného vyplývá, že zaměstnavatel se při výběru vhodného uchazeče, resp. uchazečky o zaměstnání nesmí ptát na plánované či již existující, ale dosud ne na pohled patrné těhotenství. To ale neplatí absolutně. Je-li požadavek přiměřený, prokáže-li zaměstnavatel potřebnost údaje, může vznést i dotaz směrem k těhotenství.

Může zaměstnavatel při pohovoru během výběrového řízení položit otázku týkající se počtu a věku dětí případné budoucí zaměstnankyně?

V § 12 odst. 2 zákona o zaměstnanosti je výslovně stanoveno, že zaměstnavatel nesmí při výběru zaměstnanců vyžadovat informace týkající se národnosti, rasového nebo etnického původu, politických postojů, členství v odborových organizacích, náboženství, filozofického přesvědčení, sexuální orientace, není-li jejich vyžadování v souladu se zákonnými výjimkami[104], dále informace, které odporují dobrým mravům, a osobní údaje, které neslouží k plnění povinností zaměstnavatele stanovených zvláštním právním předpisem. Na žádost uchazeče o zaměstnání je zaměstnavatel povinen prokázat potřebnost požadovaného osobního údaje. Za určitých podmínek tak možnost položit dotaz týkající se dětí vyloučená není. Budou-li například součástí pracovní náplně časté služební cesty, je takový dotaz relevantní, a to s ohledem na zvláštní úpravu vysílání matek na pracovní cesty. Obecně platí, že vyslat zaměstnance na pracovní cestu bez toho, že by s tím souhlasil, nelze. Podle § 42 zákoníku práce lze totiž zaměstnance vyslat na pracovní cestu pouze na základě dohody s ním.

V případě některých zaměstnanců je však také relevantní ustanovení § 240 zákoníku práce, podle něhož těhotné zaměstnankyně a zaměstnankyně a zaměstnanci pečující o děti do věku 8 let smějí být vysíláni na pracovní cestu mimo obvod obce svého pracoviště nebo bydliště jen se svým souhlasem. Totéž platí i pro osamělou zaměstnankyni a osamělého zaměstnance, kteří pečují o dítě, dokud dítě nedosáhlo věku 15 let, jakož i pro zaměstnance, který prokáže, že převážně sám dlouhodobě pečuje o osobu, která se podle zvláštního právního předpisu považuje za osobu závislou na pomoci jiné fyzické osoby ve stupni II (středně těžká závislost), ve stupni III (těžká závislost) nebo stupni IV (úplná závislost).

Pokud tedy zaměstnanec pečuje o dítě ve věku do 8 let, zaměstnavatel ho může vyslat na pracovní cestu pouze s jeho souhlasem, a to i v případě, že mají možnost vysílání na pracovní cesty dohodnutou. Jde o zvláštní kvalifikovaný souhlas, který si musí zaměstnavatel vyžádat před každým vysláním na pracovní cestu, a to i v případě, že by byla sjednána výše uvedená „obecná“ dohoda dávající souhlas zaměstnance s vykonáním pracovní cesty do budoucna. Zaměstnanci uvedení v § 240 tedy mohou pracovní cestu odmítnout, aniž by byli povinni uvádět důvody (obecným důvodem ze zákona je péče o vyjmenované osoby nebo těhotenství).

Ustanovení § 240 zákoníku práce je totiž ustanovením speciálním, které zaměstnance – osoby pečující o děti do 8 let věku chrání nad rámec dohody uzavřené dle ustanovení § 42 zákoníku práce.

[94] Ustanovení § 4 odst. 3 a 4 zákon o zaměstnanosti.

[95] Citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, trestné činnosti, zdravotním stavu a sexuálním životě subjektu údajů.

[96] Shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu.

[97] Přitom musí brát v úvahu i riziko diskriminace z hlediska věku.

[98] Například zákon č. 451/1991 Sb., kterým se stanoví některé další předpoklady pro výkon některých funkcí ve státních orgánech a organizacích České a Slovenské Federativní Republiky, České republiky a Slovenské republiky, ve znění pozdějších předpisů.

[99] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2012, s. 155.

[100] Citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, trestné činnosti, zdravotním stavu a sexuálním životě subjektu údajů.

[101] Shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu.

[102] Osobním údajem se rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu.

[103] Citlivým údajem je osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů.

[104] Ustanovení § 4 odst. 3 a 4 zákon o zaměstnanosti.

4 Zpracování osobních údajů v průběhu pracovního poměru

Je nepochybné, že v průběhu trvání pracovního poměru bude zaměstnavatel zpracovávat osobní údaje ve velkém rozsahu.

Údaje, které zaměstnavatel o zaměstnanci shromažďuje a dále zpracovává během trvání pracovního poměru, je možné rozdělit na ty, které o zaměstnanci shromažďovat musí, a na ty, které shromažďovat může.

1) Povinnost údaje shromažďovat je zaměstnavateli uložena prostřednictvím právních předpisů z oblasti sociálního zabezpečení, stejně tak jako prostřednictvím právních předpisů z oblasti daňové. Řada povinností na vytvoření určitých souborů dat je zaměstnavateli uložena i přímo zákoníkem práce, stejně jako například zákonem o zaměstnanosti či speciálními sektorovými předpisy upravujícími výkon určitých povolání nebo činností.

2) Vedle povinně shromažďovaných údajů zde existuje i řada údajů, které zaměstnavatel sice o zaměstnanci povinnost shromažďovat nemá, avšak jestliže uzná za vhodné a účelné provádět taková shromažďování, které je předdefinováno právním předpisem, svědčí mu pro něj právě na základě příslušného právního předpisů právní titul v podobě zákonné licence.

3) Poslední případ zpracování, resp. shromažďování osobních údajů zaměstnavatelem o zaměstnanci během trvání pracovního poměru představuje předem nedefinované a ani zaměstnavateli nijak neuložené zpracování osobních údajů – zpracování, které zaměstnavatel provádí na základě vlastního rozhodnutí.[105]

Čím delší pracovní poměr bude, tím více údajů bude zpracováváno a tím více otázek si zaměstnavatel bude klást.

4.1 Povinnosti zaměstnavatele

Přehled dotazů:

■ Povinnost registrace

■ Povinnost registrace u zpracovatelů mezd

■ Podnikání v oblasti kontroly práce neschopných

Dotazy:

Musí se zaměstnavatel registrovat jako správce osobních údajů u Úřadu vždy, jen v některých případech nebo vůbec?

Ustanovení § 16 odst. 1 zákona o ochraně osobních údajů stanoví, že ten, kdo hodlá jako správce zpracovávat osobní údaje nebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v § 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů. A právě ustanovení § 18 odst. 1 písm. b) zákona o ochraně osobních údajů je důležité pro pochopení možnosti zaměstnavatelů zpracovávat osobní údaje svých zaměstnanců a pochopení, zda mají zaměstnavatelé oznamovací povinnost plnit. Oznamovací povinnost podle § 16 zákona o ochraně osobních údajů se mj. nevztahuje na zpracování osobních údajů, které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona. Znamená to, že zaměstnavatel (z hlediska zákona o ochraně osobních údajů správce osobních údajů) musí znát a aplikovat celou řadu právních předpisů, které mu ukládají spoustu povinností a z nichž plyne, že musí zpracovávat značné množství osobních údajů. Tyto zvláštní zákony také přímo či nepřímo určují, které konkrétní údaje, nebo chceme-li informace o zaměstnancích, zpracovávány být musí. Kromě základního předpisu pracovního práva, tedy ZP, je třeba poukázat alespoň na zákon č. 48/1997 Sb., o veřejném zdravotním pojištění, zákon č. 155/1995 Sb., o důchodovém pojištění a jeho § 74 nebo 76, zákon č. 582/1991 Sb., o organizaci provádění sociálního zabezpečení a ustanovení § 37, zákon č. 435/2004 Sb., o zaměstnanosti a jeho §§ 80 až 83 (pojem vymezen v § 67 odst. 2), zákon č. 586/1992 Sb., o daních z příjmu, a mnohé další.

Zákoník práce dává právo zaměstnavateli vést osobní spis zaměstnance[106]. Tento osobní spis však může obsahovat jen písemnosti, které jsou nezbytné pro výkon práce. Jedná se tak vlastně o obdobný limit, kterým zákona o ochraně osobních údajů stanoví správcům osobních údajů povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu, a to v § 5 odst. 1 písm. d) zákona o ochraně osobních údajů. Typicky se bude jednat o listiny, které tvoří „informační základnu“ zaměstnavatele o jeho zaměstnancích a které je zaměstnanec také povinen zaměstnavateli poskytnout, a to právě pro plnění jeho zákonných povinností. Základní údaje bývají nejčastěji uvedeny v tzv. osobním dotazníku, který zaměstnanec vyplňuje většinou ještě před formálním uzavřením pracovního poměru podpisem pracovní smlouvy. Vzhledem k zákonným limitům uvedeným výše, by měl takový dotazník, resp. jeho základní obsah, být u všech zaměstnavatelů prakticky stejný. Bude se jednat o základní identifikační údaje, tedy jméno, případně jména a příjmení, adresu bydliště, číslo občanského průkazu, informace o trestní bezúhonnosti zaměstnance, je-li takových údajů pro vykonávanou práci zapotřebí, údaj o provozování vlastní podnikatelské činnosti, druhu podnikání a výkonu jiné pravidelné výdělečné činnosti, pro některé zaměstnavatele je také nezbytné mít informace o členství zaměstnance v řídících a kontrolních orgánech právnické osoby provozující podnikatelskou činnost, informace o zvláštních oprávněních nebo způsobilostech, jako je oprávnění k řízení motorových vozidel, vlastnictví zbrojního průkazu, či způsobilost pracovat s utajovanými informacemi a získané bezpečnostní způsobilosti, pokud výše uvedené informace, které jsou bezpochyby osobními údaji, jsou nezbytné pro výkon zaměstnání. Součástí osobního spisu pak budou dokumenty, které pro zaměstnavatele osvědčují informace uvedené v osobním dotazníku, a dále dokumenty, které souvisí přímo se zaměstnaneckým poměrem. Bude se typicky jednat o druhopis pracovní smlouvy, platební výměr, kopie dokladů o dosaženém vzdělání a získaných zvláštních kvalifikacích apod.

Je samozřejmě možné, aby zaměstnavatel zpracovával i jiné osobní údaje, pokud je přesvědčen, že je k výkonu zaměstnavatelských funkcí potřebuje a tato potřeba vychází např. ze zvláštních sociálních programů, pravidel nadstandardních požitků stanovených vnitřními předpisy zaměstnavatele apod. V takovém případě se ovšem zpracování osobních údajů, které není uloženo zaměstnavateli zvláštními zákony, řídí obecným pravidlem stanoveným v § 5 odst. 2 zákona o ochraně osobních údajů a takové údaje je možno zpracovávat jen se souhlasem zaměstnance. Existuje-li např. sociální program, který umožňuje zaměstnancům čerpat nějaké výhody i pro rodinné příslušníky, typicky se jedná o děti mladší 15 let, mají někteří zaměstnavatelé tendenci zjednodušovat si práci a vyžadují od svých zaměstnanců např. kopii rodného listu dítěte. Tento požadavek jen zřídka bývá zaměstnancem odmítnut a tak ve spisech jsou založeny také veškeré informace, které rodný list obsahuje a které bezpochyby nesouvisí s poskytovaným benefitem. Jsou tak uchovávány, a tedy také zpracovávány osobní údaje osob, k jejichž zpracování obecně nemají zaměstnavatelé žádné oprávnění, když poskytnutí kopie rodného listu, pod podmínkou nemožnosti čerpání sociálních benefitů, nelze považovat za souhlas se zpracováním osobních údajů ve smyslu ustanovení § 4 písm. n) zákona o ochraně osobních údajů.

Pokud tedy zaměstnavatel zpracovává osobní údaje svých zaměstnanců pouze za účelem vedení personální a mzdové agendy, pro dodržení jeho právních povinností uložených zvláštními zákony, nemusí plnit oznamovací povinnost podle § 16 zákona o ochraně osobních údajů. Oznamovací povinnost podle § 16 tohoto zákona se na zaměstnavatele vztahuje pouze v tom případě, že zpracovává osobní údaje svých zaměstnanců i pro jiné účely, než je mu uloženo zvláštními zákony,[107] anebo zpracovává údaje, jejichž zpracování nevyplývá ze žádného právního předpisu a jejich zpracování je založeno na souhlasu zaměstnance. V takovém případě je třeba oznamovací povinnost podle § 16 zákona o ochraně osobních údajů splnit.

Jsme zpracovatelé mezd, resp. personálních údajů. Někteří klienti požadují naši registraci u Úřadu pro ochranu osobních údajů. Je nutné plnit v takovém případě oznamovací povinnost?

Jestliže provádíte na základě smlouvy zpracování mezd pro jiné firmy, jste z hlediska zákona o ochraně osobních údajů v postavení zpracovatele [ve smyslu ustanovení § 4 písm. k) téhož zákona], na kterého se oznamovací povinnost podle ustanovení § 16 nevztahuje. Oznámení je totiž povinen podat pouze správce, který jako jediný má k dispozici souhrnné poznatky o připravovaném zpracování osobních údajů. V mnoha případech správce nezákonně požaduje od „svých“ zpracovatelů osvědčení o registraci svého vlastního zpracování, k jehož ucelené přípravě je však kompetentní výlučně správce, který za něj také primárně odpovídá, a to včetně provedení oznámení za účelem registrace zpracování nebo registrace změny již evidovaného zpracování.

Plnění oznamovací povinnosti dopadá pouze na správce proto, že z definice pojmu „správce“ a pojmu „zpracovatel“, které jsou zakotveny v ustanovení § 4 zákona o ochraně osobních údajů, vyplývá, že pro zpracování osobních údajů je určující postavení správce. Jen on totiž určuje účel a prostředky zpracování a případně může, a sice následně, pověřit zpracováním osobních údajů jiný subjekt, tj. zpracovatele. Zpracovatel bez zmocnění správcem nebo zvláštním zákonem nemůže zpracovávat osobní údaje a například nemůže sám ani stanovit účel zpracování. Zpracovatel může začít osobní údaje zpracovávat nejen až poté, kdy je k tomu správcem pověřen či zmocněn a případně poté, kdy je mezi správcem a zpracovatelem uzavřena smlouva o zpracování osobních údajů podle ustanovení § 6 zákona o ochraně osobních údajů, ale s ohledem na oznamovací povinnost správce, až potom, kdy bude zpracování osobních údajů Úřadem zaregistrováno.

Na zpracování mezd se kromě toho vztahuje výjimka z oznamovací podle § 18 odst. 1 písm. b) zákona o ochraně osobních údajů, jako na zpracování osobních údajů, které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona. Registraci proto nepodléhají ani správci, tedy firmy, pro které mzdy jejich zaměstnanců zpracováváte. Smlouva mezi správcem a zpracovatelem však musí splňovat náležitosti podle § 6 zákona o ochraně osobních údajů: „Pokud zmocnění nevyplývá z právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.“

Chtěla bych začít podnikat v oblasti kontroly dočasně práce neschopných zaměstnanců a neschopenek. Potřebuji k tomu souhlas dotčených zaměstnanců? Mohu nahlížet do jejich občanských průkazů za účelem ověření identity zaměstnance? Je možné v případě problematického zaměstnance pořídit z těchto kontrol záznam, např. mobilním telefonem?

Podle § 5 odst. 2 písm. a) zákona o ochraně osobních údajů může správce zpracovávat osobní údaje bez souhlasu subjektu údajů mimo jiné, jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce nebo, podle písm. e) téhož ustanovení, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života.

Oprávnění kontrolovat, zda zaměstnanec, který byl uznán dočasně práce neschopným, dodržuje v období prvních 14 kalendářních dnů dočasné pracovní neschopnosti stanovený režim dočasně práce neschopného pojištěnce, vyplývá z ustanovení § 192 odst. 6 zákoníku práce. V rámci výkonu pověření nepochybně máte právo nahlédnout do občanského průkazu (nebo jiného průkazu totožnosti) k ověření totožnosti kontrolované osoby.

V případě pověření zaměstnavatelem k výkonu takové kontroly se stáváte zpracovatelem osobních údajů zaměstnanců, vůči nimž kontrola směřuje. Je proto nutné potupovat podle ustanovení § 6 zákona o ochraně osobních údajů a uzavřít písemně smlouvu o zpracování. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Pokud jde o možnost pořizovat audiovizuální záznam z kontroly, je nutné uvést, že podle § 4 písm. e) zákona o ochraně osobních údajů se zpracováním osobních údajů rozumí jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace.

V daném případě se jedná o nahodilé pořízení záznamu fyzické osoby mobilním elektronickým zařízením. Např. pro absenci prvku systematičnosti se nejedná o zpracování osobních údajů ve smyslu zákona.

Z dotazu vyplývá, že se nejedná o sledování zaměstnance na pracovišti, ani ve společných prostorách zaměstnavatele. Nelze tedy uplatnit režim ustanovení § 316 zákoníku práce. Pokud by však byly pořízeny a použity obrazové záznamy týkající se fyzické osoby bez jejího svolení, mohlo by se jednat o porušení ustanovení § 86 občanského zákoníku, podle něhož nikdo nesmí zasáhnout do soukromí jiného, nemá-li k tomu zákonný důvod. Zejména nelze bez svolení člověka narušit jeho soukromé prostory, sledovat jeho soukromý život nebo pořizovat o tom zvukový nebo obrazový záznam, využívat takové či jiné záznamy pořízené o soukromém životě člověka třetí osobou, nebo takové záznamy o jeho soukromém životě šířit. Ve stejném rozsahu jsou chráněny i soukromé písemnosti osobní povahy.

4.2 Zveřejňování a poskytování údajů o zaměstnancích

Přehled dotazů:

■ Zveřejňování na internetu

■ Zveřejnění fotografie na internetu

■ Informační tabulky na pracovišti

■ Zveřejnění údaje o mzdě/platu

■ Možnost zveřejnění údaje o mzdě/platu

■ Únik údaje o mzdě/platu v rámci pracoviště

■ Předávání údajů zaměstnanců do zahraničí

■ Předání údajů exekutorovi

■ Předání údajů policii

■ Ověřování mzdy/platu po telefonu

Dotazy:

Je možné na internetu zveřejňovat osobní údaje zaměstnanců?

Odpověď je i není jednoduchá. V zásadě platí, jak které. Především je třeba posoudit, zda se na prostředí internetu zákon o ochraně osobních údajů vůbec vztahuje. Dá se odpovědět, že jednoznačně ano. Plyne tak zejména z toho, že pojem „zpracování“ podle § 4 písm. e) zákona o ochraně osobních údajů neobsahuje z hlediska internetu žádná omezení, neboť se de facto jedná jen o prostředí a dále pak z toho, že zákona o ochraně osobních údajů se podle § 3 odst. 2 a 3 se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky a nevztahuje se na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu. K tomu na svých stránkách uvádí ÚOOÚ, že „co se týče zpracování osobních údajů na internetu, Úřad se ve své dosavadní praxi zabýval zejména případy, kdy došlo např. ke zveřejnění seznamu dlužníků (tzv. černé listiny neboli black listu) na webových stránkách obchodních společností, podnikajících osob či obcí. Dále ÚOOÚ posuzoval případy zveřejnění osobních údajů zaměstnanců, ať již v souvislosti s pracovněprávním sporem nebo vyhlášením konkurzního řízení. Úřad se velmi často zabývá také zveřejněním osobních údajů v rámci dokumentů pocházejících z činnosti obcí či měst (blíže viz stanoviska Úřadu č. 2/2004 a č. 3/2012). Ve všech výše uvedených případech dospěl Úřad k závěru, že podmínky pro aplikaci zákona o ochraně osobních údajů jsou naplněny a posuzoval tedy zjištěný stav z hlediska plnění povinností tímto zákonem stanovených, zejména povinnosti zpracovávat osobní údaje pouze na základě zákonem předvídaného právního titulu dle § 5 odst. 2 zákona o ochraně osobních údajů a základních povinností vyjádřených v § 5 odst. 1 tohoto zákona (např. povinnosti zpracovávat osobní údaje pouze v souladu s původním účelem). Naopak mimo působnost zákona o ochraně osobních údajů budou obvykle jednotlivé informace publikované v rámci blogů, zájmových webových stránek, nejrůznějších diskuzí anebo sociálních sítí. Uvedené neznamená, že by zveřejněním nějaké osobní informace touto cestou nemohlo dojít k zásahu do osobnostních práv, nicméně s ohledem na výše uvedená východiska nebude ve většině takových případů opodstatněný veřejnoprávní zásah ze strany ÚOOÚ. Dotčené osoby se nicméně mohou svých práv domoci cestou občanského soudního řízení“[108]. Je skutečností, že na mnoha firemních internetových stránkách bývá záložka s kontaktními údaji zaměstnanců. Možná ne všech, ale třeba jen vedoucích zaměstnanců. Bývá uváděno jméno, příjmení, pracovní pozice, kontaktní telefon a i e-mailová adresa. Jedná se tedy jednoznačně o osobní údaje. A aby se jednalo o osobní údaje, postačilo by, aby bylo uvedeno jen jméno, příjmení a třeba e-mailová adresa... Kdy je e-mailová adresa osobním údajem, je uvedeno v závěru této odpovědi. Je tedy otázka, zda zaměstnavatel může takové údaje zveřejnit na základě svého rozhodnutí, nebo je potřeba souhlas dotčeného zaměstnance. Podle názoru autorů takového souhlasu není třeba. Takové zveřejnění osobních údajů lze dozajista vztáhnout pod výjimku podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, tedy, že bez souhlasu lze osobní údaje zpracovávat, a tedy i zpřístupnit pomocí internetu, pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života. Je jistě právem zaměstnavatele informovovat i prostřednictvím internetu o odpovědných osobách a kontaktech na ně. Současně ale musí respektovat zákaz zásahu do soukromí. Tedy nesmí např. uvádět soukromý telefon zaměstnance, pokud on k tomu souhlas nedal. I na internetových stránkách jedné advokátní kanceláře[109] se lze k danému tématu dočíst, že „tento závěr nepřímo podporuje i názor ÚOOÚ uveřejněný na internetových stránkách úřadu ze kterého plyne, že zaměstnavatel je oprávněn sdělovat ty osobní údaje zaměstnance, které se týkají výlučně jeho pracovních aktivit a zjevně nevypovídají o jeho soukromém životě. V textu je výslovně uvedeno: „Zaměstnavatel tak může, pokud je to potřebné k plnění jeho úkolů a zvláštní zákon nestanoví jinak, bez souhlasu zaměstnance sdělit jeho jméno a příjmení, akademický titul, funkční zařazení, kontaktní údaje zaměstnance na jeho pracoviště (číslo telefonu, faxu, adresu elektronické pošty)“.

E-mailová adresa jako osobní údaj podléhá v zásadě stejným pravidlům, jako jiné osobní údaje, resp. jeho definice. Základní návod ostatně dává i rozsudek Nejvyššího správního soudu[110], když uvedl, že „plná identita fyzické osoby v současných podmínkách technologicky vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno dostupná, ve své podstatě neznamená nic jiného, než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu „osobní údaj“ nemůže omezit striktně jen na znalost např. rodného čísla, adresy či pracoviště subjektu údajů. Z tohoto pohledu je za osobní údaj třeba považovat i číslo mobilního telefonu určité osoby, jakkoliv může být takové číslo používáno příslušnou osobou jen dočasně, a zároveň nijak nespecifikuje jeho fyzickou, psychickou, ekonomickou, kulturní nebo sociální identitu (viz shora). Prostřednictvím tohoto čísla je však možno daný subjekt v určitém časovém úseku přímo kontaktovat (což se ostatně stalo i v posuzovaném případě), a tento subjekt je tak dosažitelný a jistým způsobem určitelný, a to případně i bez znalosti jeho jména a dalších údajů, které již vazbu na jeho fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu mají“. Dá se tedy říci, že e-mailová adresa osobním údajem v zásadě bude, a to i s odvoláním na výše uvedený rozsudek Nejvyššího správního soudu, zejména pak na ten fakt, že kladl důraz na možnost uvedenou osobu vůbec kontaktovat. Je však také jasné, že ani takto pojatý význam asi nebude bezvýjimečný. Jistě si lze představit, že e-mailová adresa ve tvaru jmeno.příjmení@firma.cz osobním údajem bude. Ve kmeni je totiž uvedeno komu, které, podle tvaru jednoznačně fyzické osobě, náleží. A ve spojení s označením firmy, jíž zřejmě přísluší daná doména, je taková fyzická osoba identifikovatelná a tedy o osobní údaje se jednat bude. To bude platit i v případě, že za @ bude uvedeno doménové označení poskytovatele služeb elektronických komunikací. Ne již tak jistá bude situace, kdy v první části adresy nebude uvedeno jméno nebo ani příjmení, které by minimálně naznačovalo, že se jedná o e-mailovou adresu fyzické osoby. Tedy tvar adresy ABC123@poskytovatel.cz ani nenaznačuje, zda se může jednat o fyzickou osobu. V tomto případě by se autoři klonili k názoru, že by se takový tvar e-mailové adresy sám o sobě za osobní údaj považovat nemusel.

V prostředí elektronických komunikací je také významný jiný údaj, tedy IP adresa. K posouzení, zda je tento údaj také osobním údajem, může posloužit např. rozsudek Nejvyššího správního soudu, kde je uvedeno, že „při posuzování povahy IP adresy je možno podpůrně odkázat rovněž na judikaturu Soudního dvora Evropských společenství. Ten ve svém rozhodnutí ze dne 29. 1. 2008, sp. zn. C-275/06, Productores de Música de Espańa (Promusicae) vs. Telefónica de Espańa SAU (rozhodnutí je dostupné na http://curia.europa.eu), považoval IP adresu v kontextu daného případu (Promusicae požadovala po Telefónice odhalení identit osob, kterým poskytovala připojení k internetu a u nichž byla známá jejich IP adresa a datum a čas připojení) za osobní údaj ve smyslu předpisů na ochranu osobních údajů. Pro účely nyní posuzované věci lze z uvedeného závěru vyvodit, že jestliže může IP adresa za určitých okolností představovat osobní údaj, tedy údaj, na jehož základě lze identifikovat (přímo či nepřímo) nějakou konkrétní osobu, pak může sloužit také jako důkaz v přestupkovém řízení, byť jako důkaz nepřímého charakteru“[111].

Může zaměstnavatel např. na firemním intranetu zpřístupnit fotografii zaměstnance?

Může, ale jen se souhlasem dotčeného zaměstnance. Běžné uchovávání portrétních fotografií v datovém souboru je proto možné podřídit ustanovení § 5 odst. 2 zákona o ochraně osobních údajů. Portrétní fotografie bývají nejčastěji uchovávány zaměstnavatelem, a to za různými účely. Jsou-li tyto fotografie uchovávány a dále zpracovávány pouze za účelem vydání služebního průkazu, bude se z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a) tedy zpracování nezbytné pro dodržení právní povinnosti správce, tedy zaměstnavatele. Pro takové zpracování se pak nevyžaduje souhlas zaměstnance, dá se říci, že naopak, bude-li jeho pracovní náplní činnost, pro kterou na základě právních předpisů je třeba služebního průkazu vydávaného zaměstnavatelem, je jeho povinností fotografii zaměstnavateli poskytnout. Ten pak, vázán právním předpisem ji může použít právě jen pro stanovený účel. Při zpracování za jiným účelem je třeba posuzovat, zda je pro zpracování fotografií bez souhlasu subjektu údajů splněna například výjimka podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, tedy je-li to nezbytné pro ochranu práv a právem chráněných zájmů správce. Je dále otázkou, jaký je účel uchovávání fotografií zaměstnanců v databázovém systému zaměstnavatele a zda je tento účel nezbytný pro ochranu práv zaměstnavatele; to závisí na charakteru činnosti zaměstnavatele. Jak bylo uvedeno výše, jsou-li fotografie zaměstnanců zpracovávány pouze za účelem vydání služebního průkazu, bude se z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a) tedy zpracování nezbytné pro dodržení právní povinnosti správce, tedy zaměstnavatele. V takovém případě je nutné posoudit existenci zákona, který by stanovil tuto povinnost. Obecný právní předpis, tedy zákoník práce žádnou takovou povinnost zaměstnavateli neukládá, stejně tak ani např. zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů, ve znění pozdějších předpisů. Naopak zákon o státní službě s fotografií počítá, když v ustanovení § 154 odst. 1 postuluje, že služební úřad, v němž státní zaměstnanec vykonává službu, vystaví státnímu zaměstnanci služební průkaz. Služební průkaz osvědčuje, že jeho držitel je státním zaměstnancem. Služební průkaz obsahuje pak podle písm. a) téhož ustanovení i fotografii státního zaměstnance, Je tedy zřejmé, že v tomto případě se zpracování opírá o zákonnou úpravu. Pokud tedy není možné opřít zveřejnění, resp. zpřístupnění fotografie o řádný právní důvod, musí být aplikován jeden ze základních principů zákona o ochraně osobních údajů, tedy zpracování se souhlasem subjektu údajů. Snad je zbytečné zdůrazňovat, že tento souhlas musí splňovat parametry podle zákona o ochraně osobních údajů, tedy musí být zejména svobodný a informovaný.

Může zaměstnavatel uvádět jména zaměstnanců na informačních tabulkách uvnitř pracoviště, např. na dveřích? A může také stanovit, že zaměstnanci musí nosit při výkonu práce visačky se jménem a příjmením?

Dá se jednoznačně říci, že označit pracoviště jménem a příjmením zaměstnance zaměstnavateli zákon o ochraně osobních údajů nebrání. Je třeba vyjít z toho, že zaměstnavatel samozřejmě disponuje osobními údaji svých zaměstnanců a může je zpracovávat i bez souhlasu svých zaměstnanců, zejména pokud zpracování plyne z jiného právního předpisu. Takovými předpisy mohou být předpisy z oblasti pracovního práva, nemocenského a důchodového pojištění, účetnictví a mnohé jiné. Toto oprávnění se pak opírá o § 5 odst. 2 písm. a) zákona o ochraně osobních údajů, který uvádí, že správce může osobní zpracovávat bez souhlasu subjektu údajů, jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce. Je ale také pravda, že žádný zákon přímo neukládá zaměstnavateli označovat pracoviště jménem a příjmením zaměstnance. Nicméně i v tomto případě bude platit, co již bylo uvedeno výše, že zaměstnavatel tak může, pokud je to potřebné k plnění jeho úkolů a zvláštní zákon nestanoví jinak, bez souhlasu zaměstnance sdělit jeho jméno a příjmení, akademický titul, funkční zařazení, kontaktní údaje zaměstnance na jeho pracoviště (číslo telefonu, faxu, adresu elektronické pošty. A označení dveří nebo pracoviště jménem a příjmením pracovníka není nic jiného než jistá forma sdělení a informace, kdo za kterými dveřmi pracuje. To stejné bude platit i o visačkách se jménem zaměstnance. Je jistě v zájmu zaměstnavatele, aby jeho klienti nebo zákazníci věděli, s kým jednají nebo který zaměstnanec jim poskytuje služby. Zaměstnanec v pracovním poměru těžko může očekávat, že bude pracovat zcela anonymně, pokud zaměstnavatel má zájem, aby tomu tak nebylo. V žádném případě tímto způsobem nebude zasaženo do soukromé sféry zaměstnance, která má výrazně jiný charakter. I když i zaměstnanec má v rámci pracovního poměru i právo na jistou míru soukromí, neznamená to, že má současně i právo na absolutní anonymitu. I když tedy zaměstnavatel vyrobí visačky se jmény zaměstnanců a nějakým vnitřním předpisem je zaváže, aby je při plnění pracovních povinností nosili, nebude se jednat o nelegitimní účel zpracování, neboť se s výkonem zaměstnání bezpochyby souvisí. A z hlediska zákona o ochraně osobních údajů takovým zpracování osobních údajů do soukromí zaměstnanců zasaženo nebude. Ostatně soukromí a jeho ochrana je primárním účelem zákona o ochraně osobních údajů, jak plyne z § 1, kde je uvedeno, že zákon je určen mj. k naplnění práva každého na ochranu před neoprávněným zasahováním do soukromí upravuje práva a povinnosti při zpracování osobních údajů a stanoví podmínky, za nichž se uskutečňuje předání osobních údajů do jiných států.

Je vůbec možné zveřejnit údaje o mzdě nebo o platu konkrétního zaměstnance?

Velmi zjednodušeně řečeno, jak kdy a jak o kom. Obecně řečeno, údaje o mzdě nejsou určeny ke zveřejňování, kdežto údaje o platu za jistých podmínek mohou být zpřístupněny nebo i zveřejněny. Údaj o mzdě[112] anebo o platu[113], ve spojení s konkrétním zaměstnancem, který je identifikován anebo je alespoň identifikovatelný ve smyslu ustanovení § 4 písm. a) zákona o ochraně osobních údajů, je také osobním údajem. Ač údaj o mzdě či platu není zařazen mezi citlivé osobní údaje ve smyslu § 4 písm. b) zákona o ochraně osobních údajů, je vesměs vnímán jako informace, kterou dotčené osoby pociťují velmi silně jako citlivé, a také oprávněně očekávají, že informaci o mzdě nebo platu bude zaměstnavatel chránit tak, aby se k této informaci nedostali neoprávněné osoby.

Údaje o mzdě nebo platu nejsou obecně určeny ke zveřejňování nebo zpřístupňování a právo seznámit se s nimi a zpracovávat je v souladu s právními předpisy má jen velmi omezený okruh osob.

Se zveřejňováním výše mzdy obvykle problémy nebývají. Což ovšem nelze říci o platu. Zejména platy vyšších úředníků nebo funkcionářů bývají předmětem zájmu novinářů i běžných občanů, kteří se pokoušeli prolomit obvyklou mlčenlivost pomocí ZSPI. Donedávna byly takové žádosti ve většině případů odmítány. Průlom přinesl rozsudek Nejvyššího správního soudu (dále jen „NSS“) č. j. 5 As 57/2010 – 79. Tento rozsudek v zásadě umožnil zveřejňování platů příjemců veřejných prostředků, při čemž z judikátu bylo možné dovodit, že se toto „uvolnění“ týká nejen platů a odměn veřejně činných osob, jako jsou poslanci, senátoři, vysocí státní úředníci atd., ale také všech státních zaměstnanců na všech úrovních, neboť i jejich platy jsou v konečném důsledku poskytovány z veřejných prostředků.[114]

Tento názor byl v první chvíli některými odborníky a především Úřadem pro ochranu osobních údajů striktně odmítnut[115]. Posléze však došlo ke zmírnění postoje a Úřad pro ochranu osobních údajů vydal spolu s ministerstvem vnitra „Metodické doporučení k poskytování informací o platech pracovníků povinných subjektů podle zákona o svobodném přístupu k informacím“. Podle toho doporučení „rozsudek Nejvyššího správního soudu, jenž se k výkladu § 8b zákona č. 106/1999 Sb., o svobodném přístupu k informacím, ve znění pozdějších předpisů (dále jen „zákon o svobodném přístupu k informacím“), precedentně vyjádřil, je nutné respektovat, takže informaci o výši platu či odměně konkrétního zaměstnance bude nutné, při splnění níže psaných podmínek, na základě individuální žádosti podané podle zákona o svobodném přístupu k informacím, poskytnout. Nosné důvody odůvodnění rozsudku Nejvyššího správního soudu však principiálně nevylučují, aby vydání takové informace bylo při uplatnění testu proporcionality v odůvodněných případech odmítnuto. Podmínkou takového postupu však je zohlednění všech okolností konkrétního případu, takže ve vztahu ke konkrétnímu zaměstnanci a konkrétním podmínkám zcela zřetelně převáží nutnost ochrany soukromí a osobních údajů nad právem na informace, resp. nad požadavkem kontroly ze strany veřejnosti (nutnost uplatnit takový postup vyplývá i z § 5 odst. 3 a § 10 zákona o ochraně osobních údajů). Důvody pro neposkytnutí informace však musejí být vždy náležitě uvedeny v rozhodnutí, jímž by byla žádost o informace odmítnuta.

K odmítnutí žádosti o informace zpravidla nebude možné přistoupit ve vztahu k veřejným funkcionářům podle § 2 odst. 1 zákona č. 159/2006 Sb., o střetu zájmů, ve znění pozdějších předpisů, tj. v případě vrcholných představitelů povinných subjektů, reprezentantů státní (veřejné) moci. Od této kategorie je však třeba odlišovat skupinu zaměstnanců podle § 2 odst. 2 a 3 zákona o střetu zájmů, např. těch, kteří se v rámci své pracovní činnosti podílejí na rozhodování o veřejných prostředcích (typicky o veřejných zakázkách apod.).

Při vyřizování žádosti o poskytnutí informace o výši platu (mzdy, odměny) konkrétního zaměstnance je na prvním místě nutné zvážit, zda tato informace již není informací zveřejněnou, tedy např. zda přesná výše platu již nevyplývá z určitého právního předpisu. Pokud je požadovaná informace oprávněně zveřejněná, poskytne se bez dalšího zkoumání. Jestliže informace o platu není takto předem přístupná, měl by povinný subjekt při vyřizování žádosti o poskytnutí informace kontaktovat příslušného zaměstnance a umožnit mu, aby se k podané žádosti vyjádřil, tedy aby případně uplatnil všechny argumenty proti zpřístupnění informace o výši jeho platu (mzdě, osobním příplatku, odměně). Tato povinnost vyplývá z § 20 odst. 4 zákona o svobodném přístupu k informacím, ve spojení se základními zásadami činnosti správních úřadů, především ve spojení s § 4 odst. 4 správního řádu. Takovou výzvu lze učinit i neformálně, např. e-mailovou zprávou či telefonicky (se záznamem do spisu). Je však nutno dodržet lhůtu pro poskytnutí informace (15 dnů od doručení žádosti), tedy požádat dožádaného zaměstnance o odpověď v dostatečně krátké lhůtě. Nepodaří-li se zaměstnance kontaktovat (např. jde-li o bývalého zaměstnance) nebo pokud v zadané lhůtě nereaguje, učiní se o tom záznam do spisu. Nedostatek vyjádření dotčeného zaměstnance však není překážkou pro poskytnutí informace. Člověk dotčený poskytnutím osobního údaje má rovněž oprávnění znát identitu osoby, která o poskytnutí tohoto údaje žádá. Žádá-li se o informace o větším množství zaměstnanců, lze uvažovat i o prodloužení lhůty pro poskytnutí informace podle § 14 odst. 7 zákona o svobodném přístupu k informacím (bude-li současně splněn některý z důvodů v tomto ustanovení uvedený, např. komunikace s jinou složkou povinného subjektu, např. s personálním odborem úřadu apod.).

Pokud zaměstnanec s poskytnutím informace souhlasí, přičemž souhlas musí splňovat požadavky § 4 písm. n) zákona o ochraně osobních údajů, uplatnění testu proporcionality odpadá. Pokud nesouhlasí, je nutné především zvážit, v jaké pracovní pozici se dotčený zaměstnanec nachází. Jedná-li se o veřejného funkcionáře podle § 2 odst. 1 zákona o střetu zájmů, bude třeba údaj o výši platu (mzdy) nebo odměny v drtivé většině případů poskytnout, neboť v těchto případech lze presumovat, že veřejný zájem na přístupnosti takové informace v podobě veřejné kontroly povinných subjektů převažuje nad ochranou soukromí daného zaměstnance (není vyloučeno, že výjimečně tomu bude jinak, takovou situaci by však musel povinný subjekt adekvátně odůvodnit ve svém rozhodnutí).

Ve vztahu k ostatním zaměstnancům povinných subjektů, včetně těch, kteří jsou při své pracovní činnosti oprávněni samostatně vykonávat veřejnou moc (zjednodušeně řečeno rozhodovat o právech a povinnostech fyzických a právnických osob), anebo těch, kteří v mezích své pravomoci smí nakládat s veřejnými prostředky v určité výši, podle § 2 odst. 2 a 3 zákona o střetu zájmů, bude nutné test proporcionality provést vždy a ad hoc uvážit, zda shora popsaný veřejný zájem na zpřístupnění informace převažuje nad právem na soukromí zaměstnance – ochranou osobního údaje o výši jeho platu (mzdy, odměny). Povinný subjekt přitom musí uplatnit kritérium potřebnosti omezení ochrany osobního údaje, kritérium vhodnosti omezení a hledisko vzájemného porovnání obou práv. V případě zaměstnanců, kteří nemají žádnou rozhodovací pravomoc a ani nedisponují s většími objemy veřejných prostředků, bude zpravidla veřejný zájem na zpřístupnění údaje o jejich platu neporovnatelně menší a ochraně tohoto osobního údaje bude možné dát přednost.

Pokud povinný subjekt informaci o výši platu poskytne, musí se vypořádat též s povinností plynoucí z § 5 odst. 3 zákona o svobodném přístupu k informacím, tedy s povinností zveřejnit způsobem umožňujícím dálkový přístup informaci poskytnutou na základě žádosti. Tuto povinnost lze bez dalšího posuzování splnit pouze u nejvyššího vedení povinného subjektu (ministr, ředitel, předseda apod.). Protože se i na zveřejnění informace podle tohoto ustanovení uplatní pravidlo plynoucí z § 12 zákona o svobodném přístupu k informacím a protože by zveřejněním takové informace předem neurčenému okruhu osob došlo k podstatnému a nepřiměřenému zásahu do práva na ochranu osobnosti a osobních údajů, je vhodné zveřejnit informaci o poskytnuté informaci anonymně, tedy uvést, že byla poskytnuta informace o výši platu konkrétního funkcionáře nebo informace o výši platu konkrétního zaměstnance apod. Bude-li mít další osoba zájem o získání takové informace, může žádost podle zákona podat sama.

Zbývá dodat, že žadatel, jenž získal informaci o výši platu konkrétního pracovníka, může s takovou informací nakládat pouze v souladu s předpisy stanovujícími jejich ochranu (např. občanský zákoník, zákon o ochraně osobních údajů, trestní zákoník)“.

Komu je možno alespoň zpřístupnit informaci o mzdě nebo platu?

I když výše platu nebo mzdy není povinným obsahem pracovní smlouvy podle § 34 zákoníku práce, bývá zpravidla jedním z ujednání, pokud tato výše není stanovena v samostatném dokumentu – tzv. platovém výměru. Tyto dokumenty jsou pak podle § 312 odst. 1 zákoníku práce obsahem osobního spisu, do kterého mají právo nahlížet mj. toliko vedoucí zaměstnanci, kteří jsou zaměstnanci nadřízeni. Je tak zřejmé, že informacemi o výši platu nebo mzdy disponuje u každého zaměstnavatele jen velmi omezený okruh osob, které mají navíc povinnost mlčenlivosti. Ostatně povinnost mlčenlivosti je obecně stanovena pro některé zaměstnance přímo v zákoníku práce a to v ustanovení § 303 odst. 2 písm. b)., resp. zákonu o státní službě v § 77 odst. 1 písm. h) se ukládá státnímu zaměstnanci zachovávat mlčenlivost o skutečnostech, o nichž se dověděl při výkonu služby, a které v zájmu služebního úřadu nelze sdělovat jiným osobám; to neplatí, pokud byl této povinnosti zproštěn; povinnost zachovávat mlčenlivost, která státnímu zaměstnanci vyplývá z jiného zákona, není dotčena,

I přes výše uvedené budou existovat situace, kdy výše mzdy nebo platu bude zpřístupněna i jiným osobám, avšak toliko osobám oprávněným na základě právního předpisu. Především se bude jednat o orgány a instituce uvedené ve větě druhé § 312 odst. 2 zákoníku práce. Právo nahlížet do osobního spisu má orgán inspekce práce, úřad práce, soud, státní zástupce, příslušný orgán Policie České republiky, Národní bezpečnostní úřad a zpravodajské služby. Toto ustanovení bylo bezpochyby do zákoníku práce zařazeno z důvodu jednoznačnosti, neboť podle minulé právní úpravy činila výkladové potíže skutečnost, že bylo nutné aplikovat pro potřeby získání informací jmenovaných institucí a orgánů obecná oprávnění, uvedená v jiných právních předpisech. Jednalo se např. o občanský soudní řád a jeho ustanovení § 128, kde je stanoveno ve větě první, že každý je povinen bezplatně na dotaz sdělit soudu skutečnosti, které mají význam pro řízení a rozhodnutí anebo trestní řád a jeho ustanovení § 8 odst. 1, věta první, podle níž státní orgány, právnické a fyzické osoby jsou povinny bez zbytečného odkladu, a nestanoví-li zvláštní předpis jinak, i bez úplaty vyhovovat dožádáním orgánů činných v trestním řízení při plnění jejich úkolů. Jako příklad citovaná ustanovení jsou stále platná, nicméně oprávnění stanovené nyní zákoníku práce je jednoznačné a nevzbuzuje pochybnosti o tom, že jmenované orgány a instituce mají přístup k informacím, vedených v osobním spise zaměstnance, samozřejmě, pokud jsou uvedené informace nezbytné pro plnění jejich úkolů. Zaměstnavatel pak informace, např. tedy o platu nebo mzdě poskytne i bez souhlasu subjektu údajů, zaměstnance, neboť na tyto případy se bude vztahovat ustanovení § 5 odst. 2 písm. a) zákona o ochraně osobních údajů, když se bude jednat o zpracování nezbytné pro dodržení právní povinnosti správce.

Vycházeje z ustanovení § 5 odst. 1 písm. f) zákona o ochraně osobních údajů, které mj. stanoví, že správce, tedy zaměstnavatel, je povinen zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny, lze dovodit, že zveřejňovat nebo zpřístupňovat osobní údaj o mzdě nebo platu, nebude možné podřadit pod účel zpracování, kvůli kterému jsou osobní údaje zaměstnanců zpracovávány. V tomto případě bude obecně platit ustanovení § 13 odst. 1 zákona o ochraně osobních údajů, tedy že správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Současně pak musí zaměstnavatel poučit příslušné zaměstnance, kteří s údaji o mzdě nebo platu přicházejí do styku v rámci svých pracovních povinností, jak s takovým údajem nakládat. Tato povinnost vychází z ustanovení § 14 zákona o ochraně osobních údajů, podle něhož zaměstnanci správce nebo zpracovatele a jiné osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, mohou zpracovávat osobní údaje pouze za podmínek a v rozsahu správcem nebo zpracovatelem stanoveném. Obecná povinnost mlčenlivosti je pak stanovena v § 15 odst. 1 citovaného zákona, podle něhož zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Povinnost mlčenlivosti trvá i po skončení zaměstnání nebo příslušných prací.

Dceřiná společnost se sídlem v České republice hodlá předávat osobní údaje svých zaměstnanců své mateřské společnosti sídlící ve Francii za účelem zpracování mezd. Co je nutné splnit, aby toto bylo možné?

Vzhledem k tomu, že osobní údaje budou putovat mezi státy Evropské unie, bude platit pravidlo uvedené v ustanovení § 27 odst. 1 zákona o ochraně osobních údajů, podle něhož platí, že volný pohyb osobních údajů nemůže být omezován, pokud jsou údaje předány do členského státu Evropské unie. Oba subjekty se však ocitají v pozici správce a zpracovatele a je tedy třeba uzavřít smlouvu podle § 6 zákona o ochraně osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Ze znění tohoto ustanovení zcela jednoznačně vyplývá, že tuto smlouvu může uzavřít pouze správce se zpracovatelem, nikoli zpracovatel s dalším subjektem.

V zájmu právní jistoty nejen správce a zpracovatele, ale i subjektů údajů a dalších osob je, aby zmocnění ke zpracování přímo plynulo ze zákona nebo pověření smlouvou mělo písemnou podobu. To současně však neznamená, že smlouva musí být uzavřena zcela samostatně, jako samostatný dokument. Takovou povinnost zákon o ochraně osobních údajů nestanoví. Lze tedy připustit, aby obsahové náležitosti smlouvy o zpracování byly součástí i jiné písemně uzavřené smlouvy, např. mandátní nebo příkazní, jež se týká nějaké jiné činnosti. Může se jednat např. o smlouvu o vedení některých částí personální agendy, účetnictví apod. Zákon o ochraně osobních údajů vyžaduje, aby v takové smlouvě kromě jiných podstatných částí smlouvy bylo také výslovně uvedeno, v jakém rozsahu, tedy o jaké osobní údaje se jedná, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Pokud by smlouva neobsahovala zákonem o ochraně osobních údajů uvedené náležitosti, nezpůsobilo to sice její neplatnost, avšak nejednalo by se již pojmově o smlouvu o zpracování. To by současně znamenalo, že by zpracování, pokud by k němu docházelo, probíhalo bez relevantního právního titulu, což by jak pro správce, tak „zpracovatele“ mohlo mít vážné důsledky. Správce by se totiž dostal do rozporu minimálně s § 5 odst. 1 písm. f), větou první (zpracovávat osobní údaje pouze v souladu s účelem) a také § 13 zákona o ochraně osobních údajů, neboť by zpřístupnil či předal osobní údaje neoprávněně a porušil tak jednu ze základních povinností, tedy údaje chránit před zneužitím. A „zpracovatel“, spíše tedy quazizpracovatel, by osobními údaji disponoval zcela bez právního důvodu se všemi důsledky z toho plynoucími, neboť by se ocitl v postavení „neoprávněného“ správce.

Zákon také připouští, aby správce měl i několik zpracovatelů, třeba pro různé části složitějšího zpracování. Musí mít samozřejmě se všemi uzavřeny smlouvy o zpracování, avšak vztahy musí být nastaveny toliko v horizontální úrovni zpracovatelů, což znamená, jak již výše uvedeno, že smlouvy o zpracování mezi sebou nemohou dále uzavírat zpracovatelé samostatně.

Na závěr je nutné dodat, že smlouvou uzavřenou mezi správcem a zpracovatelem osobních údajů podle § 6 zákona o ochraně osobních údajů nelze dohodnout např. slučování databází jednotlivých správců. Každý správce totiž může pověřit zpracovatele zpracováním osobních údajů maximálně v takovém rozsahu, v němž je má sám. A pokud by i zpracovatel pro správce realizoval několikero zpracování různých evidencí nebo datových souborů, musí je stále zpracovávat v souladu s původním účelem a odděleně.

Dceřiná společnost hodlá předávat osobní údaje svých zaměstnanců své mateřské společnosti. Obě tyto společnosti sídlí v Evropské unii, ale technická podpora bude umístěna mimo Evropskou unii.

Jak vyplývá z dotazu, všechny subjekty odpovědné za zpracování osobních údajů budou v tomto případě sídlit na území některého z členských států Evropské unie. Nepůjde tedy o předání osobních údajů podle § 27 odst. 2 a 3 zákona o ochraně osobních údajů. V této situaci bude klíčový rozsah a způsob zabezpečení zpracovaných informací, osobních údajů, protože každý článek této soustavy musí garantovat splnění základních bezpečnostních kritérií. Pro Českou republiku je stanoví ustanovení § 13 zákona o ochraně osobních údajů.

Zaměstnavatel, člen nadnárodního koncernu, zpracovává osobní údaje zaměstnanců ve standardním rozsahu informací, které má běžný zaměstnavatel. Do těchto údajů chce nahlížet i mateřská nebo sesterská společnost, tzn. některý z členů nadnárodního koncernu, nejspíše zahraniční osoba z členského státu Evropské unie. Smyslem nahlížení je mít přehled o zaměstnancích koncernu, vedení evidencí za celý koncern, či jeho jednotlivé sekce atd. podle konkrétního rozhodnutí mateřské společnosti. K nahlížení by měly být poskytovány konkrétní údaje, v zásadě by měla mateřská společnost volný přístup do databází zaměstnavatele. Má mateřská společnost v tomto případě postavení samostatného správce?

Jde o vztah dvou správců, a to i proto, že podle pracovního práva platného v České republice je vztah zaměstnance a zaměstnavatele vymezen pracovní smlouvou. Pro budoucí zpracování a zpřístupňování kontaktních údajů zaměstnanců je proto nezbytné, aby tyto osoby byly informovány již při uzavírání pracovního poměru, že jejich osobní údaje budou zaměstnavatelem předány v neanonymizovaném tvaru jinému subjektu do jiného státu. Protože se nejedná o údaje kontaktní, ale jde ve své podstatě o zpřístupnění osobního spisu nebo některých údajů z něj, musí být respektován především ZP, který přesně stanoví, kdo má právo nahlížet do osobního spisu zaměstnance. Vše ostatní se může odehrát jen se souhlasem zaměstnance, a to v souladu s § 5 odst. 4 zákona o ochraně osobních údajů. Protože se jedná o souhlas vědomý a informovaný, měl by zaměstnavatel postupovat především otevřeně, tedy sdělit zaměstnanci všechny své záměry.

Jako na zaměstnavatele se na nás obrátil exekutor a požaduje, abychom mu sdělili mobilní telefonní číslo naše zaměstnance. Jsme povinni mu vyhovět?

O osobní údaje nejrůznějšího charakteru také často žádají exekutoři v rámci jimi prováděných exekucí. Nejčastěji požadují sdělení čísla bankovního účtu, na který je zaměstnancům odesílán plat/mzda. Exekutor zaměstnavateli zpravidla nejdříve zašle Výzvu k poskytnutí informací potřebných pro exekuční řízení, své oprávnění provádět exekuci zároveň doloží usnesením o nařízení exekuce či jeho opisem. Upozorňují, že na základě této výzvy je zaměstnavatel povinen exekutorovi bezplatně sdělit požadované informace týkající se pracovních a osobních poměrů povinného, a to s odkazem na ustanovení § 33–34 zákona č. 120/2001 Sb., exekuční řád, ve znění pozdějších předpisů (dále jen „exekuční řád“). K této otázce se ve svém stanovisku vyjádřilo Kolegium expertů AKV dne 6. 2. 2013, které uvedlo, že z ustanovení § 33 a násl. exekučního řádu, která jsou nadepsána „Součinnost třetích osob“, nelze povinnost součinnosti zaměstnavatele vůči exekutorovi dovodit. Přímo o plátci mzdy se v žádném z těchto ustanovení nehovoří. Na některých místech textu jsou sice jako povinné subjekty zmíněny „právnické a fyzické osoby“, z kontextu ale vyplývá, že zaměstnavatel tím myšlen rozhodně není. Zaměstnavatele nelze považovat za právnickou nebo fyzickou osobu, která rozhoduje o právech a povinnostech (§ 33 odst. 1 exekučního řádu) nebo která je zvláštním právním předpisem pověřena vedením evidence osob a jejich majetku nebo disponuje takovou evidencí s ohledem na předmět své činnosti (§ 33 odst. 3 exekučního řádu). Povinným subjektem není zaměstnavatel ani podle ustanovení § 33 odst. 4 exekučního řádu, které umožňuje exekutorovi požadovat sdělení čísla účtu dlužníka. Z charakteru zde vyjmenovaných subjektů (finanční instituce, notáři a advokáti) je zjevné, že číslem účtu dlužníka disponují ze zcela jiných důvodů a za jiným účelem než zaměstnavatel.

Požádat o součinnost, resp. o sdělení skutečností, které mají význam pro exekuční řízení, může exekutor zaměstnavatele ve smyslu obecného ustanovení § 128 zákona č. 99/1963 Sb., občanský soudní řád, ve znění pozdějších předpisů, kterého lze podpůrně použít. Tuto povinnost nelze ale chápat a vykládat tak, že exekutor bude po zaměstnavateli vyžadovat sdělení jakýchkoliv informací. Musí odůvodnit, že požadované údaje mají zásadní souvislost s exekučním řízením, a jeho požadavek nesmí z tohoto logického rámce vybočit. Mimo tento rámec je požadavek exekutora na sdělení např. telefonního čísla nebo elektronické adresy dlužníka, jak se v praxi bohužel běžně děje. Jenom proto, že soudní exekutoři se snaží za účelem rychlého vymožení dluhu získat co možná nejvíce informací, nemůže zaměstnavatel porušit povinnosti stanovené mu jinými právními předpisy, mj. zákonem o ochraně osobních údajů.[116]

Tento závěr byl prolomen Usnesením Ústavního soudu ze dne 15. dubna 2014. V něm ÚS uvádí, že díky postavení zaměstnavatele povinného jsou tomuto zaměstnavateli ze zákona uloženy povinnosti související s poskytnutím součinnosti při exekuci. V rámci tohoto postavení byl oprávněn pouze zkoumat, zda exekutor je pověřen exekucí a proti jakému povinnému směřuje. Jakkoliv lze váhat nad tím, zda je v pořádku, aby do rozsahu poskytovaných informací spadal požadavek na poskytnutí adresy, telefonního čísla nebo e-mailu manžela povinného, podstatné pro danou věc je, že stěžovatel neposkytl soudnímu exekutorovi vůbec žádné informace (tedy ani informace o mzdě, charakteru pracovního poměru a případných srážkách ze mzdy), ačkoliv k tomu měl na základě zákona povinnost.[117]

Řešení této otázky se tak značně zkomplikovalo a do budoucna nelze předvídat, jaké bude postavení zaměstnavatele a jaké povinnosti budou personalisty stíhat.

Poskytování osobních údajů zaměstnanců policii

Vzhledem k ustanovení, které uvádí, že povinnost zachovávat mlčenlivost se nevztahuje na informační povinnost podle zvláštních zákonů, nelze se dovolávat povinnosti mlčenlivosti podle zákona o ochraně osobních údajů tam, kde některý zvláštní zákon informační povinnost stanoví. V takových případech pak je nutno tuto informační povinnost v mezích ustanovení příslušných zákonů, které ji stanoví, plnit. Jedná se především o oznamovací povinnost podle trestního zákona a podle trestního řádu. Povinnost mlčenlivost stanovenou zákona o ochraně osobních údajů nelze vzhledem k dikci zákona použít jako „výmluvu“ v případě nesplnění takové informační povinnosti. Na druhou stranu ani v případě, kdy žádost o informace podá Policie ČR, není možné vyhovět vždy, neboť ani práva policie nejsou bezbřehá.

Při odpovědi na otázku, zda a v jakém rozsahu je personalista povinen vyhovět žádosti Policie ČR, je třeba vycházet z ustanovení § 18 a § 66 zákona č. 273/2008 Sb., o Policii České republiky, ve znění pozdějších předpisů (dále jen „zákon o Policii ČR“). Podle ustanovení § 18 uvedeného zákona je policista v rozsahu potřebném pro splnění konkrétního úkolu policie oprávněn požadovat od orgánů a osob uvedených v § 14[118] věcnou a osobní pomoc, zejména potřebné podklady a informace včetně osobních údajů. Tyto orgány a osoby jsou povinny požadovanou pomoc poskytnout; nemusí tak učinit, brání-li jim v tom zákonná nebo státem uznaná povinnost mlčenlivosti anebo plnění jiné zákonné povinnosti. Fyzická osoba tak nemusí dále učinit, pokud by poskytnutím pomoci vystavila vážnému ohrožení sebe nebo osobu blízkou. Podle ustanovení § 66 odst. 1 zákona o Policii ČR může policie v rozsahu potřebném pro plnění konkrétního úkolu žádat od správce evidence nebo zpracovatele poskytnutí informací z evidence provozované na základě jiného právního předpisu. Správce evidence nebo zpracovatel poskytne informace bezplatně, nestanoví-li jiný právní předpis jinak. Správce evidence nebo zpracovatel jsou povinni žádosti bez zbytečného odkladu vyhovět, nestanoví-li jiný právní předpis pro poskytnutí informací policii jiný režim.

Rozsah požadovaných údajů musí odpovídat potřebám plnění konkrétního úkolu Policie. Způsob předávání údajů musí umožňovat uchovávání identifikačních údajů o útvaru Policie nebo o policistovi, který o poskytnutí informací žádal, a o účelu, k němuž bylo o poskytnutí informací žádáno, a to nejméně po dobu pěti let.[119]

Evidencí se v případě zaměstnavatele rozumí především osobní spisy a účetní dokumentace. Tyto evidence však obsahují osobní údaje ve velkém rozsahu. Policii proto nebudou automaticky předávány všechny osobní údaje, jimiž personalista disponuje, ale je třeba dbát, aby byly předány pouze ty údaje, které jsou potřebné pro plnění konkrétního úkolu policie.

V případě, že bude personalista předávat osobní údaje na základě výše zmíněných ustanovení, bude postupovat podle § 5 odst. 2 písm. a) zákona ochraně osobních údajů, podle něhož je možné zpracovávat osobní údaje bez souhlasu subjektu údajů, jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce. K tomu, aby si správce osobních údajů mohl být jist, že může údaje zpracovávat bez souhlasu subjektu údajů, musí své (i zamýšlené) zpracování podrobit testu souladu s právní úpravou a z ní dovodit, zda souhlas ke zpracování je nebo není třeba.

V citovaném ustanovení § 66 odst. 3 zákona o Policii ČR stanovená povinnost vyhovět této žádosti bez zbytečného odkladu a ve vyžádané formě však neznamená, že by se tak mohlo stát způsobem, který by byl neověřený a neumožňoval by uchování výše zmíněných identifikačních údajů o útvaru Policie nebo policistovi, který o předání údajů požádal.

Z uvedených ustanovení vyplývá, že žádosti o předávání osobních údajů Policii České republiky by v žádném případě neměly být vyřizovány na základě neověřeného telefonického dotazu. Vždy by měly být policií podávány pouze v písemné formě a měly by být správcem nebo zpracovatelem uchovávány včetně odpovědi příslušného správce nebo zpracovatele osobních údajů. V případě osobního jednání s policistou je třeba, aby správce nebo zpracovatel obdržel kopii úředního protokolu. Jen při splnění těchto podmínek může správce či zpracovatel dostát zákonnému požadavku, jehož obsahem je prokázat, kdy, komu a za jakým účelem předal osobní údaje zpracovávané v příslušné evidenci.[120]

Jaký je vhodný postup v případě, kdy někdo žádá zaměstnavatele o ověření výše platu po telefonu?

Toto ověřování je poměrně častou formou ověření potvrzení, které zaměstnavatel na žádost zaměstnance vystavil pro účely nějaké formy půjčky, spotřebitelského úvěru, leasingu a jiných finančních nástrojů obdobného typu. Dlužno poznamenat, že za nakládání s takto vystaveným potvrzením zcela odpovídá zaměstnanec, na jehož žádost bylo vyhotoveno. Ten jej bezpochyby předá poskytovateli příslušné finanční služby, neboť to bývá nezbytnou podmínkou jejího poskytnutí. V případě kontrolního dotazu od takového poskytovatele stojí zaměstnavatel před problémem, zda vůbec a jaké údaje vlastně může sdělit či potvrdit. Z předchozího textu je zřejmé, že zaměstnavatel nemůže obecně sdělit nebo potvrdit výši platu nebo mzdy svého zaměstnance na základě pouhého telefonického dotazu kohokoliv. Je skutečností, že některé finanční instituce jsou si již tohoto problému vědomy a snaží se jej řešit. Pravda, poněkud polovičatě a pouze ze svého hlediska. Příkladem může být např. formulace, obsažená v Obchodních podmínkách pro úvěrové produkty jedné z nových bank[121] na českém trhu. Obsahují totiž text: „Jste si vědom, že za účelem ověření údajů uvedených v žádosti o PŮJČKU může ZUNO kontaktovat Vašeho zaměstnavatele a požadovat potvrzení Vámi poskytnutých údajů.“[122]. Odhlížeje od problematického zařazení toho textu do obchodních podmínek[123] text sám z hlediska zaměstnavatele samotného nic neřeší, alespoň ne při telefonickém kontaktu v souvislosti s ověřením mzdových informací. V tomto případě by asi bylo žádoucí, aby zaměstnanec informoval zaměstnavatele, že takový souhlas vydal (pokud tedy skutečně výše zmíněné „Obchodní podmínky“ četl, což není ani zdaleka pravidlem) a případně mu i sdělil takové informace, aby si byl zaměstnavatel jist, že telefonické ověření je prováděno skutečně dotyčnou bankou. Platí totiž, že i když zaměstnanec, z hlediska banky žadatel o úvěr, výše zmíněný souhlas poskytl, pro zaměstnavatele z hlediska jeho povinností je takový souhlas irelevantní. Souhlasem s telefonickým potvrzením informace musí disponovat on sám a tento souhlas musí být udělen jemu.

Běžná životní praxe však vyžaduje najít řešení. Tím by mohlo být zvláštní označení, příznak nebo jiná, nejlépe nepříliš obvyklá identifikační značka, kterou by bylo označeno vydávané potvrzení. To totiž bývá již připraveno a vyhotoveno poskytovatelem nebo se jedná o obecný prázdný formulář, kde se výše příjmů jen doplní a potvrdí. Pak lze i pouhým dotazem volajícímu zjistit, zda je schopen takovou identifikační značku nebo příznak sdělit a popsat. Pak lze mít při nejmenším jistotu, že se s velkou pravděpodobností jedná o potvrzení, které bylo zaměstnavatelem pro zaměstnance skutečně vydáno. Právně zcela konformní by pak bylo postupovat, jak je ostatně výše naznačeno, se souhlasem zaměstnance, když souhlas by byl poskytnut v souladu se zákonem o ochraně osobních údajů pro účel telefonického potvrzení vydaného dokumentu.

4.3 Některé situace zpracovávání osobních údajů v průběhu pracovního poměru

Přehled dotazů:

■ Monitorování e-mailové pošty

■ Monitorování služebních telefonů

■ Monitorování služebních aut

■ Občanský průkaz zaměstnance

■ Fotografie jako osobní údaj

■ Zpracování fotografie

■ Rodné číslo na obálce

Dotazy:

Je možné zaměstnancům kontrolovat e-mailovou poštu?

Pokud jde o monitorování elektronické pošty zaměstnanců ze strany jejich zaměstnavatelů, je nutno mít na zřeteli, že i elektronická pošta je poštou a i písemnosti v elektronické podobě jsou písemnostmi a i pro ně platí obdobná pravidla jako pro ostatní písemnosti. Z článku 13 Listiny základních práv a svobod je tedy patrné, že se jedná o tzv. osobnostní právo a o základní lidské právo. Dále je z těchto ustanovení zřejmé, že dopadají na každého, a tedy i na zaměstnavatele a zaměstnavatel tato ustanovení musí respektovat. V diskusi o tom, zda soukromá zpráva doručená zaměstnanci pomocí elektronických komunikačních sítí je i po doručení zprávou soukromou či nikoliv, je nutno vzít v úvahu Směrnici Evropského parlamentu a Rady z roku 2002 o zpracování osobních údajů a ochraně soukromí v odvětví elektronických komunikací (Směrnice o soukromí a elektronických komunikacích), kterou musela Česká republika promítnout do svého právního řádu před vstupem do EU. V uvozujícím recitálu (24) se říká: „Koncové zařízení uživatelů elektronických komunikačních sítí a jakékoliv informace uchovávané na takovém zařízení tvoří součást soukromí uživatelů, které je chráněno v souladu s Evropskou úmluvou na ochranu lidských práv a základních svobod. Tzv. špehovací software, webové štěnice, skryté identifikátory a jiné podobné nástroje mohou pronikat do koncového zařízení uživatele bez jeho vědomí s cílem získat přístup k informacím, uchovávat skryté informace nebo sledovat činnost uživatele a mohou vážně narušit soukromí těchto uživatelů. Použití takových nástrojů by mělo být povoleno pouze k oprávněným účelům s vědomím uživatelů, kterých se dotýká.“ Ve smyslu této Směrnice je uživatelem jakákoli fyzická osoba používající veřejnou elektronickou komunikační službu pro soukromé či obchodní účely, přičemž není nezbytně nutné, aby byla účastníkem této služby.

Na druhé straně je však nutno vnímat i to, že zaměstnavatel má právo sledovat u svých zaměstnanců dodržování pracovní doby a jejího využití. Pro výkon tohoto práva nemá zaměstnavatel právo sledovat, monitorovat a zpracovávat obsah korespondence svých zaměstnanců. Zaměstnavatel by případně mohl pouze sledovat počet e-mailů došlých a odeslaných u svých zaměstnanců a požadovat, aby své soukromé záležitosti v pracovní době a na pracovišti vyřizovali v přiměřené a více méně v nezbytné míře, neboť, jak bylo výše uvedeno, ani pracovněprávní vztah neodstraňuje právo na přiměřené soukromí zaměstnanců. O svém záměru či praxi sledovat četnost přijímaných či odesílaných e-mailových zpráv by měl zaměstnavatel předem své zaměstnance uvědomit, a to nejlépe při navazování pracovního vztahu. K uvedenému účelu by měla existovat obecná pravidla pro zaměstnavatele a zaměstnance, z nichž by mělo být jasné, že obsah pošty je chráněn a že ve vztahu k němu se ctí listovní tajemství i ochrana osobních údajů.

Z pohledu ochrany osobních údajů je však nutno mít na zřeteli ještě další otázku, a sice zda vždy při monitorování e-mailové pošty dochází ke zpracování osobních údajů. K tomu by docházelo tehdy, když by zaměstnavatel svou činností systematicky monitoroval své zaměstnance a údaje získané z této činnosti by dále zpracovával. V takovém případě by na tuto činnost zaměstnavatele dopadal v plném rozsahu zákon ochraně osobních údajů. Pokud však by zaměstnavatel e-mailovou poštu nesledoval systematicky, ale jen nahodile by ji prohlédl (např. proto, že jeho zaměstnanec je dlouhodoběji nepřítomen na pracovišti např. z důvodu nemoci), a to proto, že je třeba vyřídit pracovní korespondenci, pak by se zřejmě nejednalo o zpracování osobních údajů, a zákon ochraně osobních údajů by tedy na tento postup nedopadal. Přesto by však o obsahu této korespondence platilo to, co bylo řečeno ohledně článku 13 Listiny základních práv a svobod mohlo by tedy dojít k porušení listovního tajemství, osobnostního práva a k neoprávněnému zasahování do soukromí fyzických osob resp. v daném případě zaměstnanců, což zakazuje článek 10 odst. 2 Listiny základních práv a svobod, který stanoví, že každý má právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života. I toto posledně jmenované ustanovení směřuje vůči každému, a tedy i vůči zaměstnavateli. Závěrem k danému problému je vhodné uvést, že zaměstnavatel v žádném případě nemůže sledovat obsah korespondence, a tedy ani korespondence v elektronické podobě svých zaměstnanců, případně dalších osob. K otázce monitoringu elektronické pošty se vyjádřil také Úřad ve svém Stanovisku č. 2/2009[124] „Ochrana soukromí zaměstnanců se zvláštním zřetelem k monitoringu pracoviště“, když uvádí, že „elektronické dokumenty (např. soubory typu docx, xlsx, pdf či jpeg) jsou písemnostmi, byť nejsou listinami. Proto pro ně platí stejná pravidla jako pro ostatní písemnosti.

Ačkoliv e-mailová adresa patří zaměstnavateli, je-li složena ze jména a příjmení zaměstnance např. Jan.Svoboda@doména.cz, je e-mail na ni doručený soukromou elektronickou poštou a taková e-mailová adresa je sama o sobě vždy osobním údajem, avšak takovým osobním údajem, k jehož zpracování je zaměstnavatel oprávněn; včetně jeho zveřejnění, komunikuje-li takový zaměstnanec se třetími osobami. Naproti tomu věcně konstruovaná e-mailová adresa, např. info@doména.cz, je úřední elektronickou adresou, a to i v případě, že ji spravuje pouze jeden zaměstnanec.

Zaměstnavatel není oprávněn sledovat, monitorovat a zpracovávat obsah korespondence svých zaměstnanců. Zaměstnavatel případně smí u svých zaměstnanců pouze sledovat počet došlých a odeslaných e-mailů, případně (tj. zejména vznikne-li podezření ze zneužití pracovních prostředků, resp. využití k jiným než pracovním účelům) včetně hlavičky, tj. komu píší a od koho je dostávají. Tato činnost je zpracováním osobních údajů zaměstnance, byť za uvedených podmínek oprávněným zpracováním, a je tedy nezbytné dodržovat všechny zákonem o ochraně osobních údajů stanovené povinnosti.

Soukromý e-mail zaměstnance smí zaměstnavatel na základě oprávnění daných mu zákoníkem práce otevřít a přečíst pouze výjimečně, v zájmu ochrany svých práv, především jestliže je zřejmé, že se jedná o pracovní e-mail, tj. lze-li tento závěr učinit na základě údajů uvedených v hlavičce, a jestliže je pravděpodobné, že z objektivních důvodů, jako je dlouhodobá nemoc zaměstnance, by k jejímu vyřízení zaměstnancem mohlo dojít natolik pozdě, že by zaměstnavatel mohl utrpět újmu na svých právech. Zaměstnavatel tak fakticky využívá svého práva chránit majetek podle nového zákoníku práce. Při nařizování dovolené by měl zaměstnavatel předem přijmout taková opatření k zastupování, aby k poškození soukromí zaměstnance nedošlo.

K určitému posunu došlo v lednu letošního roku, kdy Evropský soud vydal rozhodnutí, z něhož vyplývá, že zaměstnavatelé mohou číst soukromá sdělení zaměstnanců posílaná v pracovní době prostřednictvím chatovacího softwaru či internetové pošty.

Je možné zaměstnancům kontrolovat výpisy ze služebního telefonu?

Telefony obvykle mohou zaměstnanci požívat také k soukromým hovorům. Typickým způsobem řešení, jak odlišit soukromé a služební hovory, bývá povinnost soukromý hovor označit nějakým předem stanoveným způsobem, např. předvolbou (symbol)* (hvězdička) před vytáčeným telefonním číslem. Takto vyznačené hovory jsou pak i samostatně účtovány (tzn. neodečítají se z volných minut, které jsou součástí měsíčního paušálu) v rámci faktury. Podpisem zaměstnance na kopii faktury pod číslem jeho SIM karty odsouhlasí vyúčtování soukromých hovorů, a odsouhlasená částka mu bývá sražena ze mzdy.

Zaměstnavatel pak kontroluje dodržování stanovených pravidel při namátkových kontrolách, kterým zákoník práce nikterak nebrání. Zaměstnanec bývá povinen sdělit zaměstnavateli u určených telefonních hovorů volanou osobu. Pokud je zjištěno, že zaměstnanec, ač volal soukromě, nedodržel příslušná pravidla pro soukromé hovory, může to být považováno za porušení pracovní kázně s příslušným postihem. Za porušení pracovní kázně může být považováno i odmítnutí sdělení volané osoby zaměstnancem. Problematickým je v tomto případě odlišování služebních SMS zpráv a soukromých. V praxi se ovšem SMS zprávy pro služební účely používají jen zřídkakdy, proto je jednou z možností stanovit limit služebních SMS za měsíc. V případě, že zaměstnanec zašle zprávy nad rámec tohoto limitu, je povinen to odůvodnit a případně cenu za SMS nad rámec stanoveného limitu uhradit. Podpisem zaměstnanec na kopii faktury pod číslem jeho SIM karty odsouhlasí vyúčtování SMS zprávy.

Obecně je možné říct, že není málo případů, kdy si zaměstnavatelé pořizují různá technická zařízení, která umožňují zjistit telefonní čísla, na která zaměstnanec telefonuje. To platí především u pevných linek. Zaměstnavatel je při tom veden dobrou snahou, aby zaměstnanec vyřizováním soukromých záležitostí nezvyšoval náklady zaměstnavatele za telefonní služby a plně se věnoval zaměstnání. Při zjištění, že zaměstnanec telefonoval na soukromé číslo, předepisují pak telefonní poplatek zaměstnanci ve formě náhrady škody nebo přímo srážejí ze mzdy. I při řešení těchto problémů je nutno postupovat podle ústavních zásad a předpisů, které je rozpracovávají. Tajemství obsahu telefonních zpráv podléhá ochraně podle trestního zákona a je zaručeno Listinou základních práv a svobod. Znamená to, že nikdo, tedy ani zaměstnavatel, nemůže odposlouchávat hovory zaměstnance, i když by se jednalo o soukromé rozhovory nebo zařizování soukromých záležitostí pomoci telefonu na pracovišti a v pracovní době. Zaměstnavatel by mohl pouze zjistit označení telefonního čísla, na které se zaměstnanec dovolal. Ovšem z tohoto samotného údaje zaměstnavatel nemůže dovozovat, že se jednalo o soukromý telefonní hovor. Tato skutečnost je pak rozhodující pro možné uplatnění náhrady nákladů na použití firemního telefonu jako formu náhrady škody, kterou zaměstnanec způsobil zaměstnavateli. Podle zákoníku práce zaměstnanec odpovídá zaměstnavateli za škodu, kterou mu způsobil zaviněným porušením povinností při plnění pracovních úkolů nebo v přímé souvislosti s tímto plněním. Povinnosti vyplývají hlavně z pracovní smlouvy. Především má zaměstnanec povinnost plnit pracovní úkoly podle pokynů nadřízených a řádně hospodařit se svěřenými prostředky. V opačném jednání by se jednalo o protiprávní jednání a o porušení pracovní kázně. Je však skutečností, že stále více se volí jednodušší a méně administrativně náročné řešení. Tím je stanovený souhrnný paušál, při jehož čerpání se v zásadě nezkoumá, zda volání bylo služební nebo soukromé, a k tomuto zkoumání dochází až při jeho překročení, kdy by zaměstnavatel skutečně mohl požadovat úhradu za soukromé hovory.

Nelze však zapomínat, že za určitých okolností se může být a pravděpodobně také bude aplikovatelný zákon ochraně osobních údajů. Bude-li zaměstnavatel systematicky shromažďovat údaje o zaměstnanci, o tom, kolik soukromých hovorů za měsíc učinil ze služebního telefonu a především na jaká telefonní čísla, bude se nepochybně jednat o zpracování osobních údajů ve smyslu § 4 písm. e) zákona ochraně osobních údajů. To, že zaměstnavatel tyto údaje shromažďovat a zpracovávat bude, je zcela nepochybné, neboť musí tyto informace vést a faktury za telefonní hovory archivovat pro účely účetnictví. Vzhledem k tomu, že se tedy jedná o zpracování osobních údajů, musí zaměstnavatel i při zpracování těchto údajů splnit všechny povinnosti vyplývající ze zákona ochraně osobních údajů. Beze sporu se bude jednat o zpracování bez souhlasu v rámci výjimky § 5 odst. 2 písm. a) zákona ochraně osobních údajů, podle něhož může správce zpracovávat osobní údaje bez souhlasu subjektu údajů, jestliže provádí zpracování nezbytné pro dodržení právní povinnosti. Chce-li tedy zaměstnanec, aby jeho soukromé hovory zůstaly skutečně soukromé, tedy aby nebylo zřejmé, na jaká telefonní čísla bylo voláno a jak často, měl by zvážit, zda je vhodné k takovým hovorům použít služební telefon.

Je možné zaměstnancům kontrolovat požívání služebního automobilu?

Je obtížné přesně spočítat, kolik prostředků skutečně stojí provoz firemních automobilů. Jednoduché není například rozlišit soukromou cestu od služební nebo poznat, kde a kdy se automobil pohyboval. Každý podnikatel má nepochybně právo mít přesnou kontrolu nad vynaloženými finančními prostředky a jejich optimálním využíváním.

Moderní elektronika však v mnohém situaci usnadňuje. Monitorovací systém obvykle využívá přijímač signálu GPS, který určuje přesnou polohu vozidla v libovolně zvoleném časovém nebo délkovém intervalu (např. po 300 m) a získanou informaci ukládá do své paměti. Tyto údaje lze pak jednoduchým způsobem přehrát do počítače, kde je speciální počítačový software porovná s příslušnou digitální mapou a vyhotoví podrobný itinerář jízd. Součástí je také vyhodnocení spotřeby pohonných hmot nebo měsíční a roční zúčtování.

Objevily se případy, kdy se zaměstnavatel pokusil všechna svá vozidla opatřit satelitním vyhledávacím a monitorovacím zařízením (zejm. pro prevenci krádeží a monitoringu využití vozidel v pracovní době jejich řidičů), aniž by na to upozornil své zaměstnance. Bez ohledu na to, že se zjistilo, že řada zaměstnanců zneužívá služební automobily v největší možné míře a že někteří se snažili oklamat systém tím, že například zastínili antény přijímače alobalem nebo na určitou dobu vyjmuli paměťový disk[125], objevila se ze strany některých zaměstnanců námitka, že v případě použití tohoto systému v době oprávněného užívání vozidla k soukromým účelům se bude jednat o zásah do práv dotčených zaměstnanců, bude-li mít zaměstnavatel informace o jejich pohybu.

Zákon ochraně osobních údajů se vztahuje na zpracování osobních údajů, kterým je v § 4 písm. e) tohoto zákona definovaná operace nebo soustava operací prováděná s osobními údaji systematicky. Na namátkové kontroly, tedy na nesystematické zpracování se zákon ochraně osobních údajů vztahovat nebude.

Při posouzení toho, zda ke zpracování osobních údajů dochází, je vždy nutné vycházet ze stanoveného účelu. V uvedeném případě by se o zpracování osobních údajů jednalo, jestliže by účelem instalace satelitního sledovacího zařízení bylo systematické shromažďování údajů o všech zaměstnancích, kteří firemní auto používají, a další zpracování těchto údajů. Pokud by byly dále zpracovávány pouze údaje v nezbytném rozsahu vypovídající o využívání svěřeného pracovního prostředku, tedy např. pouze o počtu najetých kilometrů, a nikoli o přesném pohybu auta, nebyl by k tomu nutný souhlas zaměstnance, v souladu s § 5 odst. 2 písm. e) zákona ochraně osobních údajů. Zaměstnavatel by však v takovém případě byl povinen informovat zaměstnance o zpracování osobních údajů podle § 11 odst. 5 zákona ochraně osobních údajů. Jestliže účelem instalace zařízení není další zpracování osobních údajů, zákon ochraně osobních údajů se na postup zaměstnavatele nevztahuje. Informace o instalaci sledovacího zařízení by však podle názoru autorů měla být i v takovém případě zaměstnanci poskytnuta, v souladu s § 279 odst. 1 písm. d) zákoníku práce.

Z toho vyplývá, že zákon ochraně osobních údajů se při dodržení výše uvedených pravidel nevztahuje ani na monitorování oprávněného užívání vozidla k soukromým účelům, ovšem bez ohledu na to by bylo v souladu s dobrými mravy získat souhlas zaměstnanců k monitorování automobilu i při oprávněném užívání vozidla k soukromým účelům.

Nicméně zejména v dálkové nákladní dopravě se sledovacích systémů GPS využívá stále častěji, ať již pro přehled dopravce o pohybu jeho dopravní flotily, informací např. o povinných bezpečnostních přestávkách řidičů nebo o dodržení naplánovaných tras. Zaměstnanci však o tomto způsobu monitoringu vědí a nejedná se tedy o zakázané skryté sledování. Lze přijmout i názor, že v daném případě by se jednalo o zpracování v souladu § 5 odst. 2 písm. e) zákona ochraně osobních údajů, tedy zpracování k ochraně práv správce.

Může zaměstnavatel vyžadovat doložení občanského průkazu kvůli okopírování?

Dotaz je třeba rozdělit na dvě části. V první řadě je třeba uvést, že dle § 15a odst. 2 zákona č. 328/1999 Sb., o občanských průkazech, ve znění pozdějších předpisů, je zakázáno pořizovat jakýmikoliv prostředky kopie občanského průkazu bez prokazatelného souhlasu občana, kterému byl občanský průkaz vydán, pokud zvláštní zákon nebo mezinárodní smlouva, kterou je Česká republika vázána, nestanoví jinak. Pokud by tedy chtěl zaměstnavatel uchovávat kopie občanských průkazů zaměstnanců, musel by mít jejich souhlas, neboť mu nesvědčí žádné zákonné právo. Jak uvádí zákon, tento souhlas musí být prokazatelný.

Ačkoliv kopie sama o sobě jistě není svým významem adekvátní originálnímu dokladu nebo dokumentu, je pořizování a uchovávání kopií osobních dokladů či veřejných listin považováno za zpracování osobních údajů podle zákona o ochraně osobních údajů, které by mělo stejně jako jiné druhy zpracování probíhat pouze v jeho mezích a v souladu s platným zvláštním právním předpisem.

Podle § 5 odst. 1 písm. c) zákona o ochraně osobních údajů je správce povinen zpracovávat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Aby zaměstnavatel v postavení správce osobních údajů naplnil povinnost podle tohoto ustanovení, může v souladu se zákonem o občanských průkazech ověřit přesnost osobních údajů nahlédnutím do občanského průkazu, a to i v případě personální agendy a identifikace nemocného. Číslo osobního dokladu může poznamenat k verifikovaným osobním údajům.

Dále je podle § 5 odst. 1 písm. d) zákona o ochraně osobních údajů povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Občanský průkaz však může obsahovat celou řadu údajů, které nejsou v souvislosti s pracovněprávním vztahem nezbytné, např. fotografii zaměstnance.

Je třeba zohlednit i zákoník práce, který v ustanovení § 312 odst. 1 uvádí, že zaměstnavatel je oprávněn vést osobní spis zaměstnance. Osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu uvedeném v § 3. Kopie občanského průkazu takovou písemností nepochybně není.

Obecně je tedy možné říct, že zaměstnavatel by neměl kopie občanského průkazu uchovávat.

Je fotografie osobním údajem?

Odpověď na takto jednoduchou otázku vůbec jednoduchá není. Je zjevné, že fotografie, tedy zejména fotografie portrétní anebo i momentková odráží zjevnou podobu člověka a je tedy informací o něm. Na druhou stranu se musí posuzovat i fakt, zda prosté uchování takové fotografie podléhá regulaci podle zákona o ochraně osobních údajů. Pokud se jedná o takovou fotografii samu o sobě, tedy bez dalších informací, bude obtížné takovou zobrazenou osobu identifikovat (určit) přímo, nebo i nepřímo. Je nutné vzít v potaz možnosti, které má správce nebo i třeba zpracovatel nebo osoba, která má k takové fotografii přístup, a zda je vůbec s to osobu na fotografii identifikovat, tedy určit. Interpretačně je totiž třeba vycházet z recitalu 26 Směrnice 95/46/ES, podle kterého „pro určení, zda je osoba identifikovatelná, je třeba přihlédnout ke všem prostředkům, které mohou být rozumně použity jak správcem, tak jakoukoliv jinou osobou pro identifikaci dané osoby“. Nebude-li mít správce takové možnosti, zřejmě se o osobní údaj jednat nebude.

Pokud však bude fotografie výše uvedených charakteristik součástí souboru osobních údajů, které fyzickou určují i bez ní, bude pak fotografie také osobním údajem, vypovídajícím o fyzické podobě subjektu údajů. Z hlediska možnosti takovou fotografii uchovávat v souboru osobních údajů je třeba mít vždy na paměti jedno ze základních pravidel ochrany osobních údajů, tedy že je možno je primárně zpracovávat jen se souhlasem subjektu údajů, a to podle § 5 odst. 2 zákona o ochraně osobních údajů.

Portrétní fotografie bývají nejčastěji uchovávány zaměstnavatelem, a to za různými účely. Jsou-li tyto fotografie uchovávány a dále zpracovávány pouze za účelem vydání služebního průkazu, bude se z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a) tedy zpracování nezbytné pro dodržení právní povinnosti správce, tedy zaměstnavatele. Pro takové zpracování se pak nevyžaduje souhlas zaměstnance, dá se říci, že naopak, bude-li jeho pracovní náplní činnost, pro kterou na základě právních předpisů je třeba služebního průkazu vydávaného zaměstnavatelem, je jeho povinností fotografii zaměstnavateli poskytnout. Ten pak, vázán právním předpisem ji může použít právě jen pro stanovený účel. Při zpracování za jiným účelem je třeba posuzovat, zda je pro zpracování fotografií bez souhlasu subjektu údajů splněna například výjimka podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, tedy je-li to nezbytné pro ochranu práv a právem chráněných zájmů správce. Je dále otázkou, jaký je účel uchovávání fotografií zaměstnanců v databázovém systému zaměstnavatele a zda je tento účel nezbytný pro ochranu práv zaměstnavatele; to závisí na charakteru činnosti zaměstnavatele.

Nejsou-li však shromažďovány portrétní fotografie, tedy podobizny jednotlivých subjektů údajů, ale pouze fotografie zachycující průběh různých akcí a tyto fotografie jsou označeny jen názvem akce a nikoli údaji, z nichž by bylo možné identifikovat subjekty údajů, nejedná se o zpracování osobních údajů ve smyslu § 4 písm. e) zákona o ochraně osobních údajů a při jejich zpracování tak nedochází k zásahu do práva na ochranu osobních údajů.

Za jakých okolností může zaměstnavatel zpracovávat fotografii zaměstnance?

Jednou ze součástí osobního spisu bývá fotografie zaměstnance. Důvodů, pro něž zaměstnavatelé fotografii vyžadují, je mnoho. Nejčastěji bývají uváděny důvody bezpečnostní (především u velkých zaměstnavatelů, kde se jednotliví zaměstnanci navzájem neznají), druhým nejčastějším důvodem je umístění na intranetu (účel je v zásadě stejný jako bezpečnostních důvodů). Pokud zaměstnavatel hodlá fotografii zaměstnance využít, musí vzít v potaz i zákon o ochraně osobních údajů.

Podle ustanovení § 4 písm. a) zákona o ochraně osobních údajů je osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Z pořízené fotografie lze ve většině případů subjekt údajů identifikovat, samozřejmě v závislosti na kvalitě této fotografie. Jsou-li proto portrétní fotografie systematicky zpracovávány, jedná se nepochybně o zpracování osobních údajů ve smyslu zákona o ochraně osobních údajů. Častým dotazem bývá, zda se při uchovávání fotografií nejedná také o zpracování citlivých osobních údajů. Uchovávání fotografií není samo o sobě posuzováno jako zpracování citlivých údajů vypovídajících o rasovém nebo etnickém původu, pokud nedochází k dalšímu zpracování, např. třídění subjektů údajů podle biometrických charakteristik vypovídajících na fotografii o rasovém nebo etnickém původu, připojování slovně vyjádřených údajů o rasovém nebo etnickém původu k jednotlivým fotografiím apod.

Běžné uchovávání portrétních fotografií v datovém souboru je proto možné podřídit ustanovení § 5 odst. 2 zákona o ochraně osobních údajů. Portrétní fotografie bývají nejčastěji uchovávány zaměstnavatelem, a to za různými účely. Jsou-li tyto fotografie uchovávány a dále zpracovávány pouze za účelem vydání služebního průkazu, bude se z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a) tedy zpracování nezbytné pro dodržení právní povinnosti správce, tedy zaměstnavatele. Pro takové zpracování se pak nevyžaduje souhlas zaměstnance, dá se říci, že naopak, bude-li jeho pracovní náplní činnost, pro kterou na základě právních předpisů je třeba služebního průkazu vydávaného zaměstnavatelem, je jeho povinností fotografii zaměstnavateli poskytnout. Ten pak, vázán právním předpisem ji může použít právě jen pro stanovený účel. Při zpracování za jiným účelem je třeba posuzovat, zda je pro zpracování fotografií bez souhlasu subjektu údajů splněna například výjimka podle § 5 odst. 2 písm. e) zákona o ochraně osobních údajů, tedy je-li to nezbytné pro ochranu práv a právem chráněných zájmů správce. Je dále otázkou, jaký je účel uchovávání fotografií zaměstnanců v databázovém systému zaměstnavatele a zda je tento účel nezbytný pro ochranu práv zaměstnavatele; to závisí na charakteru činnosti zaměstnavatele.

Nejsou-li však shromažďovány portrétní fotografie, tedy podobizny jednotlivých subjektů údajů, ale pouze fotografie zachycující průběh různých akcí a tyto fotografie jsou označeny jen názvem akce a nikoli údaji, z nichž by bylo možné identifikovat subjekty údajů, nejedná se o zpracování osobních údajů ve smyslu § 4 písm. e) zákona o ochraně osobních údajů a při jejich zpracování tak nedochází k zásahu do práva na ochranu osobních údajů.

Jak bylo uvedeno výše, jsou-li fotografie zaměstnanců zpracovávány pouze za účelem vydání služebního průkazu, bude se z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a) tedy zpracování nezbytné pro dodržení právní povinnosti správce, tedy zaměstnavatele. V takovém případě je nutné posoudit existenci zákona, který by stanovil tuto povinnost. Obecný právní předpis, tedy zákoník práce žádnou takovou povinnost zaměstnavateli neukládá, stejně tak ani např. zákon č. 312/2002 Sb., o úřednících územních samosprávných celků a o změně některých zákonů, ve znění pozdějších předpisů. Nyní již platný a účinný nový zákon o státní službě však předpokládá v § 154, že služební úřad, v němž státní zaměstnanec vykonává službu, vystaví státnímu zaměstnanci služební průkaz. Služební průkaz osvědčuje, že jeho držitel je státním zaměstnancem. Služební průkaz obsahuje i fotografii státního zaměstnance, Tento předpis tak přímo ukládá služebnímu úřadu, který plní roli zaměstnavatele (jímž je ovšem stát) zpracovávání fotografie a také stanoví, pro jaký účel má být použita. Přímé zákonné zmocnění ke zpracování fotografie zaměstnance lze nalézt jen velmi sporadicky. Příkladem může být zák. č. 266/1994 Sb., o drahách, který v § 58 odst. 5 stanoví, že pověření k výkonu státního dozoru nebo vrchního státního dozoru ve věcech drah ve formě průkazu vydává správní orgán, do jehož působnosti výkon dozoru spadá. Náležitosti průkazu a jeho vzor stanoví prováděcí právní předpis. Tímto předpisem je pak vyhláška č. 9/2015 Sb., o stanovení náležitostí a vzorů pověření k výkonu státního dozoru, státního odborného dozoru, vrchního státního dozoru a vrchního státního odborného dozoru v dopravě ve formě průkazu a o změně souvisejících vyhlášek. V této vyhlášce je upraven vzor průkazu s tím, že obsahuje i fotografii. Stejně tak zák. č. 187/2006 Sb., o nemocenském pojištění, v ustanovení § 76 odst. 3 ukládá, že pověření zaměstnanci orgánu nemocenského pojištění provádějící kontrolu dodržování režimu dočasně práce neschopného pojištěnce jsou povinni se prokázat průkazem s fotografií vydaným orgánem nemocenského pojištění. Je však mnoho předpisů podzákonných, vesměs vyhlášek, které upravují a ukládají, zejména v souvislosti s nějakým oprávněním zpracovávat i fotografie osob, kterým se vydává služební průkaz apod.

Ve všech těchto případech se bude z hlediska zákona o ochraně osobních údajů jednat o zpracování ve smyslu § 5 odst. 2 písm. a), tedy zpracování nezbytné pro dodržení právní povinnosti správce – zaměstnavatele. Pro takové zpracování se pak nevyžaduje souhlas zaměstnance, dá se říci, že naopak, bude-li jeho pracovní náplní činnost, pro kterou na základě právních předpisů je třeba služebního průkazu vydávaného zaměstnavatelem, je jeho povinností fotografii zaměstnavateli poskytnout. Ten pak, vázán právním předpisem ji může použít právě jen pro stanovený účel. Jakékoliv jiné využití (zpracování) fotografie je již vázáno na souhlas zaměstnance. Bude tak třeba takového souhlasu např. ke zpřístupnění fotografie v interním informačním systému, v elektronickém telefonním seznamu apod.

Nevejde-li se zaměstnavatel do výjimek stanovených v jednotlivých písmenech § 5 odst. 2 zákona o ochraně osobních údajů, a bude-li přesto chtít použít fotografii zaměstnance, bude muset získat jeho souhlas. Zpracování osobních údajů se souhlasem subjektu údajů je jednou ze základních zásad zpracování osobních údajů, a to proto, že zpracováním osobních údajů dochází k zásahu do soukromí jejich nositele. Obecně je poskytnutí souhlasu právním jednáním, a to právním jednáním, který je svým charakterem jednoznačně jednostranným. Nejedná se tedy o dohodu mezi správcem nebo zpracovatelem na straně jedné a subjektem údajů – fyzickou osobou na straně druhé.

Můžeme použít při komunikaci se zaměstnancem rodné číslo na obálce dopisu pro jednoznačnou identifikaci adresáta?

Využití rodného čísla pro daný účel je zjevně nadbytečné a jeho použitím v adrese na obálce zásilky došlo k porušení ustanovení § 13 odst. 9 zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel), ve znění pozdějších předpisů, neboť je zřejmé, že k naplnění podmínek stanovených pro využívání rodného čísla v § 13c tohoto zákona nedošlo.

Výjimkou by mohla být zásilka, jejímž odesilatelem je soud, který má zmocnění k využívání rodného čísla uvedené v ustanovení § 13 odst. 1 písm. a) téhož zákona.

Na druhé straně provozovatel poštovních služeb a osoby podílející se na jejich poskytování jsou podle § 16 odst. 1 zákona č. 29/2000 Sb., o poštovních službách a o změně některých zákonů (zákon o poštovních službách), ve znění pozdějších předpisů, nositeli poštovního tajemství. V tomto případě nelze při přepravě poštovní zásilky hovořit o zveřejnění osobních údajů uvedených na zásilce ve smyslu ustanovení § 4 písm. e) a l) zákona o ochraně osobních údajů. Tyto osoby jsou rovněž povinny podle § 15 odst. 1 zákona zachovávat mlčenlivost o osobních údajích, která trvá i po skončení zaměstnání nebo příslušných prací.

4.4 Zpracování citlivých osobních údajů

■ Zpracování citlivých osobních údajů

■ Biometrické údaje

■ Výpis z rejstříku trestů

■ Údaj o zdravotním stavu

Dotazy:

Může zaměstnavatel zpracovávat také citlivé osobní údaje o svých zaměstnancích?

Citlivé osobní údaje jsou zvláštní kategorií osobních údajů a jejich zpracovávání je s to do značné míry zasáhnout do osobní integrity zaměstnance. Proto je zpracování citlivých osobních údajů regulováno v ustanovení § 9 zákona o ochraně osobních údajů, které má z hlediska jiných právních úprav obecnou povahu. Z hlediska tématu je klíčové ustanovení § 9 písm. d) zákona o ochraně osobních údajů, kde je stanoveno, že zpracování citlivých osobních údajů je možné, jen jestliže je zpracování nezbytné pro dodržení povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti, stanovené zvláštním zákonem. Takovým zvláštním zákonem je bezpochyby zejména zákoník práce. Ten věnuje, na rozdíl od předchozí právní úpravy, pozornost i zpracování citlivých osobních údajů, a to v ustanovení § 316 odst. 4, i když výčet údajů tam uvedených se zcela nekryje s výčtem citlivých osobních údajů, (resp. výčet není úplný), jak je stanoví zákon o ochraně osobních údajů, a naopak uvádí takové údaje, které dle definice § 4 písm. b) zákona o ochraně osobních údajů citlivými osobními údaji nejsou.

Citované ustanovení zakazuje („zaměstnavatel nesmí“) vyžadovat od zaměstnance informace, které bezprostředně nesouvisí s výkonem práce a pracovněprávním vztahem. Nesmí tak vyžadovat informace zejména o těhotenství, rodinných a majetkových poměrech, sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti a trestněprávní bezúhonnosti. Je přitom zřejmé, že se jedná o výčet fakultativní a zákaz není absolutní pro všechny výše uvedené údaje a naopak, vzhledem k dovětku, bude nezbytné respektovat i obecnou právní úpravu podle zákona o ochraně osobních údajů. Absolutní zákaz, (který je vzhledem k výše uvedenému vlastně jen relativní) se týká jen údajů (zákoník práce používá slovo „informace“) o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách a hnutích a konečně o příslušnosti k církvi nebo náboženské společnosti. ZP tak připouští, že informace o těhotenství, majetkových poměrech a trestní bezúhonnosti může zaměstnavatel vyžadovat, avšak jen v případě, jestliže je pro to dán věcný důvod spočívající v povaze práce, která má být vykonávána, a je-li tento požadavek přiměřený, nebo v případech, kdy to stanoví tento zákon nebo zvláštní právní předpis. Tyto informace nesmí zaměstnavatel získávat ani prostřednictvím třetích osob.

Citlivé osobní údaje podle zákona o ochraně osobních údajů, tedy údaje vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů, genetický údaj subjektu údajů a biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů, bude vždy třeba komparovat ve vzájemných souvislostech tak, že ač ZP některé citlivé osobní údaje jmenuje ve fakultativním výčtu, bude vždy nezbytné posoudit obecnou právní úpravu zákona o ochraně osobních údajů a zejména limit stanovený § 5 odst. 1 písm. d). Navíc bude samozřejmě platit, že pokud zpracování některého z citlivých osobních údajů nepředepisuje zaměstnavateli některý ze zvláštních zákonů, může zpracovávat citlivé osobní údaje jen se souhlasem zaměstnance. Takový souhlas musí splňovat podmínky na souhlas kladené zákonem o ochraně osobních údajů v ustanovení § 9 písm. a), tedy, že zaměstnanec dal ke zpracování výslovný souhlas. Výslovný v tomto případě znamená, že takový souhlas musí být zcela určitý a vztažený ke konkrétnímu citlivému osobnímu údaji. Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Existenci souhlasu subjektu údajů se zpracováním osobních údajů musí být zaměstnavatel schopen prokázat po celou dobu zpracování a také je povinen předem zaměstnance poučit o jeho právech podle § 12 a 21 zákona o ochraně osobních údajů. Ani na základě souhlasu však nelze, jak vyplývá ze shora uvedeného, zpracovávat osobní údaje absolutně vyňaté z diskrece zaměstnavatele, tedy údaje, respektive informace o sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách a hnutích a konečně o příslušnosti k církvi nebo náboženské společnosti a to proto, že § 316 odst. 4 zákoníku práce, stanoví, že zaměstnavatel nesmí tyto informace ani vyžadovat, což prakticky znamená absolutní zákaz takovými osobními údaji vůbec disponovat.

Z hlediska ochrany osobních údajů je důležité, že zákonem o zaměstnanosti jsou od počátku jeho účinnosti stanoveny rozsahy údajů (informací) které vůbec není přípustné v prepracovním procesu, tedy ve fázi výběru zaměstnanců, zjišťovat.

V § 12 odst. 2 zákona o zaměstnanosti je výslovně stanoveno, že zaměstnavatel nesmí při výběru zaměstnanců vyžadovat informace týkající se národnosti, rasového nebo etnického původu, politických postojů, členství v odborových organizacích, náboženství, filozofického přesvědčení, sexuální orientace, není-li jejich vyžadování v souladu se zákonnými výjimkami, dále informace, které odporují dobrým mravům, a osobní údaje, které neslouží k plnění povinností zaměstnavatele stanovených zvláštním právním předpisem. Na žádost uchazeče o zaměstnání je zaměstnavatel povinen prokázat potřebnost požadovaného osobního údaje. Je tedy zřejmé, že zákonodárce vyloučil tzv. citlivé osobní údaje podle tehdy platného znění § 4 písm. b) zákona o ochraně osobních údajů s výjimkou údaje o trestné činnosti.

Tato informace totiž může být v některých případech pro budoucího zaměstnavatele relevantní. Pro tento údaj ovšem také bude platit povinnost zaměstnavatele prokázat jeho potřebnost. Bude se jednat zejména o případy, kdy je na některou z pracovních pozic stanoven zvláštním právním předpisem požadavek bezúhonnosti, který bývá sice definován hmotně právně různě z hlediska „tolerance“ některých druhů trestné činnosti, nicméně stanoven je. V případě, že by informaci požadoval zaměstnavatel bez přímé opory ve zvláštním právním předpise, nebude sice snaha o získání této informace v rozporu se zákonem o zaměstnanosti, může však být v rozporu s ustanovením § 5 odst. 1 písm. d) zákona o ochraně osobních údajů.

Rozsah informací (osobních údajů), které může zaměstnavatel požadovat po uchazečích o zaměstnání, je značně omezen a může se týkat toliko údajů, které bezprostředně souvisí s obsazovaným pracovním místem. Bude se jednat o základní identifikační údaje jako jméno nebo jména, příjmení, adresa bydliště, datum narození (nikoliv však rodné číslo), informace o vzdělání a praxi, případně i informace o zvláštních předpokladech nebo schopnostech, které mají vztah k obsazované pracovní pozici, a běžné kontaktní údaje, jako číslo telefonu nebo e-mailová adresa.

Nyní platný zákoník práce sice, na rozdíl od staré právní úpravy, věnuje pozornost postupu zaměstnavatelů před vznikem pracovního poměru, když v § 30 stanoví, že výběr fyzických osob ucházejících se o zaměstnání z hlediska kvalifikace, nezbytných požadavků nebo zvláštních schopností je v působnosti zaměstnavatele, nevyplývá-li ze zvláštního právního předpisu jiný postup; předpoklady kladené zvláštními právními předpisy na fyzickou osobu jako zaměstnance tím nejsou dotčeny; a také že zaměstnavatel smí vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. Jak vidno, ani současná právní úprava v zákoníku práce není příliš konkrétní, což na druhou stranu nemusí být na závadu věci z hlediska ochrany osobních údajů. Stále platí limity stanovené zákonem o ochraně osobních údajů a je tedy jen otázkou správné aplikace jak zákona o ochraně osobních údajů, tak zákoníku práce a v neposlední řadě také zákona o zaměstnanosti. Správnou aplikací všech tří zákonů ve vzájemných souvislostech pak lze dosáhnout natolik vyváženého shromažďování a následného dalšího zpracování osobních údajů, že bude nejen chráněno soukromí uchazečů o zaměstnání, ale také zaměstnavatelé budou mít dost informací pro to, aby mohli pracovní místo obsadit vhodným kandidátem.

Jedním z nejproblematičtějších z pohledu zaměstnavatelů je potvrzení lékaře nebo zdravotnického zařízení (např. ze vstupní nebo preventivní lékařské prohlídky) o tom, zda pracovník je nebo není schopen vykonávat svoji práci. Zaměstnavatelé se začasto domnívají, že při obdržení takového potvrzení zpracovávají citlivé osobní údaje o zdravotním stavu zaměstnanců., ač tomu tak ve skutečnosti není. Citlivé osobní údaje o zdravotním stavu zaměstnanců je tak oprávněn zpracovávat např. pouze smluvní závodní lékař, nikoliv ovšem zaměstnavatel. Výjimkou může být případ zaměstnání zaměstnanců se změněnou pracovní schopností. V tomto případě vyplývají povinnosti zaměstnavatelů související se zaměstnáváním zaměstnanců se zdravotním postižením ze zvláštních právních předpisů [zákon o zaměstnanosti (§ 67 až § 83), zákoníku práce (např. § 103 odst. 5)]. Ani v uvedených případech zpracování citlivých osobních údajů není nutné plnit oznamovací povinnost podle § 16 zákona o ochraně osobních údajů.

Nelze ovšem zapomínat na to, že zákoník práce předepisuje zaměstnavatelům shromažďovat a dále zpracovávat v některých případech i citlivé osobní údaje o zdravotním stavu. Tak např. podle ustavení § 105 zákoníku práce zaměstnavatel vede v knize úrazů evidenci o všech úrazech, i když jimi nebyla způsobena pracovní neschopnost nebo byla způsobena pracovní neschopnost nepřesahující 3 kalendářní dny, a také je povinen vyhotovovat záznamy a vést dokumentaci o všech pracovních úrazech, jejichž následkem došlo ke zranění zaměstnance s pracovní neschopností delší než 3 kalendářní dny, nebo k úmrtí zaměstnance. Rovněž tak je povinen vést evidenci zaměstnanců, u nichž byla uznána nemoc z povolání, která vznikla na jeho pracovištích. Tedy jinak řečeno, jsou zpracovávány informace o zdravotním stavu a to v souvislosti s pracovním úrazem nebo s nemocí z povolání. Že se o citlivé osobní údaje bezpochyby jedná, vyplývá z povahy údajů samotných. Při striktním výkladu pojmu „údaj o zdravotním stavu“ by bylo také možné dovodit, že citlivým osobním údajem je i negativní informace o způsobilosti zaměstnance vykonávat některé činnosti. Podle § 103 odst. 1 písm. c) zákoníku práce je zaměstnavatel povinen zajistit, aby práce v případech stanovených zvláštním právním předpisem vykonávali pouze zaměstnanci, kteří mají platný zdravotní průkaz, kteří se podrobili zvláštnímu očkování nebo mají doklad o odolnosti vůči nákaze. Je tedy zřejmé, že zaměstnanec, který nedoloží příslušná osvědčení, nemůže práce, pro něž je stanovena taková zvláštní způsobilost předepsána, vykonávat. Tato skutečnost, zejména v případě, kdy zaměstnanci není orgánem hygienické služby zdravotní průkaz vydán, svědčí totiž o tom, že zdravotní stav zaměstnance není takový, aby mohl příslušnou činnost vykonávat, neboť by to představovalo zdravotní riziko. Jedná se tedy o informaci o zdravotním stavu, neboť důvody pro nevydání vyplývající ze zvláštního právního předpisu jsou velmi specifické.

Na závěr snad jen zbývá dodat, že výpis z rejstříku trestů, který v současné době zaměstnavatelé zhusta požadují a který neobsahuje pozitivní informaci, ale jen uvádí, že daná fyzická osoba nemá záznam v rejstříku trestů, není citlivým osobním údajem, ale osobním údajem tzv. obyčejným. Tento závěr je uznáván jak odbornou literaturou a také Úřadem a plyne z toho, že zákon o ochraně osobních údajů mezi citlivé osobní údaje zařadil údaj o trestné činnosti, tedy jednoznačně pozitivní informaci o tom, že někdo trestán byl, tedy byl pravomocně odsouzen. Citlivým osobním údajem tak nebude např. ani informace o tom, že trestní stíhání bylo zastaveno.

Může zaměstnavatel zpracovávat biometrické osobní údaje, např. pro evidenci docházky zaměstnanců?

Biometrické osobní údaje lze definovat jako biologické vlastnosti, fyziologické rysy, znaky živého organismu nebo opakovatelné úkony, které jsou jedinečné pro daného jednotlivce a současně měřitelné, bez ohledu na to, že technické metody k jejich měření používané v praxi zahrnují určitou míru pravděpodobnosti. K typickým příkladům biometrických údajů patří otisky prstů, struktura sítnice, struktura obličeje či hlas, ale také geometrie ruky, struktura žil, nebo dokonce některé hluboce zakořeněné dovednosti či jiné behaviorální rysy (například vlastnoruční podpis, úhozy na klávesnici, charakteristický způsob chůze nebo řeči atd.). Biometrické údaje jsou zvláštní tím, že je lze považovat jak za obsah informace o určitém jednotlivci, tak za prvek uvádějící nějakou informaci do souvislosti s tímto jednotlivcem Z tohoto důvodu mohou fungovat jako „identifikátory“. Vzhledem k tomu, že mají jedinečnou souvislost s konkrétním jednotlivcem, mohou biometrické údaje sloužit k identifikaci tohoto jednotlivce.

Podle § 96 zákoníku práce je zaměstnavatel mimo jiné povinen vést u jednotlivých zaměstnanců evidenci odpracované pracovní doby. Formy evidence pracovní doby ZP nestanoví a záleží výhradně na rozhodnutí zaměstnavatele, jaký způsob evidence zvolí. Může se jednat o jakýkoliv způsob, podmínkou je pouze to, aby byl zvolený způsob průkazný a vypovídal o tom, zda zaměstnanec odpracoval stanovenou týdenní nebo dohodnutou pracovní dobu, zda konal práci přesčas a v jakém rozsahu atd. Zaměstnavatel musí způsob vedení evidence zvolit tak, aby byl na základě výzvy kontrolního orgánu, kterým bude převážně inspekce práce, schopen doložit zákonem uloženou povinnost vést evidenci podle jednotlivých odpracovaných dob tak, jak to uvádí shora uvedený § 96 zákoníku práce. Zaměstnavatel může vést evidenci písemně, ale i elektronickým způsobem.

Teoreticky je možné zpracovávat osobní údaje – otisky prstu na základě souhlasu subjektu údajů. V reálu toto ovšem bude velmi obtížné. Obdobný názor vyjádřil také Úřad ve svém stanovisku[126], když uvedl, že „podle přístupu Úřadu k této problematice deklarovaného ve výroční zprávě za rok 2007 i v odpovědích na četné dotazy veřejnosti k této problematice nelze použití systémů, v jejichž paměti dochází k uchovávání biometrických údajů v podobě, která umožňuje jejich další zpracování, považovat za nezbytné pro jakoukoliv běžnou evidenci, např. pro evidenci docházky do zaměstnání. Zpracování biometrických údajů zejména v docházkových systémech lze proto posuzovat jako nepřiměřené ve vztahu k rozsahu a účelu zpracovávání, který je povinen stanovit každý správce. V důsledku toho může docházet k porušení povinnosti podle § 5 odst. 1 písm. d) zákona o ochraně osobních údajů, tedy shromažďování osobních údajů neodpovídajících stanovenému účelu a v rozsahu nikoli nezbytném pro naplnění stanoveného účelu, a to i v případě existence výslovného souhlasu subjektu údajů. Na takový postup zaměstnavatele lze podat Úřadu stížnost. Ani splnění oznamovací povinnosti správce podle § 16 zákona o ochraně osobních údajů problém zaměstnavatele neřeší, protože takové zpracování by nemohlo být ve smyslu § 17 odst. 2 povoleno. Obdobný přístup zaujímá většina úřadů na ochranu dat států Evropské unie“.

Lze však připustit, že je možné v docházkových systémech využívat otisky prstů, avšak za splnění zcela specifických podmínek. I k těmto podmínkám a dalším souvislostem se vyjádřil Úřad v již citovaném stanovisku, které bylo zpracováno na základě „Pracovního dokumentu o biometrii“ přijaté WP 29 v srpnu 2003 a stávajících poznatků. Z tohoto stanoviska lze vyjmout že „prvním podstatným hlediskem je, zda dochází k uchovávání úplných biometrických údajů, nebo zda systém vybírá z úplných biometrických údajů některé rysy specifické pro jednotlivce tak, aby vytvořil biometrickou šablonu, která je redukcí úplného biometrického obrazu.

Je žádoucí, aby šablony byly před uložením v systému zpracovávány matematickými operacemi (kódování, algoritmy nebo hash funkce) tak, aby nebyly volně čitelné nebo zpětně rekonstruovatelné. Důležité přitom je, že různé systémy mají různé způsoby bezpečného převodu šablony otisku prstů do číselného vyjádření, které je uloženo v systému. Nelze proto říci, že určité takto získané číselné vyjádření je pro subjekt údajů ve všech systémech jednoznačné. Zpracování takovýchto číselných vyjádření šablon tedy nelze posuzovat jako zpracování biometrických údajů.

Jiná situace by ovšem nastala v případě, kdy by existoval pouze jediný způsob převodu, a tudíž by každý subjekt měl ve všech těchto systémech jedinou hodnotu.

Jestliže dojde např. při použití jednosměrného hashování k vytvoření číselného údaje, jehož zpětná rekonstrukce na biometrický údaj není možná, nelze již tento údaj považovat za biometrický a využití takového systému může být v určitých případech přípustné, a to při naplnění povinností správce podle § 5 odst. 1 a dále některé z podmínek § 5 odst. 2 písm. a), b) nebo e) zákona o ochraně osobních údajů i bez souhlasu subjektu údajů, protože nedochází k uchovávání citlivého údaje.

Pro další zpracování údajů o docházce do zaměstnání za účelem plnění práv a povinností vyplývajících z pracovněprávních vztahů je v tom případě aplikovatelná i výjimka z oznamovací povinnosti podle § 18 odst. 1 písm. b) zákona o ochraně osobních údajů. Další zpracování osobních údajů zaměstnance např. na základě osobního čísla zaměstnance již není zpracováním citlivých údajů. Podléhá proto ostatním povinnostem stanoveným zákona o ochraně osobních údajů, se zákonem stanovenými výjimkami, ne však režimu § 9.

Dalším důležitým hlediskem je, zda je použitý systém založen na autentizaci (verifikaci) fyzické osoby, nebo na identifikaci subjektu údajů. Plné biometrické údaje nebo biometrické šablony tedy mohou být uchovávány buď pouze v paměti biometrického zařízení nebo v centrální databázi, případně u některých systémů na optických, nebo čipových kartách, které uživatelům umožňují nosit je při sobě jako identifikační prostředek.

Aplikace pro autentizaci (verifikaci) se často používají pro různé úkoly ve zcela odlišných oblastech a v odpovědnosti celé řady různých subjektů. Pro účely autentizace/verifikace není nezbytné uchovávat osobní údaje v databázi, postačuje je uchovávat decentralizovaně. Z hlediska zásady proporcionality jsou jednoznačně upřednostňovány biometrické aplikace, které nezpracovávají data získaná z tělesných stop nevědomě zanechaných jednotlivci a u kterých nejsou data uchovávána v centralizovaném systému.

Povinnostem stanoveným zákonem o ochraně osobních údajů pro zpracování citlivých údajů proto nemusí podléhat systém, který pracuje pouze na principech autentizace, tedy metody kontroly příchodu a odchodu zaměstnance, kdy čtecí zařízení, do kterého otisk prstu vkládá na základě požadavku zaměstnavatele na kontrolu docházky sám zaměstnanec, porovnává údaje 1:1.

Při příchodu na pracoviště nebo odchodu z něj je po zvolení osobního čísla zaměstnance vložený otisk s přiložením příslušného prstu použit pouze pro ověření totožnosti subjektu údajů. Do dalšího zpracování osobních údajů snímek otisku prstu nebo dlaně však již nevstupuje a systém jeho další zpracování ani neumožňuje. Osobní číslo zaměstnance je v takovémto docházkovém systému druhým identifikátorem, který však může být zaměstnavatelem zpracováván v souladu se zákonem o ochraně osobních údajů i bez souhlasu subjektu údajů ve smyslu § 5 odst. 2 písm. e). Rozhodné pro posouzení, zda jde o z hlediska zásad ochrany přípustnou autentizaci, nebo o identifikaci, kterou je třeba podrobit přísné regulaci, je, zda účelem použití otisku prstu, je pouze ověření totožnosti porovnáním s přiloženým prstem ruky, nebo v systému dochází v návaznosti na přiložení ruky nebo její části (případně karty s RFID čipem, který již tyto informace obsahuje) k vyhledávání a porovnávání informací s údajem uchovávaným v databázi biometrických údajů, která musí být vždy považována za zpracování citlivých údajů, podléhající režimu § 9 zákona o ochraně osobních údajů.

I zde však platí, že pro další zpracování osobních údajů zaměstnanců mohou být uplatněny výjimky pro zpracování bez souhlasu subjektu údajů podle § 5 odst. 2 písm. a), b) nebo e) a výjimka z oznamovací povinnosti podle § 18 odst. 1 písm. b) zákona o ochraně osobních údajů, ale je třeba upozornit, že Úřad bude aplikaci těchto výjimek u všech systémů založených na použití biometrických znaků posuzovat nadále velmi obezřetně. Zaměstnavatel musí důsledně splnit nejen shora uvedené povinnosti podle § 5, 9 a 16 zákona o ochraně osobních údajů, ale dále také informační povinnost podle § 11 a povinnosti při zabezpečení osobních údajů podle § 13–15 zákona o ochraně osobních údajů, jestliže by šlo o shromažďování citlivých údajů umožňující jejich další zpracování v databázi, ale v případě jakéhokoliv systému založeného na použití biometrických znaků i informační povinnost o základních pracovních podmínkách a jejich změnách podle § 279 zákoníku práce, neboť může nastat situace, kdy zaměstnanec výlučně vstupní otisk prstu pro ověření totožnosti neposkytne z obavy z jeho možného zneužití.“

Je údaj o platu či mzdě citlivým osobním údajem?

Jednoznačně není, i když, zejména veřejná média často používají slovní spojení „citlivý osobní údaj o mzdě“. Výčet citlivých osobních údajů uvedený je totiž z hlediska legislativního ztvárnění výčtem taxativním, tedy úplným a uzavřeným, a je uveden v ustanovení § 4 písm. b) zákona o ochraně osobních údajů, podle něhož se citlivým údajem osobní rozumí údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů.

V případě, že zaměstnavatel bude mít k dispozici výpis z rejstříku trestů, musí s údaji v něm obsaženými nakládat v nějakém zvláštním režim, když se jedná o citlivé osobní údaje?

Citlivým osobním údajem „odsouzení za trestný čin“ je třeba chápat informaci pozitivní, tedy fakt, že někdo za trestný čin odsouzený byl. Citlivým osobním údajem tak nebude informace, že je někdo „trestně stíhán“ neboť ještě odsouzen nebyl, stejně tak nebude citlivým údajem prostá informace „nemá záznam v rejstříku trestů“. Takové informace však budou osobním údajem ve smyslu § 4 písm. a) zákona o ochraně osobních údajů. Citlivým osobním údajem také bude informace o potrestání za přestupek. Tento závěr lze učinit na základě nálezu[127] Ústavního soudu, který uvedl, že „z hlediska judikatury Evropského soudu pro lidská práva lze tedy řízení o přestupku, jehož spáchání bylo stěžovateli kladeno za vinu, považovat za řízení, v němž se rozhodovalo o oprávněnosti trestního obvinění ve smyslu čl. 6 Úmluvy č. 108. Tomuto závěru svědčí v prvé řadě všeobecná povaha přestupků a řízení o nich: zákon č. 200/1990 Sb., o přestupcích, ve znění pozdějších předpisů, je obecným právním předpisem pro postih protispolečenských činů v nejrůznějších odvětvích práva. V úvahu je třeba vzít i subsidiární poměr trestných činů k přestupkům (přestupek a trestný čin se odlišují především intenzitou újmy způsobené chráněnému společenskému zájmu). Konečně i pojem správní trestání, jímž je v nauce označován podobor správního práva, do něhož spadá i přestupkové právo, ospravedlňuje závěr, že obvinění z přestupku je svou povahou obviněním trestním.“

Jak již bylo řečeno, citlivým osobním údajem není informace, že je někdo „trestně stíhán“, neboť ještě odsouzen nebyl, stejně tak nebude citlivým údajem prostá informace „nemá záznam v rejstříku trestů“. Takové informace však budou osobním údajem ve smyslu § 4 písm. a) zákona o ochraně osobních údajů.

Za údaje vypovídající o trestné činnosti je třeba považovat v prvé řadě údaje o osobách pravomocně odsouzených soudy České republiky, zaznamenané v evidenci Rejstříku trestů. Údaji vypovídajícími o trestné činnosti jsou pak také údaje uváděné v opisech a výpisech z Rejstříku trestů. V § 10 odst. 5 zákona o Rejstříku trestů je stanoveno, že v opise se uvádějí všechny údaje o každém odsouzení osoby, které se opis týká, a všechny údaje o průběhu výkonu trestů a ochranných opatření i o zahlazení odsouzení; v § 11 až 13 se upravuje vydávání výpisu na písemnou žádost osoby. Ve výpisu se uvedou všechna dosud nezahlazená odsouzení včetně údajů o průběhu výkonu uložených trestů a ochranných opatření, pokud se podle zákona na pachatele nehledí, jako by nebyl odsouzen. To lze považovat za dostatečně úplné vymezení údajů vypovídajících o trestné činnosti.

Je však třeba zohlednit to, že zákon o zaměstnanosti stanovil pro údaje o trestné činnosti, které jsou z pohledu zákona o ochraně osobních údajů citlivými údaji, zvláštní režim, tedy že tyto údaje jsou potřebné. Zaměstnavatelé se mylně domnívají, že jejich požadavek v tomto směru je oprávněný vždy. Ovšem faktem je, že nepřijetí uchazeče o zaměstnání výhradně z důvodu odsouzení za trestnou činnost může být v některých případech porušením právních povinností zaměstnavatele. V případě záznamu v rejstříku trestů je třeba poměřit povahu trestné činnosti uchazeče (závažnost, recidivu) s charakterem práce, kterou by měl uchazeč vykonávat. Pro naprostou většinu nekvalifikovaných manuálních prací je požadavek bezúhonnosti neadekvátní.

Pokud je z vyžádaného výpisu z rejstříku trestů patrné, že se uchazeč dopustil trestné činnosti nesouvisející s povahou poptávané práce, není přiměřené, aby byl odmítnut výhradně na základě této skutečnosti. Bude tedy zajisté namístě, pokud na pozici vychovatele dětského domova, jakož i na jiná pracovní místa v takovém či obdobném zařízení, nebude přijata osoba odsouzená např. za pohlavní zneužívání či týrání svěřené osoby. Odmítnutí uchazeče odsouzeného např. za majetkovou trestnou činnost na pozici pokladníka či osobního bankéře v bance bude adekvátní, jeho nepřijetí na zahradnické práce však nikoli. Pokud zaměstnavatel obsazuje pozici nočního hlídače, bude namístě, odmítne-li uchazeče odsouzeného za krádež. Jde-li však o méně závažný trestný čin (např. dopravní nehodu způsobenou z nedbalosti), pak není odmítnutí uchazeče přiměřené. Stejně tak bude v pořádku, pokud např. zaměstnavatel nepřijme osobu odsouzenou za výrobu omamných látek na pozici, v níž by přicházela do styku s chemikáliemi.

Zaměstnavatel, jako správce údajů, musí stanovit účel, k němuž mají být osobní údaje zpracovány, a následně je zpracovávat v rozsahu nezbytném pro jeho naplnění. Pokud takto nepostupuje, může se dopouštět porušení zákona o ochraně osobních údajů, jakož i Listiny základních práv a svobod (podle čl. 10 odst. 3 Listiny je totiž každá osoba chráněna před neoprávněným shromažďováním, zveřejňováním nebo jiným zneužíváním údajů o své osobě). Není-li zaměstnavatel schopen relevantně odůvodnit potřebu získání a zpracování údaje o bezúhonnosti, lze dospět k závěru, že se jedná o porušení ustanovení § 5 odst. 1 písm. a), popř. písm. d) zákona o ochraně osobních údajů. V takovém případě se jedná o správní delikt, za nějž může ÚOOÚ uložit pokutu. Pokud zaměstnavatel dostatečně neodůvodní potřebu získat citlivý údaj o trestní minulosti uchazeče či zaměstnance, jedná se o porušení zákona o ochraně osobních údajů a zaměstnavateli za to může být uložena sankce ÚOOÚ.[128]

Je informace „zdravotní stav dobrý“ získaná při vstupní prohlídce citlivým osobním údajem?

Jedním z nejproblematičtějších z pohledu zaměstnavatelů je potvrzení lékaře nebo zdravotnického zařízení (např. ze vstupní nebo preventivní lékařské prohlídky) o tom, zda pracovník je nebo není schopen vykonávat svoji práci. Zaměstnavatelé se začasto domnívají, že při obdržení takového potvrzení zpracovávají citlivé osobní údaje o zdravotním stavu zaměstnanců, ač tomu tak ve skutečnosti není. Citlivé osobní údaje o zdravotním stavu zaměstnanců je tak oprávněn zpracovávat např. pouze smluvní závodní lékař, nikoliv ovšem zaměstnavatel. Výjimkou může být případ zaměstnání zaměstnanců se změněnou pracovní schopností. V tomto případě vyplývají povinnosti zaměstnavatelů související se zaměstnáváním zaměstnanců se zdravotním postižením ze zvláštních právních předpisů [zákon o zaměstnanosti (§ 67 až § 83), zákoník práce (např. § 103 odst. 5)]. Ani v uvedených případech zpracování citlivých osobních údajů není nutné plnit oznamovací povinnost podle § 16 zákona o ochraně osobních údajů.

Nelze ovšem zapomínat na to, že zákoník práce předepisuje zaměstnavatelům shromažďovat a dále zpracovávat v některých případech i citlivé osobní údaje o zdravotním stavu. Tak např. podle ustavení § 105 zákoníku práce zaměstnavatel vede v knize úrazů evidenci o všech úrazech, i když jimi nebyla způsobena pracovní neschopnost nebo byla způsobena pracovní neschopnost nepřesahující 3 kalendářní dny, a také je povinen vyhotovovat záznamy a vést dokumentaci o všech pracovních úrazech, jejichž následkem došlo ke zranění zaměstnance s pracovní neschopností delší než 3 kalendářní dny, nebo k úmrtí zaměstnance. Rovněž tak je povinen vést evidenci zaměstnanců, u nichž byla uznána nemoc z povolání, která vznikla na jeho pracovištích. Tedy jinak řečeno, jsou zpracovávány informace o zdravotním stavu a to v souvislosti s pracovním úrazem nebo s nemocí z povolání. Že se o citlivé osobní údaje bezpochyby jedná, vyplývá z povahy údajů samotných. Při striktním výkladu pojmu „údaj o zdravotním stavu“ by bylo také možné dovodit, že citlivým osobním údajem je i negativní informace o způsobilosti zaměstnance vykonávat některé činnosti. Podle § 103 odst. 1 písm. c) zákoníku práce je zaměstnavatel povinen zajistit, aby práce v případech stanovených zvláštním právním předpisem vykonávali pouze zaměstnanci, kteří mají platný zdravotní průkaz, kteří se podrobili zvláštnímu očkování nebo mají doklad o odolnosti vůči nákaze. Je tedy zřejmé, že zaměstnanec, který nedoloží příslušná osvědčení, nemůže práce, pro něž je stanovena taková zvláštní způsobilost předepsána, vykonávat. Tato skutečnost, zejména v případě, kdy zaměstnanci není orgánem hygienické služby zdravotní průkaz vydán, svědčí totiž o tom, že zdravotní stav zaměstnance není takový, aby mohl příslušnou činnost vykonávat, neboť by to představovalo zdravotní riziko. Jedná se tedy o informaci o zdravotním stavu, neboť důvody pro nevydání vyplývající ze zvláštního právního předpisu jsou velmi specifické.

Zaměstnavatel také zpracovává informace, tedy osobní údaje, i o těhotenství svých pracovnic. I když se sensu stricto nedá říci, že by se jednalo o osobní údaj o zdravotním stavu, neboť těhotenství není choroba, přesto se jedná o údaj, který svým způsobem citlivým je. Zaměstnavatel je totiž povinen podle § 103 odst. 1 písm. h) zákoníku práce plnit jednak informační povinnost spočívají v tom, že jestliže při práci přichází v úvahu expozice rizikovým faktorům poškozujícím plod v těle matky, informovat o tom zaměstnankyně. Těhotné zaměstnankyně, zaměstnankyně, které kojí, a zaměstnankyně-matky do konce devátého měsíce po porodu je dále povinen seznámit s riziky a jejich možnými účinky na těhotenství, kojení nebo na jejich zdraví a učinit potřebná opatření, včetně opatření, která se týkají snížení rizika psychické a fyzické únavy a jiných druhů psychické a fyzické zátěže spojené s vykonávanou prací, a to po celou dobu, kdy je to nutné k ochraně jejich bezpečnosti nebo zdraví dítěte. Výše uvedené znamená, že je současně v zájmu zaměstnankyně, aby sdělila zaměstnavateli informaci o svém těhotenství a další potřebné skutečnosti tak, aby zaměstnavatel mohl své povinnosti vůbec plnit. Je tedy zřejmé, že i v těchto případech dochází ke zpracování osobních údajů.

4.5 Bezpečnost osobních údajů

Přehled dotazů:

■ Údaje zpracovávané elektronicky

■ Loggování

■ Liberace

Jak již bylo uvedeno výše, zákon o ochraně osobních údajů stanoví obecnou povinnost správců a zpracovatelů osobních údajů chránit osobní údaje. Jedná se o další ze základních povinností, jejímž obsahem je povinnost zajistit tzv. „bezpečnost zpracovávaných osobních údajů“, a to jak před jednáním úmyslným, tak i nedbalostním, stejně tak jako proti působení přírodních a jiných událostí (povodně, požáry, zemětřesení apod.), které by mohlo způsobit zneužití osobních údajů. Protože povinnost je stanovena absolutně, je možno přijmout závěr, že ochrana osobních údajů je podmínkou pro jejich zpracování. Jelikož uvedená povinnost platí nejen po dobu zpracování osobních údajů, ale i po jejím ukončení, a není v zákoně o ochraně osobních údajů omezena žádnou časovou hranicí, lze dovodit, že zákonodárce tímto ustanovením hodlal zabezpečit ochranu osobních údajů u správců a zpracovatelů po celou dobu, po kterou je mají ve své dispozici (shromažďují tyto údaje, zpracovávají, uchovávají či blokují) a nedošlo k jejich likvidaci ve smyslu ustanovení § 4 písm. i) zákona o ochraně osobních údajů.

Povinnost přijmout bezpečnostní opatření má zvláštní význam. V řadě situací totiž bezpečnostní opatření buď znemožňují, nebo naopak umožňují porušování zákona. Přijetím dostatečných bezpečnostních opatření se tak minimalizuje hrozba zásahu do soukromí. Z toho vyplývá, že případné zásahy do soukromí tak, jak o nich mluví § 1 zákona o ochraně osobních údajů, je třeba hodnotit i prostřednictvím provedených bezpečnostních opatření. Konstrukci zabezpečení osobních údajů při jejich zpracování stanoví § 13 odst. 1 zákona o ochraně osobních údajů v zásadě v obecné rovině. To znamená, že normuje základní rámce a právní povinnosti při zpracování osobních údajů tak, aby se každý správce „vešel“ do zákonných ustanovení, současně má vzhledem ke své dikci výrazně preventivní charakter. Lze tak usuzovat z použité terminologie, kde slovní spojení „aby nemohlo dojít“ znamená právě výraz prevence.

Rámec pro řádné plnění povinnosti přijmout bezpečnostní opatření je určován především prostředky a způsobem zpracování osobních údajů. Ty zpravidla určuje z vlastního rozhodnutí sám správce. Jeho rozhodnutí, které vychází z jeho vlastních lidských, finanční, prostorových atd. možností, tak vytváří základní prostor pro bezpečnostní opatření. Bezpečnostní opatření při zpracování osobních údajů musí zajistit, s ohledem na odbornou úroveň a náklady na jejich provedení, odpovídající úroveň bezpečnosti v souvislosti s riziky vyplývajícími ze zpracování údajů a z povahy údajů, které mají být chráněny. Bezpečnostní opatření mají být přiměřená charakteru zpracovávaných osobních údajů. Přijímaná bezpečnostní opatření musí být účinná vůči úmyslnému nebo nedbalostnímu jednání, tak i vůči působení dalších činitelů.[129] Jisté vodítko k výkladu tohoto v zásadě obecného ustanovení může poskytnout i Směrnice 96/45/ES, která bezpečnostním opatřením věnuje svůj článek 17. Stanoví totiž rámec přijímaných opatření o něco přesněji než zákon o ochraně osobních údajů. Ve Směrnici jsou tato opatření přeci jen do jisté míry limitována, a to nejen odbornou úrovní, ale také dokonce náklady na jejich provedení, a to vždy v souvislosti s riziky vyplývajícími ze zpracování údajů, a také z povah údajů, které mají být chráněny. Naznačuje se tak, že různým typům zpracování a dokonce různým druhům zpracovávaných osobních údajů může být přiřazována i rozdílná úroveň ochrany, a to dokonce u jednoho správce různě.

Protože zákon o ochraně osobních údajů předpokládá při ochraně osobních údajů jistou komplexnost a prevenci, musí každý, kdo pracuje s osobními údaji, vyhodnotit rizika i v širších rámcích. Takovými rámci mohou být například „objektová“ bezpečnost (což znamená vyhodnocení rizik z hlediska místa zpracování), nebo personální bezpečnost (tedy nutnost zvážit, zda osoby, jež s osobními údaji konkrétně pracují, jsou z hlediska správce důvěryhodné, resp. zodpovědné). Nezbytná je samozřejmě také obecná technologická bezpečnost, pokud jsou osobní údaje zpracovávány pomocí výpočetní techniky.

Je tedy zjevné, že ochranná, bezpečnostní opatření musí být individualizovaná a přiměřená danému zpracování u toho kterého správce. Zákon tedy konkrétní způsoby ochrany a zabezpečení nestanoví, nicméně dává jisté vodítko, které oblasti rizik by měl správce osobních údajů posoudit a konkrétně vyhodnotit. I judikatura v oblasti zabezpečení ochrany osobních údajů je více než skromná. Konkrétně se jí zabývá vlastně jen jeden dostupný rozsudek Nejvyššího správního soudu[130] a i ten je již staršího data, nicméně postuluje alespoň základní principy ochrany v tom směru, že dovodil, že při ochraně osobních údajů je třeba automaticky aplikovat jisté, dnes již běžné standardy ochrany. V rozsudku si můžeme přečíst, že „dle názoru soudu existuje v oblasti bezpečnostních opatření k ochraně majetku obecně a při nakládání s osobními údaji, resp. jejich ochraně zvláště, určitý soubor bezpečnostních opatření považovaný za standard, aniž by musel být v zákoně výslovně vymezen“.

Dotazy:

Lze uvést alespoň obecný návod, jak zabezpečit osobní údaje zpracovávané elektronicky?

Požadavky na zabezpečení osobních údajů stanoví obecně ustanovení § 13 zákona o ochraně osobních údajů. Tento paragraf uvádí, že správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů. Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technicko–organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.

V rámci opatření podle odstavce 1 správce nebo zpracovatel posuzuje rizika týkající se

a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,

b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,

c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a

d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.

Pokud jde o zabezpečení v oblasti automatizovaného zpracování osobních údajů, je důležitý především odst. 4 tohoto ustanovení, který říká, že správce nebo zpracovatel v rámci opatření podle odstavce 1 povinen také

a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby,

b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby,

c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a

d) zabránit neoprávněnému přístupu k datovým nosičům.

Celý odstavec 4 je nutné chápat kontextuálně a nikoliv vytrženě ze smyslu a účelu povinností stanovených v odstavci 1. Povinnosti uvedené pod písm. a) a b) pouze upřesňují obecnou povinnost správce přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům případě, že se jedná o automatizovaný způsob zpracování. Je tedy nezbytné volit nikoliv jen obecná organizační opatření, ale také i metody, které taková opatření promítnou do automatizovaných zpracování prostředky, které mu odpovídají. Znamená to, že ne každý ze zaměstnanců správce bude mít přístup k automatizovaně zpracovávaným údajům, a ti, jimž správce takovou možnost, vycházející z pracovní pozice a stanovených úkolů, přizná, budou mít přístup omezen jen do oblastí zpracování, které pracovní pozici a stanoveným úkolům, tedy náplni práce, odpovídá, když toto omezení bude zajištěno specifickými prostředky výpočetní techniky, tedy přístupovými právy, a to individuálními s případným rozlišením specifických oprávnění, jako je např. oprávnění pouze nahlížet, měnit konkrétní záznam apod.

Účelem a smyslem ustanovení písm. c) je zajistit, aby správce mohl zjistit, jakým způsobem bylo s údaji při automatizovaném zpracování nakládáno, a to tak, že o přístupech budou existovat elektronické záznamy, tzv. loggy. Současně to však neznamená, že by nezbytně musely existovat záznamy o přístupech v rámci jednoho informačního např. databázového systému ke konkrétní datové větě, i když ani taková možnost není vyloučena a bude vždy záviset na konkrétním vyhodnocení rizik ve vztahu k závažnosti chráněných dat, které je správce povinen posoudit podle odstavce 3, když povinnost podle písm. c) je možné plnit i v kombinaci s vhodnými organizačními opatřeními.

Povinnost, stanovená v odstavci 4, je upřesňující v tom smyslu, že chránit je třeba nejen samotná „aktivní“ automatizovaná zpracování probíhající na prostředcích výpočetní techniky, ale také individuální datové nosiče, na nichž jsou např. uchovávány zálohové soubory, a že tato ochrana musí být systémová a odpovídající vyhodnoceným rizikům.

Je možné, aby dva zaměstnanci pracující v jedné směně byli přihlášeni do systému na jedno heslo?

Pokynem, aby zaměstnanci pracovali pod jedním přihlášením ve dvojicích, by mohlo dojít k porušení povinnosti stanovené § 13 odst. 1 zákona o ochraně osobních údajů, který říká, že správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

Jednalo by se tak o pokyn, který by byl v rozporu s požadavkem stanoveným v § 13 odst. 4 písm. b) zákona o ochraně osobních údajů, podle kterého má správce nebo zpracovatel povinnost zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizována zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby.

Existuje možnost, jak se vyvinit v případě, kdy dojde k porušení pravidel zabezpečení osobních údajů?

Protože se v případě povinností stanovených správcům a zpracovatelům stanovit dotčeným osobám podmínky a způsob zpracování jedná o komplementární povinnost k povinnosti chránit osobní údaje a zabránit jejich neoprávněnému zpracování, musí správce a zpracovatel také kontrolovat jím stanovené povinnosti, resp. vydané pokyny. Mělo by být pravidlem, že taková kontrola bude rutinní a pravidelná, neboť jen tak lze zajistit, že pokyny dané správcem nebo zpracovatelem budou skutečně dodržovány. Z hlediska správce nebo zpracovatele je tato důsledná kontrola významná ještě z jednoho hlediska. Tímto hlediskem je deliktní odpovědnost. Jak bylo výše uvedeno, stanovení podmínek a rozsahu zpracování osobních údajů zaměstnancům správce nebo zpracovatele a jiným osobám, které pro správce nebo zpracovatele na základě smlouvy zpracovávají osobní údaje, je širší, nebo spíše komplementární povinností při ochraně osobních údajů, stanovených zejména § 13 odst. 1 zákona o ochraně osobních údajů. Nebudou-li pravidla stanovena vůbec, nebo sice stanovena budou, ale nebudou dodržována, protože správce nebo zpracovatel jejich dodržování nekontroloval, vystavuje správce nebo zpracovatel možnosti postihu za jiný správní delikt, minimálně podle § 45 odst. 1 písm. h) zákona o ochraně osobních údajů.

Je totiž faktem že zákon o ochraně osobních údajů, resp. jeho sankční ustanovení nestíhají nedodržování stanovených pokynů a pravidel zpracování zaměstnanci a dalšími osobami. Pokud tedy zaměstnanec správce nebo zpracovatele a další osoby nedodrží stanovené pokyny a postupy, nehrozí jim sankce podle zákona o ochraně osobních údajů. Správce nebo zpracovatel tak vůči takovým osobám mohou uplatnit toliko pracovně právní odpovědnost (v případě zaměstnanců), nebo odpovědnost smluvní u dalších osob, je-li sjednána, ale odpovědnost za porušení pravidel zabezpečení ochrany osobních údajů při jejich zpracování stíhá přímo správce nebo zpracovatele. Jsou-li však pokyny pro zpracování osobních údajů zaměstnancům a dalším osobám prokazatelně vydány, jsou dobře a komplexně zpracovány a jsou také pravidelně kontrolovány, tak v případě „selhání jedince“ by se mohl správce nebo zpracovatel, pokud jsou právnickou osobou, dovolávat zproštění odpovědnosti za správní delikt, a to podle § 46 odst. 1 zákona o ochraně osobních údajů, podle kterého právnická osoba za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila.

Obecně je možno říci, že liberace neboli zproštění se odpovědnosti přichází v úvahu u objektivní odpovědnosti (tj. odpovědnost nastupující bez zřetele k zavinění), a to pouze ze zákonem stanovených tzv. liberačních (zprošťujících) důvodů. Ty jsou upraveny pro jednotlivé zvláštní případy objektivní odpovědnosti speciálně. Důkaz o existenci liberačního důvodu tíží vždy škůdce. Chce-li se tedy odpovědný subjekt odpovědnosti zprostit, musí prokázat, že je v daném případě dán liberační důvod vylučující jeho odpovědnost za vzniklou škodu. V závislosti na konkrétních okolnostech případu může existence liberačního důvodu vést k částečnému nebo úplnému zproštění se odpovědnosti za škodu.

Podle § 46 zákona o ochraně osobních údajů právnická osoba za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila. Jak již bylo uvedeno výše, důležitým aspektem odpovědnosti za jiné správní delikty je to, že právnické osoby a fyzické osoby podnikající mají tzv. objektivní odpovědnost, tj. odpovídají bez ohledu na zavinění i za protiprávní stav, který při výkonu jejich činnosti nastal. Zákon o ochraně osobních údajů však upravuje i možnost liberace (zproštění se odpovědnosti) z této odpovědnosti, a to v případě, kdy správce nebo zpracovatel prokáže (tzv. důkazní břemeno tedy není na straně Úřadu), že vynaložil veškeré úsilí, které od něj bylo v dané situaci možné spravedlivě požadovat, aby k porušení povinnosti nedošlo. Hodnocení toho, zda na jednání správce nebo zpracovatele toto liberační ustanovení dopadá či nikoli, je naopak plně v kompetenci Úřadu, který se s touto otázkou musí řádně vypořádat v odůvodnění svého rozhodnutí.

Z auta mi byly ukradeny osobní spisy našich zaměstnanců. Auto bylo zamčené a stálo pod kamerami městského dohlížecího systému. Lze se těmito argumenty vyvinit?

Takovou situaci již řešil i dozorový orgán, tedy ÚOOÚ. Došel k závěru, že ani uzamčení vozidla není, resp. nemusí být považováno za dostatečnou ochranu a tedy naplnění povinnosti stanovené v § 13 odst. 1 zákona o ochraně osobních údajů a nelze se tedy dovolávat liberačního důvodu zmíněného výše. Z publikovaného výňatku[131] je zřejmé, že „jednání účastníka řízení (tj. uzamčení vozidla, zaparkování vozidla ve frekventované části města, vědomost o kamerovém systému města) z hlediska ustanovení § 46 odst. 1 zákona o ochraně osobních údajů není dostatečné. Je uvedeno, že „vynaložení veškerého úsilí, které bylo možno požadovat, neznamená jakékoliv úsilí, které správce vynaloží, ale musí se ve vztahu ke každému, konkrétně posuzovanému případu, jednat o úsilí maximálně možné, které je správce objektivně schopen vynaložit (zákon používá kritérium veškeré úsilí, které bylo možno požadovat, a nikoliv např. spravedlivě požadovat, požadovat s ohledem na poměry atp.). V případě účastníka řízení sice došlo k uzamčení vozidla, to ovšem nemění nic na skutečnosti, že vozidlo (jeho zadní sedadlo) není běžným místem pro uložení dokumentů s osobními údaji. Navíc v případě dokumentace obsahující i údaje o zdravotním stavu nebo informace týkající se trestního řízení se správní orgán domnívá, že jednoznačně nelze hovořit o vynaložení veškerého úsilí, aby nedošlo k neoprávněnému přístupu k těmto údajům. Instalace kamerového systému ve městě a tvrzení účastníka řízení, že jeho existenci vyhodnocoval při svém rozhodování o zaparkování automobilu ve městě a případném ponechání předmětné dokumentace uvnitř auta, zcela jasně odporuje logice a správní orgán je přesvědčen, že se jedná skutečně o účelové tvrzení, které má dodatečně liberovat jednání účastníka řízení. Dle správního orgánu je zcela rozhodující v tomto směru také skutečnost, že auto bylo na zaparkovaném místě ponecháno po dobu skoro 4 hodin, tudíž se nejednalo zcela zjevně o snahu v co nejkratší době zavést dokumentaci do místa jiného výkonu pracovní činnosti účastníka řízení, a to, že dokumenty byly odcizeny po 15 minutách od zaparkování vozidla, na tom nic nemění. Také uložení dokumentů v plátěné tašce na místo na zadním sedadle, které je volně viditelné z venku všem kolemjdoucím, lze chápat jako nedostatečnou snahu k přijetí a provedení vůbec jakýchkoliv (pomineme-li běžné uzamčení vozidla) opatření k zajištění bezpečnosti před neoprávněným přístupem“. Jak je z výše uvedeného zřejmé, pro splnění podmínek ochrany osobních údajů a případnou liberaci v případě nějakého konfliktu ve vztahu k ochraně osobních údajů je třeba mít na paměti, že dosažení, resp. prokázání liberačního důvodu není samo sebou, a že tento důvod musí být správcem, resp. zpracovatelem nejen jednoznačně prokázán, ale také musí vycházet z toho, že ne jakákoliv opatření, ale opatření maximálně možná mohou být za liberační důvod uznána.

Ve většině případů nebude pro případnou liberaci postačovat ani fakt, že správce sice přijal soubor dokumentů zajišťujících ochranu osobních údajů ve smyslu odst. 2 § 13 zákona o ochraně osobních údajů, nicméně přesto došlo k incidentu, tedy úniku osobních údajů mimo sféru správce. Také obdobná situace již byla v rámci správního řízení dozorovým orgánem posuzována. Na webových stránkách Úřadu[132] je dostupný text, v němž se uvádí, že „správní orgán proto na základě shora uvedeného posuzoval jednání účastníka řízení (tj. přijetí opatření formou vnitřních předpisů, způsob seznámení zaměstnanců s těmito předpisy atd.) toliko z hlediska ustanovení § 46 odst. 1 zákona o ochraně osobních údajů. Správní orgán v této souvislosti uvádí, že vynaložení veškerého úsilí, které bylo možno požadovat, neznamená jakékoliv úsilí, které správce vynaloží, ale musí se ve vztahu ke každému, konkrétně posuzovanému případu, jednat o úsilí maximálně možné, které je správce objektivně schopen vynaložit (zákon používá kritérium veškeré úsilí, které bylo možno požadovat, a nikoliv např. spravedlivě požadovat, požadovat s ohledem na poměry atp.). V případě účastníka řízení sice došlo ke zpracování interních předpisů, ale nedošlo prokazatelně k jejich dostatečnému provedení, které by zabránilo úniku osobních údajů. Jak vyplývá z výpovědi zaměstnankyně, nebyla si vědoma všech svých povinností vyplývajících z jejího funkčního zařazení a také se neseznámila s předpisy, byť i zveřejněnými na intranetu, účastníka řízení. Správní orgán má proto za prokázané, že účastník řízení nevynaložil veškeré úsilí, které bylo možné požadovat, a že nepochybně existovaly další možnosti, jak mohl postupovat, aby odcizení osobních údajů zabránil; minimálně mohl zajistit skutečné proškolení své zaměstnankyně s následným ověřením jejích znalostí ve vztahu k bezpečnostním opatřením. Za vynaložení veškerého úsilí poté správní orgán v žádném případě nepovažuje odkaz na povinnost mlčenlivosti v pracovní smlouvě (zákonnou povinnost mlčenlivosti má každý zaměstnanec správce osobních údajů dle § 15 zákona o ochraně osobních údajů, přičemž tato povinnost nijak nezbavuje správce odpovědnosti za zabezpečení osobních údajů) stejně tak jako obecné stanovení místa výkonu práce.

Jak již bylo uvedeno, účelem povinnosti dle § 13 odst. 1 zákona o ochraně osobních údajů není primárně to, aby správce osobních údajů přijal formálně bezpečnostní předpisy, ale zajištění toho, aby nedošlo k neoprávněnému přístupu k osobním údajům, a tím naplnění práva subjektu údajů na ochranu jeho soukromí. Z tohoto hlediska a tímto kritériem proto správní orgán také posuzoval vynaložené úsilí správce ve vztahu k možnému naplnění liberačního ustanovení“. Současně pak je ve zmiňovaném odkazu zdůrazněno, že „s ohledem na shora uvedený výklad § 13 odst. 1 zákona o ochraně osobních údajů je poté správní orgán toho názoru, že použití pojmů „nepřijme nebo neprovede“ nic nemění na charakteru odpovědnosti správce za nesplnění povinnosti dle § 13 zákona o ochraně osobních údajů; uvedení bezpečnostních opatření v život, tak aby plnila svůj smysl a účel, nelze jiným způsobem, než jejich přijetím a provedením, přičemž tyto dva pojmy dle názoru správního orgánu současně plně pokrývají a vystihují všechny možné způsoby naplnění účelu bezpečnostních opatření; jinými slovy, s bezpečnostními opatřeními nelze dělat nic jiného, než je přijmout a provést. Správní orgán je proto toho názoru, že dikce § 45 odst. 1 písm. h) zákona o ochraně osobních údajů nedává účastníkovi řízení prostor k tomu, aby prokazováním svého preventivního jednání popřel, že k naplnění skutkové podstaty deliktu došlo, byl-li přístup neoprávněné osoby k osobním údajům nepochybně prokázán“. Lze tedy uzavřít, že podceňování zabezpečení ochrany osobních údajů je velmi „rizikovou“ záležitostí, neboť šíře zákonné povinnosti je značná a spoléhání na případné uplatnění možných liberačních důvodů by bylo z hlediska samotného smyslu a účelu zákonných ustanovení velmi nezodpovědné zejména při faktu, že případně udělené pokuty mohou dosáhnout nezanedbatelné výše a prokázání, resp. dovolání se liberačního důvodu je velmi nejisté, jak o tom svědčí výše uvedené příklady.

[105] Morávek, J.: Ochrana osobních údajů v pracovněprávních vztazích, Praha 2013, s. 2013.

[106] Ustanovení § 312 zákoníku práce.

[107] www.uoou.cz, K problémům z praxe č. 2/2005, Úřad pro ochranu osobních údajů, Zpracování osobních údajů zaměstnanců ve vztahu k oznamovací povinnosti správce podle § 16 zákona o ochraně osobních údajů.

[108] Stanovisko č. 13/2012 – Zveřejňování osobních údajů na internetu, dostupné na: http://www.uoou.cz/files/stanovisko_2012_13.pdf.

[109] http://www.pravoit.cz/article/uvedeni-jmen-zamestnancu-na-firemnich-strankach-vs-ochrana-osobnich-udaju.

[110] Rozsudek Nejvyššího správního soudu ze dne 12. 2. 2009, čj. 9 As 34/2008 – 68, www.nssoud.cz

[111] Bartík. V. – Janečková, E. Ochrana osobních údajů v životě podnikatele, Anag, Olomouc 2013, s. 12

[112] § 109 odst. 2 zákoníku práce (Mzda je peněžité plnění a plnění peněžité hodnoty (naturální mzda) poskytované zaměstnavatelem zaměstnanci za práci, není-li v tomto zákoně dále stanoveno jinak).

[113] § 109 odst. 3 zákoníku práce (Plat je peněžité plnění poskytované za práci zaměstnanci zaměstnavatelem, kterým je stát, územní samosprávný celek, státní fond, příspěvková organizace, jejíž náklady na platy a odměny za pracovní pohotovost jsou plně zabezpečovány z příspěvku na provoz poskytovaného z rozpočtu zřizovatele nebo z úhrad podle zvláštních právních předpisů, školská právnická osoba zřízená Ministerstvem školství, mládeže a tělovýchovy, krajem, obcí nebo dobrovolným svazkem obcí podle školského zákona, nebo veřejné neziskové ústavní zdravotnické zařízení).

[114] Rozhodl, že údaj o tom, jaké mimořádné odměny dostal vedoucí oddělení informačních systémů magistrátu a jejich důvod, není předmětem ochrany soukromí, neboť výdaje na odměny, včetně platů zaměstnanců v povinných subjektech spadají do rozsahu pojmu veřejné prostředky; NSS proto připustil, aby tato informace byla na základě žádosti podané podle ZSPI poskytnuta v tomto konkrétním případě i bez souhlasu zaměstnance. Nejvyšší správní soud pojem veřejné prostředky vyložil podle § 2 písm. g) zákona č. 320/2001 Sb., o finanční kontrole ve veřejné správě a o změně některých zákonů (zákon o finanční kontrole). Nejvyšší správní soud se sice zabýval poskytnutí informace o výši mimořádné odměny (v soudem posuzované věci se jednalo o poskytnutí informace o výši mimořádných odměn vedoucího odboru Magistrátu města Zlína), jeho závěry se však vztahují i na poskytnutí informace o výši platu (všech jeho složek), popř. mzdy.

Pro úplnost je nutné připomenout, že dřívější správní judikatura již připustila poskytnutí informace o důvodech mimořádných odměn vyplacených konkrétnímu zaměstnanci (rozsudek Krajského soudu v Českých Budějovicích ze dne 15. května 2002, sp. zn. 10 Ca 40/2002).

[115] www.uoou.cz, Na aktuální témata – Stanovisko Úřadu pro ochranu osobních údajů k rozsudku Nejvyššího správního soudu o zveřejňování informací o platech zaměstnanců veřejné správy ze dne 3. června 2011.

[116] Výkladová stanoviska AKV (X.), přijatá na zasedání Kolegia expertů AKV dne 6. 2. 2013.

[117] Usnesení Ústavního soudu ze dne 15. dubna 2014, II. ÚS 456/14.

[118] Policie při plnění svých úkolů spolupracuje s ozbrojenými silami, bezpečnostními sbory a dalšími orgány veřejné správy, jakož i s právnickými a fyzickými osobami.

[119] Ustanovení § 66 odst. 4 zákona o Policii ČR.

[120] www.uoou.cz, Časté dotazy – „Za jakých okolností je možné nebo nutné poskytnout osobní údaje z určité evidence Policii ČR?“

[121] ZUNO BANK AG, organizační složka.

[122] http://www.zuno.cz/global/documents/zuno-vop-uvery-cz.pdf.

[123] K tomu srovnej Stanovisko č. 2/2011 – Zpracování osobních údajů na základě souhlasu ve smlouvě nebo Všeobecných obchodních podmínkách a s tím související problémy, dostupné na http://www.uoou.cz/uoou.aspx?menu=14&loc=329.

[124] Dostupné na http://www.uoou.cz/files/stanovisko_2009_2.pdf.

[125] Systémy však bývají proti manipulaci chráněny a každý podobný zásah okamžitě uloží do své paměti.

[126] Stanovisko Úřadu pro ochranu osobních údajů č. 3/2009, květen 2009, Biometrická identifikace nebo autentizace zaměstnanců (http://www.uoou.cz/files/stanovisko_2009_3.pdf).

[127] II ÚS 82/07, pramen (ASPI ID) : JUD105358CZ.

[128] Doporučení ochránce k požadavku výpisu z rejstříku trestů jako určujícímu kritériu pro přijetí do zaměstnání, http://www.ochrance.cz/uploads/tx_odlistdocument/Doporuceni_rejstrik-trestu.pdf.

[129] Bartík, V. – Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009.

[130] Rozsudek Nejvyššího správního soudu č. j. 3 As 21/2005 – 105, dne 10. května 2006, www.nssoud.cz.

[131] http://www.uoou.cz/uoou.aspx?menu=10&submenu=12&loc=224, Z rozhodovací činnosti Úřadu

[132] Tamtéž, (čj. VER-6243/08-17)

5 Zpracování osobních údajů po skončení pracovního poměru

Přehled dotazů:

■ Doba uchování

■ Nahrávání během oznamování výpovědi

■ Likvidace údajů

■ Využívání e-mailové adresy

■ Osobní spis nového státního zaměstnance – překlopení

Dotazy:

Za jakých podmínek a jak dlouho máme uchovávat osobní údaje zaměstnanců po skončení pracovního poměru?

Uchovávání osobních údajů zaměstnanců po skončení pracovního poměru zákoník práce přímo neřeší. Z pohledu zákona o ochraně osobních údajů, který uchovávání osobních údajů uvádí v § 4 písm. e) jako jednu z forem zpracování a samo uchovávání pak definuje v písm. g) téhož ustanovení jako udržování údajů v takové podobě, která je umožňuje dále zpracovávat, je třeba tuto problematiku vyjasnit minimálně z důvodu ustanovení § 5 odst. 1 písm. e) zákona o ochraně osobních údajů, které stanoví obecnou povinnost uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné.

Dobou nezbytnou pro zpracování osobních údajů zaměstnanců je z povahy věci obecně doba, po kterou trvá pracovní nebo jiný obdobný poměr. Rozsah údajů, zpracovávaných pro účely pracovního poměru v osobním spisu zaměstnance a v jiných evidencích zaměstnavatele, je limitován svým obsahem na údaje, resp. písemnosti bezpochyby osobní údaje obsahující, které jsou nezbytné pro výkon práce v pracovněprávním vztahu (§ 312 odst. 1 zákoníku práce). Po ukončení pracovně právního nebo jiného obdobného vztahu je možno osobní údaje uchovávat jen z důvodů, které jsou stanoveny v právním předpise. Vodítko, o jaké informace (osobní údaje) se jedná, poskytuje ustanovení § 150 zákoníku práce. Ten stanoví, že zaměstnavatel eviduje údaje, jimiž jsou jméno, popřípadě jména a příjmení, adresa, jde-li o fyzickou osobu, název a sídlo, jde-li o právnickou osobu, a písemnosti týkající se prováděných srážek ze mzdy, a to po stejnou dobu jako ostatní údaje a doklady týkající se mzdy nebo platu a odkazuje na zvláštní zákon, kterým je zákon č. 499/2004 Sb., o archivnictví a o spisové službě a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o archivnictví“). Okruh povinných osob, uvedených v § 3 citovaného zákona, zahrnuje většinu zaměstnavatelů, avšak přesné určení, které z dokumentů a jak dlouho se mají uchovávat, nestanoví a nečiní tak ani prováděcí právní předpisy[133]. Toliko v příloze č. 1 zákona o archivnictví je uvedeno, že mezi dokumenty vzniklé z činnosti podnikatelů zapsaných v obchodním rejstříku, které jsou podnikatelé za podmínek stanovených tímto zákonem povinni uchovávat a umožnit z nich výběr archiválií, patří také mj. zásadní dokumenty o zaměstnaneckých záležitostech.

Jedním z právních předpisů, kterým jsou stanoveny uschovací lhůty pro uchovávání některých vybraných dokumentů, je například zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení. Ten stanoví řadu uschovacích lhůt např. v ustanovení § 35a odst. 4 tak, že zaměstnavatelé jsou povinni uschovávat stejnopisy evidenčních listů vyhotovených v kalendářním roce, kterého se týkají, nebo v bezprostředně následujícím kalendářním roce po dobu 3 kalendářních roků po roce, kterého se týkají, a stejnopisy ostatních evidenčních listů po dobu 3 kalendářních roků po roce, ve kterém byly vyhotoveny, záznamy o skutečnostech vedených v evidenci podle § 37 odst. 1 písm. h) po dobu 6 kalendářních roků následujících po měsíci, kterého se záznam týká, vždy však po dobu 3 kalendářních roků následujících po měsíci, v němž bylo dlužné pojistné za tento měsíc zaplaceno, záznamy o skutečnostech vedených v evidenci podle § 37 odst. 1, pokud jde o poživatele starobního nebo invalidního důchodu, po dobu 10 kalendářních roků po roce, kterého se týkají, mzdové listy nebo účetní záznamy o údajích potřebných pro účely důchodového pojištění, včetně údajů uvedených v § 37 odst. 2, po dobu 30 kalendářních roků následujících po roce, kterého se týkají, a jde-li o mzdové listy nebo účetní záznamy o údajích potřebných pro účely důchodového pojištění vedené pro poživatele starobního důchodu, po dobu 10 kalendářních roků následujících po roce, kterého se týkají, pokud zvláštní právní předpis nestanoví pro záznamy, které mají charakter účetních záznamů, delší uschovací dobu; za záznamy o těchto skutečnostech se vždy považují doklady o druhu, vzniku a skončení pracovního vztahu, záznamy o pracovních úrazech a o nemocech z povolání a záznamy o evidenci pracovní doby včetně doby pracovního volna bez náhrady příjmu.

Takto stanovené uschovací lhůty jsou tedy dobou, po kterou je nezbytné zpracovávat (uchovávat) osobní údaje zaměstnanců i po skončení pracovního poměru. De facto jsou tak stanoveny i druhy dokumentů, které uchovány být musí. Je zjevné, že mezi uchovávané dokumenty nepatří např. životopis nebo různá osvědčení, která zaměstnanec zaměstnavateli předložil v době trvání pracovního poměru a která po jeho skončení pro zaměstnavatele ztratila relevanci.

Během jednání se zaměstnancem si mě tento tajně nahrával. Pak vyhrožoval, že záznam použije u soudu. Může bez mého souhlasu záznam použít? Jakou bude mít relevanci?

Při zodpovězení otázky, zda by takto pořízený záznam bylo možné použít jako důkaz u soudu, je nutné zjistit, zda nahrávání proběhlo v souladu se zákonem.

Z hlediska zákona o ochraně osobních údajů se nepochybně jedná o zpracování osobních údajů. Podle ustanovení § 4 písm. a) zákona o ochraně osobních údajů je osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Údaje uchovávané v záznamovém zařízení, ať obrazové či zvukové, jsou tedy osobními údaji pouze za předpokladu, že na základě těchto záznamů lze přímo či nepřímo identifikovat konkrétní fyzickou osobu (tedy: informace z obrazových či zvukových nahrávek umožňují, byť nepřímo, identifikaci osoby). Fyzická osoba je identifikovatelná, pokud ze snímku, na němž je zachycena, jsou patrné její charakteristické rozpoznávací znaky (zejména obličej) a na základě propojení rozpoznávacích znaků s dalšími disponibilními údaji je možná plná identifikace osoby. Osobní údaj pak ve svém souhrnu tvoří ty identifikátory, které umožňují příslušnou osobu spojit s určitým, na snímku zachyceným, jednáním. Na takovéto zpracování se bude vztahovat ustanovení § 3 odst. 3 zákona o ochraně osobních údajů, podle něhož se tento zákon nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu. Dá se tedy konstatovat, že jakékoliv nakládání s osobními údaji, které provádí fyzická osoba takříkajíc „pro sebe“ nebude spadat pod působnost zákona o ochraně osobních údajů, i kdyby fyzická osoba údaje, kterými disponuje v rámci zmíněných osobních či domácích činností, někomu dále sdělila, nebo i zaslala údaje, které jsou údaji osobními. Navíc by se pravděpodobně nejednalo o činnost systematickou, která je pojmovým znakem zpracování osobních údajů podle definice uvedené v § 4 písm. e) zákona o ochraně osobních údajů.

Dále by soud musel zohlednit § 88 odst. 1 občanského zákoníku, podle něhož svolení není třeba, pokud se podobizna nebo zvukový či obrazový záznam pořídí nebo použijí k výkonu nebo ochraně jiných práv nebo právem chráněných zájmů jiných osob. Nelze předjímat, jakým způsobem soud vyhodnotí přijatelnost nahrávky jako důkazu, nicméně z výše uvedeného vyplývá, že by nahrávka jako důkaz byla použitelná.

Je také třeba položit otázku, důkazem čeho by nahrávka měla být. Žádný zákon nestanoví, že informace o ukončení pracovního poměru musí být zaměstnanci sdělena slušně. I případné „neslušné“ či neetické chování nic nemění na faktu, že pracovní poměr byl ukončen a takové chování nemůže být důvodem konstatování o neplatnosti ukončení pracovního poměru.

Potřebujeme zlikvidovat větší množství dokumentů s osobními údaji. Je v souladu se zákonem o ochraně osobních údajů tento způsob likvidace?

Vzhledem k tomu, že zákon o ochraně osobních údajů nestanoví konkrétní formu likvidace osobních údajů poté, co pomine účel zpracování, je způsob jejího provedení na správci, který by však měl mít stanoveny standardní postupy.

Jak vyplývá z dikce zákona o ochraně osobních údajů, likvidaci provádí správce nebo na základě jeho pokynu zpracovatel. Problém obvykle nastává u papírových nosičů, kde správce likvidaci často provádí tím způsobem, že dokumenty s osobními údaji předá do sběrných surovin. Takovéto předání bez zvláštních záruk o zabezpečení osobních údajů při jejich likvidaci nelze v žádném případě doporučit. Při předání nosičů s osobními údaji sběrným surovinám správce ztrácí kontrolu nad tím, zda bude likvidace skutečně provedena. Jestliže by osobní údaje byly předány ve formě, která naplňuje znaky zpracování osobních údajů (např. seznamy, evidence, dokumenty uspořádané podle osobních údajů) mohlo by dojít k porušení povinnosti správce osobních údajů podle § 13 zákona o ochraně osobních údajů, tedy povinnosti přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů.

I kdyby se jednalo o předání neuspořádaných spisů, mohlo by dojít k porušení práva na ochranu před zneužitím osobních údajů. V každém případě lze doporučit pouze takový způsob likvidace, který dává záruku vyloučení osobních údajů z jejich dalšího možného zpracování, tedy skartaci. Pokud skartací zpracovávaných osobních údajů na základě smlouvy správce pověří např. jinou firmu, stává se tato firma zpracovatelem, který musí dát záruky podle § 6 zákona o ochraně osobních údajů o zabezpečení ochrany osobních údajů při jejich likvidaci. Tímto zpracovatelem může být případně i oprávněná osoba ve smyslu zvláštního zákona.

Je možné i po ukončení pracovního poměru nadále používat e-mailovou adresu zaměstnance ve tvaru jméno.příjmení@firma.cz? Nebo může bývalý zaměstnanec požadovat likvidaci tohoto údaje? Je vůbec e-mailová adresa v takovém tvaru osobním údajem?

Osobním údajem se ve smyslu § 4 písm. a) zákona o ochraně osobních údajů rozumí jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu. Je tedy zřejmé, že e-mailová adresa v uvedeném tvaru je údajem, jehož prostřednictvím je osoba bývalého zaměstnance minimálně určitelná.

Během trvání pracovního poměru zaměstnavatel zpracovával osobní údaje zaměstnance ve většině případů na základě zákona, tedy bez souhlasu. Po skončení pracovního poměru měl zaměstnavatel postupovat v souladu s § 20 zákona o ochraně osobních údajů, který říká, že správce nebo na základě jeho pokynu zpracovatel je povinen provést likvidaci osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány, neboť ztratil právní titul pro jeho další zpracovávání. To by nadále bylo možné jen se souhlasem subjektu údajů.

Co se stane s osobním spisem zaměstnance např. ministerstva, pokud zaměstnanec podle zákona o státní službě, požádá o státní službu? Je možné pouhé formální „přeoznačení“ osobního spisu a jinak zůstane stávající spis uchován a dále využíván?

Je třeba si nejprve vyjasnit, co to osobní spis vlastně je a jaká je jeho stávající právní úprava podle zákoníku práce, jaká je podle zákona o státní službě a to vše ve vazbě na zákon o ochraně osobních údajů.

Dříve platný zákoník práce (zákon č. 65/1965 Sb., zákoník práce, ve znění pozdějších předpisů) žádným způsobem neupravoval institut osobního spisu vedeného zaměstnavatelem (personální spis), obsah tohoto spisu nebo možnosti nahlížet do něj. Současný zákoník práce však ve svém § 312 dává zaměstnavateli právo vést osobní spis zaměstnance. Toto ustanovení současně uvádí, jaké písemnosti může spis obsahovat a kdo do něj může nahlížet.

Zcela jasná nebyla a není ani charakteristika tohoto spisu, když zákoník práce neuvádí žádnou definici. Personální spis je však možné charakterizovat jako soubor zcela nebo částečně standardizovaných dokumentů odpovídající právním normám a zaznamenávající průběh a výsledky jednotlivých personálních činností. Osobní spis zaměstnance bývá založen současně s přijetím nového zaměstnance do pracovního poměru. O rozsahu a druhu materiálů v personální evidenci rozhoduje zaměstnavatel podle uvážení a s ohledem na své povinnosti. V souladu se zákoníkem práce však spis může obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v pracovněprávním vztahu. Jedná se tak vlastně o obdobný limit, kterým zákon o ochraně osobních údajů stanoví správcům osobních údajů povinnost shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu a to v § 5 odst. 1 písm. d) zákona o ochraně osobních údajů. Spis obvykle obsahuje například osobní dotazník, případně profesní životopis zaměstnance, doklady o dosaženém vzdělání (vysvědčení, vysokoškolské diplomy, osvědčení), potvrzení o zaměstnání (tzv. zápočtový list) z předchozího zaměstnání nebo potvrzení okresní správy sociálního zabezpečení u osob samostatně výdělečně činných, přehled o odborné praxi zaměstnance, lékařský posudek o zdravotní způsobilosti zaměstnance pro výkon sjednaného druhu práce, pracovní smlouva nebo jmenovací dekret atd. Zároveň je třeba dodat, že je nutná opatrnost v případě, že zaměstnavatel vkládá do osobního spisu kopie různých dokladů. Není možné veškeré požadované informace dokládat kopiemi všech požadovaných dokladů. Povinností zaměstnance je doložit správnost uvedených skutečností. K tomu však postačí uvést, kdo a na základě jakých dokladů toto ověřil (dle dokladu, smlouvy, rodného listu apod. číslo, vydaného komu a kým). Nelze pořizovat kopie dokladů, např. kopii rodného listu, neboť tato obsahuje i další osobní údaje, které nejsou pro zaměstnavatele potřebné. Není proto možné zakládat kopie veškerých dokladů, které obsahují údaje nezbytné pro zaměstnavatele, a to ani se souhlasem subjektu údajů (zaměstnance). Tyto doklady totiž mohou a často i obsahují, jak výše uvádíme, další údaje včetně údajů o třetích osobách, které však pro zaměstnavatele nejsou nezbytné (např. u rodného listu jsou uvedena jména a příjmení rodičů dítěte, apod.). Uložit do osobního spisu lze jen ty kopie dokladů, které obsahují pouze osobní údaje nezbytné pro zaměstnavatele na základě ustanovení právních předpisů nebo se souhlasem zaměstnance. Pokud je možnost kopírování dokladu upravena zvláštním zákonem, je nutno se při pořizování kopie řídit i tímto zákonem.

Osobní spis tak bude obsahovat listiny, které tvoří „informační základnu“ zaměstnavatele o jeho zaměstnancích a které je zaměstnanec také povinen zaměstnavateli poskytnout, a to právě pro plnění jeho zákonných povinností. Základní údaje bývají nejčastěji uvedeny v tzv. osobním dotazníku, který zaměstnanec vyplňuje většinou ještě před formálním uzavřením pracovního poměru podpisem pracovní smlouvy. Vzhledem k zákonným limitům uvedeným výše, by měl takový dotazník, resp. jeho základní obsah být u všech zaměstnavatelů prakticky stejný. Bude se jednat o základní identifikační údaje, tedy jméno, případně jména a příjmení, adresu bydliště, číslo občanského průkazu, informace o trestní bezúhonnosti zaměstnance, je-li takových údajů pro vykonávanou práci zapotřebí, údaj o provozování vlastní podnikatelské činnosti, druhu podnikání a výkonu jiné pravidelné výdělečné činnosti, pro některé zaměstnavatele je také nezbytné mít informace o členství zaměstnance v řídících a kontrolních orgánech právnické osoby provozující podnikatelskou činnost, informace o zvláštních oprávněních nebo způsobilostech, jako je oprávnění k řízení motorových vozidel, vlastnictví zbrojního průkazu, či způsobilost pracovat s utajovanými informacemi a získané bezpečnostní způsobilosti, pokud výše uvedené informace, které jsou bezpochyby osobními údaji, jsou nezbytné pro výkon zaměstnání. Součástí osobního spisu pak budou dokumenty, které pro zaměstnavatele osvědčují informace uvedené v osobním dotazníku, a dále dokumenty, které souvisí přímo se zaměstnaneckým poměrem. Během trvání pracovního poměru bývají do spisu přidávány další dokumenty, například dohody o změně pracovní smlouvy a pracovní náplně, doklady o prohlubování kvalifikace, souhlas zaměstnavatele s výkonem výdělečné činnosti zaměstnance shodné s předmětem činnosti zaměstnavatele (příp. odvolání tohoto souhlasu) atd.[134]

Právní úprava osobního spisu v zákoníku práce i v zákoně o státní službě zní velmi podobně.

Zákoník práce postuluje v § 312, že

(1) Zaměstnavatel je oprávněn vést osobní spis zaměstnance. Osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu uvedeném v § 3.

(2) Do osobního spisu mohou nahlížet vedoucí zaměstnanci, kteří jsou zaměstnanci nadřízeni. Právo nahlížet do osobního spisu má orgán inspekce práce, Úřad práce České republiky, Úřad pro ochranu osobních údajů, soud, státní zástupce, policejní orgán, Národní bezpečnostní úřad a zpravodajské služby. Za nahlížení do osobního spisu se nepovažuje předložení jednotlivé písemnosti zaměstnavatelem z tohoto spisu vnějšímu kontrolnímu orgánu, který provádí kontrolu u zaměstnavatele a který si tuto písemnost vyžádal v souvislosti s předmětem kontroly prováděné u zaměstnavatele.

(3) Zaměstnanec má právo nahlížet do svého osobního spisu, činit si z něho výpisky a pořizovat si stejnopisy dokladů v něm obsažených, a to na náklady zaměstnavatele.

Zákon státní službě pak v § 153 stanoví, že

(1) O služebním poměru státního zaměstnance se vede osobní spis, který smí obsahovat jen písemnosti nezbytné pro služební poměr a hodnocení státního zaměstnance.

(2) Do osobního spisu mají právo nahlížet služební orgán, jakož i představení, kteří jsou státnímu zaměstnanci nadřízeni. Právo nahlížet do osobního spisu, jakož i právo na pořízení opisu osobního spisu má Ministerstvo vnitra, orgán inspekce práce, Úřad pro ochranu osobních údajů, soud, státní zástupce, policejní orgán, Národní bezpečnostní úřad a zpravodajská služba.

(3) Státní zaměstnanec a bývalý státní zaměstnanec mají právo nahlížet do svého osobního spisu, činit si z něj výpisy a na náklady služebního úřadu z něho požadovat opisy listin.

(4) Rozhodnutí o uložení kárného opatření se po zahlazení kárného opatření uchovává odděleně mimo osobní spis; pro nahlížení do rozhodnutí se použije odstavec 2 obdobně.

Ač jsou si ustanovení obou zákonů velmi podobná, je však mezi nimi zásadní rozdíl. Ten souvisí s charakterem zákona o státní službě. Tento zákon je totiž především předpisem práva veřejného, zákoník práce je pak předpisem práva soukromého (odhlížeje od toho, že toto dělení právních předpisů se v čisté formě vyskytuje již jen sporadicky). I když se obecně hovoří o „překlopení“ dosavadních zaměstnanců státní správy, není to ani zdaleka proces automatický a ani se automaticky pracovní poměr nemění, (nepřechází) v poměr služební. Naopak. Pracovní poměr bude ukončen a služební poměr vznikne.

Plyne tak např. ustanovení § 6 zákona o státní službě, podle něhož „státním zaměstnancem je fyzická osoba, která byla přijata do služebního poměru a zařazena na služební místo nebo jmenována na služební místo představeného k výkonu některé z činností uvedených v § 5“.

A tak zatímco základem osobního spisu zaměstnance podle zákoníku práce bude jak shora zmíněno základní osobní dotazník a pracovní smlouva, základem osobního spisu podle zákona o státní službě bude žádost doložená podle § 26 citovaného zákona. Tedy § 26 stanoví, že splnění předpokladů podle § 25 odst. 1 písm. a)[135] , e)[136] a f)[137] je žadatel povinen doložit příslušnými listinami. Splnění předpokladu bezúhonnosti se osvědčuje výpisem z Rejstříku trestů, který nesmí být starší než 3 měsíce. Služební orgán si za účelem ověření, zda žadatel splňuje předpoklad bezúhonnosti, může vyžádat od Rejstříku trestů výpis z evidence Rejstříku trestů týkající se žadatele; žádost se podává v elektronické podobě podepsaná uznávaným elektronickým podpisem, a to způsobem umožňujícím dálkový přístup. Rejstřík trestů poskytne na žádost služebního orgánu výpis z evidence Rejstříku trestů týkající se žadatele. Žadatel, který není státním občanem České republiky, osvědčuje splnění předpokladu bezúhonnosti též obdobným dokladem, který nesmí být starší než 3 měsíce, osvědčujícím bezúhonnost, vydaným státem, jehož je žadatel státním občanem, jakož i státy, v nichž žadatel pobýval v posledních 3 letech nepřetržitě po dobu delší než 6 měsíců (dále jen „domovský stát“), a doloženým úředním překladem do českého jazyka; pokud takový doklad domovský stát nevydává, doloží se bezúhonnost písemným čestným prohlášením. Splnění předpokladu podle § 25 odst. 1 písm. c) se dokládá písemným čestným prohlášením. Splnění předpokladů podle § 25 odst. 1 písm. a), e) a f) lze při podání žádosti doložit též čestným prohlášením; listiny podle odstavce 1 v takovém případě žadatel předloží následně, nejpozději před konáním pohovoru podle § 27 odst. 3.

Základem osobního spisu bude, jak plyne ze shora uvedeného jednak tedy podkladová sada jako součást žádosti a pak, samozřejmě rozhodnutí o přijetí do služebního poměru (§ 30 a násl. zákona o státní službě).

A právě v tomto okamžiku je třeba k zodpovězení dotazu vzít v úvahu i zákon o ochraně osobních údajů, konkrétně ustanovení § 5 odst. 1 písm. d), podle něhož je povinností shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu.

Zatímco základním účelem vedení osobního spisu podle zákoníku práce je plnění povinností podle něj a tomu odpovídající dokumenty a listiny, stejně tak je to ovšem u vedení osobního spisu a jeho rozsahu u poměru služebního. Tyto poměry na sebe sice navazují (mohou navazovat) ale nejsou pokračováním jednoho pod názvem druhého.

Znamená to tedy, že sice lze ze spisu podle zákoníku práce převzít některé listiny k prokázání předpokladů (např. délka praxe ve správních úřadech) k žádosti o přijetí do služebního poměru, ale nelze tento spis „automaticky vydávat“ a bez jeho další úpravy používat jako osobní spis podle zákona o státní službě. Povolené rozsahy informací v nich obsažených se vlastně diametrálně liší a lze s jistou s nadsázkou říci, že tam, kde jeden osobní spis končí, druhý, nový začíná s tím, že ten nový (podle zákona o státní službě) může opět obsahovat jen dokumenty a informace zákonem přímo vymezené.

[133] Vyhláška č. 645/2004 Sb., kterou se provádějí některá ustanovení zákona o archivnictví a spisové službě a o změně některých zákonů.

[134] Bartík, V. – Janečková, E.: Osobní spis zaměstnance jako zpracování osobních údajů. Osobní spis zaměstnance jako zpracování osobních údajů [Systém ASPI] PaM. – Práce a mzda (Wolters Kluwer) [cit. 2015-5-25] ASPI_ID LIT33764CZ. Dostupné v Systému ASPI. ISSN: 2336-517X. ]

[135] Být státním občanem České republiky, občanem jiného členského státu Evropské unie nebo občanem státu, který je smluvním státem Dohody o Evropském hospodářském prostoru,

[136] Vzdělání stanoveného tímto zákonem.

[137] Potřebnou zdravotní způsobilost.

6 Kamerové systémy na pracovišti

Samotné kamerové sledování fyzických osob není zpracováním osobních údajů podle zákona o ochraně osobních údajů. Kamerové systémy v této podobě totiž postrádají úroveň podmínek pro zpracování údajů ve smyslu § 4 písm. e) zákona o ochraně osobních údajů. To, že v takových případech nebude tento zákon aplikovatelný, však neznamená, že lze tyto kamerové systémy instalovat bez omezení. Je nutné respektovat především ustanovení občanského zákoníku, upravující podmínky ochrany osobnosti, a to zejména ustanovení § 84 a následující. Ani při použití kamerového systému se záznamem se nemusí vždy jednat o zpracování osobních údajů. Podle ustanovení § 4 písm. a) zákona o ochraně osobních údajů je osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Údaje uchovávané v záznamovém zařízení, ať obrazové či zvukové, jsou tedy osobními údaji pouze za předpokladu, že na základě těchto záznamů lze přímo či nepřímo identifikovat konkrétní fyzickou osobu (tedy: informace z obrazových či zvukových nahrávek umožňují, byť nepřímo, identifikaci osoby). Fyzická osoba je identifikovatelná, pokud ze snímku, na němž je zachycena, jsou patrné její charakteristické rozpoznávací znaky (zejména obličej) a na základě propojení rozpoznávacích znaků s dalšími disponibilními údaji je možná plná identifikace osoby. Osobní údaj pak ve svém souhrnu tvoří ty identifikátory, které umožňují příslušnou osobu spojit s určitým, na snímku zachyceným, jednáním.[138]

Do takto chápaného a obecně akceptovaného vymezení však v jednom ze svých rozsudků[139] vnesl nový prvek aplikace Nejvyšší správní soud, když uvedl, že „plná identita fyzické osoby v současných podmínkách technologicky vyspělé společnosti, tj. za vysokého stupně rozvoje elektronických a jiných médií, která jsou většině populace snadno dostupná, ve své podstatě neznamená nic jiného, než možnost tuto osobu určitým způsobem kontaktovat, aniž by bylo nutno znát místo jejího aktuálního pobytu. Proto se výklad pojmu „osobní údaj“ nemůže omezit striktně jen na znalost např. rodného čísla, adresy či pracoviště subjektu údajů“.

„Je třeba konstatovat, že pokud ze zvláštních okolností při pořízení záznamu nebude možné jednotlivé osoby identifikovat, lze v obecné rovině uvést, že informace obsažené v záznamech z kamerových systémů nedosahují kvality osobního údaje, neboť z pouhého obrazového záznamu fyzické osoby nelze tuto osobu bez použití dalších doprovodných údajů, v záznamu neobsažených, obecně ztotožnit. Pokud tedy nebude záznam z kamerového systému možno doplnit dalšími informacemi o zaznamenané osobě, nelze údaje takto získané v obecné rovině vztáhnout k určitému nebo určitelnému subjektu údajů. Nicméně na druhou stranu je nepochybné, že každý záběr zachycující znaky umožňující odlišení fyzické osoby od jiné (zejména obličej) vytváří ze záběru minimálně potenciální osobní údaj a jako s takovým by s ním mělo být nakládáno. Disponuje-li totiž správce osobních údajů snímkem uvedených kvalit, lze jen těžko vyloučit, že by nemohlo k identifikaci příslušné osoby kdykoli v budoucnu dojít, a takováto identifikace je nadto zcela evidentně hlavním důvodem toho, proč k pořizování záznamů snímků vůbec dochází. Lze tedy vyslovit i jistou presumpci dalšího využívání těchto záběrů. Je nepochybné, že pokud by tyto záběry neměly být nijak využívány, celé záznamové zařízení by postrádalo jakýkoli smysl“.[140]

Je nutné si také uvědomit, že případná identifikovatelnost může souviset i s dobou uchování záznamu. „Pokud provozovatel kamerového systému se záznamem plánuje údaje uchovávat například 10 let, měl by vzít v úvahu, že identifikace může být proveditelná třeba v devátém roce jejich existence, kdy by se z nich v důsledku toho mohly stát osobní údaje. Systém by měl být navržen tak, aby se dokázal přizpůsobovat takovým změnám v okamžiku, kdy nastanou, a aby do něj bylo možné včas začleňovat vhodná technická a organizační opatření“.[141]

Otázkou, kdy je sledování pomocí kamerového systému také zpracováním osobních údajů, se zabývala i WP29 v již několikrát zmiňovaném Stanovisku č. 4/2004 ke zpracování osobních údajů prostředky kamerového sledování. Podle něj „obrazové a zvukové údaje, které se týkají identifikovaných nebo identifikovatelných fyzických osob, jsou osobními údaji:

a) i pokud jsou záběry používány v rámci uzavřeného televizního okruhu, a to i pokud nejsou spojeny s údaji o dané osobě,

b) i pokud se netýkají osob, jejichž obličeje byly nafilmovány, avšak obsahují jiné informace jako např. státní poznávací značky vozidel nebo čísla PIN získaná v souvislosti se sledováním bankomatů,

c) bez ohledu na média používaná ke zpracování (např. pevné a/nebo mobilní obrazové systémy, jako jsou přenosné videopřijímače, systémy barevných a/nebo černobílých obrazů – používané techniky – kabelová zařízení nebo systémy s optickými vlákny – druh zařízení – stacionární, rotující, mobilní – aspekty záznamu obrazových informací – např. nepřetržité či naopak přerušované pořizování záznamů, jako např. v případě pořízení záznamu jen při překročení povolené rychlosti, což nemá nic společného s náhodným, dílčím pořizováním záběrů – a používané komunikační nástroje, např. spojení s „centrem“ a/nebo zasílání obrazových záznamů na vzdálené terminály apod.).

Možnost identifikace ve smyslu směrnice může také vycházet ze spojení údajů s informacemi, které jsou v držení třetích osob, nebo v jednotlivých případech z použití zvláštních technik a/nebo přístrojů.

Jedním z prvních opatření, které musí správce dat přijmout, je kontrola, zda kamerové sledování zahrnuje zpracování osobních údajů. Tak tomu může být např. v případě zařízení, které je umístěno u vchodu nebo uvnitř banky, umožňuje-li toto zařízení identifikaci zákazníků; naopak, za určitých okolností může být zpracování osobních údajů vyloučeno v případě leteckých snímků, které nelze dostatečně zvětšit nebo které nezahrnují informace týkající se fyzických osob, např. snímky pořizované k identifikaci vodních zdrojů nebo skládek, a v případě otočných zařízení, která pořizují snímky různých situací v silniční dopravě“.

Přehled dotazů:

■ Kamerový systém na pracovišti

■ Oznamovací povinnost

■ Možnosti zaměstnance

■ Informační povinnost

Dotazy:

Je možné instalovat kamerové systémy, případně i se záznamem, na pracovišti? Pokud ano, za jakých podmínek?

Na kamerové systémy, které se nacházejí na pracovišti, je třeba podívat se ze dvou úhlů pohledu. Dochází tady totiž ke zdánlivému prolínání dvou zákonů – zákona o ochraně osobních údajů a zákoníku práce, a tím i ke zdánlivému prolínání kompetencí dvou úřadů – Úřadu pro ochranu osobních údajů a Inspektorátů práce. Jak vyplývá z řečeného, toto prolínání je ovšem jen zdánlivé. Úřad pro ochranu osobních údajů se na kamerové systémy dívá z pohledu zákona o ochraně osobních údajů, inspektorát práce z pohledu zákoníku práce, což je nutné důsledně odlišovat. Zaměstnavatelé to však nečiní.

Důvodem, proč je nutné obojí rozlišovat, je především to, že v České republice neexistuje žádný zákon, který by se primárně (obecně) vztahoval na kamerové systémy. Využití zákona o ochraně osobních údajů pro regulaci alespoň části kamerových systémů je v zásadě východiskem z nouze. Díky definici osobního údaje a definici zpracování osobních údajů a díky ostatním limitům vyplývajícím ze zákona o ochraně osobních údajů lze tento zákon použít pouze na kamerové systémy se záznamem. On-line monitoring tak zůstává zcela mimo dosah tohoto zákona, neboť on-line monitoring nelze chápat jako zpracování osobních údajů ve smyslu zákon o ochraně osobních údajů.

Na druhou stranu zákoník práce takovéto limity neklade a tak se tento zákon vztahuje na oba typy monitoringu – kamerové systémy se záznamem a kamerové systémy bez záznamu (on-line monitoring).

Zaměstnavatelé často argumentují tím, že mají své kamerové systémy registrovány u Úřadu pro ochranu osobních údajů, a tedy že jejich zpracování bylo ze strany Úřadu prověřeno, a je v naprostém souladu se zákonem. Toto tvrzení svědčí o nepochopení. Registrační proces podle § 16 zákona o ochraně osobních údajů není procesem povolovacím, a že tedy vydané osvědčení pouze prokazuje skutečnost, že správce splnil svou zákonnou povinnost oznámit Úřadu zamýšlené zpracování, a zároveň že zpracování je evidováno v registru vedeném Úřadem. Současně je nutno zdůraznit, že zaregistrování oznámeného zpracování se provádí pouze na základě dostupných a v danou chvíli známých skutečností, navíc sdělovaných samotným žadatelem. Registrační proces jednoduše nemůže nahradit kontrolní řízení prováděné na místě, které jediné může prokázat, zda je takové zpracování skutečně v souladu se zákonem.

Osvědčení o registraci vydané Úřadem pro ochranu osobních údajů navíc nevypovídá vůbec nic o souladu kamerového systému na pracovišti se zákoníkem práce. K takovémuto posuzování není Úřad pro ochranu osobních údajů kompetentní. Může se tedy stát, že byť bude instalovaný kamerový systém v souladu se zákonem o ochraně osobních údajů, může být v rozporu se zákoníkem práce.

Jak již bylo výše uvedeno, dva základní důvody instalace kamerových systémů jsou sledování zaměstnanců a ochrana majetku. První z důvodů bude ve většině případů nepřijatelný, druhý důvod instalace systému je legitimní, záleží na nastavení systému.

Na kamerové systémy instalované na pracovišti, ať už se jedná o systémy se záznamem či o systémy on-line se vztahuje ustanovení § 316 zákoníku práce. Podle odstavce prvního tohoto ustanovení zaměstnanci nesmějí bez souhlasu zaměstnavatele užívat pro svou osobní potřebu výrobní a pracovní prostředky zaměstnavatele včetně výpočetní techniky ani jeho telekomunikační zařízení. Dodržování zákazu podle věty první je zaměstnavatel oprávněn přiměřeným způsobem kontrolovat. Toto ustanovení je velmi vágní, formulace „přiměřeným způsobem“ nestanoví žádné konkrétní limity a posouzení, zda byla kontrola provedena přiměřeným způsobem, by nepochybně muselo být provedeno soudem.

Podle odstavce druhého § 316 zákoníku práce zaměstnavatel nesmí bez závažného důvodu spočívajícího ve zvláštní povaze činnosti zaměstnavatele narušovat soukromí zaměstnance na pracovištích a ve společných prostorách zaměstnavatele tím, že podrobuje zaměstnance otevřenému nebo skrytému sledování, odposlechu a záznamu jeho telefonických hovorů, kontrole elektronické pošty nebo kontrole listovních zásilek adresovaných zaměstnanci. Z citovaného ustanovení můžeme dovodit tři premisy.

Toto ustanovení se zmiňuje o zákazu narušovat soukromí zaměstnance. Z toho vyplývá, že i na pracovišti má každý zaměstnanec nárok na určitou míru soukromí. Kamerový systém a zvláště kamerový systém se záznamem je bezpochyby prostředkem sloužícím k otevřenému sledování, a jako takový narušuje významným způsobem soukromí zaměstnance. V tomto případě nepřichází v úvahu ani možnost instalovat kamerové systémy se souhlasem zaměstnanců, neboť zaměstnanec by se předem vzdával svého práva na ochranu soukromí na pracovišti. Zároveň k vyloučení aplikace tohoto ustanovení nelze použít ani případný souhlas všech zaměstnanců, neboť je třeba přihlédnout k ustanovení § 19 písm. f) zákoníku práce, podle něhož soud přihlédne i bez návrhu k neplatnosti právního úkonu, kterým se zaměstnanec předem vzdává svých práv. V případě § 316 odst. 2 zákoníku práce se tak jedná o kogentní ustanovení, které obsahuje pro zaměstnavatele jednoznačný zákaz.

Toto soukromí může být narušeno pouze v případě, že na straně zaměstnavatele existuje závažný důvod spočívající ve zvláštní povaze činnosti. Zatím nelze přesně říci, kterých zaměstnavatelů se bude tato výjimka týkat. Zákoník práce sám, ani jeho důvodová zpráva tento pojem blíže nespecifikují. Vysvětlit jej tedy pravděpodobně bude muset judikatura, která však zatím není. Ze smyslu ustanovení lze však dovodit, že se bude jednat např. o pracoviště, kde se pracuje s finanční hotovostí, režimová pracoviště, pracoviště, kde hrozí zvýšené nebezpečí úrazu.

Je třeba uvést, že zákoník práce nestanoví povinnost začít sledovat zaměstnance např. prostřednictvím instalace kamerových systému, jakmile se na něj začne vztahovat výjimka uvedená výše. Jde pouze o možnost, nikoli nutnost.

Ani využití výše zmíněné výjimky podle § 316 odst. 2 zákoníku práce tedy neznamená, že by zaměstnavatel mohl monitorovat zaměstnance bez omezení. Jak již bylo několikrát řečeno, i na pracovišti by měl zaměstnanec mít jistou minimální úroveň soukromí zaručenu. Kamerové systémy by tedy v žádném případě neměly být instalovány na místech určených k ryze soukromým činnostem, jako jsou toalety, místa určená k odpočinku, šatny (pokud přece jen bude v šatně umístěna kamery, musí být zaměstnancům možnost převléci se na nesledovaném místě bez dohledu kamer).

Zákoník práce dále stanoví i určité pojistky proti zneužívání těchto výjimek v těch případech, kdy je u zaměstnavatele dán závažný důvod spočívající ve zvláštní povaze činnosti zaměstnavatele, který odůvodňuje zavedení těchto kontrolních mechanismů (podle § 316 odst. 2). Zaměstnavatel je v těchto případech totiž povinen přímo informovat zaměstnance o rozsahu kontroly a o způsobech jejího provádění (§ 316 odst. 3).

Jak vyplývá z citovaného ustanovení, spadá-li zaměstnavatel do zde uvedené výjimky, může použít nejrůznější kontrolní mechanismy a při tom případně narušit soukromí zaměstnanců (byť i to má své limity). A contrario lze dovodit, že zaměstnavatel může zavést kontrolní mechanismy i v případě, že do výjimky nespadá, nesmí však narušit soukromí zaměstnance. A tady přichází ke slovu zákon o ochraně osobních údajů. Podmínky, za nichž nejspíš bude docházet k narušování soukromí, lze totiž posuzovat pohledem zákona o ochraně osobních údajů. Případné porušení soukromí lze vyhodnotit například prostřednictvím toho, jaký byl určen účel instalovaného kamerového systému. Dále je možné zohlednit, kolik prostoru a jaký prostor kamery zabírají, kdy jsou spuštěné (zda pouze mimo pracovní dobu nebo i v pracovní době), nutné bude posoudit, úhel, počet a umístění kamer. Podstatná je dále doba uchování – čím delší dobu je záznam uchovaný, tím se zvyšuje nebezpečí zneužití především případného záznamu. Ze souvislostí s textem ustanovení § 316 odst. 3 zákoníku práce vyplývá, že by zaměstnancům měly být podány alespoň základní informace. Odstavec 3 sice mluví pouze o informacích o kontrole v případě výjimky závažných důvodů spočívajících ve zvláštní povaze zaměstnavatele. Nicméně prostřednictvím skutečnosti, zda zaměstnanec ví o tom, že je na jeho pracovišti nainstalován kamerový systém, lze posuzovat míru zásahu do soukromí.

Musí se zaměstnavatel registrovat u Úřadu pro ochranu osobních údajů v případě, že hodlá instalovat kamerové systémy?

Obecně platí, že správce je povinen, a to ještě před zahájením zpracovávání dat prostřednictvím kamerového systému, oznámit zamýšlené zpracování osobních údajů ÚOOÚ. Tuto povinnost musí správce splnit vždy, jestliže se na něj nevztahuje některá z výjimek uvedených v § 18 odst. 1 zákona o ochraně osobních údajů. Podle tohoto ustanovení se oznamovací povinnost nevztahuje na zpracování osobních údajů, které jsou součástí datových souborů veřejně přístupných na základě zvláštního zákona, které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona, nebo jde-li o zpracování, které sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti sdružení, a které se týká pouze členů sdružení, nebo osob, se kterými je sdružení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdružení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů.

Je-li provozování kamerového systému považováno za zpracování osobních údajů, je na takové zpracování nutné pohlížet i z hlediska § 16 zákona o ochraně osobních údajů a takové zpracování včas oznámit ÚOOÚ, pokud se na něj nevztahuje některá z výše uvedených výjimek.

Jaké možnosti má zaměstnanec, který nesouhlasí s instalací kamer se záznamem na pracovišti?

V praxi mají zaměstnanci často problém domoci se svého práva. Orgánem, na nějž se mohou zaměstnanci v takovém případě obracet, je totiž Inspekce práce, která provádí kontrolu podle § 5 zákona č. 251/2005 Sb., o inspekci práce, ve znění pozdějších předpisů, a ukládá opatření k odstranění nedostatků zjištěných při kontrole. V praxi však nastává velký problém. Inspekce práce nemůže v případech porušení práva zaměstnanců na ochranu soukromí dle § 316 zákoníku práce uložit žádnou správněprávní sankci. V zákoně o inspekci práce totiž neexistuje pro tato porušení odpovídající skutková podstata. Z hlediska zaměstnance není taková ochrana příliš efektivní.

V případě, že zaměstnanec bude považovat provoz kamerového systému za skutečnost narušující jeho vlastní práva – například pokud by kamerový systém sledoval zaměstnance i na místech a v době, kdy nevykonává práci – má tak možnost řešit vzniklou situaci buď osobně se zaměstnavatelem, nebo stížností podanou Úřadu.

Pokud se zaměstnanec domnívá, že zavedením kamerového systému na jeho pracovišti došlo k porušení jeho práv a povinností vyplývajících z rovného zacházení nebo pokud považuje takové jednání zaměstnavatele za zásah do ochrany osobnosti, má právo se na zaměstnavateli domáhat, aby od tohoto jednání upustil, a podat stížnost k Úřadu. V závažných případech má právo na náhradu nemajetkové újmy v penězích, o které rozhoduje soud. Podat stížnost Úřadu je možné písemně běžnou poštou nebo prostřednictvím elektronické komunikace nebo i osobně, po předběžně domluvené schůzce na Úřadu.

Tato možnost vychází především z § 21 zákona o ochraně osobních údajů, podle něhož každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může požádat správce nebo zpracovatele o vysvětlení, nebo i požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů. Je-li žádost subjektu údajů shledána oprávněnou, správce nebo zpracovatel musí odstranit neprodleně závadný stav. Nevyhoví-li správce nebo zpracovatel žádosti subjektu údajů, má subjekt údajů právo obrátit se přímo na Úřad. Tento postup ovšem nevylučuje možnost, aby se subjekt údajů obrátil se svým podnětem na Úřad přímo. Pokud vznikla v důsledku zpracování osobních údajů subjektu údajů jiná než majetková újma, postupuje se při uplatňování jejího nároku podle zvláštního zákona.

Ustanovení § 21 zákona o ochraně osobních údajů dává subjektu údajů právo reagovat na nesrozumitelné nebo nepravdivé, či jen nepřesné sdělení od správce a požádat o vysvětlení, případně o nápravu zjištěného nesprávného stavu. Stačí i pouhá domněnka. K takovým zjištěním může subjektu údajů postačit i využití práva podle § 12 zákona o ochraně osobních údajů, tedy žádat informace o zpracovávaných údajích.

Je zřejmé, že požadavku vznesenému subjektem údajů podle § 21 odst. 1 zákona o ochraně osobních údajů, tedy požadavku o vysvětlení nebo požadavku, aby správce nebo zpracovatel odstranil vzniklý stav, musí předcházet minimálně domnělé porušení povinností správcem nebo zpracovatelem, a to takové porušení, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování.

Ustanovení § 21 odst. 1 zákona o ochraně osobních údajů zde tak navazuje na povinnosti stanovené především § 5 odst. 1 písm. c) zákona o ochraně osobních údajů a § 10 zákona o ochraně osobních údajů, tedy povinnost zpracovávat pouze přesné údaje, které byly získány v souladu se zákonem o ochraně osobních údajů, a povinnost při zpracování osobních údajů dbát, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti, a také dbát na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů.

Právu subjektu údajů nápravu požadovat tedy odpovídá povinnost správce nebo zpracovatele na takovou žádost subjektu údajů reagovat. Z dikce ustanovení § 21 zákona o ochraně osobních údajů plyne, že subjekt údajů se se svou žádostí může obrátit jak na správce, tak na zpracovatele. Povinnost reagovat se tak týká obou a jeden z nich musí závadový stav napravit.

Zákon o ochraně osobních údajů neuvádí konkrétní lhůtu, v níž je nutné závadný stav odstranit. Zákon o ochraně osobních údajů pouze uvádí, že je třeba učinit tak neprodleně. Správce nebo zpracovatel jsou proto povinni stav napravit ihned, jakmile je to možné, což je nutné vždy posuzovat v každém konkrétním případě zvlášť.

Ustanovení § 21 zákona o ochraně osobních údajů však dává subjektu údajů možnost – v případě, že správce nebo zpracovatel vadný stav neodstraní – obrátit se na Úřad. Pokud žádost adresovaná správci nebo zpracovateli o vysvětlení nebo nápravu závadného stavu nevede k objasnění a popř. nápravě, vytváří důvodné podklady pro uplatnění dozorových povinností Úřadu.

Výše nastíněný postup však neznamená, že by subjekt údajů musel nejprve vyčerpat uvedenou možnost, tedy sám požádat správce nebo zpracovatele o nápravu a teprve v případě, že této žádosti nebude vyhověno, se mohl obrátit na Úřad. Naskýtá se tak otázka, co musí Úřad s takovou žádostí o nápravu učinit. Dalo by se usoudit, že Úřad podání/stížnost přijme jako podnět ke své další činnosti, případně k uplatnění svých působností ex offo. Tak tomu však není, alespoň ne zcela, resp. ne ve všech případech, jak dovodil Nejvyšší správní soud.

Mělo by tak platit, že pokud subjekt údajů využije svého práva a obrátí se s požadavkem o nápravu nejprve na správce, resp. zpracovatele se žádostí podle § 21 odst. 1 zákona o ochraně osobních údajů a nebude se žádostí úspěšný a teprve pak se obrátí se žádostí o zajištění nápravy na Úřad, je podle výše uvedeného rozsudku Nejvyššího správního soudu zahájeno „návrhové řízení“. Úřad by tedy měl rozhodnout o takovém návrhu, a pokud tak neučiní, bude nečinný, a vystavuje se žalobě proti nečinnosti, při níž by stěžovatel byl zřejmě úspěšný

Nicméně i výše citovaný názor Nejvyššího správního soudu doznal jisté korekce. V březnu 2010 vynesl uvedený soud další rozsudek[142], ve kterém dovodil, že zákon o ochraně osobních údajů po novele provedené zákonem č. 439/2004 Sb., již nezakládá subjektivní veřejné právo jedince domáhat se u Úřadu konkrétního opatření k nápravě. Uvedl, že jedinec disponuje pouze právem obrátit se se svým podnětem na Úřad. Právní úprava tedy nadále nepočítá se zahájením správního řízení podáním žádosti jednotlivce, plně se prosadil princip oficiality, kdy všechna správní řízení vedená Úřadem mohou být zahájena jen z moci úřední (zpravidla na základě podnětu či stížnosti jednotlivce). Podání stěžovatele je třeba považovat pouze za podnět k provedení kontroly a  zahájení řízení o uložení nápravných opatření dle § 40 zákona o ochraně osobních údajů.

Z výše uvedeného tedy plyne, že i vývoj v judikatuře se nakonec ustálil směrem, odpovídajícím smyslu a účelu právní úpravy. Nicméně v případě, že by na konkrétní podání nebylo ze strany Úřadu reagováno, např. postupem podle § 43 odst. 1 písm. b) zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, a tedy věc by nebyla usnesením odložena nebo postupem podle § 42 zákona č. 500/2004 Sb., správní řád, ve znění pozdějších předpisů, a nebylo by stěžovateli sděleno pouhým přípisem, že nebyly shledány důvody k pro zahájení řízení z moci úřední, jistě by přicházela v úvahu žaloba proti nečinnosti Úřadu.

Jakým způsobem má být plněna informační povinnost v případě kamerových systémů?

Podle § 11 odst. 1 zákona o ochraně osobních údajů je správce při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 zákona o ochraně osobních údajů. V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů. Tyto povinnosti musí správce osobních údajů plnit vždy, nevztahuje-li se na něj některá z výjimek uvedených § 11 odst. 3 zákona o ochraně osobních údajů [143].

Informační povinnost v rozsahu podle zákona o ochraně osobních údajů je jednou ze základních povinností správce osobních údajů a je podstatnou podmínkou efektivní ochrany osobních údajů, zejména proto, že na základě uvedených informací se subjekt údajů může sám na ochraně svých osobních údajů aktivně podílet, tj. svobodně se rozhodnout, zda za daných podmínek své osobní údaje poskytne, nebo se domáhat nápravy, nejsou-li jeho osobní údaje zpracovávány v souladu s právní úpravou.

Z výše uvedeného jasně vyplývá, že informování subjektů údajů prostřednictvím tabulek s nápisem „Prostor je sledován kamerovým systémem“, jak je v praxi běžné, nebude dostačovat. Z této věty vyplývá pouze to, že osobní údaje budou zpracovávány, další informace však podány nejsou. Není například zřejmé, kdo a jakým způsobem bude osobní údaje zpracovávat, v jakém rozsahu atd.; není ani uvedena informace, kde by bylo možné tyto údaje zjistit. Vhodné by proto bylo na tuto informační ceduli uvést i údaj o tom, kdo je správcem zpracovávaných osobních údajů a kde je možné získat další informace předpokládané zákonem.

Není při tom nezbytné určit přesné umístění sledovacího zařízení, je však třeba jednoznačně vysvětlit podmínky sledování. Informace je třeba umístit v rozumné vzdálenosti od sledovaných míst – nikoli jako v některých případech, kdy bylo umístění informačních desek ve vzdálenosti 500 m od sledovaných prostor shledáno přijatelným – a také s ohledem na systém sledování. Informace by měly být viditelné a měly by být poskytnuty souhrnným způsobem. Zvláštní pozornost je třeba věnovat také vhodnému způsobu poskytování informací nevidomým osobám.[144]

Nesplnění informační povinnosti také v podstatě zpochybňuje platnost případného souhlasu se zpracováním osobních údajů, neboť právní úkon může být považován za souhlas se zpracováním osobních údajů podle zákona o ochraně osobních údajů jen tehdy, pokud jsou subjektu údajů dány veškeré relevantní informace týkající se zamýšleného zpracování osobních údajů a je mu tak umožněno se svobodně a vědomě rozhodnout, zda souhlas se zpracováním osobních údajů za těchto podmínek udělí.

Jak již bylo řečeno, správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21 zákona o ochraně osobních údajů. V případě zpracování osobních údajů prostřednictvím kamerových systémů jsou však tato práva z podstaty omezena. Rozsah aplikace práva subjektu údajů na přístup k osobním údajům, které umožňují jeho identifikaci, je obvykle omezen krátkou dobou uchovávání záznamů. Toto právo musí být zaručeno zejména v případě podání podrobné žádosti, aby bylo možno příslušné záběry snadno nalézt. Přihlédnout je třeba také k nutnosti dočasného zaručení práv třetích osob. Stejně tak je nutně omezeno právo na opravu osobních údajů. Oprava v zásadě nepřichází v úvahu, v případě nějakého problému by bylo nutné záznam likvidovat.

V budově máme nainstalované kamerové systémy. Budova má několik vchodů. Je třeba u každého vchodu do budovy vyvěsit upozornění, že prostor je monitorován?

Pokud do budov, které jsou monitorovány kamerovým systémem se záznamovým zařízením, mají přístup pouze zaměstnanci správce, pak je lze o této skutečnosti informovat i jinak, např. vnitřním předpisem, se kterým budou prokazatelně seznámeni, a informační tabulky nejsou potřebné. Pokud mají do objektu přístup i třetí osoby (zaměstnanci spolupracujících společností, návštěvy, klienti), pak musí být upozornění u všech vchodů, které mohou použít. Upozornění musí obsahovat všechny náležitosti stanovené § 11 zákona o ochraně osobních údajů.

[138] www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 1/2006 „Provozování kamerového systému z hlediska zákona o ochraně osobních údajů“.

[139] Rozsudek Nejvyššího správního soudu ze dne 12. 2. 2009, čj. 9 As 34/2008 – 68, www.nssoud.cz.

[140] www.uoou.cz, Komentář k Zásadám provozování kamerového systému z hlediska zákona o ochraně osobních údajů.

[141] Stanovisko WP 29 č. 4/2007 k pojmu osobní údaje, přijaté dne 20. června 2007.

[142] Rozsudek Nejvyššího správního soudu ze dne 16. 3. 2010 čj. 1 As 93/2009-126, přístupný na http://www.uoou.cz/uoou.aspx?menu=7&submenu=8.

[143] § 11 odst. 3:Informace a poučení podle odstavce 1 není povinen správce poskytovat v případech, kdy osobní údaje nezískal od subjektu údajů, pokud

a) zpracovává osobní údaje výlučně pro účely výkonu státní statistické služby, vědecké nebo archivní účely a poskytnutí takových informací by vyžadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady; nebo pokud ukládání na nosiče informací nebo zpřístupnění je výslovně stanoveno zvláštním zákonem. V těchto případech je správce povinen přijmout potřebná opatření proti neoprávněnému zasahování do soukromého a osobního života subjektu údajů,

b) zpracování osobních údajů mu ukládá zvláštní zákon nebo je takových údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštních zákonů,

c) zpracovává výlučně oprávněně zveřejněné osobní údaje, nebo

d) zpracovává osobní údaje získané se souhlasem subjektu údajů.

[144] Stanovisko č. 4/2004 WP29 ke zpracování osobních údajů prostředky kamerového sledování.

7 Dotazy zaměstnanců

Přehled dotazů:

■ Kopie rodného listu dítěte

■ Kopie občanského průkazu

■ Výplatní pásky zasílané e-mailem

■ Reference

■ Informace od lékaře

Dotazy:

Může zaměstnavatel vyžadovat doložení občanského průkazu a rodného listu kvůli okopírování?

Dotaz je třeba rozdělit na dvě části. V první řadě je třeba uvést, že dle § 15a odst. 2 zákona č. 328/1999 Sb., o občanských průkazech, ve znění pozdějších předpisů, je zakázáno pořizovat jakýmikoliv prostředky kopie občanského průkazu bez prokazatelného souhlasu občana, kterému byl občanský průkaz vydán, pokud zvláštní zákon nebo mezinárodní smlouva, kterou je Česká republika vázána, nestanoví jinak. Pokud by tedy chtěl zaměstnavatel uchovávat kopie občanských průkazů zaměstnanců, musel by mít jejich souhlas, neboť mu nesvědčí žádné zákonné právo. Jak uvádí zákon, tento souhlas musí být prokazatelný.

Ačkoliv kopie sama o sobě jistě není svým významem adekvátní originálnímu dokladu nebo dokumentu, je pořizování a uchovávání kopií osobních dokladů či veřejných listin považováno za zpracování osobních údajů podle zákona o ochraně osobních údajů, které by mělo stejně jako jiné druhy zpracování probíhat pouze v jeho mezích a v souladu s platným zvláštním právním předpisem.

Podle § 5 odst. 1 písm. c) zákona o ochraně osobních údajů je správce povinen zpracovávat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Aby zaměstnavatel v postavení správce osobních údajů naplnil povinnost podle tohoto ustanovení, může v souladu se zákonem o občanských průkazech ověřit přesnost osobních údajů nahlédnutím do občanského průkazu, a to i v případě personální agendy. Číslo osobního dokladu může poznamenat k verifikovaným osobním údajům.

Dále je podle § 5 odst. 1 písm. d) zákona o ochraně osobních údajů povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu. Občanský průkaz však může obsahovat celou řadu údajů, které nejsou v souvislosti s pracovněprávním vztahem nezbytné, např. fotografii zaměstnance.

Je třeba zohlednit i zákoník práce, který v ustanovení § 312 odst. 1 uvádí, že zaměstnavatel je oprávněn vést osobní spis zaměstnance. Osobní spis smí obsahovat jen písemnosti, které jsou nezbytné pro výkon práce v základním pracovněprávním vztahu uvedeném v § 3. Kopie občanského průkazu takovou písemností nepochybně není.

Obecně je tedy možné říct, že zaměstnavatel by neměl kopie občanského průkazu uchovávat.

Zaměstnavatel nám začal posílat výplatní pásky e-mailem. Na personálním oddělení jsme museli sdělit námi vybrané heslo pro přístup a podepsat souhlas s tímto zasílám, v němž bylo uvedeno, že za odeslané pásky a ochranu osobních údajů v nich obsažených již zaměstnavatel nenese odpovědnost. Je to v pořádku?

Podle ustanovení § 13 odst. 1 zákona o ochraně osobních údajů jsou správce a zpracovatel povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

Vyhodnocení bezpečnosti předání osobních údajů, konkrétně výplatních pásek, prostřednictvím e-mailu je zcela na správci osobních údajů.

Znalost přístupového hesla dalšími osobami není zcela ideální, nicméně zaměstnavatel, resp. někteří jeho zaměstnanci znalostí o výši jednotlivých platů/mezd disponují, neboť to vyplývá z jejich pracovního zařazení (personální, účetní atd.). Tyto osoby mají dle ustanovení § 15 zákona o ochraně osobních údajů povinnost mlčenlivosti.

Problematickou je ta část souhlasu, kde se zaměstnavatel zříká odpovědnosti za odeslané pásky. I odeslané výplatní pásky jsou předmětem ochrany dle zákona o ochraně osobních údajů a zaměstnavatel se nemůže jednostranně zříci povinností, které jsou mu uloženy zákonem.

Chci změnit zaměstnání. Můj budoucí zaměstnavatel telefonicky požádal o reference bývalého zaměstnavatele, aniž by mě požádal o souhlas. Podle mého názoru je takové jednání v rozporu se zákonem o ochraně osobních údajů.

Je otázkou, zda budoucí zaměstnavatel ověřoval údaje obsažené v pracovním posudku nebo zda získával údaje nové. Pracovní posudek může a díky osobnímu hodnocení často bude obsahovat zkreslené informace (subjektivně podbarvené na základě toho, jaké měl ten, kdo posudek vytvořil, tedy hodnotící, vztahy se zaměstnancem, který je hodnocen). Budoucí zaměstnavatelé proto nezřídka kdy takto získané informace ověřuje, upřesňuje či získává jiné z dalších zdrojů. Zákoník práce takovému postupu v zásadě nebrání. V ustanovení § 314 odst. 2 však klade limit, když uvádí, že jiné informace o zaměstnanci než ty, které mohou být obsahem pracovního posudku (odstavec 1 věta druhá), je zaměstnavatel oprávněn o zaměstnanci podávat pouze s jeho souhlasem, nestanoví-li zvláštní právní předpis jinak.

Zaměstnavatel by také mohl narazit na zákon o ochraně osobních údajů. Ověřování, tedy pouhé zjišťování – je pravda, není pravda – není zpracováním osobních údajů ve smyslu ustanovení § 4 písm. e) zákona o ochraně osobních údajů, který říká, že zpracováním se rozumí jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace. Pokud bývalý zaměstnavatel pouze potvrzuje v pracovním posudku jím uvedené údaje, nedochází k porušení zákona ani z jeho strany. Jestliže tedy zaměstnanec předložil pracovní posudek a zaměstnavatel u předchozího zaměstnavatele pouze ověřuje jeho správnost, není nutné k tomuto postupu mít ani souhlas zaměstnance, je-li okruh zjišťovaných údajů shodný s tím, které už zaměstnavatel zná z pracovního posudku. I v tomto případě je však vhodné zaměstnanci sdělit, že zaměstnavatel chce ověřit uvedené údaje u předchozího zaměstnavatele.

Jinou věcí by však bylo, pokud by budoucí zaměstnavatel shromažďoval osobní údaje budoucího zaměstnance od bývalého zaměstnavatele v rozsahu větším, než umožňuje zákoník práce, nebo dokonce z jiných zdrojů. Učinil-li by tak telefonicky a žádné údaje by neshromažďoval na nějakém nosiči informací, ze strany budoucího zaměstnavatele by tak nedošlo k porušení zákona o ochraně osobních údajů ani v tomto případě. K porušení zákona by však mohlo dojít ze strany bývalého zaměstnavatele nebo jiného zdroje. V případě, že by budoucí zaměstnavatel takto získané údaje nějakým způsobem uchovával, došlo by k porušení zákona i na jeho straně, neboť ustanovení § 5 odst. 2 zákona o ochraně osobních údajů jasně říká, že osobní údaje je možné zpracovávat pouze se souhlasem subjektu údajů. Dle našeho názoru není možné použít výjimku uvedenou pod písmenem e) téhož ustanovení, neboť zákoník práce dává budoucímu zaměstnavateli možnost získat informace o zaměstnanci prostřednictvím pracovního posudku. Získávání dalších informací jiným způsobem bez souhlasu a vědomí zaměstnance prostřednictvím uvedeného ustanovení by mohlo být posouzeno jako obcházení zákona.

Budoucí zaměstnavatel by měl respektovat i další ustanovení zákoníku práce, především § 30 odst. 2, podle něhož zaměstnavatel smí vyžadovat v souvislosti s jednáním před vznikem pracovního poměru od fyzické osoby, která se u něj uchází o práci, nebo od jiných osob jen údaje, které bezprostředně souvisejí s uzavřením pracovní smlouvy. Ustanovení § 316 odst. 4, podle kterého zaměstnavatel nesmí vyžadovat od zaměstnance informace, které bezprostředně nesouvisejí s výkonem práce a se základním pracovněprávním vztahem uvedeným v § 3. Nesmí vyžadovat informace zejména o těhotenství, rodinných a majetkových poměrech, sexuální orientaci, původu, členství v odborové organizaci, členství v politických stranách nebo hnutích, příslušnosti k církvi nebo náboženské společnosti, trestněprávní bezúhonnosti.

Dostal jsem od zaměstnavatele výpověď na základě toho, že nejsem ze zdravotních důvodů schopen vykonávat práci. Tyto informace zaměstnavatel získal od lékaře, který poskytuje pracovnělékařskou péči. Lékař si nevyžádal můj souhlas s předáním takových údajů a porušil tak dle mého názoru zákon.

Dle ustanovení § 52 písm. e) zákoníku práce může dát zaměstnavatel zaměstnanci výpověď, pozbyl-li zaměstnanec vzhledem ke svému zdravotnímu stavu podle lékařského posudku vydaného poskytovatelem pracovnělékařských služeb nebo rozhodnutí příslušného správního orgánu, který lékařský posudek přezkoumává, dlouhodobě zdravotní způsobilost. Nestačí pouhé doporučení lékaře, ale musí být vydán kvalifikovaný lékařský posudek, který už musí v době, kdy je dávána výpověď, existovat, tj. musí v něm být jednoznačně konstatována nemožnost dalšího konání dosavadních prací zaměstnancem; nestačí pouhé doporučení, aby zaměstnanec přešel na jinou práci. Tento stav musí být také dlouhodobý, tj. trvat déle než jeden rok. Sama skutečnost, že byl zaměstnanci např. přiznán invalidní důchod, však ještě nezakládá existenci tohoto výpovědního důvodu.

Zároveň je nutné zmínit povinnost zaměstnavatele převést zaměstnance na jinou práci v případě, že zaměstnanec pozbyl vzhledem ke svému zdravotnímu stavu podle lékařského posudku vydaného poskytovatelem pracovnělékařských služeb nebo rozhodnutí příslušného správního orgánu, který lékařský posudek přezkoumává, dlouhodobě způsobilosti konat dále dosavadní práci.

Aby mohl zaměstnavatel posoudit způsobilost zaměstnance k výkonu práce a případně jej nezařazovat na místo, k jehož výkonu není zaměstnanec způsobilý, musí si posudek vyžádat. Žádný právní předpis nestanoví povinnost pracovněprávního lékaře vyžádat si souhlas zaměstnance k předání takového posudku.

Závěr

Cílem této publikace bylo co nejsrozumitelnější formou otázek a odpovědí poukázat na problémy, s nimiž se většina z nás potýká. Všichni, kdo jsou zaměstnáni, jsou tedy v postavení, kdy o nich více či méně rozhoduje zaměstnavatel. Ten je samozřejmě ve své vůli také limitován právními předpisy, ale ne vždy jsou tyto předpisy dodržovány, anebo jsou různě pokřivovány v aplikaci tak, aby zaměstnavateli vyhovovaly. Zaměstnávání lidí je právními předpisy dotčeno velmi značně, a to všemi možnými obory práva, sociálním zabezpečením počínaje a účetnictvím konče. Základní pracovně právní úpravu představuje samozřejmě zákoník práce a dnes již pro velký počet státních zaměstnanců také zákon o státní službě, a i ten se v řadě případů na zákoník práce odvolává a jeho právní úpravu v řadě věcí vlastně přebírá nebo aprobuje. Do široké škály právních předpisů, které se musí při zaměstnávání lidí také uplatnit, je i zákon o ochraně osobních údajů. Tato norma veřejného práva, vycházející z evropských úprav, vytváří pro řadu aspektů interakce zaměstnanců a zaměstnavatelů svá vlastní pravidla, jejichž dodržování má tak či onak vliv na kvalitu mezilidských vztahů na pracovišti, klade akcent na dnes tolik zdůrazňovanou ochranu soukromí a neposlední řadě představuje i pilíř státní veřejnoprávní ingerence do jednoho segmentu pracovně právních vztahů. Autoři se snažili formou otázek a odpovědí na ně dát jakýsi základní návod, jak aplikovat zákon o ochraně osobních údajů do pracovně právní problematiky. Nastolené otázky nebyly nějak uměle tvořeny, ale vycházejí z reálných zkušeností autorů, z jejich publikační a přednáškové činnosti. A i když nelze v takto stručné publikaci podchytit všechny možné aspekty problémů se vztahem k ochraně osobních údajů, vybrané a diskutované problémy, praktické zaměření publikace snad přispěje k pochopení aplikačních problému a naznačí i možná řešení, která by mohla eliminovat nebezpečí postihu za porušení zákona o ochraně osobních údajů.

Přílohy

101/2000 Sb.

ZÁKON

ze dne 4. dubna 2000

o ochraně osobních údajů a o změně některých zákonů

Změna: 227/2000 Sb.

Změna: 177/2001 Sb.

Změna: 450/2001 Sb.

Změna: 107/2002 Sb.

Změna: 310/2002 Sb.

Změna: 517/2002 Sb.

Změna: 439/2004 Sb.

Změna: 480/2004 Sb.

Změna: 439/2004 Sb. (část), 626/2004 Sb.

Změna: 413/2005 Sb., 444/2005 Sb.

Změna: 342/2006 Sb.

Změna: 109/2006 Sb.

Změna: 170/2007 Sb.

Změna: 52/2009 Sb.

Změna: 41/2009 Sb.

Změna: 227/2009 Sb.

Změna: 281/2009 Sb.

Změna: 468/2011 Sb.

Změna: 375/2011 Sb.

Změna: 64/2014 Sb.

Změna: 250/2014 Sb.

Změna: 267/2006 Sb.

Parlament se usnesl na tomto zákoně České republiky:

ČÁST PRVNÍ

OCHRANA OSOBNÍCH ÚDAJŮ

Hlava I

Úvodní ustanovení

§ 1

Předmět úpravy

Tento zákon v souladu s právem Evropské unie,1) mezinárodními smlouvami, kterými je Česká republika vázána,1a) a k naplnění práva každého na ochranu před neoprávněným zasahováním do soukromí upravuje práva a povinnosti při zpracování osobních údajů a stanoví podmínky, za nichž se uskutečňuje předání osobních údajů do jiných států.

§ 2

(1) Zřizuje se Úřad pro ochranu osobních údajů se sídlem v Praze (dále jen „Úřad“).

(2) Úřad je ústředním správním úřadem pro oblast ochrany osobních údajů v rozsahu stanoveném tímto zákonem, zvláštními právními předpisy1), mezinárodními smlouvami, které jsou součástí právního řádu, a přímo použitelnými předpisy Evropské unie.

(3) Úřad vykonává působnost dozorového úřadu pro oblast ochrany osobních údajů vyplývající z mezinárodních smluv, které jsou součástí právního řádu.

§ 3

Působnost zákona

(1) Tento zákon se vztahuje na osobní údaje, které zpracovávají státní orgány, orgány územní samosprávy, jiné orgány veřejné moci, jakož i fyzické a právnické osoby.

(2) Tento zákon se vztahuje na veškeré zpracovávání osobních údajů, ať k němu dochází automatizovaně nebo jinými prostředky.

(3) Tento zákon se nevztahuje na zpracování osobních údajů, které provádí fyzická osoba výlučně pro osobní potřebu.

(4) Tento zákon se nevztahuje na nahodilé shromažďování osobních údajů, pokud tyto údaje nejsou dále zpracovávány.

(5) Tento zákon se dále vztahuje na zpracování osobních údajů,

a) jestliže se právní řád České republiky použije přednostně na základě mezinárodního práva veřejného, i když správce není usazen na území České republiky,

b) jestliže správce, který je usazen mimo území Evropské unie, provádí zpracování na území České republiky a nejedná se pouze o předání osobních údajů přes území Evropské unie; v tomto případě je správce povinen zmocnit postupem podle § 6 na území České republiky zpracovatele.

Jestliže zpracování provádí správce prostřednictvím svých organizačních jednotek umístěných na území Evropské unie, musí zajistit, že tyto organizační jednotky budou zpracovávat osobní údaje v souladu s národním právem příslušného členského státu Evropské unie.

(6) Ustanovení § 5 odst. 1 a § 11 a 12 se nepoužijí pro zpracování osobních údajů nezbytných pro plnění povinností správce stanovených zvláštními zákony pro zajištění

a) bezpečnosti České republiky,4)

b) obrany České republiky,5)

c) veřejného pořádku a vnitřní bezpečnosti,6)

d) předcházení, vyhledávání, odhalování trestné činnosti a stíhání trestných činů,7)

e) významného hospodářského zájmu České republiky nebo Evropské unie,8)

f) významného finančního zájmu České republiky nebo Evropské unie, kterým je zejména stabilita finančního trhu a měny, fungování peněžního oběhu a platebního styku, jakož i rozpočtová a daňová opatření,9)

g) výkonu kontroly, dozoru, dohledu a regulace spojených s výkonem veřejné moci v případech uvedených v písmenech c), d), e) a f),10) nebo

h) činností spojených se zpřístupňováním svazků bývalé Státní bezpečnosti.10a)

§ 4

Vymezení pojmů

Pro účely tohoto zákona se rozumí

a) osobním údajem jakákoliv informace týkající se určeného nebo určitelného subjektu údajů. Subjekt údajů se považuje za určený nebo určitelný, jestliže lze subjekt údajů přímo či nepřímo identifikovat zejména na základě čísla, kódu nebo jednoho či více prvků, specifických pro jeho fyzickou, fyziologickou, psychickou, ekonomickou, kulturní nebo sociální identitu,

b) citlivým údajem osobní údaj vypovídající o národnostním, rasovém nebo etnickém původu, politických postojích, členství v odborových organizacích, náboženství a filozofickém přesvědčení, odsouzení za trestný čin, zdravotním stavu a sexuálním životě subjektu údajů a genetický údaj subjektu údajů; citlivým údajem je také biometrický údaj, který umožňuje přímou identifikaci nebo autentizaci subjektu údajů,

c) anonymním údajem takový údaj, který buď v původním tvaru nebo po provedeném zpracování nelze vztáhnout k určenému nebo určitelnému subjektu údajů,

d) subjektem údajů fyzická osoba, k níž se osobní údaje vztahují,

e) zpracováním osobních údajů jakákoliv operace nebo soustava operací, které správce nebo zpracovatel systematicky provádějí s osobními údaji, a to automatizovaně nebo jinými prostředky. Zpracováním osobních údajů se rozumí zejména shromažďování, ukládání na nosiče informací, zpřístupňování, úprava nebo pozměňování, vyhledávání, používání, předávání, šíření, zveřejňování, uchovávání, výměna, třídění nebo kombinování, blokování a likvidace,

f) shromažďováním osobních údajů systematický postup nebo soubor postupů, jehož cílem je získání osobních údajů za účelem jejich dalšího uložení na nosič informací pro jejich okamžité nebo pozdější zpracování,

g) uchováváním osobních údajů udržování údajů v takové podobě, která je umožňuje dále zpracovávat,

h) blokováním operace nebo soustava operací, kterými se na stanovenou dobu omezí způsob nebo prostředky zpracování osobních údajů, s výjimkou nezbytných zásahů,

i) likvidací osobních údajů se rozumí fyzické zničení jejich nosiče, jejich fyzické vymazání nebo jejich trvalé vyloučení z dalších zpracování,

j) správcem každý subjekt, který určuje účel a prostředky zpracování osobních údajů, provádí zpracování a odpovídá za něj. Zpracováním osobních údajů může správce zmocnit nebo pověřit zpracovatele, pokud zvláštní zákon nestanoví jinak,

k) zpracovatelem každý subjekt, který na základě zvláštního zákona nebo pověření správcem zpracovává osobní údaje podle tohoto zákona,

l) zveřejněným osobním údajem osobní údaj zpřístupněný zejména hromadnými sdělovacími prostředky, jiným veřejným sdělením nebo jako součást veřejného seznamu,

m) evidencí nebo datovým souborem osobních údajů (dále jen „datový soubor“) jakýkoliv soubor osobních údajů uspořádaný nebo zpřístupnitelný podle společných nebo zvláštních kritérií,

n) souhlasem subjektu údajů svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů,

o) příjemcem každý subjekt, kterému jsou osobní údaje zpřístupněny; za příjemce se nepovažuje subjekt, který zpracovává osobní údaje podle § 3 odst. 6 písm. g).

Hlava II

Práva a povinnosti při zpracování osobních údajŮ

§ 5

(1) Správce je povinen

a) a)stanovit účel, k němuž mají být osobní údaje zpracovány,

b) stanovit prostředky a způsob zpracování osobních údajů,

c) zpracovat pouze přesné osobní údaje, které získal v souladu s tímto zákonem. Je-li to nezbytné, osobní údaje aktualizuje. Zjistí-li správce, že jím zpracované osobní údaje nejsou s ohledem na stanovený účel přesné, provede bez zbytečného odkladu přiměřená opatření, zejména zpracování blokuje a osobní údaje opraví nebo doplní, jinak osobní údaje zlikviduje. Nepřesné osobní údaje lze zpracovat pouze v mezích uvedených v § 3 odst. 6.11) Nepřesné osobní údaje se musí označit. Informaci o blokování, opravě, doplnění nebo likvidaci osobních údajů je správce povinen bez zbytečného odkladu předat všem příjemcům,

d) shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanového účelu,

e) uchovávat osobní údaje pouze po dobu, která je nezbytná k účelu jejich zpracování. Po uplynutí této doby mohou být osobní údaje uchovávány pouze pro účely státní statistické služby, pro účely vědecké a pro účely archivnictví. Při použití pro tyto účely je třeba dbát práva na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů a osobní údaje anonymizovat, jakmile je to možné,

f) zpracovávat osobní údaje pouze v souladu s účelem, k němuž byly shromážděny. Zpracovávat k jinému účelu lze osobní údaje jen v mezích ustanovení § 3 odst. 6, nebo pokud k tomu dal subjekt údajů předem souhlas,

g) shromažďovat osobní údaje pouze otevřeně; je vyloučeno shromažďovat údaje pod záminkou jiného účelu nebo jiné činnosti,

h) nesdružovat osobní údaje, které byly získány k rozdílným účelům.

(2) Správce může zpracovávat osobní údaje pouze se souhlasem subjektu údajů. Bez tohoto souhlasu je může zpracovávat,

a) jestliže provádí zpracování nezbytné pro dodržení právní povinnosti správce,12)

b) jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů,

c) pokud je to nezbytně třeba k ochraně životně důležitých zájmů subjektu údajů. V tomto případě je třeba bez zbytečného odkladu získat jeho souhlas. Pokud souhlas není dán, musí správce ukončit zpracování a údaje zlikvidovat,

d) jedná-li se o oprávněně zveřejněné osobní údaje v souladu se zvláštním právním předpisem.13) Tím však není dotčeno právo na ochranu soukromého a osobního života subjektu údajů,

e) pokud je to nezbytné pro ochranu práv a právem chráněných zájmů správce, příjemce nebo jiné dotčené osoby; takové zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého a osobního života,

f) pokud poskytuje osobní údaje o veřejně činné osobě, funkcionáři či zaměstnanci veřejné správy, které vypovídají o jeho veřejné anebo úřední činnosti, o jeho funkčním nebo pracovním zařazení, nebo,

g) jedná-li se o zpracování výlučně pro účely archivnictví podle zvláštního zákona.

(3) Provádí-li správce zpracování osobních údajů na základě zvláštního zákona,12) je povinen dbát práva na ochranu soukromého a osobního života subjektu údajů.

(4) Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování.

(5) Provádí-li správce nebo zpracovatel zpracování osobních údajů za účelem nabízení obchodu nebo služeb subjektu údajů, lze pro tento účel použít jméno, příjmení a adresu subjektu údajů, pokud tyto údaje byly získány z veřejného seznamu nebo v souvislosti se svojí činností jakožto správce nebo zpracovatele. Správce nebo zpracovatel však nesmí uvedené údaje dále zpracovávat, pokud s tím subjekt údajů vyslovil nesouhlas. Nesouhlas se zpracováním je nutné vyjádřit písemně. Bez souhlasu subjektu údajů nelze k uvedeným údajům přiřazovat další osobní údaje.

(6) Správce, který zpracovává osobní údaje podle odstavce 5, může tyto údaje předat jinému správci pouze za splnění těchto podmínek:

a) údaje subjektu údajů byly získány v souvislosti s činností správce nebo se jedná o zveřejněné osobní údaje,

b) údaje budou využívány pouze za účelem nabízení obchodu a služeb,

c) subjekt údajů byl o tomto postupu správce předem informován a nevyslovil s tímto postupem nesouhlas.

(7) Jiný správce, kterému byly předány údaje podle odstavce 6, nesmí tyto údaje předávat jiné osobě.

(8) Nesouhlas se zpracováním podle odstavce 6 písm. c) musí subjekt údajů učinit písemně. Správce je povinen informovat každého správce, kterému předal jméno, příjmení a adresu subjektu údajů, o tom, že subjekt údajů vyslovil nesouhlas se zpracováním.

(9) Za účelem vyloučení možnosti, že jméno, příjmení a adresa subjektu údajů budou opakovaně použity k nabídce obchodu a služeb, je správce oprávněn dále zpracovávat pro svoji vlastní potřebu jméno, příjmení a adresu subjektu údajů přesto, že subjekt údajů vyslovil nesouhlas podle odstavce 5.

§ 6

Pokud zmocnění nevyplývá z právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

§ 7

Povinnosti stanovené v § 5 platí obdobně také pro zpracovatele.

§ 8

Jestliže zpracovatel zjistí, že správce porušuje povinnosti stanovené tímto zákonem, je povinen jej na to neprodleně upozornit a ukončit zpracování osobních údajů. Pokud tak neučiní, odpovídá za škodu, která subjektu údajů vznikla, společně a nerozdílně se správcem údajů. Tím není dotčena jeho odpovědnost podle tohoto zákona.

§ 9

Citlivé údaje

Citlivé údaje je možné zpracovávat, jen jestliže

a) subjekt údajů dal ke zpracování výslovný souhlas. Subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Existenci souhlasu subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování. Správce je povinen předem subjekt údajů poučit o jeho právech podle § 12 a 21,

b) je to nezbytné v zájmu zachování života nebo zdraví subjektu údajů nebo jiné osoby nebo odvrácení bezprostředního závažného nebezpečí hrozícího jejich majetku, pokud není možno jeho souhlas získat zejména z důvodů fyzické, duševní či právní nezpůsobilosti, v případě, že je nezvěstný nebo z jiných podobných důvodů. Správce musí ukončit zpracování údajů, jakmile pominou uvedené důvody, a údaje musí zlikvidovat, ledaže by subjekt údajů dal k dalšímu zpracování souhlas,

c) se jedná o zpracování při poskytování zdravotních služeb, ochrany veřejného zdraví, zdravotního pojištění a výkon státní správy v oblasti zdravotnictví podle zvláštního zákona15) nebo se jedná o posuzování zdravotního stavu v jiných případech stanovených zvláštním zákonem,15a)

d) je zpracování nezbytné pro dodržení povinností a práv správce odpovědného za zpracování v oblasti pracovního práva a zaměstnanosti, stanovené zvláštním zákonem,16)

e) jde o zpracování, které sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti občanského sdružení, nadace nebo jiné právnické osoby nevýdělečné povahy (dále jen „sdružení“), a které se týká pouze členů sdružení nebo osob, se kterými je sdružení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdružení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů,

f) se jedná o údaje podle zvláštního zákona nezbytné pro provádění nemocenského pojištění, důchodového pojištění (zabezpečení), úrazového pojištění, státní sociální podpory a dalších státních sociálních dávek, sociálních služeb, sociální péče, pomoci v hmotné nouzi, a sociálně-právní ochrany dětí, a při zajištění ochrany těchto údajů v souladu se zákonem,

g) se zpracování týká osobních údajů zveřejněných subjektem údajů,

h) je zpracování nezbytné pro zajištění a uplatnění právních nároků,

i) jsou zpracovány výlučně pro účely archivnictví podle zvláštního zákona, nebo

j) se jedná o zpracování podle zvláštních zákonů při předcházení, vyhledávání, odhalování trestné činnosti, stíhání trestných činů a pátrání po osobách.

§ 10

Při zpracování osobních údajů správce a zpracovatel dbá, aby subjekt údajů neutrpěl újmu na svých právech, zejména na právu na zachování lidské důstojnosti, a také dbá na ochranu před neoprávněným zasahováním do soukromého a osobního života subjektu údajů.

§ 11

(1) Správce je při shromažďování osobních údajů povinen subjekt údajů informovat o tom, v jakém rozsahu a pro jaký účel budou osobní údaje zpracovány, kdo a jakým způsobem bude osobní údaje zpracovávat a komu mohou být osobní údaje zpřístupněny, nejsou-li subjektu údajů tyto informace již známy. Správce musí subjekt údajů informovat o jeho právu přístupu k osobním údajům, právu na opravu osobních údajů, jakož i o dalších právech stanovených v § 21.

(2) V případě, kdy správce zpracovává osobní údaje získané od subjektu údajů, musí subjekt údajů poučit o tom, zda je poskytnutí osobního údaje povinné či dobrovolné. Je-li subjekt údajů povinen podle zvláštního zákona osobní údaje pro zpracování poskytnout, poučí jej správce o této skutečnosti, jakož i o následcích odmítnutí poskytnutí osobních údajů.

(3) Informace a poučení podle odstavce 1 není povinen správce poskytovat v případech, kdy osobní údaje nezískal od subjektu údajů, pokud

a) zpracovává osobní údaje výlučně pro účely výkonu státní statistické služby, vědecké nebo archivní účely a poskytnutí takových informací by vyžadovalo neúměrné úsilí nebo nepřiměřeně vysoké náklady; nebo pokud ukládání na nosiče informací nebo zpřístupnění je výslovně stanoveno zvláštním zákonem. V těchto případech je správce povinen přijmout potřebná opatření proti neoprávněnému zasahování do soukromého a osobního života subjektu údajů,

b) zpracování osobních údajů mu ukládá zvláštní zákon nebo je takových údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštních zákonů,

c) zpracovává výlučně oprávněně zveřejněné osobní údaje, nebo

d) zpracovává osobní údaje získané se souhlasem subjektu údajů.

(4) Předchozími ustanoveními nejsou dotčena práva subjektu údajů požadovat informace podle zvláštních zákonů.18)

(5) Při zpracování osobních údajů podle § 5 odst. 2 písm. e) a § 9 písm. h) je správce povinen bez zbytečného odkladu subjekt údajů informovat o zpracování jeho osobních údajů.

(6) Žádné rozhodnutí správce nebo zpracovatele, jehož důsledkem je zásah do právních a právem chráněných zájmů subjektu údajů, nelze bez ověření vydat nebo učinit výlučně na základě automatizovaného zpracování osobních údajů. To neplatí v případě, že takové rozhodnutí bylo učiněno ve prospěch subjektu údajů a na jeho žádost.

(7) Informační povinnost upravenou v § 11 může za správce plnit zpracovatel.

§ 12

Přístup subjektu údajů k informacím

(1) Požádá-li subjekt údajů o informaci o zpracování svých osobních údajů, je mu správce povinen tuto informaci bez zbytečného odkladu předat.

(2) Obsahem informace je vždy sdělení o

a) účelu zpracování osobních údajů,

b) osobních údajích, případně kategoriích osobních údajů, které jsou předmětem zpracování, včetně veškerých dostupných informací o jejich zdroji,

c) povaze automatizovaného zpracování v souvislosti s jeho využitím pro rozhodování, jestliže jsou na základě tohoto zpracování činěny úkony nebo rozhodnutí, jejichž obsahem je zásah do práva a oprávněných zájmů subjektu údajů,

d) příjemci, případně kategoriích příjemců.

(3) Správce má právo za poskytnutí informace požadovat přiměřenou úhradu nepřevyšující náklady nezbytné na poskytnutí informace.

(4) Povinnost správce poskytnout informace subjektu údajů upravenou v § 12 může za správce plnit zpracovatel.

Povinnosti osob při zabezpečení osobních údajů

§ 13

(1) Správce a zpracovatel jsou povinni přijmout taková opatření, aby nemohlo dojít k neoprávněnému nebo nahodilému přístupu k osobním údajům, k jejich změně, zničení či ztrátě, neoprávněným přenosům, k jejich jinému neoprávněnému zpracování, jakož i k jinému zneužití osobních údajů. Tato povinnost platí i po ukončení zpracování osobních údajů.

(2) Správce nebo zpracovatel je povinen zpracovat a dokumentovat přijatá a provedená technicko-organizační opatření k zajištění ochrany osobních údajů v souladu se zákonem a jinými právními předpisy.

(3) V rámci opatření podle odstavce 1 správce nebo zpracovatel posuzuje rizika týkající se

a) plnění pokynů pro zpracování osobních údajů osobami, které mají bezprostřední přístup k osobním údajům,

b) zabránění neoprávněným osobám přistupovat k osobním údajům a k prostředkům pro jejich zpracování,

c) zabránění neoprávněnému čtení, vytváření, kopírování, přenosu, úpravě či vymazání záznamů obsahujících osobní údaje a

d) opatření, která umožní určit a ověřit, komu byly osobní údaje předány.

(4) V oblasti automatizovaného zpracování osobních údajů je správce nebo zpracovatel v rámci opatření podle odstavce 1 povinen také

a) zajistit, aby systémy pro automatizovaná zpracování osobních údajů používaly pouze oprávněné osoby,

b) zajistit, aby fyzické osoby oprávněné k používání systémů pro automatizovaná zpracování osobních údajů měly přístup pouze k osobním údajům odpovídajícím oprávnění těchto osob, a to na základě zvláštních uživatelských oprávnění zřízených výlučně pro tyto osoby,

c) pořizovat elektronické záznamy, které umožní určit a ověřit, kdy, kým a z jakého důvodu byly osobní údaje zaznamenány nebo jinak zpracovány, a

d) zabránit neoprávněnému přístupu k datovým nosičům.

§ 14

Zaměstnanci správce nebo zpracovatele a jiné osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, mohou zpracovávat osobní údaje pouze za podmínek a v rozsahu správcem nebo zpracovatelem stanoveném.

§ 15

(1) Zaměstnanci správce nebo zpracovatele, jiné fyzické osoby, které zpracovávají osobní údaje na základě smlouvy se správcem nebo zpracovatelem, a další osoby, které v rámci plnění zákonem stanovených oprávnění a povinností přicházejí do styku s osobními údaji u správce nebo zpracovatele, jsou povinni zachovávat mlčenlivost o osobních údajích a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních údajů. Povinnost mlčenlivosti trvá i po skončení zaměstnání nebo příslušných prací.

(2) Ustanovením předchozího odstavce není dotčena povinnost zachovávat mlčenlivost podle zvláštních zákonů.19)

(3) Povinnost zachovávat mlčenlivost se nevztahuje na informační povinnost podle zvláštních zákonů.20)

§ 16

Oznamovací povinnost

(1) Ten, kdo hodlá jako správce zpracovávat osobní údaje nebo změnit registrované zpracování podle tohoto zákona, s výjimkou zpracování uvedených v § 18, je povinen tuto skutečnost písemně oznámit Úřadu před zpracováváním osobních údajů.

(2) Oznámení musí obsahovat tyto informace:

a) identifikační údaje správce, u fyzické osoby, která není podnikatelem, jméno, popřípadě jména, příjmení, datum narození a adresu místa trvalého pobytu, u jiných subjektů obchodní firmu nebo název, sídlo a identifikační číslo osoby, pokud bylo přiděleno, a jméno, popřípadě jména, a příjmení osob, které jsou jejich statutárními zástupci,

b) účel nebo účely zpracování,

c) kategorie subjektů údajů a osobních údajů, které se těchto subjektů týkají,

d) zdroje osobních údajů,

e) popis způsobu zpracování osobních údajů,

f) místo nebo místa zpracování osobních údajů,

g) příjemce nebo kategorie příjemců,

h) předpokládaná předání osobních údajů do jiných států,

i) popis opatření k zajištění ochrany osobních údajů podle § 13.

(3) Obsahuje-li oznámení všechny náležitosti podle odstavce 2 a není-li zahájeno řízení podle § 17 odst. 1, lze po uplynutí lhůty 30 dnů ode dne doručení oznámení zahájit zpracování osobních údajů. Úřad v takovém případě zapíše informace uvedené v oznámení do registru.

(4) Neobsahuje-li oznámení všechny náležitosti podle odstavce 2, Úřad neprodleně zašle oznamovateli výzvu, v níž upozorní na chybějící nebo nedostatečné informace a stanoví lhůtu k doplnění oznámení. V případě doplnění oznámení začíná běžet lhůta podle odstavce 3 dnem doručení doplnění oznámení. V případě, že Úřad neobdrží doplnění oznámení ve stanovené lhůtě, nahlíží na učiněné oznámení tak, jako by nebylo podáno.

(5) O provedení registrace vydá Úřad na žádost správce osvědčení, které obsahuje datum vyhotovení, číslo jednací, jméno, příjmení a podpis osoby, která osvědčení vydala, otisk úředního razítka, identifikační údaje správce a účel zpracování.

(6) Je-li podle odstavce 1 oznámeno zpracování, které je předmětem kontroly, Úřad registraci neprovede. Úřad registraci provede, jakmile je kontrola ukončena.

§ 17

(1) Vznikne-li z oznámení důvodná obava, že při zpracování osobních údajů by mohlo dojít k porušení tohoto zákona, zahájí Úřad z vlastního podnětu řízení.

(2) Zjistí-li Úřad, že oznámeným zpracováním neporušuje správce podmínky stanovené tímto zákonem, řízení zastaví a provede zápis podle § 16 odst. 3. Nejdříve dnem následujícím po provedení zápisu lze zahájit zpracování osobních údajů. V případě, že oznámené zpracování nesplňuje podmínky stanovené tímto zákonem, zpracování osobních údajů Úřad nepovolí.

§ 17a

(1) Zjistí-li Úřad, že správce, jehož oznámení bylo zapsáno do registru, porušuje podmínky stanovené tímto zákonem, rozhodne o zrušení registrace.

(2) Pomine-li účel, pro který bylo zpracování zaregistrováno, Úřad z vlastního podnětu nebo na žádost správce rozhodne o zrušení registrace.

§ 18

(1) Oznamovací povinnost podle § 16 se nevztahuje na zpracování osobních údajů,

a) které jsou součástí datových souborů veřejně přístupných na základě zvláštního zákona,

b) které správci ukládá zvláštní zákon nebo je takových osobních údajů třeba k uplatnění práv a povinností vyplývajících ze zvláštního zákona, nebo

c) jde-li o zpracování, které sleduje politické, filosofické, náboženské nebo odborové cíle, prováděné v rámci oprávněné činnosti sdružení, a které se týká pouze členů sdružení, nebo osob, se kterými je sdružení v opakujícím se kontaktu souvisejícím s oprávněnou činností sdružení, a osobní údaje nejsou zpřístupňovány bez souhlasu subjektu údajů.

(2) Správce, který provádí zpracování podle § 18 odst. 1 písm. b), je povinen zajistit, aby informace, týkající se zejména účelu zpracování, kategorií osobních údajů, kategorií subjektů údajů, kategorií příjemců a doby uchování, které by byly jinak přístupné prostřednictvím registru vedeného Úřadem podle § 35, byly zpřístupněny, a to i dálkovým přístupem nebo jinou vhodnou formou.

§ 19

Jestliže správce hodlá ukončit svoji činnost, je povinen Úřadu neprodleně oznámit, jak naložil s osobními údaji, pokud se na jejich zpracování vztahuje oznamovací povinnost.

§ 20

Likvidace osobních údajů

(1) Správce nebo na základě jeho pokynu zpracovatel je povinen provést likvidaci osobních údajů, jakmile pomine účel, pro který byly osobní údaje zpracovány, nebo na základě žádosti subjektu údajů podle § 21.

(2) Zvláštní zákon stanoví výjimky týkající se uchovávání osobních údajů pro účely archivnictví a uplatňování práv v občanském soudním řízení, trestním řízení a správním řízení.

Ochrana práv subjektů údajů

§ 21

(1) Každý subjekt údajů, který zjistí nebo se domnívá, že správce nebo zpracovatel provádí zpracování jeho osobních údajů, které je v rozporu s ochranou soukromého a osobního života subjektu údajů nebo v rozporu se zákonem, zejména jsou-li osobní údaje nepřesné s ohledem na účel jejich zpracování, může

a) požádat správce nebo zpracovatele o vysvětlení,

b) požadovat, aby správce nebo zpracovatel odstranil takto vzniklý stav. Zejména se může jednat o blokování, provedení opravy, doplnění nebo likvidaci osobních údajů.

(2) Je-li žádost subjektu údajů podle odstavce 1 shledána oprávněnou, správce nebo zpracovatel odstraní neprodleně závadný stav.

(3) Pokud vznikla v důsledku zpracování osobních údajů subjektu údajů jiná než majetková újma, postupuje se při uplatňování jejího nároku podle zvláštního zákona.22)

(4) Došlo-li při zpracování osobních údajů k porušení povinností uložených zákonem u správce nebo u zpracovatele, odpovídají za ně společně a nerozdílně.

(5) Správce je povinen bez zbytečného odkladu informovat příjemce o žádosti subjektu údajů podle odstavce 1 a o blokování, opravě, doplnění nebo likvidaci osobních údajů. To neplatí, pokud je informování příjemce nemožné nebo by vyžadovalo neúměrné úsilí.

§ 22

zrušen

§ 23

zrušen

§ 24

zrušen

§ 25

Náhrada škody

V otázkách neupravených tímto zákonem se použije obecná úprava odpovědnosti za škodu.23), 24)

§ 26

Povinnosti podle § 21 až 25 se obdobně vztahují i na osoby, které shromáždily osobní údaje neoprávněně.

Hlava III

Předání osobních údajů do jiných států

§ 27

(1) Volný pohyb osobních údajů nemůže být omezován, pokud jsou údaje předány do členského státu Evropské unie.

(2) Do třetích zemí mohou být osobní údaje předány, pokud zákaz omezování volného pohybu osobních údajů vyplývá z mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána,1a) nebo jsou osobní údaje předány na základě rozhodnutí orgánu Evropské unie. Informace o těchto rozhodnutích zveřejňuje Úřad ve Věstníku.

(3) Není-li podmínka podle odstavců 1 a 2 splněna, může být předání osobních údajů uskutečněno, jestliže správce prokáže, že

a) předání údajů se děje se souhlasem nebo na základě pokynu subjektu údajů,

b) jsou v třetí zemi, kde mají být osobní údaje zpracovány, vytvořeny dostatečné zvláštní záruky ochrany osobních údajů, například prostřednictvím jiných právních nebo profesních předpisů a bezpečnostních opatření. Takové záruky mohou být upřesněny zejména smlouvou uzavřenou mezi správcem a příjemcem, pokud tato smlouva zajišťuje uplatnění těchto požadavků nebo pokud smlouva obsahuje smluvní doložky pro předání osobních údajů do třetích zemí zveřejněné ve Věstníku Úřadu,

c) jde o osobní údaje, které jsou na základě zvláštního zákona součástí datových souborů veřejně přístupných nebo přístupných tomu, kdo prokáže právní zájem; v takovém případě lze osobní údaje zpřístupnit jen v rozsahu a za podmínek stanovených zvláštním zákonem,

d) je předání nutné pro uplatnění důležitého veřejného zájmu vyplývajícího ze zvláštního zákona nebo z mezinárodní smlouvy, kterou je Česká republika vázána,

e) je předání nezbytné pro jednání o uzavření nebo změně smlouvy, uskutečněné z podnětu subjektu údajů, nebo pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů,

f) je předání nezbytné pro plnění smlouvy uzavřené v zájmu subjektu údajů mezi správcem a třetí stranou, nebo pro uplatnění jiných právních nároků, nebo

g) je předání nezbytné pro ochranu práv nebo životně důležitých zájmů subjektu údajů, zejména pro záchranu života nebo pro poskytnutí zdravotních služeb.

(4) Před předáním osobních údajů do třetích zemí podle odstavce 3 je správce povinen požádat Úřad o povolení k předání, nestanoví-li zvláštní zákon jinak.25) Při posuzování žádosti Úřad přezkoumá všechny okolnosti související s předáním osobních údajů, zejména zdroj, konečné určení a kategorie předávaných osobních údajů, účel a dobu zpracování, s přihlédnutím k dostupným informacím o právních nebo jiných předpisech upravujících zpracování osobních údajů ve třetí zemi. V povolení k předání Úřad stanoví dobu, po kterou může správce předání provádět. Pokud dojde ke změně podmínek, za kterých bylo povolení vydáno, zejména na základě rozhodnutí orgánu Evropské unie, Úřad toto povolení změní nebo zruší.

Hlava IV

Postavení a působnost úřadu

§ 28

(1) Úřad je nezávislý orgán. Ve své činnosti postupuje nezávisle a řídí se pouze zákony a jinými právními předpisy.

(2) Do činnosti Úřadu lze zasahovat jen na základě zákona.

(3) Činnost Úřadu je hrazena ze samostatné kapitoly státního rozpočtu České republiky.

§ 29

(1) Úřad

a) provádí dozor nad dodržováním povinností stanovených zákonem při zpracování osobních údajů,

b) vede registr zpracování osobních údajů,

c) přijímá podněty a stížnosti na porušení povinností stanovených zákonem při zpracování osobních údajů a informuje o jejich vyřízení,

d) zpracovává a veřejnosti zpřístupňuje výroční zprávu o své činnosti,

e) vykonává další působnosti stanovené mu zákonem,

f) projednává přestupky a jiné správní delikty a uděluje pokuty podle tohoto zákona,

g) zajišťuje plnění požadavků vyplývajících z mezinárodních smluv, jimiž je Česká republika vázána, a z přímo použitelných předpisů Evropské unie,

h) poskytuje konzultace v oblasti ochrany osobních údajů,

i) spolupracuje s obdobnými úřady jiných států, s orgány Evropské unie a s orgány mezinárodních organizací působícími v oblasti ochrany osobních údajů. Úřad v souladu s právem Evropské unie plní oznamovací povinnost vůči orgánům Evropské unie.25a)

(2) Při výkonu dozoru ve formě kontroly se postupuje podle zvláštního právního předpisu.26)

(3) Dozor nad zpracováním osobních údajů, které provádějí zpravodajské služby, stanoví zvláštní právní předpis.27)

§ 29a

(1) Ministerstvo vnitra nebo Policie České republiky poskytuje Úřadu pro výkon působnosti stanovené tímto zákonem a dalšími právními předpisy

a) referenční údaje ze základního registru obyvatel,

b) údaje z agendového informačního systému evidence obyvatel,

c) údaje z agendového informačního systému cizinců.

(2) Poskytovanými údaji podle odstavce 1 písm. a) jsou

a) příjmení,

b) jméno, popřípadě jména,

c) adresa místa pobytu,

d) datum narození.

(3) Poskytovanými údaji podle odstavce 1 písm. b) jsou

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení

b) datum narození,

c) adresa místa trvalého pobytu, včetně předchozích adres místa trvalého pobytu,

d) počátek trvalého pobytu, popřípadě datum zrušení trvalého pobytu nebo datum ukončení trvalého pobytu na území České republiky.

(4) Poskytovanými údaji podle odstavce 1 písm. c) jsou

a) jméno, popřípadě jména, příjmení, popřípadě rodné příjmení,

b) datum narození,

c) druh a adresa místa pobytu,

d) číslo a platnost oprávnění k pobytu,

e) počátek pobytu, popřípadě datum ukončení pobytu.

(5) Údaje, které jsou vedeny jako referenční údaje v základním registru obyvatel, se využijí z agendového informačního systému evidence obyvatel nebo agendového informačního systému cizinců, pouze pokud jsou ve tvaru předcházejícím současný stav.

(6) Z poskytovaných údajů lze v konkrétním případě použít vždy jen takové údaje, které jsou nezbytné ke splnění daného úkolu.

Hlava V

ORGANIZACE ÚŘADU

§ 30

(1) Zaměstnanci Úřadu jsou předseda, inspektoři a další zaměstnanci.

(2) Kontrolní činnost Úřadu provádějí inspektoři a pověření zaměstnanci (dále jen „kontrolující“).

(3) Předseda Úřadu má nárok na plat, náhradu výdajů, naturální plnění a odchodné jako prezident Nejvyššího kontrolního úřadu podle zvláštního zákona.26a)

(4) Inspektoři Úřadu mají nárok na plat, náhradu výdajů a naturální plnění jako členové Nejvyššího kontrolního úřadu podle zvláštního zákona.26a)

§ 31

Kontrolní činnost Úřadu se provádí na základě kontrolního plánu nebo na základě podnětů a stížností.

§ 32

Předseda Úřadu

(1) Úřad řídí předseda, kterého jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

(2) Předseda Úřadu je jmenován na dobu 5 let. Může být jmenován maximálně na 2 po sobě jdoucí období. Předseda Úřadu se považuje za služební orgán a je oprávněn dávat státnímu zaměstnanci příkazy k výkonu státní služby podle zákona o státní službě.

(3) Předsedou Úřadu může být jmenován pouze občan České republiky, který

a) je způsobilý k právním úkonům,

b) je bezúhonný, splňuje podmínky stanovené zvláštním právním předpisem30) a jeho znalosti, zkušenosti a morální vlastnosti jsou předpokladem, že bude svoji funkci řádně zastávat,

c) má ukončené vysokoškolské vzdělání.

(4) Bezúhonnou je pro účel tohoto zákona fyzická osoba, která nebyla pravomocně odsouzena pro úmyslný trestný čin nebo i trestný čin spáchaný z nedbalosti v souvislosti se zpracováním osobních údajů.

(5) S výkonem funkce předsedy Úřadu je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích.

(6) Předseda Úřadu nesmí zastávat jinou placenou funkci, být v dalším pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarušuje důstojnost nebo neohrožuje důvěru v nezávislost a nestrannost Úřadu.

(7) Z funkce je předseda Úřadu odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

(8) Z funkce může být předseda odvolán také tehdy, jestliže nevykonává po dobu 6 měsíců svoji funkci.

Inspektoři Úřadu

§ 33

(1) Inspektora jmenuje a odvolává prezident republiky na návrh Senátu Parlamentu České republiky.

(2) Inspektor je jmenován na období 10 let. Může být jmenován opakovaně.

(3) Inspektor řídí kontrolu a provádí další úkony, které jsou v působnosti Úřadu.

(4) Činnosti podle odstavce 3 vykonává 7 inspektorů Úřadu.

§ 34

(1) Inspektorem může být jmenován občan České republiky, který je způsobilý k právním úkonům, bezúhonný, splňuje podmínky stanovené zvláštním právním předpisem30) a má ukončené odborné vysokoškolské vzdělání.

(2) S výkonem funkce inspektora je neslučitelná funkce poslance nebo senátora, soudce, státního zástupce, jakákoliv funkce ve veřejné správě, funkce člena orgánů územní samosprávy a členství v politických stranách a hnutích. Inspektor nesmí zastávat jinou placenou funkci, být v pracovním poměru ani vykonávat výdělečnou činnost s výjimkou správy vlastního majetku a činnosti vědecké, pedagogické, literární, publicistické a umělecké, pokud tato činnost nenarušuje důstojnost nebo neohrožuje důvěru v nezávislost a nestrannost Úřadu.

(3) Z funkce je inspektor odvolán, přestal-li splňovat některou z podmínek pro jeho jmenování.

Hlava VI

Činnost úřadu

§ 35

Registr

(1) Do registru zpracování osobních údajů se k osobám správců zapisují informace z oznámení podle § 16 odst. 2 a datum provedení, případně zrušení registrace.

(2) Informace zapsané do registru, s výjimkou informací uvedených v § 16 odst. 2 písm. e) a i), jsou veřejně přístupné, zejména způsobem umožňujícím dálkový přístup.

(3) Zrušení registrace podle § 17a oznamuje Úřad ve Věstníku Úřadu.

§ 36

Výroční zpráva

(1) Výroční zpráva Úřadu obsahuje zejména informace o provedené kontrolní činnosti a její zhodnocení, informace a zhodnocení stavu v oblasti zpracovávání a ochrany osobních údajů v České republice a zhodnocení ostatní činnosti Úřadu.

(2) Výroční zprávu předkládá předseda Úřadu pro informaci Poslanecké sněmovně a Senátu Parlamentu České republiky a vládě České republiky do 2 měsíců po skončení rozpočtového roku a zveřejňuje ji.

§ 37

Oprávnění kontrolujícího na přístup k informacím

Kontrolující je při kontrole zpracování osobních údajů oprávněn seznamovat se se všemi informacemi v rozsahu nezbytném pro dosažení účelu kontroly, včetně citlivých údajů.

§ 38

Průkaz kontrolujícího

Kontrolující je povinen prokázat se kontrolovanému průkazem, jehož vzor stanoví nařízení vlády a který je současně pověřením ke kontrole.

§ 39

zrušen

Opatření k nápravě

§ 40

Dojde-li k porušení povinnosti stanovené zákonem nebo uložené na jeho základě při zpracování osobních údajů, uloží inspektor opatření k odstranění zjištěných nedostatků a stanoví lhůtu pro jejich odstranění.

§ 40a

Dojde-li k nápravě protiprávního stavu v souladu s uloženým opatřením nebo bezprostředně poté, kdy bylo zjištěno porušení povinnosti, může Úřad upustit od uložení pokuty.

§ 41

zrušen

§ 42

zrušen

§ 43

zrušen

Hlava VII

SPRÁVNÍ DELIKTY

§ 44

nadpis vypuštěn

(1) Fyzická osoba, která

a) je ke správci nebo zpracovateli v pracovním nebo jiném obdobném poměru,

b) vykonává pro správce nebo zpracovatele činnosti na základě dohody, nebo

c) v rámci plnění zvláštním zákonem uložených oprávnění a povinností přichází u správce nebo zpracovatele do styku s osobními údaji,

se dopustí přestupku tím, že poruší povinnost mlčenlivosti (§ 15).

(2) Fyzická osoba se jako správce nebo zpracovatel dopustí přestupku tím, že při zpracování osobních údajů

a) nestanoví účel, prostředky nebo způsob zpracování [§ 5 odst. 1 písm. a) a b)] nebo stanoveným účelem zpracování poruší povinnost nebo překročí oprávnění vyplývající ze zvláštního zákona,

b) zpracovává nepřesné osobní údaje [§ 5 odst. 1 písm. c)],

c) shromažďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu [§ 5 odst. 1 písm. d), f) až h)],

d) uchovává osobní údaje po dobu delší než nezbytnou k účelu zpracování [§ 5 odst. 1 písm. e)],

e) zpracovává osobní údaje bez souhlasu subjektu údajů mimo případy uvedené v zákoně (§ 5 odst. 2 a § 9),

f) neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem (§ 11),

g) odmítne subjektu údajů poskytnout požadované informace (§ 12 a 21),

h) nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů (§ 13),

i) nesplní oznamovací povinnost podle tohoto zákona (§ 16 a 27), nebo

j) neprovede ve stanovené lhůtě uložené opatření k nápravě.

(3) Fyzická osoba se jako správce nebo zpracovatel dopustí přestupku tím, že při zpracování osobních údajů některým ze způsobů podle odstavce 2

a) ohrozí větší počet osob svým neoprávněným zasahováním do soukromého a osobního života, nebo

b) poruší povinnosti pro zpracování citlivých údajů (§ 9).

(4) Za přestupek podle odstavce 1 lze uložit pokutu do výše 100 000 Kč.

(5) Za přestupek podle odstavce 2 lze uložit pokutu do výše 1 000 000 Kč.

(6) Za přestupek podle odstavce 3 lze uložit pokutu do výše 5 000 000 Kč.

§ 44a

(1) Fyzická osoba se dopustí přestupku tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem.

(2) Za přestupek podle odstavce 1 lze uložit pokutu do 1 000 000 Kč.

(3) Za přestupek podle odstavce 1 spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem lze uložit pokutu do 5 000 000 Kč.

§ 45

nadpis vypuštěn

(1) Právnická osoba nebo fyzická osoba podnikající podle zvláštních předpisů se jako správce nebo zpracovatel dopustí správního deliktu tím, že při zpracování osobních údajů

a) nestanoví účel, prostředky nebo způsob zpracování [§ 5 odst. 1 písm. a) a b)], nebo stanoveným účelem zpracování poruší povinnost nebo překročí oprávnění vyplývající ze zvláštního zákona,

b) zpracovává nepřesné osobní údaje [§ 5 odst. 1 písm. c)],

c) shromažďuje nebo zpracovává osobní údaje v rozsahu nebo způsobem, který neodpovídá stanovenému účelu [§ 5 odst. 1 písm. d), f) až h)],

d) uchovává osobní údaje po dobu delší než nezbytnou k účelu zpracování [§ 5 odst. 1 písm. e)],

e) zpracovává osobní údaje bez souhlasu subjektu údajů mimo případy uvedené v zákoně (§ 5 odst. 2 a § 9),

f) neposkytne subjektu údajů informace v rozsahu nebo zákonem stanoveným způsobem (§ 11),

g) odmítne subjektu údajů poskytnout požadované informace (§ 12 a 21),

h) nepřijme nebo neprovede opatření pro zajištění bezpečnosti zpracování osobních údajů (§ 13),

i) nesplní oznamovací povinnost podle tohoto zákona (§ 16 a 27),

j) nevede přehled případů porušení ochrany osobních údajů podle § 88 odst. 7 zákona o elektronických komunikacích, nebo

k) neprovede ve stanovené lhůtě uložené opatření k nápravě.

(2) Právnická osoba jako správce nebo zpracovatel se dopustí správního deliktu tím, že při zpracování osobních údajů některým ze způsobů podle odstavce 1

a) ohrozí větší počet osob svým neoprávněným zasahováním do soukromého a osobního života, nebo

b) poruší povinnosti pro zpracování citlivých údajů (§ 9).

(3) Za správní delikt podle odstavce 1 se uloží pokuta do výše 5 000 000 Kč.

(4) Za správní delikt podle odstavce 2 se uloží pokuta do výše 10 000 000 Kč.

§ 45a

(1) Právnická osoba nebo podnikající fyzická osoba se dopustí správního deliktu tím, že poruší zákaz zveřejnění osobních údajů stanovený jiným právním předpisem.

(2) Za správní delikt podle odstavce 1 se uloží pokuta do 1 000 000 Kč.

(3) Za správní delikt podle odstavce 1 spáchaný tiskem, filmem, rozhlasem, televizí, veřejně přístupnou počítačovou sítí nebo jiným obdobně účinným způsobem se uloží pokuta do 5 000 000 Kč.

§ 46

nadpis vypuštěn

(1) Právnická osoba za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila.

(2) Při rozhodování o výši pokuty se přihlíží zejména k závažnosti, způsobu, době trvání a následkům protiprávního jednání a k okolnostem, za nichž bylo protiprávní jednání spácháno.

(3) Odpovědnost právnické osoby za správní delikt zaniká, jestliže správní orgán o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději však do 3 let ode dne, kdy byl spáchán.

(4) Správní delikty podle tohoto zákona projednává v prvním stupni Úřad.

(5) Na odpovědnost za jednání, k němuž došlo při podnikání fyzické osoby nebo v přímé souvislosti s ním, se použijí ustanovení o odpovědnosti a postihu právnické osoby.

(6) Pokuta je splatná do 30 dnů ode dne, kdy rozhodnutí o jejím uložení nabylo právní moci.

(7) Pokutu vybírá Úřad. Výnos z pokut je příjmem státního rozpočtu.

Hlava VIII

Ustanovení společná, přechodná a závěrečná

§ 47

Opatření pro přechodné období

(1) Každý, kdo zpracovává ke dni nabytí účinnosti tohoto zákona osobní údaje a na něhož se vztahuje povinnost oznámení podle § 16, je povinen tak učinit nejpozději do 6 měsíců ode dne nabytí účinnosti tohoto zákona.

(2) Zpracování osobních údajů prováděné před účinností tohoto zákona je nutno uvést do souladu s tímto zákonem do 31. prosince 2001.

(3) V případě, že kontrolující zjistí porušení povinnosti podle odstavce 2, ustanovení § 46 odst. 1 a 2 se v takovém případě do 31. prosince 2002 nepoužijí.

§ 48

Zrušovací ustanovení

Zrušuje se zákon č. 256/1992 Sb., o ochraně osobních údajů v informačních systémech.

ČÁST DRUHÁ

zrušena

§ 49

zrušen

ČÁST TŘETÍ

§ 50

Novela zákona o svobodném přístupu k informacím

Zákon č. 106/1999 Sb., o svobodném přístupu k informacím, se mění takto:

1. V § 2 odstavec 3 včetně poznámky pod čarou č. 1) zní:

„(3) Zákon se nevztahuje na poskytování osobních údajů a informací podle zvláštního právního předpisu.1)

1) Například zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, a zákon č. 123/1998 Sb., o právu na informace o životním prostředí.“.

2. V § 5 odst. 3 se věta druhá nahrazuje větou, která včetně poznámky pod čarou č. 3a) zní:

„Na tyto subjekty se pro tento účel nevztahuje povinnost zamezit sdružování informací podle zvláštního právního předpisu.3a)

3a) § 5 odst. 1 písm. h) zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů.“.

3. V § 8 se odstavce 1 a 2 včetně nadpisu a poznámky pod čarou č. 5) zrušují.

ČÁST ČTVRTÁ

ÚČINNOST

§ 51

Tento zákon nabývá účinnosti dnem 1. června 2000, s výjimkou ustanovení § 16, 17 a 35, která nabývají účinnosti dnem 1. prosince 2000.

Klaus v. r.

Havel v. r.

Zeman v. r.

Vybraná ustanovení novel Čl.II zákona č. 439/2004 Sb.

Přechodná ustanovení

1. Oznámení a rozhodnutí ve věci registrace zpracování osobních údajů podle § 16, 17 a 17a zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění zákona č. 450/2001 Sb., podaná a vydaná přede dnem nabytí účinnosti tohoto zákona zůstávají v platnosti.

2. Povolení k předání nebo předávání osobních údajů do jiného státu vydané přede dnem nabytí účinnosti tohoto zákona pozbývá dnem nabytí účinnosti tohoto zákona platnosti, pokud státem, pro který bylo povolení určeno, je členský stát Evropské unie nebo stát, pro který zákaz omezování volného pohybu osobních údajů vyplývá z vyhlášené mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána. Povolení k předání nebo předávání osobních údajů do státu, který není uveden v předchozí větě, vydané přede dnem nabytí účinnosti tohoto zákona zůstává v platnosti.

3. Řízení zahájené a neskončené přede dnem nabytí účinnosti tohoto zákona se dokončí podle dosavadních právních předpisů, s výjimkou řízení o povolení k předání nebo předávání osobních údajů do členského státu Evropské unie nebo státu, pro který zákaz omezování volného pohybu osobních údajů vyplývá z vyhlášené mezinárodní smlouvy, k jejíž ratifikaci dal Parlament souhlas, a kterou je Česká republika vázána, které se zastaví.

4. Správce provádějící zpracování osobních údajů, ke kterému podle dosavadních právních předpisů nebylo zapotřebí registrace, a které ode dne nabytí účinnosti tohoto zákona registraci podléhá, musí takové zpracování osobních údajů oznámit Úřadu pro ochranu osobních údajů do 6 měsíců ode dne nabytí účinnosti tohoto zákona.

____________________

1) § 10 odst. 1 písm. a) zákona č. 480/2004 Sb., o některých službách informační společnosti a o změně některých zákonů (zákon o některých službách informační společnosti).

1) Směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně jednotlivců v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů.

1a) Úmluva o ochraně osob se zřetelem na automatizované zpracování osobních dat č. 108, vyhlášená pod č. 115/2001 Sb.m. s.

3) § 1 zákona č. 133/2000 Sb., o evidenci obyvatel a rodných číslech a o změně některých zákonů (zákon o evidenci obyvatel), ve znění pozdějších předpisů.

4) Například ústavní zákon č. 110/1998 Sb., o bezpečnosti České republiky, ve znění zákona č. 300/2000 Sb., zákon č. 219/1999 Sb., o ozbrojených silách České republiky, ve znění pozdějších předpisů, zákon č. 238/2000 Sb., o Hasičském záchranném sboru České republiky a o změně některých zákonů, ve znění pozdějších předpisů, zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon), ve znění zákona č. 320/2002 Sb., zákon č. 153/1994 Sb., o zpravodajských službách České republiky, ve znění pozdějších předpisů, zákon č. 154/1994 Sb., o Bezpečnostní informační službě, ve znění pozdějších předpisů, a zákon č. 148/1998 Sb., o ochraně utajovaných skutečností a o změně některých zákonů, ve znění pozdějších předpisů.

5) Například zákon č. 222/1999 Sb., o zajišťování obrany České republiky, ve znění zákona č. 320/2002 Sb., zákon č. 218/1999 Sb., o rozsahu branné povinnosti a o vojenských správních úřadech (branný zákon), ve znění pozdějších předpisů, zákon č. 219/1999 Sb., o ozbrojených silách České republiky, ve znění pozdějších předpisů, a zákon č. 124/1992 Sb., o Vojenské policii, ve znění pozdějších předpisů.

6) Například zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon), ve znění zákona č. 320/2002 Sb., zákon č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů, a zákon č. 553/1991 Sb., o obecní policii, ve znění pozdějších předpisů.

7) Například zákon č. 61/1996 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a o změně a doplnění souvisejících zákonů, ve znění pozdějších předpisů, zákon č. 141/1961 Sb., o trestním řízení soudním (trestní řád), ve znění pozdějších předpisů, a zákon č. 200/1990 Sb., o přestupcích, ve znění pozdějších předpisů.

8) Například zákon č. 241/2000 Sb., o hospodářských opatřeních pro krizové stavy a o změně některých souvisejících zákonů, ve znění pozdějších předpisů, zákon č. 240/2000 Sb., o krizovém řízení a o změně některých zákonů (krizový zákon), ve znění zákona č. 320/2002 Sb., a zákon č. 148/1998 Sb., o ochraně utajovaných skutečností a o změně některých zákonů, ve znění pozdějších předpisů.

9) Například zákon č. 218/2000 Sb., o rozpočtových pravidlech a o změně některých souvisejících zákonů (rozpočtová pravidla), ve znění pozdějších předpisů, zákon č. 250/2000 Sb., o rozpočtových pravidlech územních rozpočtů, ve znění pozdějších předpisů, zákon č. 6/1993 Sb., o České národní bance, ve znění pozdějších předpisů, a zákon č. 212/1992 Sb., o soustavě daní, ve znění zákona č. 302/1993 Sb.

10) Například zákon č. 166/1993 Sb., o Nejvyšším kontrolním úřadu, ve znění pozdějších předpisů, zákon č. 337/1992 Sb., o správě daní a poplatků, ve znění pozdějších předpisů, a zákon č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů.

10a) Zákon č. 140/1996 Sb., o zpřístupnění svazků vzniklých činností bývalé Státní bezpečnosti, ve znění zákona č. 107/2002 Sb.

11) Například zákon č. 13/1993 Sb., celní zákon, ve znění pozdějších předpisů.

12) Například zákon č. 111/1998 Sb., o vysokých školách a o změně a doplnění dalších zákonů (zákon o vysokých školách), ve znění pozdějších předpisů, zákon č. 564/1990 Sb., o státní správě a samosprávě ve školství, ve znění pozdějších předpisů, zákon č. 153/1994 Sb., o zpravodajských službách České republiky, ve znění pozdějších předpisů, zákon č. 154/2000 Sb., o šlechtění, plemenitbě a evidenci hospodářských zvířat a o změně některých souvisejících zákonů (plemenářský zákon), ve znění pozdějších předpisů, zákon č. 166/1999 Sb., o veterinární péči a o změně některých souvisejících zákonů (veterinární zákon), ve znění pozdějších předpisů, zákon č. 246/1992 Sb., na ochranu zvířat proti týrání, ve znění pozdějších předpisů, zákon č. 147/1996 Sb., o rostlinolékařské péči a změnách některých souvisejících zákonů, ve znění pozdějších předpisů, a zákon č. 219/2003 Sb., o uvádění do oběhu osiva a sadby pěstovaných rostlin a o změně některých zákonů (zákon o oběhu osiva a sadby).

13) Zákon č. 81/1966 Sb., o periodickém tisku a o ostatních hromadných informačních prostředcích, ve znění pozdějších předpisů.

15) Například zákon č. 20/1966 Sb., o péči o zdraví lidu, ve znění pozdějších předpisů, zákon č. 258/2000 Sb., o ochraně veřejného zdraví a o změně některých souvisejících zákonů, ve znění pozdějších předpisů, zákon č. 48/1997 Sb., o veřejném zdravotním pojištění a o změně a doplnění některých souvisejících zákonů, ve znění pozdějších předpisů, zákon č. 280/1992 Sb., o resortních, oborových, podnikových a dalších zdravotních pojišťovnách, ve znění pozdějších předpisů, zákon č. 551/1991 Sb., o Všeobecné zdravotní pojišťovně České republiky, ve znění pozdějších předpisů, a zákon č. 592/1992 Sb., o pojistném na všeobecné zdravotní pojištění, ve znění pozdějších předpisů.

15a) Například zákon č. 582/1991 Sb., o organizaci a provádění sociálního zabezpečení, ve znění pozdějších předpisů.

16) Například zákon č. 65/1965 Sb., zákoník práce, ve znění pozdějších předpisů, zákon č. 1/1992 Sb., o mzdě, odměně za pracovní pohotovost a o průměrném výdělku, ve znění pozdějších předpisů, zákon č. 218/2002 Sb., o službě státních zaměstnanců ve správních úřadech a o odměňování těchto zaměstnanců a ostatních zaměstnanců ve správních úřadech (služební zákon), ve znění pozdějších předpisů, a zákon č. 1/1991 Sb., o zaměstnanosti, ve znění pozdějších předpisů.

18) Například zákon č. 123/1998 Sb., o právu na informace o životním prostředí, zákon č. 367/1990 Sb., o obcích (obecní zřízení), ve znění pozdějších předpisů, zákon č. 106/1999 Sb., o svobodném přístupu k informacím.

19) Například zákon č. 148/1998 Sb., ve znění pozdějších předpisů, zákon č. 89/1995 Sb., zákon č. 20/1966 Sb., ve znění pozdějších předpisů, zákon č. 15/1998 Sb., o Komisi pro cenné papíry a o změně a doplnění dalších zákonů.

20) Například § 167 a 168 zákona č. 140/1961 Sb., trestní zákon, ve znění pozdějších předpisů, zákon č. 21/1992 Sb., o bankách, ve znění pozdějších předpisů, zákon č. 20/1966 Sb., ve znění pozdějších předpisů.

22) § 13 občanského zákoníku.

23) Zákon č. 40/1964 Sb., ve znění pozdějších předpisů.

24) Zákon č. 513/1991 Sb., obchodní zákoník, ve znění pozdějších předpisů.

25) Například § 5c zákona č. 1/1991 Sb., o zaměstnanosti, ve znění zákona č. 167/1999 Sb., zákona č. 155/2000 Sb. a zákona č. 220/2002 Sb., § 71a zákona č. 325/1999 Sb., o azylu a o změně zákona č. 283/1991 Sb., o Policii České republiky, ve znění pozdějších předpisů, (zákon o azylu), ve znění zákona č. 2/2002 Sb., § 35 odst. 3 zákona č. 359/1999 Sb., o sociálně-právní ochraně dětí, ve znění pozdějších předpisů, a § 4a odst. 3 zákona č. 13/1993 Sb., celní zákon, ve znění zákona č. 1/2002 Sb.

25a) Článek 8 odst. 6 a článek 26 odst. 3 Směrnice č. 95/46/ES.

26) Zákon č. 552/1991 Sb., o státní kontrole, ve znění pozdějších předpisů.

26a) Zákon č. 236/1995 Sb., o platu a dalších náležitostech spojených s výkonem funkce představitelů státní moci a některých státních orgánů a soudců, ve znění pozdějších předpisů.

27) § 12 zákona č. 153/1994 Sb.

30) Zákon č. 451/1991 Sb.

31) Zákon č. 412/2005 Sb., o ochraně utajovaných informací a o bezpečnostní způsobilosti.

32) Zákon č. 71/1967 Sb., o správním řízení (správní řád), ve znění zákona č. 29/2000 Sb.

Registrační formulář

1. Informace o povaze oznámení

nové oznámení o zpracování osobních údajů

oznámení o změně zpracování osobních údajů

registrační číslo oznamovatele (pokud již bylo Úřadem přiděleno)

pořadové číslo registrace (pokud již bylo Úřadem přiděleno)

2. Informace o správci

Identifikace právnické osoby nebo fyzické osoby podnikající:

při správném zadání IČ budou údaje o firmě automaticky vyplněny (operace může trvat několik sekund)

Čekejte prosím

Identifikační číslo (IČ)

Obchodní firma nebo název

Adresa sídla (ulice, číslo popisné a orientační)

Město

PSČ (vyplňte bez mezer, např. 11000)

Identifikace fyzické osoby nepodnikající:

Příjmení

Jméno

Místo trvalého pobytu (ulice, číslo popisné a orientační)

Město

PSČ (vyplňte bez mezer, např. 11000)

Datum narození

Kontaktní osoba:

Příjmení

Jméno

Kontaktní adresa (ulice, číslo popisné a orientační)

Město

PSČ (vyplňte bez mezer, např. 11000)

Telefonní číslo

Faxové číslo

E-mailová adresa

3. Účel(y) zpracování a kategorie osobních údajů

ÚČEL(Y) ZPRACOVÁNÍ

(max. 1000 znaků, napsáno 0 znaků.)

KATEGORIE OSOBNÍCH ÚDAJŮ

adresní a identifikační údaje

citlivé údaje

popisné údaje

údaje o jiné osobě

jiné

ROZSAH ZPRACOVÁVANÝCH OSOBNÍCH ÚDAJŮ

(max. 1000 znaků, napsáno 0 znaků)

OSOBNÍ ÚDAJE BUDOU ZPRACOVÁVÁNY SE SOUHLASEM SUBJEKTU ÚDAJŮ

ANO   NE

Poznámka:

Podmínky zpracování osobních údajů bez souhlasu subjektu údajů (viz § 5 odst. 2 zákona č. 101/2000 Sb.).

Správce je povinen shromažďovat osobní údaje odpovídající pouze stanovenému účelu a v rozsahu nezbytném pro naplnění stanoveného účelu (viz § 5 odst. 1 písm. d) zákona č. 101/2000 Sb.).

4. Kategorie subjektů údajů

Označte kategorii subjektu údajů, jehož osobní údaje uvedené pod bodem 3. hodláte zpracovávat.

zákazníci (klienti) oznamovatele

členové oznamovatele

zaměstnanci oznamovatele

osoby s jiným vztahem k oznamovateli – specifikujte (max. 500 znaků, napsáno 0 znaků)

5. Citlivé údaje

V případě, že hodláte zpracovávat citlivé údaje, označte jaké z níže uvedených.

Citlivé údaje vypovídající o:

národnostním, rasovém nebo etnickém původu

členství v odborových organizacích

odsouzení za trestný čin

sexuálním životě

genetickém údaji

politických postojích

náboženství a filosofickém přesvědčení

zdravotním stavu

biometrickém údaji

Poznámka:

Podmínky zpracování citlivých údajů (viz § 9 zákona č. 101/2000 Sb.).

6. Zdroje osobních údajů

přímo od subjektů údajů

z veřejných zdrojů – specifikujte (max. 500 znaků, napsáno 0 znaků)

jiné zdroje – specifikujte (max. 500 znaků, napsáno 0 znaků)

7. Popis způsobu zpracování osobních údajů

kamerovými systémy – zpracovatelem (po zaškrtnutí této volby, se zobrazí doplňující formulář)

manuální – vlastními zaměstnanci

manuální – zpracovatelem

kamerovými systémy – vlastními zaměstnanci (po zaškrtnutí této volby, se zobrazí doplňující formulář)

automatizované – vlastními zaměstnanci

automatizované – zpracovatelem

jiný způsob zpracování – specifikujte (max. 500 znaků, napsáno 0 znaků)

Doplňující formulář pro oznámení zpracování osobních údajů kamerovými systémy:

Před započetím vyplňování této části registračního formuláře si prosím prostudujte stanoviska k problematice kamerových systémů, které jsou dostupná na webových stránkách Úřadu http://www.uoou.cz/uoou.aspx?loc=382.

Úřad pro ochranu osobních údajů vypracoval k problematice kamerového sledování několik dokumentů, které jsou umístěny na hlavní stránce této webové prezentace v sekci „Kamerové systémy“. Pokud jste se s jejich obsahem doposud neseznámili, doporučujeme Vám tak učinit. Tyto materiály Vám mohou významně usnadnit formulování odpovědí na níže uvedené otázky a současně poskytnout návod, jak provozovat kamerový systém v souladu právními předpisy.

1. Počet kamer, zapojených do systému (zadejte prosím číselnou hodnotu. např: 5)

2. Typ kamer (stacionární, mobilní, jiné)

3. Umístění kamer (např. u vstupních dveří, na chodbách atd.) (max. 500 znaků, napsáno 0 znaků)

4. Záznamy z kamerového systému jsou uchovávány po dobu

dne/dnů

5. Popište způsob opatření k zajištění ochrany snímacích zařízení, přenosných cest a datových nosičů na nichž jsou uloženy záznamy, před neoprávněným nebo nahodilým přístupem, změnou, zničením či ztrátou nebo jiným neoprávněným zpracováním (max. 500 znaků, napsáno 0 znaků)

6. Jakým způsobem jsou subjekty údajů informovány o používání Vašeho kamerového systému (max. 500 znaků, napsáno 0 znaků)

7. Režim kamerového sledování (např. pouze mimo pracovní dobu, pouze o víkendu, v době od 22:00 do 06:00 nasledujícího dne, nepřetržitě atd.) (max. 500 znaků, napsáno 0 znaků)

8. Byla provedena analýza, na základě které je možné konstatovat, že:

0. ochrana jiného chráněného práva (např. ochrana majetku) v daném případě převáží nad ochranou soukromí subjektů údajů (sledovaných osob),

a. je kamerový systém prokazatelně vhodným způsobem (prostředkem) k naplnění stanoveného účelu (je možné objektivně dosáhnout jeho prostřednictvím, tak jak je nastaven a umístěn, vytýčeného cíle),

b. je kamerový systém prokazatelně nutný způsob (prostředek) k řešení daného problému (tzn. že není možné použít jiný, srovnatelný prostředek z hlediska efektivity, nákladů apod., který by zasahoval do soukromí subjektů údajů méně invazivním způsobem),

Ano

Ne

Poznámka:

Tyto informace jsou důležité pro rámcové posouzení, zda jsou při provozování kamerového systému dodržovány hlavní zásady uveřejněné ve stanovisku Úřadu z ledna 2006 a mohou být vyžádány v rámci výzvy k upřesnění vašeho oznámení. Vyplněním formuláře usnadníte registrační proces a můžete předejít případným šetřením týkajícím se podezření z nezákonných postupů.

8. Adresa místa (míst) zpracování osobních údajů, je-li odlišná od adresy sídla (bydliště) oznamovatele

1. adresa

ulice číslo popisné a orientační

obec

PSČ (vyplňte bez mezer, např. 11000)

2. adresa

ulice číslo popisné a orientační

obec

PSČ (vyplňte bez mezer, např. 11000)

3. adresa

ulice číslo popisné a orientační

obec

PSČ (vyplňte bez mezer, např. 11000)

9. Příjemce nebo kategorie příjemců, kterým jsou osobní údaje zpřístupněny či sdělovány

nebudou jiní příjemci

jiní příjemci – specifikujte (max. 500 znaků, napsáno 0 znaků)

Poznámka:

Jinými příjemci mohou být např. veřejné úřady, finanční ústavy, subjekty zpracovávající osobní údaje z pověření správce (oznamovatele).

10. Předpokládané předání osobních údajů do jiných států

nebude docházet k předání osobních údajů do jiných států

osobní údaje budou předány do členských zemí EU

předání se uskuteční na základě smlouvy, jejíž součástí budou standardní smluvní doložky podle Rozhodnutí Komise*

osobní údaje budou předány do třetích zemí – specifikujte kterých (max. 500 znaků, napsáno 0 znaků)

Poznámka:

Vyplněním této rubriky není splněna povinnost požádat Úřad o povolení k předání osobních údajů do zahraničí podle § 27 zákona č. 101/2000 Sb.

Podrobnější informace k předávání osobních údajů do zahraničí naleznete na těchto webových stránkách v sekci „Předávání osobních údajů do zahraničí“.

______________________

*) Rozhodnutí Komise:

Rozhodnutí Komise ze dne 15. června 2001 o standardních smluvních doložkách pro předávání osobních údajů do třetích zemí podle Směrnice 95/46/ES.

Rozhodnutí Komise ze dne 27. prosince 2001 o standardních smluvních doložkách pro předávání osobních údajů zpracovatelům usazeným ve třetích zemí podle Směrnice 95/46/ES.

Rozhodnutí Komise ze dne 27. prosince 2004, kterým se mění rozhodnutí 2001/497/ES, pokud jde o zavádění alternativního souboru standardních smluvních doložek pro předávání osobních údajů do třetích zemí.

11. Popis opatření k zajištění požadované ochrany osobních údajů podle §13 zákona č. 101/2000 Sb.

Manuální i automatizované zpracování:

zámky, mříže apod.

centrální pult ochrany

elektronické zabezpečení

bezpečnostní směrnice

dokumentace k přijatým technicko-organizačním opatřením

Automatizované zpracování:

přístupová práva

bezpečnostní zálohy

šifrování

antivirová ochrana

bezpečnostní směrnice

jiné – specifikujte (max. 500 znaků, napsáno 0 znaků)

Doplněk:

V případě nedostatku místa můžete využít možnost připojit přílohu.

Poznámka:

(max. 500 znaků, napsáno 0 znaků)

1. příloha (maximálně 5MB):

2. příloha (maximálně 5MB):

3. příloha (maximálně 5MB):

(z technologických a bezpečnostních důvodů nebude tato položka při chybném odeslání formuláře zapamatována a je nutné ji zadat znovu)

12. Prohlášení

Prohlašuji, že uvedené údaje jsou pravdivé a přesné a jsou vyplněné osobou oprávněnou jednat jménem oznamovatele.

Přijmení a jméno osoby oprávněné jednat jménem oznamovatele (stat. zástupce)

Místo vyplnění

Datum vyplnění (např.: 13.06.2006)

Poznámka:

Při zastupování společnosti na základě plné moci je nutné připojit plnou moc.[145]

[145] http://www.uoou.cz/uoou.aspx?menu=29&submenu=31&loc=487.

Seznam použité a doporučené literatury a materiálů Úřadu pro ochranu osobních údajů:

Prameny

1. Materiály Úřadu pro ochranu osobních údajů

www.uoou.cz, dozorová činnost – správní delikty – K plnění informační povinnosti

www.uoou.cz, dozorová činnost – správní delikty – Ke zpracování osobních údajů v souvislosti se správou nemovitostí

www.uoou.cz, dozorová činnost – kontrolní činnost inspektorů – kontroly v minulosti – 2007 – Spam a nevyžádaná obchodní sdělení.

www.uoou.cz, názory úřadu-často kladené otázky-Je možné vysílat zasedání zastupitelstva krajského úřadu nebo obecního úřadu v přímém televizním přenosu či na internetu?

www.uoou.cz, judikatura

www.uoou.cz, z rozhodovací činnosti Úřadu

www.uoou.cz, Na aktuální témata – Stanovisko Úřadu pro ochranu osobních údajů k rozsudku Nejvyššího správního soudu o zveřejňování informací o platech zaměstnanců veřejné správy ze dne 3. června 2011

www.uoou.cz, Komentář k Zásadám provozování kamerového systému z hlediska zákona o ochraně osobních údajů

www.uoou.cz, K problémům z praxe č. 1/2002, Úřad pro ochranu osobních údajů, Výpisy ze zdravotní dokumentace.

www.uoou.cz, K problémům z praxe č. 1/2003, Úřad pro ochranu osobních údajů, Monitorování elektronické pošty a ochrana osobních údajů zaměstnanců

www.uoou.cz, K problémům z praxe č. 1/2004, Úřad pro ochranu osobních údajů, Poskytnutí informací a získání souhlasu subjektu údajů v elektronické komunikaci

www.uoou.cz, K problémům z praxe č. 2/2005, Úřad pro ochranu osobních údajů, Zpracování osobních údajů zaměstnanců ve vztahu k oznamovací povinnosti správce podle § 16 zákona o ochraně osobních údajů.

www.uoou.cz, K problémům z praxe č. 4/2005, Úřad pro ochranu osobních údajů, Evidence ubytovaných osob

www.uoou.cz, K problémům z praxe č. 1/2006, Úřad pro ochranu osobních údajů, K využívání adres z telefonního seznamu pro rozesílání dopisů s výzvou k zasílání příspěvků

www.uoou.cz, K problémům z praxe č. 2/2007, Úřad pro ochranu osobních údajů, Možnost použití osobních údajů z veřejných telefonních seznamů

http://www.uoou.cz, Předávání osobních údajů do zahraničí, K problémům z praxe, Předávání osobních údajů zaměstnanců do zahraničí

http://www.uoou.cz – Předávání osobních údajů do zahraničí – K problémům z praxe – Závazná podniková pravidla (Binding Corporate Rules) jako nástroj běžného předávání osobních údajů do třetích zemí

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 1/2000, „Vedení dokumentace pacientů ve zdravotnictví“

www.uoou.cz Stanovisko Úřadu pro ochranu osobních údajů č. 2/2004, „Zpřístupňování a zveřejňování osobních údajů z jednání zastupitelstev a rad obcí a krajů“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 6/2004, „Kopírování dokladů z pohledu zákona o ochraně osobních údajů“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 1/2006, „Provozování kamerového systému z hlediska zákona o ochraně osobních údajů“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 4/2006, „Zveřejňování osobních údajů v dražební vyhlášce“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 5/2006, „Poskytování osobních údajů při kontrolní činnosti“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 6/2006 „Nahlížení do kandidátních listin a poskytování informací o kandidátech voleb do obecních zastupitelstev

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 7/2006 „Dozorové pravomoci Úřadu pro ochranu osobních údajů v souvislosti s výkonem advokacie“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 8/2006, „K využívání elektronických karet“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 1/2007 „Stanovisko k aplikaci práva na ochranu osobních údajů při poskytování informací o činnosti orgánů veřejné správy“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 1/2008 „Umístění kamerových systémů v bytových domech“

www.uoou.cz, Stanovisko Úřadu pro ochranu osobních údajů č. 2/2011 „Zpracování osobních údajů na základě souhlasu ve smlouvě nebo Všeobecných obchodních podmínkách a s tím související problémy“

http://www.uoou.cz/files/Metodika.pdf.

www.uoou.cz, Na aktuální témata – Stanovisko Úřadu pro ochranu osobních údajů k rozsudku Nejvyššího správního soudu o zveřejňování informací o platech zaměstnanců veřejné správy ze dne 3. června 2011

www.uoou.cz, Nevyžádaná obchodní sdělení/Často kladené otázky k zákonu č. 480/2004 Sb.

www.uoou.cz, Informační bulletin 1/2012 Úřadu pro ochranu osobních údajů.

2. dokumenty

Důvodová zpráva k zákonu č. 101/2000 Sb., Sněmovní tisk 374/0.

3. judikáty

Rozsudek Krajského soudu v Brně čj. 29 Ca 430/95-12

Rozsudek Krajského soudu v Ostravě sp. zn. 23 C 3/97

Rozsudek Krajského soudu v Českých Budějovicích ze dne 15. května 2002, sp. zn. 10 Ca 40/2002

Rozsudek Nejvyššího soudu sp. zn. 21 Cdo 1009/98

Rozsudek Nejvyššího správního soudu ze dne 12. 2. 2009, čj. 9 As 34/2008 – 68, www.nssoud.cz

Rozsudek Nejvyššího soudu ČR ze dne 19. 11. 2004, sp. zn. 30 Cdo 923/2004.

Rozsudek Nejvyššího správního soudu ze dne 16. 7. 2008, čj. 1 As 36/2008-77, www.nssoud.cz.

4. webové stránky

http://www.registry.cz/index.php?pg=legislativni-aspekty--evropska-unie

www.mvcr.cz/odk2/SCRIPT/ViewFile.aspx?docid=21323032

www.informationcommissioner.gov.uk.

http://www.businessinfo.cz/cz/clanek/orientace-v-pravnich-ukonech/ochrana-osobnich-udaju-opu/1000818/51144/#b6.

http://www.ochrance.cz/uploads/tx_odlistdocument/Doporuceni_rejstrik-trestu.pdf

http://www.i-poradce.cz/SubPages/OtvorDokument/Clanok.aspx?idclanok=77229

Použitá literatura

Bartík, M.: Ochrana osobních údajů v souvislosti s jednáním orgánů obce. Diplomová práce – Právnická fakulta Masarykovy univerzity v Brně. 2006

Bartík, V., Janečková, E.: Zákon o ochraně osobních údajů s komentářem. ANAG, Olomouc 2010

Bartík, V., Janečková, E. Ochrana osobních údajů z pohledu zvláštních právních úprav. ANAG, Olomouc 2012

Bartík, V., Janečková, E.: Outsourcing při zpracování osobních údajů. In: Daně a právo 6/2012

Bartík, V. – Janečková, E.: Zpracování citlivých osobních údajů v pracovně-právním poměru. In: PaM 4/2012

Bartík, V. – Janečková, E.: Fotografie v osobním spisu zaměstnance z hlediska zákona o ochraně osobních údajů. In: PaM 9/2012

Bartík, V. – Janečková, E.: Zpracování informací o mzdě a platu. In: PaM 6/2012

Bartík, V. – Janečková, E.: Věrnostní karty a úskalí ve zpracování osobních údajů, DHK 9/2012

Bartík, V. – Janečková, E.: Zasílání obchodních sdělení v souladu se zákonem o některých službách informační společnosti. In: Daně a právo v praxi 11/2011

Bartík, V. – Janečková, E.: Osobní spis zaměstnance jako zpracování osobních údajů. Osobní spis zaměstnance jako zpracování osobních údajů [Systém ASPI] PaM. – Práce a mzda (Wolters Kluwer) [cit. 2015-5-25] ASPI_ID LIT33764CZ. Dostupné v Systému ASPI. ISSN: 2336-517X. ]

Bartík.V. Janečková, E. Ochrana osobních údajů v životě podnikatele, Anag, Olomouc 2013, str.12

Fryntová, J. – Hajný, F. – Loebl, Z.: Monitorování e-mailů zaměstnanců. http://www.epravo.cz/top/clanky/monitorovani-e-mailu-zamestnancu-22444.html

Hansel, M.: Problém kamerových systémů instalovaných zaměstnavatelem. Právo a podnikání 9/2003, str. 6 a násl

Hendrych, D. a kol.: Správní právo. Obecná část. 4. vydání. Praha 2001

Hrabák, J. – Nahodil, T.: Nový správní řád a zákon související. Praha 2006

Janečková, E., Bartík, V., Kamerové systémy v praxi, Praha, nakladatelství Linde, 2011

Matejka, J.: Ochrana soukromí na pracovišti dle zákona č. 262/2006 Sb. (nového zákoníku práce). http://www.itpravo

Mates, P.: Ochrana soukromí ve správním právu. Praha 2004

Stanovisko WP 29 č. 4/2007 k pojmu osobní údaje přijaté dne 20. června 2007

„The Employment Practices Data Protection Code: Part 3: Monitoring at Work, stanovisko britského regulátora. www.informationcommissioner.gov.uk

Zákon o ochraně osobních údajů s komentářem. Poradce č. 3/2005

Zákoník práce – úplné znění s komentářem k 1. 1. 2007. Poradce č. 1/2007

Závěr č. 14 ze zasedání poradního sboru ministra vnitra ke správnímu řádu ze dne 3. 10. 2005 – Výklad § 26 odst. 1 zákona č. 500/2004 Sb.

Table of Contents

Úvod

Seznam zkratek

1 Základní právní úprava ochrany osobních údajů

2 Některá ustanovení zákona o ochraně osobních údajů

2.1 Základní pojmy používané v oblasti ochrany osobních údajů

2.2 Některé z povinností při zpracování osobních údajů

2.2.1 Povinnosti podle ustanovení § 5

2.2.2 Povinnost podle ustanovení § 11

2.2.3 Povinnost podle ustanovení § 12

2.2.4 Povinnost podle ustanovení § 13

3 Zpracování osobních údajů před vznikem pracovního poměru

4 Zpracování osobních údajů v průběhu pracovního poměru

4.1 Povinnosti zaměstnavatele

4.2 Zveřejňování a poskytování údajů o zaměstnancích

4.3 Některé situace zpracovávání osobních údajů v průběhu pracovního poměru

4.4 Zpracování citlivých osobních údajů

4.5 Bezpečnost osobních údajů

5 Zpracování osobních údajů po skončení pracovního poměru

6 Kamerové systémy na pracovišti

7 Dotazy zaměstnanců

Závěr

Přílohy

Seznam použité a doporučené literatury a materiálů Úřadu pro ochranu osobních údajů: