K předávání osobních údajů zaměstnanců jinému subjektu za účelem vypracování návrhů smluv

Firmy, specializující se na daný obor, mají zpravidla mnohem proškolenější a v dané problematice zkušenější pracovníky. Odpovědnost za problematiku nese jiný subjekt a výchozí firma se může plně věnovat svému oboru. Náklady na zajištění specializované činnosti jsou při využití outsourcingu zpravidla nižší. Zajišťování služeb pomocí outsourcingu je celosvětově se zvyšujícím trendem.¹⁾

Toto provádění služeb je v zásadě možné a zákon č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpisů (dále jen „zákon o ochraně osobních údajů“), s outsourcingem, při němž zpravidla dochází i k předávání osobních údajů zaměstnanců jinému subjektu, počítá a za specifických podmínek jej i umožňuje.

Takové předání agendy včetně osobních údajů zaměstnanců lze z hlediska zákona o ochraně osobních údajů provést dobře, tedy v souladu se zákonem, nebo špatně, tedy v rozporu se zákonem.

Zaměstnavatel využije možností, které mu dává § 4 písm. k)²⁾ zákona o ochraně osobních údajů v souvislosti s § 6 téhož zákona, podle něhož pokud zmocnění nevyplývá z právního předpisu, musí správce se zpracovatelem uzavřít smlouvu o zpracování osobních údajů. Smlouva musí mít písemnou formu. Musí v ní být zejména výslovně uvedeno, v jakém rozsahu, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Zpracovatele ve smyslu, jak ho chápe zákon o ochraně osobních údajů, obvykle zaměstnavatelé využívají pro nejrůznější administrativní činnosti spojené s přijímáním zaměstnanců, výpočtem mezd atd. V takových případech jsou si vědomi toho, že se jedná o zpracovatele a o zpracování ve smyslu zákona o ochraně osobních údajů a že je nutné uzavřít smlouvu podle § 6 zákona o ochraně osobních údajů. V zájmu právní jistoty nejen správce a zpracovatele, ale i subjektů údajů a dalších osob je, aby zmocnění ke zpracování přímo plynulo ze zákona nebo pověření smlouvou mělo písemnou podobu. To současně však neznamená, že smlouva musí být uzavřena zcela samostatně, jako samostatný dokument. Lze tedy připustit, aby obsahové náležitosti smlouvy o zpracování byly součástí i jiné písemně uzavřené smlouvy, např. mandátní nebo příkazní, jež se týká nějaké jiné činnosti. Zákon o ochraně osobních údajů vyžaduje, aby v takové smlouvě kromě jiných podstatných částí smlouvy bylo také výslovně uvedeno, v jakém rozsahu, tedy o jaké osobní údaje se jedná, za jakým účelem a na jakou dobu se uzavírá a musí obsahovat záruky zpracovatele o technickém a organizačním zabezpečení ochrany osobních údajů.

Pokud by smlouva neobsahovala zákonem o ochraně osobních údajů uvedené náležitosti, nezpůsobilo by to sice její neplatnost, avšak nejednalo by se již pojmově o smlouvu o zpracování. To by současně znamenalo, že by zpracování, pokud by k němu docházelo, probíhalo bez relevantního právního titulu, což by jak pro správce, tak zpracovatele mohlo mít vážné důsledky.

Zákon také připouští, aby správce měl i několik zpracovatelů, třeba pro různé části složitějšího zpracování. Musí mít samozřejmě se všemi uzavřeny smlouvy o zpracování, avšak vztahy musí být nastaveny toliko v horizontální úrovni zpracovatelů, což znamená, že smlouvy o zpracování mezi sebou nemohou dále uzavírat zpracovatelé samostatně.³⁾

Jestliže pro zaměstnance některé činnosti vykonává zpracovatel dle zákona, není zapotřebí pro předání osobních údajů zaměstnanců takové osobě zvláštní souhlas těchto zaměstnanců.

Zaměstnavatel předá osobní údaje svých zaměstnanců třetí osobě, aniž by měl uzavřenou smlouvu o zpracování. V mnoha případech jej ani nenapadne, že se jedná o zpracování a o protiprávní předání údajů. Obvykle k tomu dochází v oblasti poskytování benefitů. Pro příklad je možné uvést snahu zaměstnavatele nabídnout zaměstnancům příspěvek na využívání nějakého finančního produktu, např. důchodového spoření. V takovém případě poskytne osobní údaje zaměstnanců tomu, kdo daný produkt nabízí, aby mohl vypracovat konkrétní návrhy smluv. Přestože jde nepochybně o dobrou vůli zaměstnavatele, dojde tak k protiprávnímu jednání.

Podle § 5 odst. 1 písm. f) zákona o ochraně osobních údajů je správce povinen zpracovávat osobní údaje pouze v souladu s účelem, ke kterému byly shromážděny. K jinému účelu je může zpracovávat pouze v mezích § 3 odst. 6 téhož zákona anebo s předchozím souhlasem subjektu údajů. Je tedy nepřípustné, aby správce shromáždil osobní údaje k určitému účelu a následně je on sám nebo zpracovatel zpracoval k účelu jinému, což by pravděpodobně znamenalo, že subjekt údajů zůstane bez informace o tomto novém účelu. Tímto ustanovením se současně vylučuje možnost obcházení zákona o ochraně osobních údajů a zároveň je kladen limit libovůli správců, kteří si často myslí, že mají-li nějaké osobní údaje, mohou s nimi nakládat dle svého uvážení a zpracovávat je v podstatě i za jakýmkoli jiným účelem. Snaha zákonodárce zde směřuje k tomu, aby správce nebo zpracovatel nemohl osobní údaje získané například pro poskytování zdravotní péče zpracovávat třeba pro komerční potřeby správce nebo zpracovatele nebo je pro tyto potřeby předávat dalším subjektům pro další jiné zpracování s rozdílným účelem zpracování.

Je tak zde zohledněna i jedna ze základních myšlenek zákona o ochraně osobních údajů, a to, že právě subjekt údajů je tím, kdo by měl ve většině případů rozhodovat o zpracování svých osobních údajů a kdo by měl vždy minimálně mít přehled o tom, jak je s jeho údaji nakládáno, a to i v případech, kdy o samotném zpracování rozhodovat nemůže.⁴⁾

Předání osobních údajů zaměstnanců za účelem jejich použití pro přípravu návrhů smluv konkrétních finančních produktů třetího subjektu je nepochybně jiným účelem zpracování, než ke kterému je zaměstnavatel shromáždil. K tomuto postupu může tedy přistoupit pouze se souhlasem svých zaměstnanců, který bude splňovat náležitosti § 4 písm. n) zákona o ochraně osobních údajů, podle něhož je souhlasem subjektu údajů svobodný a vědomý projev vůle subjektu údajů, jehož obsahem je svolení subjektu údajů se zpracováním osobních údajů, a § 5 odst. 4 zákona o ochraně osobních údajů, který říká, že subjekt údajů musí být při udělení souhlasu informován o tom, pro jaký účel zpracování a k jakým osobním údajům je souhlas dáván, jakému správci a na jaké období. Souhlas subjektu údajů se zpracováním osobních údajů musí být správce schopen prokázat po celou dobu zpracování.