Vydáno: 9. 9. 2020
564/09.09.20 Oprávnění zaměstnavatele uchovávat kopie písemností pro účely zákona č. 586/1992 Sb., o daních z příjmů Ing. Bc. Jan Hájek, MBA, DiS. daňový poradce, č. osv. 4503 Ing. Lenka Nováková, daňový poradce č. osv. 4991 Cílem tohoto příspěvku je vyjasnění oprávnění zaměstnavatele, který je dle § 38c zákona č. 586/1992 Sb., o daních z příjmu, v platném znění (dále jen "ZDP"), v postavení plátce daně z příjmů ze závislé činnosti (dále jen "zaměstnavatel"), pořizovat kopie veřejných listin a jiných dokumentů citlivých z hlediska ochrany osobních údajů (dále jen "písemností") za účelem prokázání nároku na uplatnění slevy na dani zaměstnanci v rámci měsíční mzdové evidence nebo v rámci ročního zúčtování záloh na daň z příjmů fyzických osob ze závislé činnosti a daňového zvýhodnění dle § 35ba, § 35bb, ZDP a § 35c ZDP, popřípadě při prokázání nároku na uplatnění nezdanitelných částek od základu daně v ročním zúčtování záloh na daň z příjmů fyzických osob ze závislé činnosti a daňového zvýhodnění dle § 15 ZDP. Pořízením kopií písemností pro účely ZDP se totiž zaměstnavatel dle výkladu Úřadu na ochranu osobních údajů dopouští neoprávněného uchování osobních údajů. Záměrem je tedy i odstranění stávající dichotomie výkladu jednotlivých správců daně či finanční správy in genere a Úřadu na ochranu osobních údajů (dále jen "ÚOOÚ"). Kontradiktornost postupu ÚOOÚ a orgánů finanční správy je přitom možné nalézt ve veřejných dokumentech ÚOOÚ (například https://www.uoou.cz/kontrola-zpracovani-osobnich-udaju-zamestnancu-a-jejich-rodinnych-prislusniku-prazska-pravoslavna-eparchie/ds-4667;https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=33526 (Výroční zpráva ÚOOÚ, str. 15) https://www.uoou.cz/assets/File.ashx?id_org=200144&id_dokumenty=22079; https://www.uoou.cz/files/stanovisko_2004_6.pdf). 1 Popis a rozbor problému GDPR Nařízení Ochranu osobních údajů v obecné rovině upravuje Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016, o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále jen "GDPR Nařízení"). GDPR Nařízení stanoví, za jakých podmínek je zaměstnavatel1) oprávněn údaje uchovávat a nakládat s nimi. Zaměstnavatel je přitom povinen vycházet zejména ze základních zásad, jako je např. ochrana osobních údajů dle čl. 5 odst. 1 GDPR Nařízení, jenž mu mimo jiné expressis verbis určují, že se musí při práci s osobními údaji řídit tzv. zásadou minimalizace, tj. shromažďovat osobní údaje přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány, a to vždy bez ohledu na charakter osobního údaje či skutečnosti, zda je osobou, jejíž údaje mají podléhat právní ochraně (dále jen "zaměstnanec"), dán zaměstnavateli souhlas s jejich zpracováním. Současně je pro každé zpracování osobních údajů nutno disponovat právním titulem (základem) dle čl. 6 GDPR Nařízení. Pro účely příspěvku se jedná zejména o situaci, kdy je zpracování nezbytné pro splnění právní povinnosti, která se na zaměstnavatele vztahuje2). V tomto smyslu lze definovat dva okruhy, respektive formy, zákonem stanovené povinnosti zpracovat osobní údaje ve smyslu čl. 6 odst. 1 písm. c) GDPR Nařízení. V (i) jednom případě půjde o povinnost zpracovat určité konkrétní osobní údaje výslovně stanovené v právním předpise, a to velmi specificky, kdy nebude pochyb o existenci zákonné povinnosti dané konkrétní osobní údaje zpracovat. Pokud bude zaměstnavatel postupovat výhradně v intencích této zvláštní právní úpravy, tj. nebude shromažďovat větší rozsah osobních údajů, pak budou naplněny i požadavky čl. 5 odst. 1 písm. d) a čl. 6 odst. 1 písm. c) GDPR Nařízení. U druhé z forem (ii) se bude jednat o situaci, ve které příslušný právní předpis stanoví pouze obecnou povinnost zaměstnavatele prokázat určité skutečnosti, které zahrnují osobní údaje zaměstnanců, popřípadě jejich rodinných příslušníků, či postup v souladu s příslušným speciálním právním předpisem. V takovém případě je zpracování osobních údajů zaměstnavateli uloženo pouze nepřímo, bez bližší specifikace rozsahu, a zaměstnavatel je tak nucen zkoumat obsah právní povinnosti a zpracovat pouze ty osobní údaje, jež lze považovat za nezbytné pro postup zaměstnavatele secundum et intra legem. Jinými slovy v těchto situacích, je zaměstnavatel v obecné rovině osobní údaj oprávněn zpracovat v souladu s čl. 6 odst. 1 písm. c) GDPR Nařízení, ale na rozdíl od případu (i) je povinen sám definovat nezbytný rozsah, tj. aplikovat čl. 5 odst. 1 písm. d) GDPR Nařízení. Toto své rozhodnutí je následně zaměstnavatel povinen také zdůvodnit, příp. i doložit (viz povinnost v čl. 5 odst. 2 GDPR Nařízení, přenášející důkazní břemeno na zaměstnavatele). Pro úplnost je nutné uvést, že k případnému pořízení kopie písemnosti je přistupováno jako k pořízení celého souboru osobních údajů, které jsou na dané listině uvedeny, tj. zaměstnavatel je povinen zkoumat nejen to, zda pořízení kopie není jiným právním předpisem výslovně omezeno, de facto pouze v případě veřejných listin, ale zda každá z informací (osobních údajů), kterou tímto postupem shromažďuje, splňuje zásady stanovené v GDPR Nařízení. V případě rodných, oddacích a úmrtních listů zákon č. 301/2000 Sb., o matrikách, jménu a příjmení a o změně některých souvisejících zákonů možnost provedení kopie nezakazuje. Povinnosti vyplývající z čl. 5 odst. 1 písm. d) GDPR Nařízení (vyhodnocení nezbytnosti každého osobního údaje) a z čl. 5 odst. 2 GDPR Nařízení se nicméně uplatní i zde. Úprava v ZDP Z hlediska ZDP je zaměstnavatel v zásadě povinen veškeré slevy na dani dle § 35ba, § 35bb a daňová zvýhodnění dle § 35c ZDP, popřípadě nezdanitelné částky základu daně z příjmů fyzických osob ze závislé činnosti dle § 15 ZDP, jenž uplatní konkrétnímu zaměstnanci při výpočtu mzdy nebo při ročním zúčtování záloh na daň z příjmů ze závislé činnosti a daňového zvýhodnění, v případě kontroly ze strany správce daně prokázat3) a tedy minimálně mít k dispozici osobní údaje/kopie písemností, na jejichž základě slevu na dani, daňového zvýhodnění nebo odčitatelnou položku uplatnil. Konkrétní způsob a formu poté stanoví § 38l a §38k ZDP, přičemž jedná-li se o: § 38k ZDP - K předloženým dokladům přihlédne plátce daně počínaje kalendářním měsícem následujícím po měsíci, v němž budou tyto skutečnosti plátci daně prokázány, nejdříve však počínaje kalendářním měsícem, na jehož počátku byly skutečnosti rozhodné pro uznání slevy na dani podle § 35ba nebo na daňové zvýhodnění splněny, učiní-li poplatník současně prohlášení podle odstavce 4 anebo tyto skutečnosti v již učiněném prohlášení současně uvede. - K předloženým dokladům potvrzujícím skutečnost, že poplatník nebo vyživované dítě je studentem nebo žákem soustavně se připravujícím na budoucí povolání studiem nebo předepsaným výcvikem, však plátce daně přihlédne již počínaje kalendářním měsícem, v němž budou tyto skutečnosti plátci daně prokázány. § 38l ZDP - Nárok na poskytnutí slevy na dani podle § 35ba při stanovení daně nebo záloh prokazuje poplatník plátci daně mimo jiné dokladem prokazujícím totožnost manželky (manžela), uplatňuje-li slevu na dani podle § 35ba odst. 1 písm. b) a průkazem ZTP/P, pokud je manželka (manžel) jeho držitelem, nebo rozhodnutím o přiznání tohoto průkazu. Nárok na daňové zvýhodnění při stanovení záloh nebo daně prokazuje poplatník plátci daně mimo jiné úředním dokladem prokazujícím totožnost dítěte (vlastního, osvojence nebo v péči, která nahrazuje péči rodičů, druhého z manželů a vnuků). - Nárok na nezdanitelnou část základu daně prokazuje poplatník plátci daně smlouvou o úvěru a každoročně potvrzením stavební spořitelny o částce úroků zaplacených v uplynulém kalendářním roce z úvěru ze stavebního spoření, popřípadě z jiného úvěru poskytnutého stavební spořitelnou v souvislosti s úvěrem ze stavebního spoření nebo potvrzením banky o částce úroků zaplacených v uplynulém kalendářním roce z hypotečního úvěru a snížených o státní příspěvek, popřípadě z jiného úvěru poskytnutého příslušnou bankou v souvislosti s hypotečním úvěrem, - Nárok na nezdanitelnou část základu daně prokazuje poplatník plátci daně smlouvou o penzijním připojištění se státním příspěvkem nebo smlouvou o doplňkovém penzijním spoření a každoročně potvrzením penzijní společnosti o části měsíčních příspěvků zaplacených poplatníkem na jeho penzijní připojištění se státním příspěvkem nebo doplňkové penzijní spoření, které v jednotlivých kalendářních měsících zdaňovacího období přesáhly výši, ke které náleží maximální státní příspěvek; smlouvou o penzijním pojištění nebo potvrzením instituce penzijního pojištění o účasti poplatníka na penzijním pojištění a každoročně potvrzením instituce penzijního pojištění o příspěvcích zaplacených poplatníkem na jeho penzijní pojištění na uplynulé zdaňovací období, - Nárok na nezdanitelnou část základu daně prokazuje poplatník plátci daně smlouvou o soukromém životním pojištění nebo pojistkou podle zákona upravujícího pojistnou smlouvu a každoročně potvrzením pojišťovny o pojistném zaplaceném poplatníkem na jeho soukromé životní pojištění v uplynulém zdaňovacím období nebo o zaplacené poměrné části jednorázového pojistného připadajícího na uplynulé zdaňovací období, atd. 2 Podstata kolize úpravy v Nařízení GDPR a ZDP Na základě výše uvedeného rozboru je možné dovodit, že ÚOOÚ považuje vymezení způsobu prokázání dle § 38k a § 38l ZDP za neopodstatňující pro pořízení kopie předmětné písemnosti. Dle názoru obsaženého v přiloženém vyjádření ÚOOÚ (Příloha č. 1) považuje za zcela dostačující provedení záznamu do mzdového spisu o tom, že byla předmětná písemnost předložena společně s opsáním nezbytného údaje. Optikou ZDP a celkové koncepce daňového řízení by však takovýto postup bylo nezbytné označit za právními předpisy zcela nepředvídaný. Dle konstantní judikatury Nejvyššího správního soudu4) je daňové řízení postaveno mimo jiné na principu, že daňový subjekt (v tomto případě plátce daně) je povinen svá tvrzení náležitě prokázat a doložit, tj. nese důkazní břemeno. Toto důkazní břemeno přitom nemůže přenést na správce daně pouze s odvolávkou na skutečnost, že tvrzené údaje jsou správci daně dostupné z rejstříků používaných ostatními orgány veřejné správy. Případné neunesení důkazního břemene může vést k doměření daně samotné. Lze se domnívat, že nepořízením kopií předmětných písemností by se zaměstnavatel dostal do důkazní nouze, neboť by nebyl schopen jím svědčená tvrzení dostatečně správci daně prokázat. Obdobná situaci přitom může nastat v případě, že zaměstnavatel kopie písemností nepořídí a zvolí postup upřednostňovaný ÚOOÚ, ale v okamžiku daňové kontroly již příslušný zaměstnanec nebude zaměstnancem zaměstnavatele. Zaměstnavatel se tak opět ocitne v důkazní nouzi ohledně jim tvrzených skutečností. Je naprosto zřejmé, že výklad provedený ÚOOÚ je postaven do roviny stricto sensu, jelikož ZDP výslovně nestanovuje oprávnění zaměstnavatele kopie písemností pořídit například ve formě "...plátce je oprávněn/povinen za účelem prokázání nároků dle § 38l odst. 2 a 3 pořídit kopie dokladů prokazujících tvrzené skutečnosti. A contrario je logika finanční správy více postavena na širším chápání předmětných právních norem a koncepci daňového řízení jako celku. 3 Návrh řešení Uvedenou kolizi lze dle názoru předkladatelů odstranit dvěma možnými způsoby, a to: 1. Kopie písemností není zaměstnavatel oprávněn pro účely daňového řízení pořizovat. V případech, kdy nebude schopen zaměstnavatel předložit originál veřejné listiny na výzvu správce daně, neboť zaměstnanec již nebude v pracovním poměru se zaměstnavatelem, dožádá správce daně jiný orgán veřejné správy, aby mu kopii příslušné listiny poskytla. Mohou však nastat i situace, kdy údaje o bývalém zaměstnanci, popřípadě jeho rodinných příslušnících, nebude možné ani ze strany správce daně získat od jiného orgánu veřejné správy, jelikož se bude např. jednat o občany jiného členského státu EU. 2. Kopie písemností je zaměstnavatel oprávněn pro účely daňového řízení pořizovat, aniž by se tím dopustil porušení GDPR Nařízení. V tomto případě by však bylo naprosto nezbytné, aby došlo ke koordinaci přístupů mezi jednotlivými orgány veřejné správy respektive ministerstvy a odstranění kolizní normy. Dále by mělo dojít k doplnění ZDP o ustanovení upravující oprávnění zaměstnavatele pořizovat kopie veřejných listin, dokumentů pro účely prokázání nároku na uplatnění slevy na dani zaměstnanci v rámci měsíční mzdové evidence nebo v rámci ročního zúčtování záloh na daň z příjmů fyzických osob ze závislé činnosti a daňového zvýhodnění dle § 35ba, § 35bb, ZDP a § 35c ZDP, popřípadě při prokázání nároku na uplatnění nezdanitelných částek od základu daně v ročním zúčtování záloh na daň z příjmů fyzických osob ze závislé činnosti a daňového zvýhodnění dle § 15 ZDP, čímž by tato problematika zcela zanikla. V návaznosti na výše uvedené se předkladatelé se domnívají, že pouze řešení popsané v bodu 2 je dle konstantní judikatury Nejvyššího správního soudu, z pohledu procesně-právních předpisů a správní praxe, možné považovat za opodstatněné a odpovídající i smyslu jednotlivých právních norem. Předkladatelé proto navrhují přijmout závěr obsažený v bodu 2. 4 Závěr Dovolujeme si požádat o vyjádření názoru Generálního finančního ředitelství k výše uvedeným závěrům a současně navrhujeme tyto závěry vhodně publikovat. Stanovisko GFŘ: Úvodem je nutné k příspěvku samotnému konstatovat, že vyjádření k obsažené problematice prezentovalo GFŘ dne 29. 6. 2018 na internetových stránkách FS pod odkazem Sdělení pro plátce daně ze závislé činnosti v souvislosti s GDPR. Na obsahu uvedeného sdělení GFŘ i nadále trvá a pro řešení předkládané problematiky jej považuje za plně dostačující - z dokumentu uvádíme: Nařízení Evropského parlamentu a Rady (EU) č. 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (dále též "GDPR") upravuje v článku 6 zákonnost zpracování osobních údajů. V článku 6 GDPR bod 1. pod písm. c) je uvedeno, že zpracování osobních údajů v odpovídajícím rozsahu je zákonné, je-li nezbytné pro splnění právních povinností, která se na správce (v uvedeném případě plátce daně) vztahuje - tj. týká se povinností daných zákonem o daních z příjmů, vyplývajících ze skutečnosti, že se jedná o subjekt v postavení plátce daně ze závislé činnosti a vedení mzdové agendy. Pokud nějaký právní předpis členského státu či EU požaduje, aby subjekt osobní údaje zpracovával, resp. aby prováděl určitou činnost, pro kterou je zpracování osobních údajů nezbytné, aplikuje se na takové zpracování osobních údajů právní titul plnění právní povinnosti. V uvedeném případě může tedy plátce daně ze závislé činnosti pro účely zdanění příjmů poplatníka v rozsahu, jak požaduje zákon o daních z příjmů zpracovávat osobní údaje, a to bez souhlasu subjektu údajů (tj. poplatníka). Účel zpracování osobních údajů je v uvedeném případě zřejmý - jedná se o vedení mzdové agendy a plnění zákonných povinností dané daňovému subjektu v postavení plátce daně ze závislé činnosti. Samotný způsob prokazování nároku na nezdanitelné části základu daně, slev na dani a daňového zvýhodnění u plátce daně (zaměstnavatele), je taxativně vyjmenován v ustanovení § 38l zákona o daních z příjmů. U plátce daně se pro účely prokazování nároku předkládají doklady zpravidla v originálech a plátce daně na základě nich ověří splnění nároku. Ověření předkládaných dokladů je seznatelné i z tiskopisu Prohlášení poplatníka daně z příjmů fyzických osob ze závislé činnosti (dále jen "Prohlášení k dani"), který je pro účely plnění povinností vyplývajících z § 38k zákona o daních z příjmů vydáván. Podle § 38j odst. 1 zákona o daních z příjmů je plátce daně pro poplatníky s příjmy ze závislé činnosti povinen vést mzdové listy. Ustanovení § 38j odst. 2 zákona o daních z příjmů taxativně vymezuje, jaké údaje musí mzdový list obsahovat pro účely zdanění (mj. poplatníkovo jméno i dřívější, rodné číslo, bydliště atd.). Plátce daně jako správce osobních údajů je povinen přijmout taková technická, organizační a jiná potřebná opatření, aby byly získané osobní údaje dostatečně zabezpečeny před případným zneužitím. Zároveň je nutné připomenout, že plátci daně sráží daň, příp. zálohu na daň, pod vlastní majetkovou odpovědností, z tohoto důvodu je v praxi běžné, že plátci daně z poplatníkem předložených originálů pořídí fotokopie, jež následně uchovávají jako důkazní prostředek. Z pohledu ochrany osobních údajů při dodržení zásady minimalizace údajů a při podřazení tohoto účelu zpracování pod správný právní důvod dle čl. 6 GDPR výše uvedenému postupu nic nebrání. K návrhu řešení předkladatelů: GFŘ souhlasí se závěry předkladatelů v bodě 2. v tom, že kopie písemností je zaměstnavatel oprávněn pro účely daňového řízení pořizovat, aniž by se tím dopustil porušení GDPR Nařízení, ale s důrazem na skutečnost, že se bude jednat o kopie v rozsahu nezbytně nutném a údaje nad rámec nezbytně nutného budou zakryty. Uvedený závěr má oporu například v § 38j odst. 2 písm. d) zákona o daních z příjmů, kde jsou taxativně vymezeny údaje, které musí mzdový list obsahovat v případě uplatnění slevy na manžela (manželku) podle § 35ba nebo v případě uplatnění daňového zvýhodnění na děti. Mzdový list musí obsahovat jméno a rodné číslo osoby, na kterou poplatník uplatňuje slevu na dani podle § 35ba a daňové zvýhodnění. Poplatník dále uvádí v souladu s § 38k odst. 4 zákona o daních z příjmů v Prohlášení poplatníka daně z příjmů fyzických osob ze závislé činnosti (dále jen Prohlášení), respektive v Žádosti o roční zúčtování záloh a daňového zvýhodnění za příslušné zdaňovací období (dále jen Žádost), pokud uplatňuje daňové zvýhodnění jméno, příjmení a rodné číslo dítěte (dětí), jméno, příjmení a rodné číslo jiného poplatníka, pokud v rámci téže společně hospodařící domácnosti vyživuje tytéž děti i jiný poplatník, stejně jako v případě, kdy poplatník uplatňuje slevu na manžela (manželku) jméno, příjmení a rodné číslo manžela (manželky). Zaměstnavateli jsou tedy potřebné údaje předkládány a jejich pravdivost zaměstnavatel ověřuje prostřednictvím dokladů definovaných v § 38l zákona o daních z příjmů - úředním dokladem prokazujícím totožnost dítěte, dokladem prokazujícím totožnost manželky. Zaměstnavatel z úředních dokladů ověřuje pouze údaje již poplatníkem zapsané v Prohlášení nebo v Žádosti a není důvod z úředních dokladů nepořídit kopie ve stejném nezbytně nutném rozsahu. Zaměstnavatel tímto postupem neshromažďuje žádné další údaje nezbytné pro správu daní a je na něm, aby přijal taková opatření, aby získané osobní údaje dostatečně zabezpečil před případným zneužitím. Protože v souladu s § 92 odst. 3 zákona č. 280/2009 Sb., daňový řád, ve znění pozdějších předpisů (dále jen "daňový řád"), daňový subjekt prokazuje všechny skutečnosti, které je povinen uvádět v řádném daňovém tvrzení, dodatečném daňovém tvrzení a dalších podáních a podle § 20 odst. 1 daňového řádu daňovým subjektem je osoba, kterou za daňový subjekt označuje zákon, jakož i osoba, kterou zákon označuje jako poplatníka nebo jako plátce daně. Tzn. plátce daně z příjmů fyzických osob ze závislé činnosti je daňovým subjektem, který má důkazní břemeno vůči správci daně. Je tedy v zájmu plátce daně mít pro svá daňová tvrzení k dispozici důkazní prostředky pro případnou kontrolu ze strany správce daně. Pokud by důkazní prostředky plátce daně neměl k dispozici, pak to bude mít zcela jistě vliv na délku a hospodárnost případného daňového řízení. Obdobné postupy při pořizování kopií dokladů jako u daňového zvýhodnění nebo slevy na manžela se aplikují i u dalších slev na dani a u nezdanitelných částek ze základu daně. Podle názoru GFŘ stávající úprava zákona o daních z příjmů je pro zavedené postupy zcela dostačující a není třeba v daném ohledu doplnění zákona o daních z příjmů. 1 GDPR Nařízení osobu zaměstnavatel označuje jako správce údajů 2 Čl. 6 odst. 1 písm. c) GDPR nařízení 3 zejména § 92 odst. 3 zákona č. 280/2009 Sb., daňový řád a § 38k a § 38l zákona č. 586/1992 Sb., o daních z příjmů 4 například sp. zn. 1 Afs 87/2016-45 ze dne 19. 1. 2017, sp. zn. 2 Afs 24/2007-119 ze dne 30. 1. 2008, sp. zn. 1 Afs 57/2009-83 ze dne 16. 7. 2009, aj.