Ochrana osobných údajov ako súčasť pracovnej zmluvy

Stále aktuálna problematika ochrany osobných údajov bola v poslednom období novelizovaná. S účinnosťou od 1. 7. 2013 bol prijatý nový zákon č. 122/2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov, ktorý nahradil dovtedy platný a účinný zákon č. 428/2002 Z. z. o ochrane osobných údajov v znení neskorších predpisov.

V danej súvislosti by sme zamerali pozornosť na otázku ochrany osobných údajov, a to na oblasť pracovnoprávnych vzťahov. Prečo zamestnanec podpisuje v pracovnej zmluve ustanovenia ohľadne ochrany osobných údajov? Aké skutočnosti nesmie zamestnávateľ opomenúť? Aké práva a povinnosti im z platnej legislatívy vyplývajú?

Medzi základnú právnu úpravu ochrany osobných údajov patria nasledujúce právne dokumenty:

• Dohovor Rady Európy č. 108
• Smernica Európskeho parlamentu a Rady č. 94/46/EC o ochrane jednotlivcov v súvislosti so spracúvaním osobných údajov a o slobodnom pohybe takýchto údajov
• Ústava SR, konkrétne čl. 22 ods. 1
• Zákon č. 122/2013 Z. z. o ochrane osobných údajov
• Občiansky zákonník – vo svojej časti ochrana osobnosti
• Trestný zákon – konkrétne trestný čin neoprávneného nakladania s osobnými údajmi

Na druhej strane v zmysle platnej legislatívy by mal mať zamestnávateľ oblasť ochrany osobných údajov upravenú v nasledujúcich interných normách:

• Bezpečnostný projekt ochrany osobných údajov
• Informačná bezpečnosť a opatrenia na zabezpečenie ochrany informačného systému a výpočtovej techniky
• Bezpečnostná politika

V úvode si dovolíme urobiť krátku analýzu zákona č. 122/2013 Z. z. pre lepšie pochopenie problematiky ochrany osobných údajov. Uvedený zákon č. 122/2013 Z. z. sa vzťahuje na právnické osoby, ako i fyzické osoby, ktoré:

• spracúvajú osobné údaje,
• určujú účel a prostriedky spracúvania alebo
• poskytujú osobné údaje na spracúvanie.

Ako je chápaný zákonný termín „osobný údaj“?

Osobný údaj je kombinácia údajov, na základe ktorej možno identifikovať vždy konkrétnu fyzickú osobu, napr.

• meno a priezvisko,
• dátum narodenia,
• rodné číslo,
• adresa atď.

V zmysle § 4 uvedeného zákona sú osobnými údajmi údaje týkajúce sa určenej alebo určiteľnej fyzickej osoby, ktorú možno určiť priamo alebo nepriamo, najmä na základe všeobecne použiteľného identifikátora alebo na základe jednej či viacerých charakteristík alebo znakov, ktoré tvoria jej fyzickú, fyziologickú, psychickú, mentálnu, ekonomickú, kultúrnu alebo sociálnu identitu.

Pre rýchlu orientáciu v zmysle uvedeného zákona vymedzujeme základné pojmy, a to:

• prevádzkovateľ – prevádzkovateľ informačného systému, v ktorom sú spracúvané hlavne osobné údaje klientov, zamestnancov (t. j. zamestnávateľ),
• sprostredkovateľ (napr. v prípade poisťovne ako zamestnávateľa je to poisťovací agent...), ktorý spracúva osobné údaje v mene prevádzkovateľa na základe písomnej zmluvy,
• oprávnená osoba (zamestnanci prevádzkovateľa/sprostredkovateľa, aj osoby, ktoré majú uzavretú niektorú z dohôd o prácach vykonávaných mimo pracovného pomeru),
• dotknutá osoba (každá fyzická osoba, ktorej sa osobné údaje týkajú) – klient, zamestnanec.

Aké má v zmysle platnej legislatívy v oblasti ochrany osobných údajov práva a povinnosti zamestnávateľ ako prevádzkovateľ a aké zamestnanec?

Zamestnávateľ

• spracúva vo svojom informačnom systéme osobné údaje;
• zodpovedá za vymedzenie účelu spracúvania osobných údajov a určenie podmienok spracúvania osobných údajov;
• zodpovedá za výkon dohľadu nad ochranou osobných údajov, pričom môže poveriť zodpovednú osobu (t. j. určený zamestnanec) uvedeným výkonom dohľadu, aby tak dozerala na dodržiavanie zákonných ustanovení pri spracúvaní osobných údajov. Zodpovedná osoba má postavenie oprávnenej osoby prevádzkovateľa;
• zodpovedá za bezpečnosť osobných údajov. Na tento účel prijíma primerané technické, organizačné a personálne opatrenia vo forme riešenia a implementácie bezpečnostného projektu informačného systému;
• zabezpečuje aktualizáciu bezpečnostných opatrení až do ukončenia spracúvania osobných údajov v informačnom systéme;
• zodpovedá za evidenciu informačných systémov, ktorú zabezpečuje zodpovedná osoba;
• je povinný poučiť oprávnenú osobu o jej právach a povinnostiach pri spracúvaní osobných údajov a o poučení vyhotoviť záznam;

Prevádzkovateľ je povinný poučiť osoby, ktoré majú alebo môžu mať prístup k informačnému systému, o právach a povinnostiach ustanovených zákonom o ochrane osobných údajov a zodpovednosti za ich porušenie.

Za zaškolenie zamestnancov na konkrétne podmienky a spôsob spracúvania osobných údajov zodpovedajú priami nadriadení.

Zaškolenie musí zohľadňovať rozsah spracúvania osobných údajov príslušnými zamestnancami a musí byť súčasťou adaptačného procesu zamestnanca.

• je oprávnený sprístupniť, poskytovať alebo zverejniť osobné údaje zamestnanca v rozsahu titul, meno, priezvisko, pracovné zaradenie, odborný útvar, miesto výkonu práce, telefónne číslo, faxové číslo alebo elektronická pošta na pracovisko a identifikačné údaje zamestnávateľa, ak je to potrebné v súvislosti s plnením pracovných povinností zamestnanca a
• iné.

Zamestnanec

• má povinnosť chrániť osobné údaje dotknutých osôb pred ich poškodením, zničením, stratou, zmenou, neoprávneným prístupom a sprístupnením, poskytnutím alebo zverejnením, ako aj pred akýmikoľvek inými neprípustnými spôsobmi spracúvania. Na tento účel prijme zamestnávateľ primerané technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania osobných údajov, pričom berie do úvahy najmä použiteľné technické prostriedky, dôvernosť a dôležitosť spracúvaných osobných údajov, ako aj rozsah možných rizík, ktoré sú spôsobilé narušiť bezpečnosť alebo funkčnosť informačného systému;
• každý zamestnanec, ktorý príde pri svojej pracovnej činnosti do styku s osobnými údajmi (klientov, akcionárov, iných zamestnancov....), musí dodržiavať povinnosť mlčanlivosti o osobných údajoch, s ktorými príde do styku. Osobné údaje nesmie využiť ani pre osobnú potrebu a bez súhlasu zamestnávateľa ich nesmie zverejniť a nikomu poskytnúť ani sprístupniť. Tieto povinnosti trvajú i po skončení pracovného pomeru, povinnosť mlčanlivosti neplatí, ak je to nevyhnutné na plnenie úloh súdu a orgánov činných v trestnom konaní podľa osobitného zákona;
• v prípade odôvodneného podozrenia neoprávneného spracúvania alebo úniku osobných údajov bezodkladne informovať zodpovednú osobu.

ZÁSADY SPRACÚVANIA OSOBNÝCH ÚDAJOV v zmysle uvedeného zákona

1. Účel spracúvania osobných údajov

Zamestnávateľ nemá povinnosť pred začatím spracúvania osobných údajov vymedziť účel spracúvania osobných údajov len vtedy, ak účel spracúvania osobných údajov ustanovuje osobitný zákon v súlade s podmienkami uvedenými v ustanovení § 6 ods. 2 písm. a) zákona, t. j. účel spracúvania osobných údajov musí byť jasný, vymedzený jednoznačne a konkrétne, a musí byť v súlade s Ústavou SR, ústavnými zákonmi, zákonmi a medzinárodnými zmluvami, ktorými je Slovenská republika viazaná. Rovnako nemá zamestnávateľ povinnosť určiť podmienky spracúvania osobných údajov tak, aby neobmedzil právo dotknutej osoby ustanovené zákonom, len vtedy ak ich ustanovuje všeobecne záväzný právny predpis.

Ostatné povinnosti je prevádzkovateľ povinný dodržiavať aj počas spracúvania osobných údajov na základe osobitného zákona.

V prípade, že ustanovuje účel spracúvania osobných údajov osobitný zákon, tento následne môže upravovať identifikáciu klientov a ich zástupcov, zachovanie možnosti následnej kontroly tejto identifikácie, uzavieranie zmlúv s klientmi, vykonávanie obchodov atď.

Účel spracúvania osobných údajov musí byť registrovaný Úradom na ochranu osobných údajov, napr. to môže byť vedenie agendy HR.

Spracúvať je možné len také osobné údaje, ktoré svojím rozsahom a obsahom zodpovedajú účelu ich spracúvania uvedenému v osobitnom zákone a v registrácii informačného systému.

Ak účel spracúvania osobných údajov, okruh dotknutých osôb a zoznam osobných údajov ustanovuje osobitný zákon, spracúva zamestnávateľ osobné údaje bez súhlasu dotknutej osoby, a to len v rozsahu a spôsobom, ktorý ustanovuje osobitný zákon. Spracúvané osobné údaje možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú, ak tento zákon neustanovuje inak.

2. Získavanie osobných údajov

Osoba oprávnená získavať osobné údaje môže vyžadovať od dotknutej osoby len tie osobné údaje, ktoré sú nevyhnutné na dosiahnutie účelu spracúvania.

3. Poskytovanie, sprístupňovanie a zverejňovanie osobných údajov

Spracúvané osobné údaje možno z informačného systému poskytnúť, sprístupniť alebo zverejniť len vtedy, ak osobitný zákon ustanovuje účel poskytovania, sprístupňovania alebo zverejňovania, zoznam osobných údajov, ktoré možno poskytnúť, sprístupniť alebo zverejniť, ako aj tretie strany, ktorým sa osobné údaje poskytujú, prípadne okruh príjemcov, ktorým sa osobné údaje sprístupňujú.

4. Správnosť a aktuálnosť osobných údajov

Za správnosť a aktuálnosť osobných údajov v informačnom systéme zamestnávateľa zodpovedá zamestnávateľ.

Za týmto účelom musí byť dotknutá osoba zaviazaná informovať prevádzkovateľa o všetkých zmenách svojich osobných údajov.

Prevádzkovateľ zabezpečí, aby sa osobné údaje spracúvali a využívali výlučne spôsobom, ktorý zodpovedá účelu, na ktorý boli zhromaždené; je neprípustné združovať osobné údaje, ktoré boli získané osobitne na rozdielne účely a spracúva len správne, úplné a podľa potreby aktualizované osobné údaje vo vzťahu k účelu spracúvania; nesprávne a neúplné osobné údaje je prevádzkovateľ povinný blokovať a bez zbytočného odkladu opraviť alebo doplniť; nesprávne a neúplné osobné údaje, ktoré nemožno opraviť alebo doplniť tak, aby boli správne a úplné, prevádzkovateľ zreteľne označí a bez zbytočného odkladu zlikviduje.

5. Likvidácia osobných údajov

Všetky osobné údaje musia mať stanovenú dobu uchovávania. Doba uchovávania osobných údajov je uvedená v registratúrnom poriadku prevádzkovateľa. Po splnení účelu spracúvania osobných údajov musí byť zabezpečená ich bezodkladná likvidácia.

Aké práva voči prevádzkovateľovi má dotknutá osoba, ktorej sa poskytnuté osobné údaje týkajú?

Právo na základe písomnej žiadosti od prevádzkovateľa vyžadovať:

• potvrdenie, či sú alebo nie sú osobné údaje o nej spracúvané,
• informácie o spracúvaní jej osobných údajov v informačnom systéme,
• presné informácie o zdroji, z ktorého získal jej osobné údaje na spracúvanie,
• zoznam jej osobných údajov, ktoré sú predmetom spracúvania,
• opravu alebo likvidáciu jej nesprávnych, neúplných alebo neaktuálnych osobných údajov, ktoré sú predmetom spracúvania,
• likvidáciu jej osobných údajov, ak bol splnený účel ich spracúvania,
• likvidáciu jej osobných údajov, ktoré sú predmetom spracúvania, ak došlo k porušeniu zákona,
• blokovanie jej osobných údajov z dôvodu odvolania súhlasu pred uplynutím času jeho platnosti, ak prevádzkovateľ spracúva osobné údaje na základe súhlasu dotknutej osoby.

Právo na základe písomnej žiadosti namietať voči:

• spracúvaniu jej osobných údajov (výlučne titul, meno, priezvisko a adresa dotknutej osoby bez možnosti priradiť k nim ďalšie jej osobné údaje a ich využitie je určené výhradne pre potreby prevádzkovateľa v poštovom styku s dotknutou osobou a evidencie týchto údajov), o ktorých predpokladá, že sú alebo budú spracúvané na účely priameho marketingu bez jej súhlasu a žiadať ich likvidáciu,
• poskytovaniu a využívaniu osobných údajov na účely priameho marketingu.

Komu môžu zamestnanci prevádzkovateľa poskytnúť osobné údaje?

• akcionárom prevádzkovateľa,
• sprostredkovateľom prevádzkovateľa,
• štátnym a kontrolným orgánom,
• subjektom, s ktorými má prevádzkovateľ podpísanú zmluvu, ktorej predmetom je aj poskytovanie a sprístupňovanie osobných údajov atď.

Sankcie za porušenie zákona

Ak Úrad na ochranu osobných údajov zistí porušenie práv navrhovateľa, fyzickej osoby v konaní bez návrhu alebo nesplnenie povinností pri spracúvaní osobných údajov ustanovených zákonom, uloží rozhodnutím prevádzkovateľovi alebo sprostredkovateľovi, aby v určenej lehote vykonal opatrenia na odstránenie zistených nedostatkov a príčin ich vzniku; inak konanie o ochrane osobných údajov zastaví.

Okrem uvedených opatrení je úrad oprávnený ďalej uložiť opatrenia prevádzkovateľovi alebo sprostredkovateľovi, ktorými:

a) zakáže spracúvanie tých osobných údajov, ktorých spracúvanie je v rozpore s ustanoveniami uvedeného zákona,
b) zakáže spracúvanie, ktoré je v rozpore s ustanoveniami tohto zákona,
c) nariadi odstránenie alebo likvidáciu osobných údajov v určenej lehote, ak sú alebo boli neoprávnene spracúvané,
d) uloží povinnosť prijať technické, organizačné a personálne opatrenia zodpovedajúce spôsobu spracúvania,
e) uloží povinnosť zabezpečiť vypracovanie alebo doplnenie dokumentácie alebo bezpečnostného projektu v súlade s týmto zákonom,
f) uloží prevádzkovateľovi povinnosť zmeniť sprostredkovateľa v určenej lehote, ak prevádzkovateľ vykonáva spracúvanie osobných údajov prostredníctvom sprostredkovateľa.

Zároveň je prevádzkovateľ alebo sprostredkovateľ povinný informovať úrad o splnení uložených opatrení v úradom určenej lehote.

Pri ukladaní pokuty alebo poriadkovej pokuty a určení jej výšky prihliada úrad najmä na závažnosť, čas trvania a následky protiprávneho konania, opakovanie takéhoto konania a mieru ohrozenia súkromného a rodinného života a na počet dotknutých osôb.

Ak sa tá istá osoba dopustí toho istého porušenia tohto zákona do dvoch rokov od právoplatnosti rozhodnutia, môže jej úrad uložiť pokutu alebo poriadkovú pokutu až do výšky dvojnásobku sadzby uloženej pokuty alebo poriadkovej pokuty.

Proti rozhodnutiu o uložení pokuty alebo poriadkovej pokuty možno podať písomne rozklad do 15 dní odo dňa jeho doručenia. O rozklade rozhodne predseda úradu do 60 dní odo dňa jeho doručenia.

Kontrolu spracúvania osobných údajov podľa tohto zákona vykonáva vrchný inšpektor úradu, inšpektor úradu a zamestnanci úradu, ktorí sú členmi kontrolného orgánu. Kontrolný orgán vykoná kontrolu ako riadnu kontrolu na základe ročného plánu kontrol alebo ako mimoriadnu kontrolu na základe podozrenia z porušenia povinností pri spracúvaní osobných údajov ustanovených zákonom alebo v rámci konania o ochrane osobných údajov.

Úrad na ochranu osobných údajov môže uložiť pokutu od 300 eur do 3 000 eur prevádzkovateľovi, ktorý napr.:

a) nezabezpečil správnosť a aktuálnosť osobných údajov,
b) nesplnil alebo porušil povinnosť hodnoverne preukázať vyhotovenie záznamu poučenia oprávnených osôb,
c) nesplnil alebo porušil povinnosť vyhotoviť poverenie zodpovednej osoby,
d) nesplnil alebo porušil povinnosť ukončenia poverenia zodpovednej osoby,
e) nesplnil alebo porušil povinnosť vedenia evidencie informačného systému,
f) nesplnil alebo porušil povinnosť sprístupniť údaje z evidencie podľa § 44 zákona atď.

Úrad môže uložiť pokutu od 1 000 eur do 50 000 eur prevádzkovateľovi, ktorý napr.:

a) nesplnil alebo porušil niektorú z povinností základných zásad spracúvania osobných údajov,
b) pri výbere a poverovaní sprostredkovateľa nesplnil alebo porušil niektorú z povinností podľa § 8 ods. 2 až 5 zákona,
c) pri získavaní osobných údajov nesplnil alebo porušil niektorú z povinností podľa § 15 zákona,
d) nesplnil alebo porušil niektorú z povinností likvidácie osobných údajov podľa § 17 zákona,
e) pri vybavovaní žiadosti dotknutej osoby nesplnil alebo porušil niektorú z povinností podľa § 28 a § 29 zákona atď.

Úrad uloží pokutu od 1 000 eur do 200 000 eur prevádzkovateľovi, ktorý:

a) nesplnil alebo porušil povinnosť poveriť spracúvaním osobných údajov sprostredkovateľa na základe písomnej zmluvy,
b) pri spracúvaní osobitnej kategórie osobných údajov nesplnil alebo porušil niektorú z povinností podľa § 13 a § 14 zákona,
c) nesplnil alebo porušil povinnosť mať vypracovaný bezpečnostný projekt podľa § 19 ods. 2 zákona,
d) nevykonal prenos osobných údajov do tretích krajín podľa § 31 alebo
e) nesplnil alebo porušil povinnosť osobitnej registrácie informačného systému.

Najvyššia pokuta, ktorú môže Úrad uložiť prevádzkovateľovi, je 200 000 eur.

Zamestnávateľ oblasť osobných údajov vymedzuje i v samotných pracovných zmluvách svojich zamestnancov.

Zamestnanci svojím podpisom pracovnej zmluvy súhlasia so spracúvaním svojich osobných údajov zo strany zamestnávateľa.

Každý zamestnanec je povinný oboznámiť sa s bezpečnostným projektom prevádzkovateľa (zamestnávateľa) v zmysle uvedeného zákona.

Poznámka redakcie:
§ 6 ods. 2 písm. a) zákona o ochrane osobných údajov

Autor: JUDr. Slavomíra Gejdošová