Jedním ze základních kamenů ochrany osobních údajů a jejich zpracování, je princip zpracování tak, že podmínkou zpracování je souhlas subjektu údajů. Tento přístup vychází z charakteru předmětu právní úpravy, který souvisí s ústavně garantovaným právem na ochranu soukromí a také evropskou legislativou. Ta, ve Směrnici 95/46/ES v recitalu (30), uvádí, že „zpracování osobních údajů musí být, aby bylo zákonné, také prováděno se souhlasem subjektu údajů“ a jako základní zásadu zpracování osobních údajů pak v článku 7 písm. a) uvádí, že „členské státy stanoví, že zpracování osobních údajů může být provedeno, pouze pokud subjekt údajů nezpochybnitelně udělil souhlas.“
Shromažďování osobních údajů při uzavírání smlouvy
JUDr.
Eva
Janečková
JUDr.
Václav
Bartík
Tento imperativ je tak jako základní předpoklad zpracování osobních údajů vyjádřen právě ve větě první § 5 odst. 2 zákona č. 101/2000 Sb., o ochraně osobních údajů a o změně některých zákonů, ve znění pozdějších předpis (dále jen „zákon o ochraně osobních údajů“), a nalezl již i odraz v soudní judikatuře Nejvyššího správního soudu. Ten např. uvedl, že „k právní úpravě týkající se oblasti ochrany osobních údajů je možno úvodem konstatovat, že zpracování osobních údajů vychází ze zásady, podle níž právo disponovat s osobními údaji náleží fyzické osobě, k níž se tyto informace vztahují (subjektu údajů), a nikoli tomu, kdo je jejich držitelem. Je proto logické, že základním právním titulem pro zpracování osobních údajů je z principu věci souhlas subjektu údajů. Požadavek souhlasu však není zákonem stanoven jako absolutní. Zpracování osobních údajů však nesmí být v rozporu s právem subjektu údajů na ochranu jeho soukromého nebo osobního života. Nepopiratelnou skutečností zároveň je, že jedním z nejohroženějších lidských práv v podmínkách současné tzv. ,informační společnosti’ je právě právo na soukromí, ačkoli v souladu s čl. 10 odst. 2 Listiny základních práv a svobod má ‘každý právo na ochranu před neoprávněným zasahováním do soukromého a rodinného života’.“1)
„Souhlas“ jako samostatný pojem je v zákoně o ochraně osobních údajů vymezen v rámci definic základních pojmů2), jeho další podmínky jsou pak dále vymezeny v § 5 odst. 4 a specifické podmínky souhlasu ke zpracování citlivých osobních údajů pak v § 9 písm. a). Je zajisté zřejmé, že princip souhlasu však nemůže platit absolutně a proto z něj existuje několik výjimek.
Jednou z těchto výjimek stanovených v ustanovení § 5 odst. 2 zákona o ochraně osobních údajů, konkrétně pod písm. b), je situace, jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů, nebo pro jednání o uzavření nebo změně smlouvy uskutečněné na návrh subjektu údajů. Mohlo by se na první pohled zdát, že ustanovení nemůže vyvolat výkladové a aplikační problémy. Je zjevné, že se jedná o transpoziční ustanovení Směrnice 95/46/ES a jejího čl. 7 písm. b), který uvádí, že (osobní údaje) lze zpracovávat, pakliže „je zpracování nezbytné pro splnění smlouvy, kde je subjekt údajů jednou ze stran, nebo se tak děje na žádost subjektu údajů před uzavřením smlouvy“. Zákonodárce zde stanovil vlastně dvě polohy, resp. dva různé předpoklady, kdy je možno osobní údaje zpracovávat bez souhlasu.
První je tedy situace, kdy je smluvní vztah mezi subjektem údajů a další osobou, tedy správcem již uzavřen (jestliže je zpracování nezbytné pro plnění smlouvy, jejíž smluvní stranou je subjekt údajů) a je třeba údaje buď uchovávat, nebo i v průběhu smluvního vztahu získávat jiné, než původně poskytnuté osobní údaje. Je logické, že formální souhlas se zpracováním není právní úpravou vyžadován, neboť lze dovodit, že osobní údaje budou získávány (správci poskytnuty) právě subjektem údajů, a to proto, aby smluvní vztah mohl být realizován, a je tak v zájmu subjektu údajů takové údaje poskytnout. Je však třeba, aby správce měl na paměti, že údaje získávané od subjektu údajů musí korelovat s jinými ustanoveními zákona o ochraně osobních údajů, např. s ustanovením § 5 odst. 1 písm. d), tedy, že údaje musí odpovídat svým rozsahem stanovenému účelu, zde nejspíše vymezenému právě jen obsahem smlouvy.3)
Správce osobních údajů se tak může v zásadě ocitnout ve dvou situacích:
a)
Správce uzavírá smlouvu, která je upravena zákonem, a tento zákon sám stanoví rozsah osobních údajů, které je třeba ve smlouvě uvést. Příkladem může být smlouva o poskytování veřejně dostupné služby elektronických komunikací a připojení k veřejné komunikační síti podle zákona č. 127/2005 Sb., o elektronických komunikacích a o změně některých souvisejících zákonů (zákon o elektronických komunikacích), ve znění pozdějších předpisů. Tento zákon ve svém ustanovení § 63 odst. 1 přesně stanoví, jaké údaje je třeba ve zmíněné smlouvě uvést4). Stanoví-li zvláštní zákon taxativně rozsah osobních údajů, které může správce shromažďovat, je třeba současně tento rozsah považovat za nezbytný pro naplnění stanoveného účelu a uvedené údaje za odpovídající stanovenému účelu ve smyslu ustanovení § 5 odst. 1 písm. d) zákona o ochraně osobních údajů.
b)
Správce osobních údajů uzavírá smlouvu zákonem neupravenou, nebo upravenou zákonem takovým způsobem, že tento zákon nestanoví vymezení osobních údajů potřebných pro identifikaci smluvních stran. V tomto případě dostatečnými, a tedy i nezbytnými osobními údaji jsou jméno, příjmení, adresa a datum narození fyzické osoby.
Správce osobních údajů samozřejmě může identifikovat druhou smluvní stranu, nicméně rozsah použitých osobních údajů musí odpovídat účelu.
Druhou možností, která se i částečně s první výše uvedenou překrývá (jak plyne ze zákonného textu „nebo o změně smlouvy“), je stav, resp. situace, kdy „smluvní iniciativu“ vyvine subjekt údajů sám a pro přípravu smlouvy poskytne druhé smluvní straně (správci) takové osobní údaje, aby smlouva mohla být vůbec uzavřena nebo případně změněna. I zde tedy platí, že subjekt údajů je plně informován, jaké osobní údaje poskytl, jakému správci, pro jaký účel (plnění smlouvy) a na jak dlouho, tedy minimálně po dobu od poskytnutí údajů po ukončení smluvního vztahu, pokud nějaký jiný právní předpis nestanoví dobu delší. Takovým předpisem by mohl být např. zákon č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, zákon č. 563/1991 Sb., o účetnictví, nebo zákon č. 253/2008 Sb., o některých opatřeních proti legalizaci výnosů z trestné činnosti a financování terorismu. Pod ustanovení písm. b), resp. důvod aplikace, lze podřadit i např. získávání údajů při úmyslu uzavřít pracovní smlouvu.
Obecně bývá pravidlem, že zaměstnavatel, hledající nové pracovní síly dá tuto skutečnost najevo veřejným sdělením, nejčastěji v podobě nabídkového inzerátu, který bývá zveřejněn v denním tisku a také na různých specializovaných informačních stránkách na internetu. Zveřejňovány bývají většinou pouze základní požadavky na pracovní místo, požadován bývá strukturovaný životopis a sdělení kvalifikačních předpokladů a je ponecháno na uchazeči, jaké údaje o sobě v požadovaných dokumentech skutečně uvede.
Výsledkem je více či méně rozsáhlá „databáze“, kterou tvoří zaslané dokumenty jednotlivých uchazečů o zaměstnání a která obsahuje osobní údaje jednoho každého z nich, ač vnitřní struktura jednotlivých dokumentů bude zpravidla různá, i když víceméně obdobná. Tento soubor osobních údajů uchazečů o zaměstnání splňuje kriteria definice podle § 4 písm. m) zákona o ochraně osobních údajů a je evidencí, která je dále zpracovávána za účelem výběru vhodného uchazeče, a konečným cílem a účelem zpracování je uzavření pracovní smlouvy s vybraným kandidátem. Je tedy zřejmé, že je naplněna litera ustanovení § 5 odst. 2 písm. b) zákona o ochraně osobních údajů, neboť se prakticky jedná o jednání o uzavření smlouvy, byť je toto jednání v pouhém zahajovacím stadiu. Není tedy třeba, aby zaměstnavatel, přesněji budoucí zaměstnavatel některého z uchazečů (dále jen „zaměstnavatel“) takové údaje zpracovával s „formalizovaným“ souhlasem subjektů údajů, uchazečů o zaměstnání. Je při tom zřejmé, že uchazeči jsou seznámeni a informováni (prostřednictvím zveřejněných informací) o účelu, k němuž poskytují své osobní údaje, a komu. Je jim znám i rozsah údajů, neboť na základě rámcové informace je poskytují sami o své vůli a v rozsahu často i větším, než je požadováno. Mohou do značné míry také dovodit, na jak dlouhou dobu je poskytují (do doby, než bude vybrán vhodný uchazeč) a jsou s těmito skutečnostmi srozuměni.
Současně to však neznamená, že zaměstnavatel (správce osobních údajů) nemusí plnit další dotčená ustanovení zákona o ochraně osobních údajů. Tedy musí zpracovávané osobní údaje uchazečů zejména chránit před zneužitím (§ 13 zákona o ochraně osobních údajů) a použít je jen k účelu, k němuž byly shromážděny, a to jen po dobu nezbytně nutnou k dosažení stanoveného účelu. To tedy také znamená, že v okamžiku, kdy je vybrán vhodný uchazeč a je s ním uzavřena pracovní smlouva, pominul důvod, pro který byly shromážděny osobní údaje všech ostatních uchazečů. V tomto okamžiku končí oprávnění zaměstnavatele dále zpracovávat tyto osobní údaje bez souhlasu subjektu údajů, tedy si je ponechat pro nějaké potenciální budoucí využití, neboť žádná z ostatních výjimek v ustanovení § 5 odst. 2 zákona o ochraně osobních údajů není aplikovatelná. Je tedy povinen buď zaslané nabídky (životopisy a případné další písemnosti) neúspěšným uchazečům vrátit, anebo je zlikvidovat. Pokud si však zaměstnavatel bude chtít pro potřeby dalšího využití zaslané osobní údaje ponechat, může tak učinit jen se souhlasem dotčených osob. Takový souhlas pak musí beze zbytku splňovat podmínky, které pro tento úkon stanoví § 4 písm. n) ve spojení s § 5 odst. 4 zákona o ochraně osobních údajů.
Účel tohoto využití pak musí být nově stanoven, např. jako databáze potenciálních zaměstnanců, kteří sice obecně splňují představy vhodnosti pracovního uplatnění, avšak není pro ně v daném okamžiku volné místo, jež se však v budoucnu uvolnit může. Na takové zpracování pak beze zbytku dopadají všechna další ustanovení zákona o ochraně osobních údajů, tedy zejména základní povinnosti uvedené v § 5 odst. 1.5)
Závěrem snad jen zbývá připomenout, že pokud bude zaměstnavatel chtít skutečně disponovat databází „potenciálních budoucích zaměstnanců“, musí si být vědom ještě jedné povinnosti. A tou je registrace takového zpracování podle § 16 zákona o ochraně osobních údajů, neboť vedení takové databáze není zaměstnavateli stanovena jako jeho právní povinnost a tak na něj nedopadne žádná z výjimek z registrace ve smyslu § 18 zákona o ochraně osobních údajů. Je tedy zřejmé, že vedení tak říkajíc „obyčejného seznamu“ kandidátů na pracovní pozice má svá úskalí, je právně limitováno a tak pouhé „chtění“ zaměstnavatelů takovou databázi mít a udržovat, zdaleka nestačí.
1) Rozsudek Nejvyššího správního soudu ze dne 12.2.2009, čj. 9 As 34/2008-68, www.nssoud.cz.
2) § 4 písm. n).
3) Bartík, V. - Janečková, E.: Zákon o ochraně osobních údajů s komentářem. ANAG, Olomouc 2010, s. 88.
4) Ve smlouvě o poskytování veřejně dostupné služby elektronických komunikací nebo připojení k veřejné komunikační síti musí být srozumitelným, úplným a snadno přístupným způsobem uvedeno vždy:
a) u podnikatele poskytujícího služby nebo zajišťujícího přístup k síti jméno, popřípadě jména, příjmení, bydliště a identifikační číslo nebo obchodní firma, jde-li o fyzickou podnikající osobu, nebo obchodní firma nebo název, sídlo (místo podnikání) a identifikační číslo, popřípadě sídlo organizační složky na území České republiky, a identifikační číslo, bylo-li přiděleno, jméno, popřípadě jména, a příjmení osoby oprávněné jednat jménem této právnické osoby, jde-li o právnickou osobu,
b) je-li uživatelem:
1. podnikající právnická osoba, obchodní firma nebo název, sídlo, popřípadě sídlo organizační složky na území České republiky, a identifikační číslo, bylo-li přiděleno, jméno, popřípadě jména, příjmení a bydliště osoby oprávněné jednat jménem této právnické osoby,
2. podnikající fyzická osoba, jméno, popřípadě jména, a příjmení, popřípadě obchodní firma, bydliště, místo podnikání a identifikační číslo, bylo-li přiděleno,
3. nepodnikající osoba, jméno, popřípadě jména, a příjmení, bydliště, datum narození nebo rodné číslo fyzické osoby, bylo-li přiděleno, nebo název a sídlo, popřípadě sídlo organizační složky na území České republiky, popřípadě identifikační číslo právnické osoby.
5) Pozornost bude třeba věnovat době, po kterou mají být takové údaje uchovávány [písm. e) citovaného ustanovení]. Za přiměřenou dobu uchování osobních údajů v databázi potenciálních zaměstnanců pak lze odhadnout na cca 6 měsíců. Lze předpokládat, že za 6 měsíců se již na straně uchazeče mohou okolnosti změnit natolik, že evidování jeho údajů ztratí pro zaměstnavatele smysl. A bude opět platit, že po uvedené době již nebude mít právo takovými údaji disponovat, tedy je zpracovávat, a bude povinen je zlikvidovat, pokud se se subjektem údajů nedohodne jinak. Tedy zejména, že údaje a podklady mu budou vráceny.
...
(Bartík, V. a Janečková, E.: Ochrana osobních údajů v aplikační praxi. Praha 2009, str. 157 a násl.).